Par un message sur twitter, la société a révélé avoir subi une attaque informatique le 8 juillet 2022. La Fondation EdmundMach, anciennement Istituto Agrario di San Michele all’Adige (IASMA), est une institution agraire et une académie du vin située dans le Trentin, au nord-est de l’Italie. Il a aujourd’hui pour mission de dispenser un enseignement, une formation et des conseils dans le domaine de l’agriculture. Depuis la découverte de l’attaque, l’institut créé en 1874, met tout en œuvre en vue de rétablir l’ensemble de ses systèmes d’information.
La Fondation Edmund Mach, hormis dispenser un enseignement et des conseils dans le domaine de l’agriculture, il mène des recherches et des expérimentations dans le but de « promouvoir la croissance culturelle et socio-économique du secteur agricole ». Mais également de développer les systèmes forestiers et agroalimentaires, en portant une attention particulière à l’environnement et la sauvegarde du territoire de la région du Trentin.
Attacco informatico alla FEM che ha coinvolto i servizi informativi aziendali e le piattaforme tecnologiche. Sono in corso tutte le verifiche necessarie per valutare l'entità del danno e per ripristinare la piena operatività dei sistemi nel più breve tempo possibile. pic.twitter.com/MsTjmL3Bes
— Fondazione Edmund Mach (@fondazionemach) July 8, 2022
Au mois d’avril, le site internet du ministère de la transition énergétique (MiTE) était hors service. « On peut dire que l’attaque contre MiTe a été arrêtée à un moment où elle n’avait pas encore déployé toute sa capacité de destruction », déclarait Roberto Baldoni, PDG d’ACN. Pour le ministre Cingolani, cette attaque confirmait une fois encore « l’importance et l’urgence de disposer de structures informatiques dans l’administration publique qui respectent les principes de pointe en matière de cybersécurité ».
Le conseil départemental d’Indre-et-Loire à travers un communiqué révèle avoir été victime d’une cyberattaque. Elle aurait eu lieu durant la nuit du dimanche 10 au lundi 11 juillet 2022. Depuis les connexions internet et téléphonique ont été coupé hier lundi. Tandis que les attaques par ransomware ont augmenté de manière significative, avec Idex, Syredis ou encore dernièrement La Poste Mobile par le RaaS LockBit 3.0, dont des données ont été diffusées, peut-on s’attendre à d’autres attaques de ce genre ?
L’exemple d’une telle attaque informatique de masse est celle perpétrée contre la Mairie de Bondy. Cette dernière s’était déroulée en 2020 aura coûté environ 1,5 million d’euros aux contribuables, explique Le Parisien. Mais les conséquences ne s’arrêtent pas ici, elles devraient perturber le fonctionnement interne jusqu’au minimum le mois de juin 2023, les services de la commune de Seine–Saint-Denis. Juste un an avant les Jeux olympiques de Paris 2024.
« On a pensé, d’abord, à un dysfonctionnement classique, explicite le président, Jean-Gérard Paumier. Puis on s’est rendu compte que c’était une attaque d’ampleur ». Le site gouvernemental Cybermalveillance et la CNIL ont publié un guide sur les obligations et responsabilités des collectivités. (Crédits : Capture d’écran)
Il n’y a plus de téléphone ni messagerie interne, le conseil départemental n’est plus joignable de l’extérieur. Des interventions et investigations sont en cours. « On s’est mis en contact avec des agents du ministère de l’Intérieur spécialisés pour remettre un fonctionnement normal qui ne lèse ni les services ni les usagers du Département, martèle le président Jean-Gérard Paumier. Maintenant, il faut bien identifier la cause. C’est un problème qui malheureusement a déjà frappé nombre de grandes collectivités. » Il ne serait pas étonnant que les opérateurs malveillants derrière les attaques informatiques profitent des vacances en métropole, pour réitérer leurs méfaits sur d’autre entités.
La compagnie taïwanaise Sin Sheng Terminal & Machine est un fabricant et fournisseur de différents composants électroniques. Ils produisent des terminaux et des connecteurs SMT/DIP, couvrant les industries des moniteurs LCD et/ou LED, des panneaux, des téléviseurs, des assemblages de câbles d’automobiles/motos et des consommateurs électroniques. Les opérateurs derrière le ransomware Cuba revendiquent l’attaque et diffusent de très nombreux documents.
Les connecteurs sont le fer de lance de la société. Ainsi il est possible d’en trouver pour des rétroéclairages de panneaux LED, terminaux et boîtiers FASTON, connecteurs haute vitesse, pour l’électronique automobile et grand public, pour les produits industriels, de santé, pour les appareils ménagers intelligents (IoT), pour les produits de télécommunication, ordinateurs de bureau et portables, bref un peu partout. Le ransomware Cuba met à disposition sur la première page 13 fichiers compressés d’un total de 769,4 Go.
Le fichier « readme.txt », ci-dessus laissé par le ransomawre Cuba est omniprésent et ne laisse aucun doute sur l’attaque informatique subie par la firme taïwanaise. Aucun communiqué de la firme n’est encore sorti. (Crédits : capture d’écran/Cuba)
Puis, à travers les différents menus, pléthores de documents sont consultables. Ils sont financiers comme le business plan, des vidéos d’accidents mortels, de fichier avec nom de clients dans les îles Guernesey, Malouine et de l’Ascension. Mais également les fichiers des différents employés présents et passés, les personnes à contacter en cas d’urgence… Il existe même des indications que les habilitations provisoires sont à l’arrêt, évoquant même que les responsables de la sécurité d’un établissement devraient contacter l’Agence de contre-espionnage et de sécurité de la défense américaine (DCSA).
Des enquêtes, des documents classifiés, des indications sur le traitement des enquêtes de sécurités sont autant de documents sensibles exfiltrés. (Crédits : capture d’écran/Cuba)
Les opérateurs derrière le Ransomware-as-a-Service multiplient les cyberattaques. Après des poids lourds, tels Idex, Syredis, ou « Les bureaux de l’épargne », c’est au tour de l’opérateur de téléphonie La Poste Mobile d’en faire les frais. L’entité appartenant au groupe La Poste et à SFR, annonçait le 8 juillet que « ses services administratifs et de gestion » ont été victimes d’un ransomware le lundi 4 juillet 2022. C’est l’organisation LockBit 3.0 qui a revendiqué l’attaque sur son mur de fuite.
La période est extrêmement sensible aux différentes sortes d’attaques informatiques. Qu’elles soient par ransomware, phishing, DDoS, Brute-force… elles sont légions. La dernière victime en date sur le sol français est l’opérateur mobile « La Poste Mobile ». Les opérateurs derrière le ransomware LockBit promettent au groupe la publication des données exfiltrées lundi 11 juillet 2022 à 19 h 18. Le but se faire verser une somme pouvant atteindre plusieurs millions de dollars américains en fonction des ressources à disposition.
La Poste Mobile a été victime, ce lundi 4 juillet, d’une attaque informatique par codes malveillants de type ransomware. « Dès que nous avons eu connaissance de cet incident, nous avons pris les mesures de protection nécessaires en suspendant immédiatement les systèmes informatiques concernés. » (Crédits : capture d’écran/LockBit 3.0)
Sur le site, l’opérateur assure que « nos équipes informatiques procèdent actuellement au diagnostic de la situation. Nos premières analyses établissent que nos serveurs essentiels au fonctionnement de votre ligne mobile ont bien été protégés. En revanche, il est possible que des fichiers présents dans des ordinateurs de salariés de La Poste Mobile aient été affectés. Certains d’entre eux pourraient contenir des données à caractère personnel. » C’est en effet la vérité, d’après les preuves présentées par LockBit 3.0.
Une remarque à juste titre, c’est pour cela qu’il est préférable de changer l’intégralité des mots de passe par mesure de sécurité, pour les personnes susceptibles d’être impactées.
Trois captures d’écran à disposition fournissent prénom, nom, adresse postale complète, numéros de téléphone portable et fixe, ainsi que les adresses de courriel. « La Poste Mobile invite ses clients à être vigilants, notamment en surveillant toute tentative de phishing et/ou d’usurpation d’identité, et les tiendra bien évidemment informés des enseignements apportés par les expertises en cours », poursuit le groupe.
Sur les captures d’écran mises à disposition, des informations laissent à croire que des coordonnées bancaires soient aussi dans le lot. (Crédits : capture d’écran/LockBit 3.0)
Suite à la cyberattaque le service client de La Poste Telecom est joignable à l’adresse suivante : mesdonneespersonnelles@lapostemobile.fr, mais également par téléphone 904 (905 pour les clients professionnels) depuis votre ligne « La Poste Mobile » ou au 0 970 808 660 (prix d’un appel local). Le site gouvernemental français luttant contre la cybermalveillance publie à l’attention des élus locaux et agents territoriaux un guide sur les obligations et responsabilités des collectivités locales et de leurs établissements publics en matière de cybersécurité.
Le mois de juillet commence à peine que les attaques informatiques pleuvent. L’été s’annonce d’ores et déjà brûlant. Si le nombre de compagnies françaises atteintes par un ransomware au mois de juin atteignait la dizaine, en moins d’une semaine, neuf entreprises sont épinglées. Dans le lot des victimes, il faut recenser une société de gestion d’actifs parisienne, deux cabinets d’avocats, un cabinet d’ingénierie, Idex, ou encore le prestataire de services informatiques Syredis.
La refonte du site de fuite du ransomwareLockbit 3.0 annonce la couleur. « Les bureaux de l’épargne » est un cabinet de courtage familial et indépendant, présidé par Constance Coillard. Les cybercriminels indiquent détenir 57,2 Gb de données compressées, telles que les conseillers issus de la France entière, les mots de passe, pièces d’identité… Le cabinet d’avocats PLR, qui semble avoir plusieurs compétences juridiques telles la data protection – RGPD —, situé à Paris est également placardé avec 73,5 Gb d’informations sensibles. Un second cabinet d’avocats, Bosco, est aussi sous le coup de la divulgation de 101 Gb, prévue le 16 juillet 2022 à 20 h 38.
Les demandes de rançon sont élevées, de 40 000 dollars à 15 millions pour la société Diode de développement de logiciels & projet de sauvetage. (Crédits : Capture d’écran)
Mais il y a également les entreprises françaises #Idex ou #Syredis. La première attaque est revendiquée par Industrial Spy, où quelque 30 Mo de données, en guise de preuve, s’affichent. Sept dossiers distincts semblent indiquer que selon les opérateurs auraient des documents ayant un rapport au ministère de la Défense (convention-cadre pour l’exploitation et la maintenance des installations de la base navale de Toulon, attestation de visite de l’établissement de la préfecture de la zone de défense et de sécurité et accord de confidentialité, document relatif à la construction d’un nouveau commissariat de police…), du ministère de l’Intérieur, du département de l’Ardèche et de la préfecture de Valence.
L’attaque semble avoir eu lieu le 29 juin 2022, contre le Leader indépendant des projets d’infrastructures énergétiques & services de valorisation des énergies pour entreprises & collectivités. Industrial Spy détiendrait 215,8 GB compressées, la rançon demandée à l’heure actuelle est de 9 millions de dollars américains, soit plus de 442 BTC.
Les cordonniers sont souvent les plus mal chaussés indique l’adage. La compagnie affiche que « toutes vos données sont sécurisées et tous vos serveurs sont hébergés sur le territoire national ». Les compétences de la société sont l’infrastructure réseau, virtualisation, sécurité et vidéo protection. (Crédits : capture d’écran)
Les opérateurs derrière le ransomware #RedAlert se targuent d’avoir aisément infiltré et « piraté » le site de Syredis, puis télécharger plus de 300 GB de données sensibles, notamment des données clients, contrats, identifiants des appareils locaux et distants des réseaux des clients de cette société. Sans oublier des documents financiers, fiches de paie, relevés bancaires… De son côté, la caisse centrale de réassurance (#CCR) dont l’attaque a été révélée par #LeMagIT est en prise avec un autre rançongiciel Lilith.
L’entité Caisse Centrale de Réassurance (CCR) semble, semble, en ce lundi 4 juillet, avoir arrêté plusieurs services produits par son système d’information, à commencer par son site Web. Selon « plusieurs sources concordantes » explique LeMagIt, l’organisation serait confrontée à une attaque informatique dans lequel est impliqué un logiciel malveillant de chiffrement. Ce qui laisserait penser à une attaque par codes malveillants de type ransomware. Le groupe n’a effectué aucune communication à ce sujet.
Le site internet de la caisse centrale de réassurance n’est plus accessible depuis hier, il semble être mis en quarantaine. Selon LeMagIt, l’incident informatique aurait eu lieu au sein d’un système d’information, avec le déclenchement d’un maliciel dont le but est le chiffrement des données. Le groupe CCR est un réassureur public offrant une couverture contre les catastrophes naturelles depuis 1982. Il est classé parmi les 25 premiers réassureurs au monde.
Impossible d’accéder au site WEB. Le groupe n’a publié qu’un seul tweet le 4 juillet 2022, annonçant que jeudi de 14 h à 15 h 30, ThierryCohignac, directeur adjoint des réassurances et fonds publics chez CCR, participera à une conférence lors de l’événement « Les assises du #NewSpace » qui se déroulera les 7 et 8 juillet 2022 à STATION F.
Crée en 1946, la caisse centrale de réassurance (CCR) est une entreprise publique détenue intégralement par l’État français. La mission consiste à réassurer ce qui ne l’est pas par le marché. C’est-à-dire les risques de guerre, risques nucléaires, catastrophes naturelles, les dommages matériels dus à des attentats et actes de terrorisme. Depuis 1992, elle est une société anonyme. Ce fait assure à « garantir à ses partenaires des collaborations pérennes et solides ». En 2007, le groupe a créé la filiale CCR Re dédiée aux activités de réassurance de marché.
Les données personnelles des clients de l’audioprothésiste auraient subtilisé par des opérateurs. Les intrus ont pu, selon Cnet, s’emparer des informations de l’enseigne, y compris les numéros de téléphone des clients. L’entreprise créée en 1976 compte pratiquement 600 centres auditifs en France. L’attaque aurait eu lieu avant le 1er juillet 2022. Une enquête diligentée par la firme est en cours, après avoir notifié la CNIL comme l’impose le Règlement Général sur la Protection des Données (RGPD).
« Madame, Monsieur, nous vous informons que nous avons subi un incident de sécurité au cours duquel un tiers non autorisé a malheureusement accédé à vos données personnelles ». C’est par ce courriel envoyé par MichaëlTonnard, directeur général d’Audika, vendredi 1er juillet 2022 que l’entreprise informait l’ensemble de ses clients en métropole. Lors de l’attaque, le ou les opérateurs malveillants auraient, semble-t-il, pu accéder aux prénoms, noms, numéros de client, adresses postales comme électroniques, numéros de téléphone. Jusqu’aux dates de naissance des utilisateurs disposant d’un compte en ligne.
Sur son site internet, la société dont l’expertise débute à la prise en charge des acouphènes, des troubles auditifs de l’enfant ou encore des implants, affirme traiter plus de 200 000 patients par an grâce à ses quelque 600 centres partout en France. (Crédits : Capture d’écran/Audika)
Le site de la boutique en ligne est en maintenance, le temps d’effectuer le constat des dégâts qui auraient être occasionnés. La crainte est que les clients soient impactés par des tentatives d’hameçonnage ou phishing, car les cybercriminels seraient à même de contacter un à un les clients pour leur soutirer des informations supplémentaires, comme des numéros de cartes bancaires. C’est pour cela que la marque conseille fortement chaque client à changer de mot de passe.
La firme britannique de cybersécurité Sophos a publié son rapport 2022 concernant l’état de la menace « rançongiciel » dans le monde de la santé. Les résultats promulgués indiquent une augmentation de 94 % des attaques par rançongiciel ciblant les organismes de santé interrogés. En 2021, 66 % des établissements de santé avaient été touchés par ces attaques, contre 34 % en 2020. Ils ne sont pas visés au hasard, car ils se classent au premier rang, avec 61 % des organisations payant une rançon afin de récupérer les données chiffrées.
Cette année, 5 600 professionnels de l’informatique, dont 381 dans le secteur de la santé, issus de 31 pays ont participé à l’étude de Sophos. Le secteur de la santé s’améliore grandement dans la restauration des données après une attaque informatique. Les ransomwares étant de plus en plus fréquentes et répandues, les organisations sont devenues plus aptes à gérer les conséquences. C’est pourquoi la quasi-totalité des organismes de santé (99 %) touchés par un ransomware en 2021 réapproprie une partie des informations chiffrées, soit une augmentation de 93 % par rapport à l’année dernière. Si certains usent des données de sauvegarde, près de deux tiers (61 %) ont déclaré avoir payé une rançon pour les restaurer et 33 % avoir utilisé d’autres moyens. Parallèlement, 44 % des entités de santé ayant subi une attaque au cours de 2021 ont mis une semaine pour se remettre de celle-ci, tandis que 25 % d’entre elles ont mis jusqu’à un mois pour récupérer leurs données, et plus encore pour le reste.
Le coût approximatif suite aux impacts de la dernière attaque par ransomware (en prenant en compte les temps d’arrêt, le temps des personnes, coût des appareils, coût du réseau, perte d’opportunité, des ransomwares payés, etc.). 3 702 organisations de santé ont été touchées par un ransomware. (Crédits : Sophos)
Le secteur de la santé est celui qui a acquitté au total la plus petite valeur de rançons, alors qu’il est en tête de liste pour le volume des paiements, il est en fait en bas pour le montant déboursé. Si l’on examine plus en détail les rançons versées par le secteur de la santé, explique Sophos « on constate que 60 % d’entre elles sont inférieures à 50 000 USD. Seuls trois répondants ont déclaré que leurs organisations ont déclaré que leur organisation avait payé 1 million de dollars US ou plus. » Dans l’ensemble, le montant réglé est le plus faible — environ 197 000 dollars — de tous les secteurs cités contre une moyenne mondiale de 812 000 dollars américains. Mais les dommages ne s’arrêtent pas au seul montant de la rançon. La moyenne mondiale du coût de remédiation d’un organisme de santé victime d’un rançongiciel s’élève à 1,85 million de dollars US.
Une cyberattaque se déroulait la semaine dernière contre l’université de médecine située à Innsbruck en Autriche. Le week-end du 18 au 19 juin 2022, la faculté ressentait d’importantes pannes. Les premiers symptômes d’une attaque informatique apparaissaient samedi matin vers 8 h. Puis peu de temps après le site était momentanément indisponible, indiquait-elle dans un communiqué en ligne. Le rétablissement des services est déjà en cours précisait-elle, en collaboration avec des experts externes et sous haute pression.
Après le gouvernement de la région de Carinthie, c’est au tour de l’Université de médecine d’Innsbruck de se battre contre une attaque de rançongiciel. Le ransomware BlackCat chiffrait les systèmes d’information et demandait une rançon de 5 millions de dollars américains pour obtenir la clé de déchiffrement. Les opérateurs paralysaient également le tribunal administratif et la Cour des comptes. Quant à l’université, elle a entre-temps, pu rétablir une grande partie des systèmes perturbés. La distribution de nouveaux mots de passe pour 2 200 collaborateurs et environ 3 500 étudiants débutait lundi 20 juin.
« Malgré nos mesures de sécurité étendues, il a été possible, grâce à un procédé criminel hautement professionnel et ciblé, de s’attaquer aux systèmes informatiques de l’Université de médecine d’Innsbruck et de chiffrer des données. Actuellement, il n’existe aucune preuve que des informations ont été volées. » (Crédits : MUI/Mair)
Vice Society a ajouté l’université de médecine d’Innsbruck à son site de fuite, en dévoilant une liste non exhaustive de documents qui proviendraient de la cyberattaque de la semaine précédente. Un parcours des données divulguées montre que certains comportent le papier à en-tête de l’université, les signatures des professeurs et d’autres éléments, laissant penser qu’elles soient authentiques.
L’offensive par ransomware à l’origine des perturbations passées n’a à priori débouché sur aucun versement, ou dans une impasse, d’une somme quelconque. Ce qui pourrait expliquer la divulgation en ligne des données. (Crédits : Capture d’écran)
Au début du mois de juin, les opérateurs derrière le Ransomware-as-a-Service Vice Society avaient fait des ravages dans la ville italienne de Palerme, privant 1,3 million de personnes de la jouissance des services de la municipalité. Parmi les autres victimes répertoriées récemment par Vice Society figurent l’établissement scolaire « Carmel College » au Royaume-Uni, l’hôpital italien Macedonio Melloni, l’université du Michigan grand valley…
Le ransomware ViceSociety a encore frappé. De très nombreuses informations concernant le personnel hospitalier, mais également les patients sont diffusées sur le site de fuite. Les opérateurs menacent de publier les documents de l’établissement scolaire Pilton College basé à Barnstaple, en Angleterre, et parallèlement le constructeur de motos basé à Jakarta, en Indonésie, PT Astra Honda Motor (Il s’agit d’une coentreprise entre Honda et Astra International).
L’Italie a vu dernièrement les attaques de l’université de Pise et la commune de Palerme. C’est à nouveau un hôpital qui fait les frais du Ransomware-a-as-Service Vice Society. La cible est l’établissement Macedonio Melloni. Il est composé de 4 unités hospitalières, mentionne Red Hot Cyber. Elles sont l’hôpital pour enfants Vitture Buzzi, l’hôpital Fatebenefratelli et ophtalmique, l’hôpital Luigi Sacco — centre universitaire et l’hôpital Macedonio Melloni. En mai 2022, deux incidents informatiques touchaient des établissements en Lombardie.
Les informations diffusées sont des diagnostics des patients, cartes d’identité, données personnelles et contrats, formulaires d’évaluation des employés… (Crédits : capture d’écran)
Les données sont disposées avec un classement alphabétique. Des dossiers de patients mineurs, où des tranches de vie intimes sont accessibles alors qu’elles devraient rester dans les dossiers frappés du secret médical. Les informations affichées sont :
