Libre Expression

Étiquette : NCSC

  • Cyberattaque contre Jaguar-Land Rover

    Cyberattaque contre Jaguar-Land Rover

    Le 28 août 2025, le constructeur automobile britannique, filiale du conglomérat indien Tata Motors, voit ses systèmes informatiques plongés dans le chaos. À Halewood, dans le nord-ouest de l’Angleterre, les employés reçoivent un ordre inhabituel : ne pas se présenter au travail. Les systèmes ERP SAP, les contrôleurs SCADA, les automates programmables robotiques, les outils CRM et même les portails de concessionnaires sont à l’arrêt. L’entreprise reconnaît rapidement une attaque à large spectre affectant ses environnements industriels et bureautiques.

    Les chaînes d’assemblage de Jaguar-Land Rover (JLR) ont été ralenties, puis stoppées à la suite d’un incident informatique majeur. Les premières investigations du Cyber Monitoring Centre (CMC) britannique et du National Cyber Security Centre (NCSC) révèlent une cyberattaque à effet domino. C’est l’une de ces offensives où la faille ne vient pas de l’intérieur, mais d’un prestataire, d’un fournisseur ou d’un maillon négligé de la chaîne numérique, ce pour quelques raisons que ce soit.

    Un séisme industriel et systémique

    D’après The Hindu Business Line, les serveurs compromis ont eu un effet domino. Cet effet s’est fait ressentir dans plusieurs usines à travers le monde. Ce qui provoque une suspension de la production. En Slovaquie, Eberspächer Gruppe GmbH & Co., fournisseur de systèmes d’échappement, a dû stopper l’activité de sa manufacture de Nitra. Le Britannique Autins Group, l’un des sous-traitants majeurs, a pour sa part informé ses actionnaires d’un « impact significatif » sur ses opérations locales. « JLR a été impacté par un cyberincident. Nous avons pris des mesures immédiates pour atténuer son impact en arrêtant de manière proactive nos systèmes. […] À ce stade, il n’y a aucune preuve que des données sur les clients ont été volées, mais nos activités de vente au détail et de production ont été gravement perturbées », a déclaré un porte-parole de JLR après l’incident du samedi 30 août 2025.

    « Le modèle de CMC estime que l’événement a causé un impact financier britannique de 1,9 milliard de £ et a affecté plus de 5 000 organisations britanniques. » Les bouleversements touchent tout autant les sites d’exploitation que les transporteurs, les prestataires logistiques ainsi que les concessions automobiles. Dans son rapport, le comité technique du CMC, présidé par Ciaran Martin (ancien directeur du NCSC), prévient que « cet incident répond aux critères de la catégorie 3 en raison d’une perte financière comprise entre 1 et 5 milliards de livres sterling pour les organisations concernées et d’un impact significatif sur plus de 2 700 entités britanniques. »

    Pour les experts du CMC, la dépendance des entreprises aux systèmes IT [Information technology] et OT [operationel technology] interconnectés constitue le véritable maillon faible. Les points de convergences entre l’IT [SQL, Cloud, CRM, ERP, RDP, HTTPS, Internet access] et l’OT [Machinery, Assembly Lines, RTUs, HMIs, SCADA, PLCs, Modbus] seraient le talon d’Achille. Les chaînes logistiques multi-niveaux, la sous-traitance massive et la concentration de données critiques dans des environnements cloud accentuent donc leurs expositions.

    ShinyHunters
    une signature familière

    Vingt-quatre heures après l’attaque, une organisation bien connue de la scène cyber, en réclame la paternité : ShinyHunters. Sur leur chaîne Telegram, « le groupe dit des Shiny Hunters [et en particulier Rey, qui a officié un temps sous la bannière de Hellcat] », explique LeMagIT.

    Derrière ce trouve un collectif ayant déjà revendiqué des attaques contre des détaillants britanniques et des entreprises comme Google, Air France-KLM, Allianz for Life, Cisco ou Pandora, via des intrusions dans leurs instances Salesforce. [Crédits : Bradley De Melo/Pexels]

    Le mode opératoire correspond à celui de l’organisation Scattered Spider : des campagnes de phishing, de vishing, et l’exploitation de comptes d’accès à privilèges. Une approche redoutable, car elle contourne les défenses techniques en s’appuyant sur la psychologie et la routine des utilisateurs.

    Un précédent aux allures de crise nationale

    Le gouvernement britannique a dû réagir. Selon le rapport du CMC, l’État s’est porté garant à hauteur de 1,5 milliard de livres sterling pour maintenir les liquidités de Jaguar-Land Rover. Le but limiter et éviter une onde de choc sur l’économie du pays.

    Le CMC appelle à une révision des cadres et à un renforcement des couvertures assurantielles face aux menaces cyber. « Les perturbations opérationnelles posent aujourd’hui le plus grand risque pour la plupart des entreprises », conclut-il.

    À peine vingt-quatre heures après la révélation de l’incident chez Jaguar-Land Rover, Bridgestone annonce à son tour l’interruption de son usine de Joliette, au Canada, en raison d’une possible cyberattaque. La troisième depuis 2022. « L’usine demeure à l’arrêt jusqu’à vendredi 19 h. Selon les progrès réalisés par l’équipe informatique, nous prévoyons vous partager le plan de redémarrage des activités en cours de journée le vendredi 5 septembre », précise la société. Les droits de chômage partiel ne sont pas les mêmes qu’en France. « On n’est pas payé. Il faut être sept jours à l’arrêt pour faire une demande de chômage. » Elle met à disposition des 1400 employés 200 $ par jour, car l’usine est le poumon économique de la région lanaudoise.

    Bridgestone
    victime collatérale

    Ces attaques, menées par des organisations à motivation financière, traduisent aussi une géo-politisation du cyberespace. Les services européens de renseignement évoquent depuis 2024 une multiplication des offensives à visée de cyberespionnage industriel, souvent attribuées à des groupes affiliés à la Russie ou à la Chine.

    Au-delà du Royaume-Uni, cet épisode résonne comme un signal d’alarme pour l’industrie européenne. À l’heure où entre en vigueur la directive NIS2, censée renforcer la cybersécurité des opérateurs essentiels, le cas JLR illustre les limites du dispositif : la conformité ne garantit pas la résilience. L’ensemble des acteurs doivent composer avec la réalité : la cybersécurité industrielle est un enjeu de souveraineté économique. [Crédits : Pixabay/Pexels]

    « La digitalisation de l’industrie, si elle n’est pas accompagnée d’une culture de sécurité, revient à installer des portes automatiques sans serrure », ironise un expert du NCSC. Cette cyberattaque a mis en lumière la vulnérabilité d’un modèle entier : celui d’une industrie mondialisée, hyperconnectée et dépendante de prestataires interopérables. Jaguar-Land Rover n’est peut-être que le premier domino d’une série que l’Europe industrielle n’a plus le luxe ni le temps d’ignorer.

  • Une loi interdit les mauvais mots de passe

    Une loi interdit les mauvais mots de passe

    Il faut le lire pour le croire. Le flegme britannique est légendaire. Ainsi les sujets de Sa Majesté Charles III possèdent une nouvelle loi. Elle interdit d’utiliser certains mots de passe. Son but prévenir les fuites de données, les cyberattaques. Du moins, ne pas faciliter la tâche des « hackers » sur le WEB. Si la bienséance n’est pas de mise, la logique l’est. La multiplicité des objets connectés, les utilisateurs qui par facilité usent du même mot de passe… sont des vecteurs par lesquels les personnes mal intentionnées passent.

    Il est des raisonnements qui pourraient traverser la Manche. Sans effet de manche, le mot de passe est un sujet majeur, pas un simple tour de passe-passe. Les moyens mnémotechniques pour se remémorer le précieux sésame existent. Pour autant, plus ou moins facile selon l’âge de l’utilisateur.

    Une loi pour interdire les mots de passe par défaut

    Une nouvelle loi outre-Manche interdit les mots de passe par défaut sur les appareils dits « intelligents ». C’est le Centre national de cybersécurité (NCSC) qui en est l’origine. Il appelle les fabricants à se conformer dès le 29 avril 2024 à une nouvelle loi. Elle proscrit l’utilisation des mots de passe par défaut.

    phishing-password-scam

    « La loi, connue sous le nom de Product Security and Telecommunications Infrastructure act (ou PSTI act), aidera les consommateurs à choisir des appareils intelligents qui ont été conçus pour fournir une protection continue contre les cyberattaques », déclare le NCSC.

    Les mots de passe « 123456 » ou « password » sont utilisés en France par plus de 6 millions d’individus. D’ailleurs, les mêmes mots de passe tels que « admin » ou « 12345 » sont désormais interdits au Royaume-Uni.

    Les cyberattaques, quelles qu’elles soient, font l’objet d’une lutte internationale. Puisqu’ils courants et faciles à deviner, la loi prohibe l’usage de ces mots de passe. C’est une première mondiale.

    (Crédits : Mohamed Hassan/Pixabay)


    « Une maison remplie d’appareils intelligents pourrait être exposée à plus de 12 000 attaques de piratage provenant du monde entier en une seule semaine, avec 2 684 tentatives de deviner des mots de passe faibles sur cinq appareils », relate News Sky.

    Une recrudescence d’appareils connectés

    Au Royaume-Uni, 99 % des adultes ont à minima un appareil « intelligent ». De plus les foyers britanniques détiennent neuf équipements connectés en moyenne. Les chiffres sont éloquents outre-Manche : 57 % des ménages possèdent une télévision, 53 % un assistant vocal et un sur deux arbore une montre ou un bracelet de fitness, l’ensemble dit « smart ».

    Cette loi semble être à l’heure anglaise. Les dix mots de passe les plus utilisés en 2023 sont : 123456, password, qwerty, liverpool, 123456789, arsenal, 12345678, 12345, abc123, chelsea.

    Cette loi tend à mettre en œuvre un ensemble de normes de sécurité minimales. L’exemple cité par les journaux anglais est le réseau de zombies DDoS tel que Mirai.

    Mirai, explique Cloudflare « c’est un logiciel malveillant qui infecte les appareils intelligents qui fonctionnent grâce à des processeurs ARC ». Ce qui les transforme en un réseau de « zombies » contrôlés à distance. L’ensemble compose un réseau de botnet, utilisé pour lancer des attaques DDoS.

    (Crédits : freestocks-photos/Pixabay)


    La mutation, tel un virus, de Mirai inquiète. The Hacker News relate la déclaration d’Omer Yoachimik et Jorge Pacheco : « Quatre attaques DDoS HTTP sur 100, et deux attaques DDoS L3/4 sur 100 sont lancées par un botnet variante de Mirai« ». Le code source a été rendu public, tel un open source, au fil des ans, de nombreuses mutations ont eu lieu.

    Des amendes records

    Dorénavant les fabricants sont tenus de fournir des appareils n’utilisant pas des mots de passe par défaut devinables, ou simples. Le Royaume-Uni devient ainsi le premier pays au monde à interdire les noms d’utilisateur et les mots de passe par défaut sur les appareils IoT. Le rapport de Cloudflare sur les menaces DDoS pour le premier trimestre 2024, indique que les attaques basées sur Mirai continuent.

    Ces attaques perdurent huit années après que le botnet original ait été démantelé. Paras Jha, Josiah White et Dalton Norman, âgés de 20 à 21 ans plaident coupable lors de leurs procès.

    Les objets connectés concernés sont les sonnettes de porte intelligentes, les baby-phones et caméras de sécurité, tablettes cellulaires, smartphones, consoles de jeux.

    Mais aussi les appareils électroménagers intelligents. C’est à dire les ampoules, les prises, bouilloires, thermostats, fours, réfrigérateurs, nettoyeurs jusqu’aux machines à laver.

    Cette loi vise à instruire ou éduquer. Cet ensemble de normes de sécurité minimales vise à empêcher les appareils vulnérables d’être intégrés dans un réseau de zombies DDoS tel que Mirai.

    (Crédits : urish/Pixabay)


    Au Royaume-Uni on ne plaisante pas avec les amendes. Les entreprises qui ne respectent pas les dispositions de la loi PSTI s’exposent à des rappels et à des sanctions pécuniaires, avec des amendes pouvant aller jusqu’à 10 millions de livres sterling (11,64 millions euros) ou 4 % de leur chiffre d’affaires annuel global, selon le montant le plus élevé.

  • Arrestation digne d’un film d’espionnage

    Arrestation digne d’un film d’espionnage

    C’est un nouveau film qui pourrait naître, ou bien un volet de la plus célèbre série cinématographique « James Bond 007 ». Car c’est un chapitre qui s’ouvre après l’arrestation et l’extradition de Wladislav Klyushin. Le 21 mars 2021, un homme est emprisonné à Sion en Valais. Selon son avocat, cette personne séjournait en Suisse avec sa famille pour des vacances au ski. L’Office fédéral de la justice l’arrête et lui ordonne à la garde à vue. Son extradition est décrétée le 24 juin et exécutée le 18 décembre. Son procès a commencé lundi 3 janvier 2022.

    Le 13 décembre 2021, le Tribunal pénal fédéral suisse a rejeté le recours de Vladislav Klushin contre la décision de l’extrader vers les États-Unis. Selon l’homme d’affaires russe, l’affaire a pour but de « le coincer pour des accusations de délit d’initié forgées de toutes pièces ». Mercredi 5 janvier 2022, un homme comparaissait au sein d’une cour américaine au Massachusetts, présidé par la juge Marianne Bowler, pour entendre sa mise en accusation sur des faits de délits d’initié, qu’il nie. Les co-accusés sont Ivan Ermakov, Mikhail Vladimirovich Irzak, Igor Sergeevich Sladkov et Nikolai Rumiantcev sont toujours pourchassés pour être traduits devant la justice américaine. La pression monte d’un cran sur les Cosy Bear avec l’arrivée de Joe Biden à la Maison-Blanche, souligne 24Heures. Selon Oliver Ciric, avocat de Vladislav Klushin le président démocrate voudrait se venger.

    L’avis de recherche contre le hacker présumé Ivan Yermakov, qui travaille pour Vladislav Klyushin dans la société M-13. Il est un gros poisson dans le milieu de l’espionnage. La justice américaine indique qu’il a le grade d’officier dans l’unité 26165 au sein du GRU. (Crédits : DR)

    Les personnes dites « initiées » sont celles susceptibles de détenir des informations confidentielles à titre professionnel (L. 465-1 du Code monétaire et financier). Au-delà de cette affaire de fraude boursière, il pourrait cependant fournir des infos très importantes, notamment sur l’ingérence russe supposée dans l’élection de 2016 ainsi que d’autres opérations de renseignement, déclarent d’anciens responsables américains à CNN. Des dirigeants à la retraite du ministère de la Justice et de la Sécurité intérieure affirment que cela porte un intérêt majeur. Car, ils évoquent une interaction étroite entre la société de cybersécurité de Vladislav Klyushin, basée à Moscou, et le gouvernement russe, ainsi qu’une relation présumée de Klyushin avec un ancien officier du renseignement militaire du GRU.

    Recherché depuis 2019

    L’homme était recherché, poursuivi depuis 2019. Il semblait se dérouler le jeu du chat et de la souris. Des Américains auraient tenté de le pourchasser dans le sud de la France dès 2019. Les Britanniques échouaient à Édimbourg, en 2020. En mars 2021, c’est la Suisse « neutre » qui met la main sur Wladislav Klyushin. Il est le premier directeur général adjoint de la compagnie M-13 basée à Moscou, entreprise qui conseillerait les autorités. Selon l’acte d’accusation, le site de M-13 indiquait que les « solutions informatiques » de la société étaient utilisées par « l’administration du président de la Fédération de Russie, le gouvernement de la Fédération de Russie, les ministères et départements fédéraux, les organes exécutifs régionaux, les sociétés commerciales et les organisations publiques ».

    Il a reçu des mains de Vladimir Poutine, la médaille de l’Ordre d’Honneur. la médaille de l’Ordre d’Honneur. Il est décerné aux citoyens russes en récompense d’accomplissements ayant mené à une amélioration des conditions de vie dans le pays, ou pour services rendus. (Crédits : DR)

    Les quatre Russes accusés y travaillent tous, selon le document de la justice américaine. L’arrestation de Klyushin est potentiellement un trésor inestimable, voire une « mine d’or », considère l’expert en sécurité Christopher Krebs. « S’il cède, il pourra peut-être confirmer les thèses des services secrets sur l’influence de la Russie sur les élections de 2016. S’il ne coopère pas, sa condamnation pourrait servir d’exemple », déclarait Christopher Krebs à CNN.

    Jeu de poupée russe

    Le gouvernement américain n’a pas publiquement relié Klyushin à la supposée ingérence russe dans l’élection de 2016, menant à la victoire de Donald Trump. Mais l’un des coaccusés de Klyushin dans l’affaire de fraude boursière est Ivan Ermakov, est un ancien officier de la Direction principale du renseignement russe. Le président de la Russie, Vladimir Poutine a été directeur du FSB. « Lorsque quelqu’un comme lui a été arrêté, toute opération dont il aurait eu connaissance devient immédiatement suspecte du point de vue du contre-espionnage », a déclaré Holden Triplett, un ex-haut fonctionnaire du FBI basé en Russie à CNN. « Tout ce qu’ils ont touché est maintenant sous le microscope ».

    Les deux candidats, Donald Trump et Hillary Clinton à la primaire républicaine de 2016, avant le drame. 26 165 est le numéro qui désigne la redoutable section d’État chargée des attaques informatiques contre des institutions et des tiers. L’agent Ivan Yermakov agirait pour le compte de l’organisation nommée Fancy Bear ou Cosy Bear. (Crédits : AFP)

    Le fait d’armes mondialement connu d’Ivan Ermakov se déroulait de 2015 à avril 2016. Cozy Bear, ou APT29 est suspecté d’être impliqué dans le piratage du Comité national démocrate en lien avec l’Ingérence russe présumée dans l’élection présidentielle américaine de 2016. Cozy Bear s’était infiltré dans le parti démocrate depuis l’été 2015, mais c’est en avril 2016 qu’un autre groupe appelé Fancy Bear aurait piraté également le parti de manière indépendante. Il aurait donc participé à l’infection pour soutirer des documents des serveurs du parti démocrate aux États-Unis. Ainsi près de 30 000 courriels sont alors jetés en pâture sur les réseaux sociaux, comme Hillary Clinton est éclaboussée. L’acte est toujours considéré aux États-Unis au même degré qu’une tentative de la part du Kremlin d’influencer le processus électoral. De plus, l’organisation Cozy Bear est accusée par les autorités de renseignement canadiennes (CST), américaines (NSA) et britanniques (NCSC) de différents essais d’exfiltration, qui seraient survenus en juillet 2020, sur le développement d’un vaccin contre le SARS-CoV-2, provocant le Covid-19.

  • La Suisse ciblée par des ransomwares

    La Suisse ciblée par des ransomwares

    Peu encore touchée, la Suisse a fait l’objet d’attaques par ransomware cet été. Différentes entreprises dans des domaines aussi divers que variés sont devenues des proies. Le comparateur en ligne Comparis, le fabricant de machines pour l’entretien des voies ferrées, Matisa, sans oublier les composants de Huber+Sühner, l’horloger Swatch Group, les stores Griesser. Comparis et Credaris ont d’ores et déjà avisé les autorités de poursuite pénale.

    Toutes travaillent en étroite collaboration avec leurs unités spécialisées en cybercriminalité. « Une plainte contre inconnu a été déposée », communique le groupe Comparis et Crédaris. La compagnie avec 80 millions de visites quotidiennes a contrairement à ce qu’elle avait initialement affirmé, a bel et bien versé une rançon (NDLR 400 000 euros réclamés en juillet 2020) aux opérateurs qui avaient paralysé ses systèmes, révèle Le Temps.

    La firme suisse twittait, le 8 juillet 2021, que le CEO Steven Neubauer s’exprimerait à la télévision. (Crédits : capture d’écran Twitter)

    Imaginez maintenant le scénario suivant : « Vous apprenez soudain que votre assurance s’est fait voler toutes vos données personnelles. On retrouve ainsi, en libre accès sur le web, vos dernières analyses médicales effectuées dans un laboratoire. Tout comme la liste de vos achats au supermarché, ainsi que l’ensemble de votre correspondance avec votre notaire. La raison est simple : toutes ces entreprises, basées en Suisse, se sont fait pirater, écrit Anouch Seydtaghia, dans Le Temps. Depuis longtemps, l’alerte est donnée, avec raison, par des experts […] à force de crier au loup, plus personne n’y prête attention. Or les hackers ciblent aujourd’hui la Suisse avec une violence jamais atteinte. »

    Au sein du darknet, le groupe derrière le ransomware « Grief » affiche les preuves de son infection. (Crédits : capture d’écran)

    Les opérateurs derrière le ransomware « Grief » revendiquent l’infection du fabricant de machines pour l’entretien des voies ferrées. Sur le site de l’entreprise, un message précise que « Matisa a été ce 20 Juillet 2021 la cible d’une cyberattaque de type rançongiciel (ransomware). À la suite de cette attaque, une partie des systèmes d’informations ont été bloqués ou isolés du réseau informatique par mesure de sécurité. » Ainsi le site de comparaison zurichois Comparis, Swatch Group (en 2020), le constructeur d’hélicoptères Kopter par le ransomware « Lockbit » (en 2020), l’entreprise électrique Huber + Suhner (en 2020), le groupe médical Hirslanden ont subit des attaques par codes malveillants.

    La série d’attaques par ransomware se poursuit

    Jeudi 12 août 2021, le groupe de cliniques privées Pallas est infecté. Présent dans une vingtaine de communes en Suisse alémanique, le réseau spécialisé dans la chirurgie plastique et oculaire annonçait l’attaque sur son site web, en précisant sur le bandeau que « nous ne sommes actuellement joignables que par téléphone au numéro +41 58 335 00 00. Nous vous remercions de votre compréhension et vous prions de bien vouloir nous excuser pour tout désagrément. » Grâce au déploiement immédiat d’experts en sécurité internes et externes ainsi que des autorités responsables, le problème avait été rapidement identifié et est maintenant traité par « nos spécialistes à toute vitesse », rassure la société.

    Le site du groupe de cliniques spécialisées opère à rétablir les infrastructures. Aucune rançon n’a été mentionnée. (Crédits : capture d’écran)

    Les renseignements des patients n’auraient pas été affectés, selon le communiqué. Les employés de la clinique ont toutefois été incapables d’accéder aux données des patients, car elles avaient été chiffrées, a précisé une porte-parole de la société. Les interventions chirurgicales se déroulent néanmoins normalement. Avec l’aide d’experts en sécurité internes et externes ainsi que celle des autorités compétentes, le groupe a pris des mesures contre l’attaque. Les hôpitaux sont confrontés à un conflit d’objectifs, écrit le centre national pour la cybersécurité suisse (NCSC), à savoir « investir le plus d’argent possible dans la santé afin de soigner les patients, mais ne pas négliger la sécurité informatique ».