Étiquette : ransomware

L’hôpital Aoyama, à Osaka victime d’un ransomware
Un hôpital japonais de Fujiidera a été frappé le 27 avril 2022 par une cyberattaque qui serait le résultat d’un ransomware. Le code malveillant informatique exige une rançon, et empêche les patients d » accéder a leurs dossiers médicaux (DME). L’établissement connu sous le nom d’Aoyama de la ville de Fujiidera, dans la préfecture d’Osaka, a vu un examen extérieur illégal et le personnel n’a pas pu consulter aux DME de dizaines de milliers de bénéficiaires stockés sur le serveur de l’hôpital.
Selon un entretien avec le département de police d’Osaka et l’hôpital, aucune fuite d’informations n’a été confirmée, ni démentie. Les services de l’ordre ont consulté l’hôpital dans le cadre de l’enquête sur les circonstances de cette attaque. Selon l’hôpital, les imprimantes ont commencé à fonctionner toutes en même temps avant l’aube du 23 avril 2022, et une grande quantité de papier avec du texte en anglais a été imprimée. Les mots anglais « pay » et « ransom », qui suggèrent un virus de type rançon, sont également affichés sur l’écran de l’ordinateur.
En réponse à cette situation, Shigeyuki Goto ministre de la Santé, du Travail et du Bien-être a révisé les directives relatives aux mesures de sécurité pour les établissements médicaux, qui citent les mesures contre les « ransomwares » comme un problème urgent. Ci-dessus, le quartier général de la police préfectorale d’Osaka. (Crédits : DR)
À l’hôpital, les soins tels que la médecine interne, la chirurgie et la radiologie sont effectués, et comme il y a 87 lits, « nous poursuivons actuellement les soins médicaux en utilisant des données préliminaires, mais le temps d’attente pour les patients externes sera plus long ». En 2018, certains dossiers médicaux n’ont pas pu être consultés à l’hôpital municipal de la ville d’Uda, préfecture de Nara. Le Japon est malheureusement coutumier du fait. L’année dernière, à l’hôpital municipal de la ville de Tsurugi, préfecture de Tokushima, les dossiers médicaux électroniques et les systèmes comptables cryptés, et nous avons cessé d’accepter de nouveaux patients pendant approximativement deux mois, sauf pour les maternités. En janvier 2022, les hôpitaux de la ville de Kasugai, préfecture d’Aichi, subissait des dommages sensiblement identique, avec l’impossibilité d’accéder à environ 50 000 dossiers en ligne.
avril 30, 2022
Conti copie les données du renseignement péruvien
La menace des ransomwares lorsqu’elle est mise à exécution fait fuiter de nombreuses données sur le Darknet. Il arrive qu’elle soit sensible, voire très sensible, pour différentes raisons. Le Costa Rica en fait l’amère expérience. « Il faut environ 2 ou 3 jours pour télécharger le reste des informations, après quoi […] Nous voulons le dire une fois de plus : nous travaillons exclusivement pour les $$$. Nous ne poursuivons pas d’autres objectifs. » Les opérateurs sont passés un cran au-dessus en attaquant la Direction générale du renseignement péruvienne.
Après avoir attaqué différentes organisations étatiques au Costa Rica, les opérateurs derrière Conti ont ajouté la Direction nationale du renseignement du Pérou à leur longue liste de victimes. Les assaillants affirment avoir volé des informations sensibles dans ses systèmes sans crypter les données. « Leur copie, un lien vers un chat secret dans le réseau TOR a été envoyé à cette adresse xxx, s’il vous plaît contactez-nous si vous ne voulez pas de telles conséquences qui se sont produites au Costa Rica […] Vous souffrirez très sérieusement si ces documents deviennent publics. La torture, l’intimidation et la surveillance, c’est ce qui fait la réputation du département du contre-espionnage. Presque tous les documents téléchargés sont classés secrets », affirment les opérateurs sur leur site de fuite.
Des documents PDF classifiés ont également été publiés sur le site comme preuve de l’exfiltration des données. (Crédits : capture d’écran)
Le quotidien El Financiero souligne que le site web du Ministère de la science, de l’innovation, de la technologie et des télécommunications (MICITT) a été modifié par Conti, en employant une plateforme obsolète par manque de ressources. Le ministère a assuré qu’il profitait de la situation pour en utiliser un nouveau afin de réhabiliter ses services en ligne. En plus de mettre en ligne chaque jour de nouveaux fichiers à télécharger (661,28 GB), les cybercriminels ont ajouté au fil des jours les noms d’autres agences gouvernementales du Costa Rica, divulguant ainsi les informations d’au moins cinq entités publiques, tels le ministère du Travail (MTSS), la caisse d’allocation familiale (FODESAF)…
Les ministères costariciens mettent tout en œuvre pour rétablir les systèmes d’information. « Au même titre que les entités dont les systèmes n’ont pas été mis à niveau et d’autres systèmes anciens qui n’ont pas été remplacés en raison de problèmes budgétaires. » (Crédits : capture d’écran)
avril 29, 2022
Ransomware: Lockbit attaque Rio de Janeiro
Le ransomware Lockbit 2.0 affiche une nouvelle victime à son tableau de chasse. Au Brésil les proies d’attaque informatique qu’elles soient par déni de service, phishing… sont légion. Dans la nuit du jeudi 9 au vendredi 10 décembre 2021, le site internet du ministère de la Santé brésilien a été victime d’un ransomware. Peu de temps avant, plus de 226 000 fichiers totalisants 10 GB de renseignements se retrouvaient sur la toile : prénom, nom, courriel, numéros de téléphone, genre, dates de naissance, adresses et codes postaux, numéros de CPF.
Le secrétariat d’État aux finances de Rio de Janeiro confirmait vendredi 22 avril 2022 qu’il était confronté à une offensive par codes malveillants de type ransomware sur ses systèmes d’information. « Dans une menace émise jeudi, l’attaquant demande de l’argent en échange de la non-divulgation de données prétendument volées aux ordinateurs de Sefaz. Ces informations représentent à peine 0,05 % des données détenues par le Secrétariat », selon la porte-parole. Ainsi le Ransomware-as-a-Service divulgue 420 Go de données en tout genre, photos, dossiers immobilier, numéros de série de pompes à eau, de moteur d’ascenseur…
La Banque Centrale du Brésil a été victime vendredi 13 août 2021 d’une infection par ransomware, c’était la seconde en l’espace de quelques mois. En novembre 2020, c’était la Cour Électorale Supérieure du Brésil qui était paralysée pendant plus de deux semaines par une attaque. (Crédits : capture d’écran)
Un représentant du secrétaire d’État aux finances de Rio de Janeiro a déclaré à The Record qu’après avoir été menacés par un cybercriminel qui a pénétré dans leurs réseaux, ils ont alerté le gendarme brésilien qui a pour charge de faire respecter la loi sur les crimes numériques. La cité attire les malfaiteurs, car elle est l’un des cœurs financiers de l’Amérique du Sud, son économie se classant au 30^e rang des villes du monde en termes de PIB. Elle a exporté pour 32,5 milliards de dollars de marchandises en 2021.
avril 28, 2022
L’université américaine de Stratford attaquée
La ville de Stratford avait subi une attaque informatique, quasiment trois années jour pour jour. Les premiers problèmes survenaient le 14 avril 2019. La ville américaine avait choisi de payer 75 091 $ pour mettre fin à une récente cyberattaque. Cette fois c’est l’université qui vient d’être visée par le Ransomware Revil. Ils affirment détenir environ 60 Go de fichiers, passeports, rapports financiers et de nombreuses informations sur le personnel de l’établissement…
La municipalité avait cédé devant les exigences de l’opérateur, trois jours après avoir été infecté. L’attaquant avait installé un logiciel malveillant sur six des serveurs physiques de la ville ainsi que sur deux de ses serveurs virtuels, puis avait crypté tous les systèmes afin que les membres du personnel ne puissent accéder à aucune donnée. Il réclamait un total de 10 bitcoins qui, à l’époque, étaient évalués à 7 509,13 dollars chacun. Quelques jours plus tard, le 25 avril, les clés de décryptage ont été reçues de l’attaquant, aucune donnée n’avait été compromise assurait les autorités.
Les opérateurs derrière le ransomware Revil postent sur le site de fuite environ 60 Go. Sur la première partie se trouve l’accès aux budgets, finance, comptabilité confidentielle, des lettres de créance… (Crédits : Capture d’écran)
avril 25, 2022
Les centres hospitaliers du GHT victimes d’une cyberattaque
Le Groupement Hospitalier de Territoire (GHT) Cœur Grand Est subit une attaque informatique. Il comprend 9 établissements, 287 000 habitants, 12 pôles territoriaux, et 450 millions d’euros de budget consolidés. Les GHT ont été créés par la loi de modernisation du système de santé en 2016. La cyberattaque découverte ce mardi 19 avril 2022 touche l’ensemble des établissements. Une rançon de 1,3 million de dollars américains est demandée, par le groupe d’opérateurs américains Spy industrial.
Ce nouveau groupe de malfaiteurs réclame 1,3 million de dollars américains au groupe hospitalier s’il ne souhaite pas voir les fichiers volés diffusés sur Internet. De plus, ils ne réclament pas l’argent directement aux sociétés victimes de leurs actes malveillants, mais propose de vendre le butin du vol à tout un chacun, pour tout savoir sur leurs adversaires commerciaux.
Avant tout les victimes représentent 3 370 lits et places d’hospitalisation, 5 831 agents, 287 000 habitants sur le territoire du Groupe Hospitalier Cœur Grand Est. Au sein du GHT, les centres hospitaliers de Verdun Saint-Mihiel (établissement support qui a le rôle de « pilote »), de Bar-le-Duc, de Haute-Marne, de Saint-Dizier, de Vitry-le-François, de Montier-en-Der, de Wassy, de Joinville et le Centre Hospitalier Spécialisé de Fains-Véel. Si la prise en charge des patients n’a pas été affectée, des données administratives ont été volées, indiquait le groupement sur France-Bleu.
Au total 28,7 GB d’informations sensibles tels numéros de sécurité sociale, coordonnées bancaires… ou encore, dossiers médicaux. L’entreprise touchée par l’offensive informatique, n’est pas maître de son destin. Puisqu’ils ne demandent par de rançon aux victimes, mais s’adressent aux potentiels acheteurs… (Crédits : capture d’écran)
« La cellule de cyberveille du ministère de la Santé, l’ARS Grand Est et les services de police spécialisés sont en soutien du GHT Cœur Grand Est ». Une plainte va être déposée. Le Service Veille ZATAZ a pu constater dans les propos des pirates plusieurs faits inquiétants. « Ils expliquent permettre aux “concurrents” de tout savoir, et le cas échéant, de couler/ruiner la victime », explique Damien Bancal.
« Grâce à nos informations, vous pouvez refuser de vous associer à un partenaire sans scrupules, révéler les secrets de vos concurrents et de vos ennemis et gagner des millions de dollars en utilisant des informations privilégiées », revendique Industrial Spy. Ils affichent également une citation qui serait de Nathan Mayer Rothschild : « Celui qui possède l’information, possède le monde ».
Il existe trois types de vente sur le site d’Industrial Spy. Le Premium, accessible sept jours, avant, s’il n’est pas acheté, déplacé dans la section général. Mis à un prix bas et plus accessible. La dernière étape est dans le domaine libre, diffuser gratuitement sans être effacée des bases de données du site de fuite. (Crédits : capture d’écran)
Sur leur site de fuite sur le Darknet, il explique que « vous pouvez y acheter ou télécharger gratuitement des données privées et compromettantes de vos concurrents. Nous publions des plans, des dessins, des technologies, des secrets politiques et militaires, des rapports comptables et des bases de données de clients. Toutes ces données ont été recueillies auprès des plus grands sociétés, conglomérats et entreprises du monde entier, quelle que soit leur activité. Nous recueillons des données en utilisant la vulnérabilité de leur infrastructure informatique. »
avril 22, 2022
L’entreprise Dedalus condamnée à 1,5 million d’euros d’amende
Une fuite de données médicales qui avait fait grand bruit dans la presse et les chaumières. Le 23 février 2021, une divulgation d’informations massive concernant près de 500 000 personnes a été révélée dans les médias, qui mettait en cause la société Dedalus. La CNIL avait annoncé dès le lendemain mercredi 24 février 2021 qu’elle avait lancé une enquête pour savoir si les établissements (dont les données ont été volées) ont manqué à leurs obligations. Elle vient d’aboutir à la délibération le 15 avril 2022 à 1,5 million d’euros d’amende.
Une sanction qui ramène le sujet peu abordé lors du débat de l’entre-deux tours de l’élection présidentielle entre Marine Le Pen (RN) et Emmanuel Macron (LaREM) candidat à sa succession, de la sécurité réelle de nos données. Le règlement général de protections des données (RGPD), en plus de prodiguer des consignes de sécurisation des données, impose aux entreprises ayant subi une violation de leurs données de le signaler. Or la Commission nationale informatique et libertés (CNIL) déclarait ne pas en avoir été avertie. Plus inquiétant, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) avait communiqué mercredi 24 février 2021, avoir identifié l’origine de cette fuite de données dès le mois de novembre 2020, et prévenu le ministre des Solidarités et de la Santé, Olivier Véran.
Une année après la fuite, c’est 510 000 Françaises et Français qui sont à nouveau impactés par le même type d’incident informatique. Cette fois issue directement l’Assurance Maladie. Elle adressait une notification à la CNIL le 16 mars 2022 et déposait une plainte au pénal. (Crédits : capture d’écran)
Lesdites informations étaient les nom, prénom, numéro de sécurité sociale, nom du médecin prescripteur, date de l’examen, mais pas seulement. Plus dommageables pour les personnes elles-mêmes, des informations médicales à savoir si les patients sont atteints par le VIH, cancer, maladies génétiques, en situation de grossesses, les traitements médicamenteux suivis par le patient, ou encore des données génétiques ont ainsi été diffusées sur internet.
De nombreux manquements techniques et organisationnels en matière de sécurité ont été retenus à l’encontre de la société Dedalus Biologie dans le cadre des opérations de migration du logiciel vers un autre :
- absence de procédure spécifique pour les opérations de migration de données
- absence de chiffrement des données personnelles stockées sur le serveur problématique
- absence d’effacement automatique des données après migration vers l’autre logiciel
- absence d’authentification requise depuis internet pour accéder à la zone publique du serveur
- utilisation de comptes utilisateurs partagés entre plusieurs salariés sur la zone privée du serveur
- absence de procédure de supervision et de remontée d’alertes de sécurité sur le serveur
« Cette absence de mesures de sécurité satisfaisantes est l’une des causes de la violation de données qui a compromis les données médico-administratives de près de 500 000 personnes. Un manquement à l’obligation d’encadrer par un acte juridique formalisé les traitements effectués pour le compte du responsable de traitement (article 28 du RGPD) », martèle la CNIL. Les articles 29 et 32 font également partie des manquements. Quand les opérateurs utilisant les Ransomware-a-as-Service attaquent des entreprises, tel Conti avec la cyberattaque subie par le Costa Rica, il faut souhaiter que l’exemple de Dedalus servent aux entités privées et publiques pour protégé, à défaut de retarder voire décourager les opérateurs malveillants de voler vos données comme les miennes.
avril 21, 2022
Ransomware: le Costa Rica dans la tourmente
Depuis maintenant quelques jours, les opérateurs derrière le ransomware Conti affichent des menaces si la rançon de 10 millions de dollars américains n’est pas réglée. « Nous avons téléchargé 1 TB des bases de données de votre portail […] ainsi que des documents internes, nous commencerons à publier ces données le 23 avril ». Le ministère des Finances publiques infiltré et crypté… le scénario du Costa Rica est une version bêta d’une cyberattaque mondiale contre un pays entier, revendiquent-ils.
Les instances gouvernementales costariciennes sont confrontées à une cyberattaque depuis le dimanche 17 avril 2022. Elle affecte le ministère des Finances, touchant l’outil de déclaration des impôts, de leur règlement et la plateforme de paiement des salaires des fonctionnaires. « Au cours des dernières heures, l’exposition de certaines des données appartenant à la Direction générale des douanes a été détectée, qui est en train de réaliser les processus d’investigation de l’information, comme établi dans le plan de réponse. Les données identifiées jusqu’à présent sont de nature historique et sont utilisées par le Service national des douanes. »
Le numéro d’identification, prénom, nom, adresse, coordonnées GPS, profession, courriel… sont des renseignements à la disposition des opérateurs usants de Conti. Ils menacent de révéler 1 TB d’informations. (Crédits : capture d’écran)
Si ces hackers publient des indications sensibles sur les contribuables, les criminels costariciens pourraient en profiter pour commettre d’autres délits dans le pays, prévient l’expert. « Nous avons pénétré leur infrastructure critique, obtenu l’accès à environ 800 serveurs, pompé environ 900 Go de bases de données et environ 100 Go de documents internes, bases de données au format MSSQL, mdf, ndf », expliquent les cybercriminels.
La rançon exigée pour ne pas divulguer les informations est de 10 millions de dollars, mais s’il n’y a pas de versement, les autorités doivent être conscientes que les données et les informations obtenues par les pirates seront en danger. Ce matin, 21 avril 2022 plus de 15 GB de données compressées sont disponibles. (Crédits : capture d’écran)
Le site web du ministère des Sciences, des technologies et des télécommunications a également été infecté. Ils ont mis à disposition 736 Mo de fichier EML, qui sont des courriels en données brutes, accessibles par un éditeur de texte. « Le pays ne peut pas s’exposer à payer de l’argent aux criminels, car il sera considéré comme un territoire vulnérable et exploitable pour d’autres organisations criminelles sur Internet », explique Adalid Medrano, avocat spécialisé dans le droit informatique et formateur en cybercriminalité.
avril 21, 2022
Ransomware: cyberattaques de société italienne
Si le calme du printemps apaise les tensions, sur la toile il n’y a pas de saisons. Les offensives informatiques ne s’arrêtent pas. Au sein de l’Italie, de multiples infections font étalage de données variées et diverses. Ainsi après celle perpétrée chez le groupe Ferrovie dello Stato, le ransomware Hive ayant infiltré l’infrastructure informatique de la grande entreprise italienne. Sans oublier la maison Armani et aujourd’hui 19 avril 2022, les renseignements de Martinelli Ginetto par le ransomware Conti.
Le transport italien et les informations de ses passagers semblent intéresser de nombreux opérateurs. Le 23 mars 2022, un incident informatique avait lieu. Les pirates auraient d’abord introduit un cryptolocker dans les systèmes pour bloquer des données, puis ont exigé une rançon de 5 millions de dollars pour les déchiffrer, obligeant la société à « suspendre la vente de billets dans les gares de toute l’Italie ». Précaution afin d’éviter d’autres risques de compromission qui pourraient mettre en crise d’autres systèmes informatiques, y compris ceux qui gèrent l’infrastructure. Une somme demandée sous un délai de trois jours faute de quoi elle doublait.
Capture d’écran de la discussion entre des individus et les opérateurs du ransomware Hive. « On ne sait pas qui a pris contact avec le cybergang […] puisque les identifiants pour accéder au backend ont été divulgués en ligne sur Twitch », souligne Redhotcyber. (Crédits : RHC)
Redhotcyber révèle que l’entreprise publique, équivalente à la SNCF en France, Ferrovie dello Stato adressait elle-même un message pour les usagers de Trenitalia : « Bonjour, en raison de problèmes de sécurité du réseau de l’entreprise, veuillez éteindre les ordinateurs même s’ils sont présents en mode de travail intelligent. Merci. »
Il semblerait que les cybercriminels auraient pénétré les infrastructures du groupe, à minima deux semaines auparavant, soulève Redhotcyber, mais le ransomware aurait été activé dans la nuit du 23 mars 2022. « Depuis ce matin, des éléments pouvant être liés à une infection par cryptolocker ont été détectés sur le réseau informatique de l’entreprise. Les activités de vérification sur le réseau sont en cours. Par mesure de précaution, certains utilisateurs des systèmes de vente physique de Trenitalia ont été désactivés. Par conséquent, il est temporairement impossible d’acheter des billets aux guichets et aux stations en libre-service, tandis que la vente en ligne est opérationnelle », communiquait la société.
La création textile touchée
Le 16 avril 2022, « il semble que la célèbre société de mode italienne Armani ait également été visée par les cybercriminels. L’attaque a été confirmée par la maison de mode milanaise », souligne Redhotcyber. Les systèmes d’information ont été placés hors d’usage par des cybercriminels mettant hors service certaines usines. Les spécialistes mandatés par la maison de couture auraient été occupés à repousser la menace, bien que limitée, qui a effectivement bloqué les systèmes informatiques du siège de Milan. Les usines de Mattarello-Trento et l’usine Antinea de Trissino, dans la vallée d’Agno, située dans la province de Vicence, ont rapidement repris leurs activités.
De nombreuses indications telles les taxes, photos de l’intérieur de certains lieux, des plans, des photocopies de pièces d’identité sont publiés. (Crédits : capture d’écran)
Le groupe de fabrication Martinelli Ginetto couvre la chaîne d’approvisionnement en textiles de maison haut de gamme et occupe une position de premier ordre au niveau mondial a été touché par le ransomware de Conti le 11 avril, et les opérateurs révèlent sur le site de fuite le 19 avril 2022 plus de 22 GB de données compressées. Le fichier Balazs contient 260 Mo d’informations et Pubblica Scan 163 Mo. Le dernier dispose de pièces d’identité, de factures dans douze dossiers différents classés par prénom. L’autre exemple affiche des plans de diverses usines, de photos, de cartes grises…
avril 19, 2022
L’attaque à Rideau Hall était sophistiquée
Rideau Hall est la résidence officielle du monarque et du gouverneur général du Canada, située au 1, promenade Sussex à Ottawa. Dans un communiqué de presse publié le 2 décembre 2021, le bureau du secrétaire général dévoilait qu’il y avait eu un accès non autorisé à son réseau interne. En vertu de la Loi sur l’accès à l’information, des courriels internes du gouvernement obtenus par la presse canadienne indiquent que les fonctionnaires étaient « incapables de confirmer l’étendue complète de l’information qui a été consultée ».
Des documents récemment divulgués révèlent que l’attaque informatique d’un réseau informatique interne à Rideau Hall a été décrite par des fonctionnaires comme un « cyberincident sophistiqué » dans les jours qui ont précédé l’annonce de la faille de sécurité au public, relate la CBC. Tous les gestionnaires ont été incités « à réfléchir sur les renseignements gérés par leur unité respective » et à soulever leurs inquiétudes, selon l’ébauche du texte rédigé le 17 novembre 2021 qui devait être transmis aux employés.
« C’est si complexe, nous ne pouvons pas individuellement rendre les organisations imputables, dit Mme Bernier. L’amplitude de ces failles informatiques et leurs conséquences sont telles que nous avons besoin d’un contrôle assez puissant pour rendre imputables toutes les organisations détenant des données personnelles. » (Crédits : DR)
Le 2 décembre 2021, « le Bureau du secrétaire du gouverneur général (BSGG) a été informé d’un accès non autorisé à son réseau interne. Le BSGG a immédiatement pris des mesures pour renforcer son réseau et collabore actuellement avec le Centre canadien pour la cybersécurité dans le cadre de l’enquête en cours », communiquait Rideau Hall.
En France, Sadeco, Collège Ostéopathique de Bordeaux, Département de l’Ardèche… voient leurs données volées publiées sur les sites de fuites. Le ministère des Finances du Costa Rica vient de subir une attaque informatique de la part de Conti, qui diffusera 1 TB de données dès le 23 avril 2022 annonce les opérateurs. (Crédits : capture d’écran)
Ciara Trudeau, porte-parole du Bureau du secrétaire, affirmait qu’un échange avait eu lieu avec les employés de Rideau Hall et « les partenaires externes qui ont pu être touchés par l’incident ». Elle a refusé de fournir plus de détails, tout comme Evan Koronewski, porte-parole du Centre de la sécurité des télécommunications (CST), qui souligne que l’agence ne peut pas donner des précisions sur la cyberattaque. « Bien que l’enquête visant à déterminer la nature et la portée de l’intrusion soit toujours en cours, le BSGG poursuit son travail avec les experts et prendra d’autres mesures pour renforcer son réseau au besoin. Il a également communiqué avec le Commissariat à la protection de la vie privée à la suite de l’incident. » Le piratage des banques de données est devenu de plus en plus attrayant pour les cybercriminels, a répondu Chantal Bernier, ancienne commissaire à la protection de la vie privée du Canada par intérim. « C’est sans risque, très bon marché et très rentable, a-t-elle déclaré dans une interview. Malheureusement, il y a aussi beaucoup de piratage soutenu par l’État ».
avril 17, 2022
RaidForums n’est plus
Pour la majeure partie des personnes naviguant sur l’Internet, ce forum n’évoquera rien du tout. Il était un marché très fréquenté par les cybercriminels pour l’achat et la vente de données exfiltrées lors d’attaques informatiques. Les États-Unis ont lancé des poursuites pénales contre le présumé fondateur et administrateur en chef de « RaidForums », Diogo Santos Coelho, âgé de 21 ans. Ce dernier a été arrêté au Royaume-Uni le 31 janvier, à la demande des États-Unis. Il est depuis en détention en attendant la résolution de sa procédure d’extradition.
Révélé par Europol le 12 avril 2022, le marché en ligne « RaidForums » a été fermé, son infrastructure saisie dans le cadre de l’opération « TOURNIQUET ». Elle était coordonnée par Europol pour soutenir des enquêtes indépendantes aux États-Unis, au Royaume-Uni, en Suède, au Portugal et en Roumanie. L’administrateur du forum et deux de ses complices ont été arrêtés. « Un acte d’accusation n’est qu’une simple allégation, et tous les accusés sont présumés innocents jusqu’à ce que leur culpabilité soit prouvée au-delà d’un doute raisonnable dans un tribunal », dans l’acte d’accusation, Jessica Diane Aber procureur du District Est de la Virginie, aux États-Unis. « Nos efforts interagences pour démanteler cette plateforme en ligne sophistiquée — qui facilitait un large éventail d’activités criminelles — devraient soulager les millions de personnes qui en ont été victimes et servir d’avertissement aux cybercriminels qui ont participé à ce type d’activités néfastes, a déclaré Jessica D. Aber. L’anonymat en ligne n’a pas pu protéger le défendeur dans cette affaire de poursuites, et il ne protégera pas non plus les autres criminels en ligne. »
La saisie de RaidForums va perturber les nombreux membres, qui utilisaient cet espace pour proposer à la vente des bases de données piratées contenant des informations privées et financières, ainsi que pour organiser différentes actions, et des attaques de type « swatting » contre n’importe qui pour lui nuire.
Lancé en 2015, RaidForums était considéré comme l’un des plus grands forums de piratage au monde avec une communauté de plus de 750 000 usagers. Cette place de marché s’était fait connaître en vendant l’accès à des fuites de bases de données très médiatisées appartenant à un certain nombre de sociétés américaines de différents secteurs. Ces bases de données contenaient des informations sur des millions de cartes de crédit, des numéros de comptes bancaires et des informations d’acheminement, ainsi que les noms d’utilisateur et les mots de passe associés nécessaires pour accéder aux comptes en ligne.
L’expression « dormir sur ses deux oreilles » ne doit plus rien évoquer, auprès de ceux qui ont eu recours RaidForums à des fins criminelles… En février 2021, les données médicales de 500 000 français étaient notamment à vendre sur RaidForums, après le piratage de plusieurs laboratoires d’analyses médicales. (Crédits : DR)
Coelho a été inculpé de six chefs d’accusation pour conspiration, fraude de dispositif d’accès et vol d’identité aggravé. Il aurait aussi proposé un service payant d’« intermédiaire » consistant à assister personnellement aux transactions entre l’individu souhaitant commercialiser une base de données piratée et celle désirant l’acheter. Si l’administrateur présumé Diogo Santos Coelho a été arrêté fin janvier, maintenu en détention préventive au Royaume-Uni et que les autorités ne rendent publique la fermeture de RaidForums que maintenant, il est fort probable qu’ils ont à leur tour fait un tour de marché pour voir, aussi bien les marchandises pour les chalands et les vendeurs, recueillant de nombreuses et précieuses informations.
avril 14, 2022