Les attaques informatiques sont plus que fréquentes en cet été 2022. L’entreprise Duda qui existe de puis plus de 90 ans est affichée sur le site de fuite du ransomware BlackCat, avec plus de 300 GB de données compressées. Cela concerne également toutes ses filiales. La cyberattaque sur Creos qui avec Enovo est partie intégrante du groupe Encevo a été identiquement agressée. L’impact sur l’approvisionnement en gaz et électricité n’est pas touché, affirmait la compagnie.
L’énergie semble être une cible de choix. Après l’Ibérique Idrola, l’allemand Entega, ou encore l’Israel Electric Companies, c’est les Luxembourgeoises Creos (gestionnaire de réseau) et Enovos (fournisseur d’énergie) de faire les frais d’une attaque par codes malveillants. Les opérateurs derrière le ransomware BlackCat réclament l’attaque survenue dans la nuit du 22 au 23 juillet 2022. Le magazine PaperJam, sur son site WEB, ignorait à la sortie de son article le 25 juillet 2022 « la nature de l’attaque ». Quatre jours après la revendication était effectuée. Cela dit, c’est la troisième attaque d’un fournisseur d’énergie en Europe en juillet. Dès le début du mois, Ignitis Groupe, en Lituanie, et DTK en Ukraine, subissaient l’effroi.
Près de 300 GB de données compressées sont d’ores et déjà exposées. Cela concerne Duda Farm Fresh Foods A. Duda & Sons, Inc. Duda A. Duda & Sons et Duda Farm Fresh Foods Inc. Les opérateurs promettent de révéler l’ensemble de la comptabilité, et les secrets de famille Duda. (Crédits : capture d’écran/BlackCat)
Si l’analyse des dégâts subits chez Creos et Enovo est toujours en cours. Le site WEB de l’entreprise Duda basée en Floride est toujours hors accès. A. Duda & Sons est une société foncière diversifiée, principalement engagée dans des activités agroalimentaires et immobilières. L’entreprise débutait en produisant du céleri dans une ferme en 1926. Depuis, les activités commerciales de Duda comprennent aujourd’hui Duda Farm Fresh Foods, l’un des plus importants producteurs et fournisseurs mondiaux de céleri et d’autres légumes, agrumes.
« Nous allons présenter l’ensemble de la comptabilité de la société mère et de toutes les filiales, pendant toute la durée de leur existence. Ensuite, nous publierons les données personnelles et tous les secrets de la famille DUDA », martèlent les opérateurs. (Crédits : capture d’écran/BlackCat)
La menace est la révélation des données comptables depuis la création, les données personnelles de plus de 16 000 employés, les messages confidentiels… Sur le site de fuite du ransomware BlackCat, les rapports comptables annuels depuis 1999 jusqu’à l’année 2021 sont disponibles. Les prénoms et noms d’employés avec la compagnie dans laquelle ils travaillent. Même la signature de l’un des dirigeants est disponible, donnant à des personnes malintentionnées la possibilité de donner de la véracité à un faux document.
Il s’agit du Syndicat intercommunal d’eau et d’assainissement de Mayotte, SIEAM. La seconde est le groupe Helios. Elles ont selon les opérateurs derrière le ransomwareLockBit 3.0 jusqu’au 12 août pour satisfaire à la demande de rançon. Faute de quoi, la possibilité d’acheter les données, de les détruire sera donné à celui qui paiera la somme de 250 000 dollars américains en cryptomonnaie. La nouvelle version du ransomware LockBit fait des ravages : La Poste Mobile, Lanormandise, A2.Pas.fr sont affichées sur leur site de fuite.
Le but, extorquer de l’argent, purement et simplement auprès d’entreprises à travers le monde. Ici, l’une des deux sociétés françaises a une demande de rançon d’un quart de million de dollars américains. Pour l’entreprise d’assainissement et de traitement de l’eau sur l’île de Mayotte, la somme n’est pas encore indiquée. La menace est double. Diffuser les données ainsi volées, et les mettre en vente, avec de potentielles répercussions. Les clients et entreprises dont les coordonnées sont présentes pourraient être à leur tour victime d’attaques de quelques manières que ce soit : ransomware, DDoS, phishing…
L’ultimatum est fixé à la veille du week-end du 15 août en France, le 12 pour être exact. (Crédits : capture d’écran/LockBit)
Si la compagnie mahoraise basée à Mamoudzou à changé de nom, suite à l’entrée de l’EPCI Dembeni Mamoudzou (CADEMA) et celui l’Ouest de Mayotte dans le périmètre du Syndicat, le SIEAM est devenu le SMEAM depuis le 1er janvier 2020. Mais des données n’ont pas évoluées depuis deux années, les adresses e-mail sont toujours sur l’ancien nom SIEAM.
Vendredi 22 juillet 2022, la compagnie de supermarché panarabe confirmait l’information que des données auraient pu être exposées lors d’un incident de sécurité. « Sous réserve d’une enquête plus approfondie de notre part, les données qui pourraient avoir été exposées comprennent le nom, l’adresse e-mail, le numéro de téléphone portable, l’adresse de livraison et les détails de livraison en ligne précédents [produits, délai de livraison et valeur de la commande] des clients qui ont utilisé nos canaux d’achat en ligne », a communiqué Spinneys dans un e-mail aux clients.
« Le directeur général de Smitty’s Tom Harvey a confirmé que le problème avait été traité rapidement et il a ajouté qu’aucune des données des clients n’avait été piratée, ce qui est bien sûr un soulagement pour tous les clients. » (Crédits : Lovin Dubaï/YouTube)
Selon la société de sécurité américaine Cybereason, plus de quatre entreprises sur cinq des Émirats arabes unis interrogées ont déclaré que leur budget de sécurité avait augmenté au cours de l’année écoulée pour lutter contre les ransomwares. Ce qui n’a pas empêché cette attaque informatique par ransomware.
Les données qui sont affichées par les opérateurs derrière le ransomware Clop sont les prénoms, noms, adresses, indications de livraisons, coordonnées GPS, téléphone, pièces d’identités de très nombreux clients. (Crédits : capture d’écran/Clop)
Le spécialiste dans la vente et distribution d’équipements médicaux, utilisés dans le traitement de l’hypertension et des maladies pulmonaires est victime du ransomware Vice Society. Plus de 17 GB de données sont en accès libre, factures, assurances, données clients… concernant CHDE. De considérables informations de santé, de photos, factures, des comportements détaillés des résidents d’un EHPAD australien Edenfield, sont ainsi documentées sur chaque résidente et résident.
Le ransomware Vice Society a encore frappé. C’est l’EHPAD Edenfield basé sur trois communes en Australie, Parafield Gardens, Port Augusta et Port Augusta West, qui voient d’innombrables données personnelles et médicales en accès libre. Les comportements, pathologies… des patients sont écrits dans leurs dossiers médicaux. Ils sont pensionnaires de ces établissements au vu de leurs diagnostics. Par la diffusion de l’ensemble des informations, c’est l’intimité de ces personnes dépendantes et âgées que les opérateurs, derrière le ransomware Vice Society, ont violées et diffusées.
Ainsi de nombreux rapports circonstanciés décrivent les déconvenues des aînés. Tant en désorientation, que des blessures psychologiques que physiques sont exposées. Les bilans médicaux intimes. Des archives des quatre dernières années sur les patients et le personnel. (Crédits : capture d’écran/Vice Society)
L’entreprise polonaise CHDE fabrique des appareils destinés à la lutte contre l’hypertension, les maladies pulmonaires, mais aussi des layettes bébés, des équipements de mesure de la température corporelle… De très nombreux documents tels des factures, données, licences d’exploitation, des coordonnées bancaires jusqu’au code Swift, des adresses de fournisseurs, une archive de plus de 17 GB de données compressées.
Des informations, pièces d’identité, certificats d’origine des produits issus de la République populaire de Chine, des renseignements confidentiels divulgués. (Crédits : capture d’écran/CHDE)
Les opérateurs des RaaS revendiquent les différentes attaques et ajoutent des commentaires : « Cette personne a été frivole avec vos données et maintenant toutes vos données seront dans Darkweb et les criminels les utiliseront pour leurs buts. »
Deux sociétés françaises subissent la menace de divulgation des données potentiellement sensibles, si elles ne cèdent pas au chantage de la rançon. Les opérateurs derrière la version 3.0 de LockBit, demandent respectivement 150 000 et 50 000 dollars américains en cryptomonnaie. Les personnes à l’origine des chiffrements ne prennent pas plus de précautions. Le compte à rebours s’arrêtera le 23 juillet 2022 peu après 12 h pour le gestionnaire de gites, et dans 9 jours pour La Normandise.
Les conséquences pour les entreprises peuvent être multiples. Le groupe Caisse Centrale de Réassurance à depuis le 4 juillet 2022 disparu des écrans radars. Suite à l’attaque par le ransomware Lilith. LeMagIT a tenté d’avoir réaction à plusieurs questions, en vain. Ce à quoi la communication répondait que « dans le respect de la réglementation, le groupe a pris attache avec les autorités compétentes. Une enquête est en cours, ce qui ne nous permet pas de commenter plus précisément cette attaque ». Deux sociétés françaises sont à leurs tours victimes d’un ransomware, LockBit 3.0.
Les opérateurs indiquent avoir téléchargé 20 GB de donnée, des passeports sont affichés sur le site de fuite en preuve de leurs méfaits. (Crédits : capture d’écran/LockBit 3.0)
L’autre victime est la compagnie NormandisePetfood. C’est une usine de production et conditionnement, basée à Vire. Elle est spécialisée dans la confection de produits alimentaires à haute valeur ajoutée, humides et secs, pour chiens et chats. Elle spécifie être « No 1 des fabricants français de pochons et barquettes » en MDD (marque de distributeur). Elle revendique le 3e rang européen. Ses marques sont équilibre et instinct, les repas plaisir, et les games éco pour chats et chiens
Le site du ministère de la Santé israélien a récupéré ses fonctions rapidement. Les compagnies derrière les ransomware tels que Clop, BlackCat, LockBit 3.0, Everest, Ragnar, Industrial Spy pour ne citer qu’elles revendiquent de très nombreuses attaques par ransomwares. En France, la poste mobile, les bureaux de l’Épargne, les cabinets PLR Avocats, et Bosco-Avocats ont vu la menace de divulgation des données volées mise à exécution par les opérateurs derrière le rançongiciel LockBit 3.0.
Sur le site de fuite, les opérateurs indiquent détenir 73.5 GB de données compressées sensibles et confidentielles du cabinet d’avocats parisiens PLR. Concernant le second cabinet, ils affirment avoir en leur possession 101 GB de documents tout aussi sensible et confidentiel. La compagnie Les bureaux de l’épargne situés dans le 1er arrondissement de Paris aurait plus de 57 GB de données compressées volées.
Le gang LockBit 3.0 revendique les attaques contre le cabinet médical américain Cristiana Spine Center, le fabricant de charcuterie italienne Rovagnati, le Chinois Cpic qui manufacture et vend des produits en fibre de verre ou encore l’entreprise pétrolière nationale indonésienne, MedcoEnergi. (Crédits : capture d’écran/LockBit)
Les opérateurs derrière les ransomwares monnayent leurs vols de données, en proposant d’acheter les renseignements, ou carrément de les détruire concernant les données sensibles voire critique. Pour la société Genuspic, productrice ce viande de porc en Angleterre, les données sont directement téléchargeables.
Le site du ministère israélien de la Santé a fait l’objet d’une attaque informatique ce dimanche 17 juillet 2022, revendiquée par le groupe pro-Iraniens, Altahrea Team. Elle est la dernière d’une série d’attaques contre des infrastructures cruciales dans le pays. Un mois après celles perpétrées contre Israel Electric Corporation, plus grand fournisseur d’électricité dans les territoires occupés, Dorad Energy Ltd, qui distribue l’énergie, et le fournisseur de solutions techniques Reali Technologies ltd. Ces trois derniers par les opérateurs derrière Moses.
Après plusieurs heures de perturbation, « le site web a retrouvé sa pleine activité », indiquait le ministère lundi 18 juillet. L’attaque revendiquée par Altahrea Team découlerait des frappes de Tsahal dans la bande de Gaza ce week-end et du soutien israélien aux sanctions contre l’Iran, explique Times of Israël. La cyberattaque serait du type DDoS selon les informations de J-Wire.
La semaine dernière, Altahrea Team affirmait avoir attaqué jeudi 14 juillet 2022, le site Web de la municipalité de Jérusalem ainsi que celui de l’entreprise de défense Rafael Advanced Defense Systems Ltd. Altahrea Team a revendiqué une attaque lundi contre le site Web de la commune de Tel-Aviv. (Crédits : capture d’écran)
Les suppositions de l’origine de l’attaque restent des supputations. Les griefs du groupe pro-iraniens seraient d’une part les sanctions contre l’Iran qui selon les opérateurs « tuent des milliers de personnes en bloquant l’arrivée de médicaments et de vaccins COVID-19 », et d’autre part le soutien à l’Ukraine dans le conflit armé russo-ukrainien. « Vous êtes désormais dans notre ligne de mire », écrivait l’organisation. Le ransomware Moses lors de l’attaque informatique contre Israeli Power Companies laissait le même genre de message : « Nous vous surveillons depuis de nombreuses années, à chaque instant et à chaque étape. Ceci n’est qu’une partie de notre surveillance de vos activités grâce à l’accès aux caméras de vidéosurveillance du pays. Nous l’avions dit, nous allons vous frapper alors que vous n’auriez jamais imaginé… »
Tandis que les SMS concernant Ameli continuent d’être envoyés partout sur l’hexagone, une nouvelle menace débarque : le QR code. Depuis les deux années où le SARS-CoV-2 a tenu le haut de l’affiche, ces petits carrés bizarres sont en tous lieux. Sur les tables de restaurant, la devanture d’un magasin, en bas de page de publicité… il est désormais omniprésent sans s’en rendre compte. Machinalement nous voyons ce petit carré ressemblant de manière capillotracté au jeu de Pacman, et nous dégainons le smartphone. Mais que savez-vous de lui ?
Avant d’effrayer le lecteur, remontons de quelques années en arrière, en 1994. Année du début de l’ère Aimé Jacquet, menant la France à sa première victoire en coupe du monde de football en 1998. Les bleues, quant à elles disputent actuellement l’Euro et sont en quarts de finale, refermons l’aparté. Donc, les codes QR ont été créés en 1994. Une filiale de Toyota, Denso Wave, a développé ce code pour faciliter le processus de fabrication, le suivi des véhicules et des pièces. Il a été conçu pour permettre des vitesses de décodage rapides, son nom est devenu logiquement « code Quick Response ». S’ils possèdent une notoriété digne d’une rock star, leur existence est due au développement et succès des codes à barres. Depuis ils sont extrêmement populaires, et c’est là où le bât blesse.
Les codes QR peuvent stocker jusqu’à 7 089 caractères numériques, 4 296 caractères alphanumériques, bien au-delà de la capacité du code-barres (une douzaine de caractères). Des lignes de codes pour exécuter une action, par exemple en Bash, n’ont pas besoin d’autant, 1 500 sont amplement suffisante, voire moins, beaucoup moins.
Que s’est-il passé ? Cet instrument pratique se retrouvait même dans les bibliothèques municipales, et plein d’autres endroits. Le nombre de chiffres dans les codes a donc été augmenté, générant une modification. Leurs tailles, et l’espace d’impression multipliaient les coûts d’impression. En outre, ces évolutions ont entraîné des complications occasionnelles lors de la lecture/du balayage des nouveaux codes. De la poudre de perlimpinpin, beaucoup de recherche et de travail, ont donné naissance aux codes QR 2D (bidimensionnels). Depuis leur avènement, ils ont vu leur population augmenter, les développements de la technologie pour améliorer la capacité de stockage et la fonctionnalité…
La taille accrue du QR code en fait une arme redoutable. Avec le langage de programmation Python, il est simple d’envoyer un e-mail sans fioriture. Le FBI avertissait ses concitoyens en début d’année 2022 : « ne scannez pas un code QR trouvé au hasard ». Les escrocs utilisent de faux codes QR pour voler vos mots de passe et votre argent.
Des individus malintentionnés les utilisent dorénavant pour voler des données personnelles ou compromettre un terminal, selon Le Parisien. Les escrocs ont toujours un coup d’avance ! Il suffit désormais de flasher le code avec son appareil photo pour être dirigé vers une URL. Elle peut permettre de lire un menu, télécharger une application ou montrer « patte blanche » dans l’application mise en place par le gouvernement « Tousanticovid ». Il n’est nullement question des RGPD. « Elle utilise le signal Bluetooth d’un téléphone pour détecter un “smartphone” à proximité et ainsi établir de manière anonyme que plusieurs personnes se sont croisées. L’application prend en compte les contacts à moins de 2 mètres pendant au moins 5 minutes », explique le site dédié.
Dans un article du quotidien Le Parisien, un « expert » précise que « la cyberattaque passe par l’appareil photo et contourne ainsi les antivirus et les filtres de sécurité ». Vous pouvez en quelques secondes créer le vôtre. « Il est tout aussi facile de modifier une application avec un code malveillant qui transforme le téléphone en mouchard ou siphonne les données », ajoute-il.
Pour effectuer une attaque ou un vol de données, il suffit de faire « Man-in-the-middle ». Pour cela ils peuvent remplacer un QR Code par le leur en apposant un autocollant. En le scannant, les utilisateurs sont renvoyés vers une copie ou l’original du site, avec exfiltration de leurs données, sans s’en apercevoir. (Crédits : Panda Security)
Selon des sources bien informées « le QR est une belle invention qui ne représente que peu de “menace” ». Les problèmes indiqués se situent que dans les différents traitements associés, pas dans le code QR, lui-même. L’usage des outils « informatiques » par tout un chacun « facilite » la vie quotidienne. « Les entreprises utilisent légitimement les codes QR pour fournir un accès sans contact pratique et les ont utilisés plus fréquemment pendant la pandémie de COVID-19. Cependant, les cybercriminels tirent parti de cette technologie en dirigeant les scans de codes QR vers des sites malveillants pour voler les données des victimes, en intégrant des logiciels malveillants pour accéder à l’appareil de la victime et en redirigeant le paiement à des fins cybercriminelles », expliquait le FBI dans son alerte. Pour toutes les questions sur les possibles fraudes , un site Cybermalveillance.
Qu’est-ce qui va différencier un « vrai » d’un « faux » QR code ? Humainement, c’est très compliqué.
Ars Technica rapportait que des malfaiteurs avaient placé des autocollants de codes QR frauduleux sur des parcmètres, dans les grandes villes du Texas. Ces autocollants visaient à inciter les gens à payer leur stationnement, mais sur un site Web frauduleux. Les agents de stationnement avaient trouvé des autocollants avec des codes QR frauduleux sur les bornes de paiement à Austin, Houston et San Antonio. Les autorités avaient dans un communiqué de presse, que des fraudes sur des parcmètres étaient constatées. Au final 29 des 900 avaient un autocollant recouvrant le code QR. En cas de doute, rapprochez-vous des forces de l’ordre, de votre banque et du site Cybermalveillance.
Une campagne de SMS frauduleux se répand comme une traînée de poudre en France. Des témoignages sur les différents réseaux sociaux indiquent que des individus sont dubitatifs. Ainsi, elles expliquent vouloir appeler leurs propres caisses d’assurance maladie pour en avoir le cœur net. Ces tentatives apparaissent dans différents domaines au même degré que pour le compte personnel de formation. Elle peut exister également par tout autre moyen électronique de communication.
La dépendance à l’ultra-communication tant à montrer des limites, celles des êtres humains ayant accès à cette technologie. Rien à voir avec l’intelligence, les diplômes, mais avec l’incrédulité et la naïveté des individus.
« Quoi ? C’est qui cette Amélie ? », s’étonna Mme Kharéson
« Tu sais l’assurance maladie en ligne, Améli quoi ! »
« Ah », rougit-elle
« Elle me demande de remplir ce formulaire pour renouveler mes droits sur ma carte vitale »
« Quel gros bêta tu fais ! Tu es capable de me coller sur des faits historiques, mais sur un smartphone… », s’esclaffa sa tendre épouse, sans terminer sa pensée pour ne pas froisser le pauvre hère.
« Je t’explique », renchérit-elle.
Les liens peuvent afficher de nombreuses combinaisons avec en vedette « assurance maladie ». Ne cliquez pas dessus ! (Crédits : DR)
Suite aux fuites des différentes attaques informatiques, les opérateurs malveillants usent et abusent des renseignements volés. Ayant accès aux e-mails, adresses, numéros de téléphone… ils envoient des milliers, des centaines de milliers voire des millions de SMS comme celui-ci. Ils comptent sur la probabilité qu’un certain pourcentage de personnes clique sur l’hyperlien et remplisse naïvement leurs données. Ils peuvent aussi le faire par courriel.
J'ai reçu le même SMS, il y a 48 heures . Je vais appeler la sécu demain, car rien d'indiqué sur le site Ameli .
La personne a le bon réflexe, celui de joindre au plus vite l’organisme pour confirmer, et informer le cas échéant l’assurance maladie.
Jamais l’assurance maladie en ligne, la fameuse Ameli, ne te contactera directement par SMS. Tu pourras recevoir une notification t’invitant à te connecter à ton compte par courriel sur l’adresse e-mail que tu as complétée dans le formulaire de contact. Mais sans afficher un hyperlien.
Il existe de nombreuses méthodes et façons de gagner de l’argent. Le vol de données en est une, fraude au compte personnel de formation (ci-dessus) la création de vrai faux papier d’identité, de carte d’assurance maladie, de permis de conduire, sont autant de moyens pour des personnes malveillantes d’amasser illégalement de l’argent, à vos dépens. (Crédits : DR)
Les banques, les mutuelles, en fait tous les organismes qui ont un accès à vos données n’ont aucunement besoin de vous contacter par SMS, par courriel, pour que vous puissiez confirmer votre code de carte bancaire, votre mot de passe, etc. Toutes ces choses doivent rester secrètes.
Ce 14 juillet 2022, la cyberattaque n’est pas encore revendiquée sur le DarkWeb. Durant le week-end du 9 et 10 juillet, la société suisse Cremo a été la cible d’une attaque informatique. L’entreprise basée à Fribourg a déclaré qu’elle est en mesure d’assurer la production sur l’ensemble de ses sites, à l’heure actuelle. Le numéro deux du lait en Helvétie emploie plus de 800 personnes dans cinq cantons. Une enquête en cours tente de quantifier l’ampleur des dégâts.
La Suisse était relativement épargnée depuis l’attaque de l’université de Neuchâtel en février. Des cabinets médicaux faisaient la désagréable expérience d’une attaque par codes malveillants. Ces derniers jours l’école de l’arc jurassien était la nouvelle victime. L’offensive se serait déroulée le 2 juillet 2022. Lundi 11 juillet, par un bref communiqué diffusé à 16 h 30 l’établissement expliquait aux médias que « la Haute École Arc est soumise à une attaque informatique. Elle a décidé de couper l’accès à tous ses serveurs et à sa messagerie, ceci afin de protéger son infrastructure et ses données. Les téléphones mobiles restent accessibles. »
« De plus amples investigations sont en cours […]. Nous ne disposons pour l’instant pas d’informations supplémentaires », précise la polie cantonale. (Crédits : HE-Arc)
À nouveau la Suisse est frappée par une cyberattaque. Cette fois il s’agit de l’institution de produits laitiers Cremo. « Nous avons été informés ce week-end d’un piratage informatique chez Cremo. Nous sommes en contact avec les responsables de l’entreprise afin de les aider dans leurs démarches. Une plainte pénale a été déposée et l’enquête est en cours », affirmait MartialPugin Chef du secteur communication et prévention de la police cantonale fribourgeoise. Au téléphone, le secrétaire général de Cremo, Thomas Zwald, semble pressé : « Rappelez-moi demain, il se passe beaucoup de choses, ici », raconte AlexandreBeney pour Arcinfo.
