La société américaine à but non lucratif, OKCIC est victime du ransomware Suncrypt. Elle se consacre à la fourniture de soins de santé pour les personnes qui ont souvent du mal à les obtenir, tant culturellement qu’en raison de l’absence d’assurance, du manque de prestataires dans certaines régions et de l’engorgement des salles d’urgence. De plus que ce soit le renouvellement des médicaments ou les services de vente par correspondance sont indisponible pour une durée inconnue.
La Clinique amérindienne d’Oklahoma City qui évoquait des « problèmes technologiques » a subi une infection de type ransomware. Suncrypt affirme avoir acquis plus de 350 Go de fichiers, notamment des bases de données de dossiers médicaux électroniques et des documents financiers. Les opérateurs proposent sur leur site de fuite 27 Mo compressés de preuves, soit 232,5 Mo au total.
L’Oklahoma City Indian Clinic (OKCIC) prend en charge 20 000 patients issus de plus de 200 tribus amérindiennes. Une indication sur leur site Web et leur compte Twitter s’excuse actuellement des problèmes technologiques rencontrés par les utilisateurs. (Crédits : capture d’écran)
La cyberattaque des opérateurs derrière le ransomwareSuncrypt contre OKCIC « contredit directement une déclaration qu’ils ont faite à ce site en septembre 2020 et que ce site a rapporté à l’époque ». Après avoir initialement attaqué un organisme médical, « ils avaient retiré l’entité de leur site de fuite et déclaré à DataBreaches.net qu’ils avaient soigneusement évité de verrouiller les systèmes de survie ou d’interférer avec les opérations hospitalières. »
ATTENTION PATIENTS: Due to the technological issues, the automatic refill line and mail order services will be down for an indeterminate amount of time. If you are needing refills, please call the pharmacy at (405) 595-3100. If available, please bring your prescription vials. pic.twitter.com/wBT63pgLTw
Plus d’un demi-million de Françaises et Français affectées. Après la divulgation détectée en Bretagne, il y a quelques mois de cela, c’est encore une fois une fuite des données de santé qui potentiellement se retrouve sur la toile. Le secteur de la santé reste une cible de choix pour les cybercriminels, à l’instar de Lapsus$ et l’attaque du ministère de la Santé brésilienne, en 2021. Hasard du calendrier, quand en France, le gouvernement vient de lancer sa campagne pour « Monespacesanté », et que les premiers mails et courriers parviennent aux assurés de l’hexagone.
L’organisme annonce dans un communiqué avoir détecté une fuite de données affectant 510 000 de ses affiliés. Elle spécifie également que parmi les données dérobées se trouvaient « des données d’identités (nom, prénom, date de naissance, sexe) ainsi que des données relatives aux droits (déclaration d’un médecin traitant, attribution de la complémentaire santé solidaire ou de l’aide médicale d’État, éventuelle prise en charge à 100 %) ».
En l’état des investigations, qui se poursuivent, 510 000 assurés sont concernés par cette fuite de données. Ceux-ci seront informés individuellement de cet incident et sensibilisés au risque accru d’hameçonnage dont ils pourraient faire l’objet. (Crédits : capture d’écran/Assurance maladie)
L’Assurance Maladie précise avoir détecté le phénomène aux alentours du 11 mars 2022, et explique que les adresses IP utilisées pour réaliser cette collecte d’informations ont été immédiatement bannies et les comptes compromis réinitialisés. Il ressort des premières analyses que les opérateurs ont pu se connecter à 19 comptes de professionnels de santé dont les adresses e-mail avaient été compromises. Elle indique que les personnes concernées par cette fuite de données seront prévenues individuellement et « sensibilisées au risque accru d’hameçonnage dont ils pourraient faire l’objet ». L’Assurance Maladie a adressé une notification à la CNIL le 16 mars 2022 et dépose ce jour une plainte pénale.
Mon espace Santé
Hasard du calendrier, les premier courriels concernant « Mon espace santé » sont arrivés sur les boites mail cette semaine, en fonction de l’échéancier préétabli. Il contient « un Dossier médical partagé (DMP), ou espace de stockage et de partage d’informations médicales, une messagerie sécurisée, un agenda ainsi qu’un catalogue de services numériques de santé. » Selon le Ségur du numérique en santé, son ambition affichée est de « généraliser le partage fluide et sécurisé de données de santé entre professionnels et usagers pour mieux soigner et accompagner. » À l’instant même où des comptes de professionnels de santé viennent d’être « piratés ». Sera-t-il protégé à 100 % ? Rien de plus simple, la réponse est non. Je suis catégorique, car, je me suis amusée à effectuer le MOOC l’ANSSI. Vous y trouverez l’ensemble des informations pour « vous initier à la cybersécurité, approfondir vos connaissances, et ainsi agir efficacement sur la protection de vos outils numériques. Ce dispositif est accessible gratuitement. Le suivi intégral de ce dispositif vous fera bénéficier d’une attestation de réussite. » Il n’a pas vocation à déterminer votre choix sur « Mon espace santé », mais de voir plus clair sur ce qu’est l’Internet.
La fuite ne concernerait pas « les coordonnées de contact (e-mail, adresse, téléphone) et coordonnées bancaires, ainsi que les données relatives aux éventuelles pathologies/maladies et à la consommation de soins, ne sont pas concernées », assure l’organisme. (Crédits : capture d’écran/Assurance Maladie)
Deux points de vue vont alors s’affronter. Le premier est l’individu ultra connecté, qui ne peut pas faire un pas sans son ordiphone, ou smartphone. « Plus besoin de s’embêter à tout apporter à chaque visite médicale. Quand on a des enfants, c’est pratique. Dès que c’est opérationnel, je le ferais », explique une personne interrogée. De l’autre, des voix, comme la Quadrature du Net s’alarme. « Nous avons passé en revue les fonctionnalités de Mon Espace Santé et force est de constater qu’elles présentent des insuffisances alarmantes en matière de respect du consentement et de gestion des données de santé. » Vous avez le choix d’accepter la création, ou de vous y opposer. À défaut de choix, votre espace sera crée automatiquement. Si vous faites machine arrière, et que vous souhaitiez clôturer votre espace santé « vos données seront conservées 10 ans. Vous pouvez demander la suppression de toutes vos données, de celles de votre enfant ou de la personne majeure dont vous assurez la représentation lors de la clôture de Mon espace santé. » Votre choix sera le bon, car il est celui qui vous convient le plus.
Une société espagnole est la cible du ransomwareConti. Le 26 mars 2022, les opérateurs ont diffusé une partie non négligeable de données, soit 31,96 GB compressés. OCAGlobal est un groupe d’entreprises privées, dont le siège est en Espagne, qui se consacre aux activités d’inspection, de contrôle de la qualité, de certification, d’essais, de conseil et de formation. La multinationale ibérique offre ses services dans plus de 60 pays à travers le monde.
La compagnie emploie actuellement plus de 3 000 personnes dans des bureaux répartis dans plusieurs États à savoir l’Espagne, Andorre, Chili, Pérou, Mexique, Colombie, Bolivie, Maroc, Égypte, Afrique du Sud, Émirats, ArabieSaoudite, Inde, Portugal et Ukraine. Les renseignements en ligne, tel le document intitulé Madrid compressé exhibe 245 MB pour en fait délivrer 1,4 GB. L’archive contient des données de contrats anciens et de l’année 2022. Ces derniers affichent les coordonnées bancaires, adresse, lieu de l’entreprise, le nombre d’employés, l’activité… La direction de la qualité fournit dans le fichier de 188,18 MB les numéros de clients, leurs adresses, mais surtout ceux qui sont conformes à la législation suite aux différents contrôles, et ceux qui ne le sont pas.
La divulgation est régulièrement la conséquence d’un refus de paiement de la rançon exigée. L’entreprise AON s’était résolu à payer 40 millions de dollars. (Crédits : capture d’écran)
OCAGlobal compte huit divisions commerciales mondiales : Inspection statutaire, contrôle de la qualité et assistance technique, essais, inspection maritime et des marchandises, certification, conseil et avis technique, formation et inspection technique des véhicules. D’autant plus de domaines qui intéressent les cybercriminels à divers titres.
Le 24 mars 2022, la police de Londres révèle avoir récemment arrêté sept personnes liées à une organisation d’opérateurs malveillants. L’inspecteur-détective Michael O’Sullivan de la police de la ville de Londres a déclaré que sept individus âgés de 16 à 21 ans avaient été interpelés dans le cadre d’une investigation sur un groupe de piratage. Tous ont depuis été libérés, a affirmé O’Sullivan, ajoutant que l’enquête était en cours. Un jeune homme de 16 ans, connu en ligne sous le pseudonyme de « White », a été accusé d’être l’un des chefs du gang Lapsus$ par la police londonienne.
L’adolescent qui vit avec sa mère à Oxford soupçonné d’appartenir à Lapsus$ et d’en être l’un des leaders. Les forces de l’ordre de Londres n’ont pas voulu dire s’il en faisait partie du groupuscule. L’ado qui d’après la BBC aurait amassé une fortune de 14 millions de dollars (12,73 millions d’Euros) a été « doxxé » par des opérateurs rivaux. Reconnue en ligne comme « White » ou « Breachbase », serait à l’origine de la prolifique équipe de pirates Lapsus$, qui selon les informations serait basée en Amérique du Sud.
L’adolescent, qui ne peut être nommé pour des raisons évidentes et juridiques, fréquente une école spécialisée à Oxford. L’enfant qui est autiste passait beaucoup de temps sur les ordinateurs, son père imaginait « qu’il jouait à des jeux ». (Crédits : TheOtherKev/Pixabay)
« Je n’avais jamais entendu parler de tout cela jusqu’à récemment. Il n’a jamais parlé d’un quelconque piratage, mais il est très bon en informatique et passe beaucoup de temps sur l’ordinateur », s’étonnait le père du garçon au micro de la BBC. La compagnie récente s’est illustrée sur les infections de NVidia, Okta, Microsoft, Samsung, mais auparavant le ministère de la Santé brésilienne et la société de presse Impresa, également au Brésil. « Nous avons son nom depuis le milieu de l’année dernière et nous l’avons identifié avant le doxxing », a déclaré AllisonNixon, responsable de la recherche à la société d’investigation en cybersécurité Unit 221B.
300 Bitcoins amassés
Les individus qui l’ont dénoncé ont également révélé son nom, adresse et ses photos sur les réseaux sociaux. Ils ont encore publié une biographie de sa carrière de pirate, en disant : « Après quelques années, sa valeur nette s’est accumulée pour dépasser largement les 300 Bitcoins… il est maintenant affilié à un groupe de ransomware connu sous le nom de Lapsus$, qui a extorqué et piraté plusieurs organisations. »
Mme Nixon affirme que les chercheurs l’ont suivi à la trace grâce à un flux d’activité lié à un flux presque ininterrompu des comptes en ligne du garçon. Elle assure que la piste a été suivie grâce aux erreurs commises par l’adolescent, qui n’a pas su couvrir ses traces. (Crédits : Kevin Snyman/Pixabay)
Lapsus$ existe depuis peu, mais c’était rapidement créée une réputation sulfureuse. Cette compagnie est l’une des bandes d’opérateurs informatiques les plus connues et les plus redoutées, après avoir réussi à pénétrer dans de grandes entreprises comme Microsoft, et s’en être vanté en ligne. Un péché d’orgueil ? « Unit 221B travaillant avec Palo Alto après avoir identifié l’acteur, l’a surveillé sur ses exploits tout au long de l’année 2021, envoyant périodiquement aux forces de l’ordre un avis sur les derniers crimes. »
LockBit vient de publier, le jeudi 24 mars 2022 une première partie des données du ministère des Finances et du Budget de la République du Congo. Coutumiers du fait, ils avaient affiché des informations du groupe français J. Richard, comme celles du cabinet d’avocats caennais. Ils promettent, sans aucune action de la part des sociétés, soit payer une rançon à travers le monde, de divulguer tous les renseignements en leur possession. Dans le mur de leurs exactions, l’entreprise Avidoc est désormais placardée avec un décompte de moins de six jours et onze heures.
Le continent africain est touché comme tous les autres par les menaces cyber. Le Ransomware-as-a-Service (RaaS) LockBit 2.0 est redoutable et prolifique d’attaque. Sur le site de fuite, les opérateurs disséminent ainsi des informations, plus ou moins importantes, de la procédure, des rapports à imprimer jusqu’au budget 2022, et des documents confidentiels de la banque des États de l’Afrique centrale, dont Rigobert Roger Andely ministre des Finances et du Budget de la République du Congo, fut le vice-gouverneur. Si certains affichent une date récente de l’année en cours, la plupart sont des fichiers des années précédentes.
Le rapport d’Interpol sur l’évaluation 2021 des cybermenaces en Afrique est sans appel. « La menace des rançongiciels se répand sur le continent africain. Au cours de la seule année 2020, plus de 61 % des entreprises de la région auraient subi des attaques par rançongiciel. »
En France, après le cabinet d’avocats caennais, c’est la société Avidoc établie dans le Languedoc-Roussillon à Vendres qui est cyberattaquée par le ransomwareLockBit 2.0. La compagnie vend des produits surgelés pour les professionnels. (Crédits : capture d’écran)
African Manager publie ce jeudi 24 mars 2022 un article pour prévenir contre une nouvelle variante du RaaS en Afrique. Elle touche aussi bien les machines sous Windows ainsi que celle sous Linux. « Baptisé AvosLocker, ce malware se propage en exploitant les vulnérabilités ProxyShell de Microsoft Exchange : CVE-2021-34473, CVE-2021-31206, CVE-2021-34523 et CVE-2021-31207 », met en garde l’Agence nationale de la sécurité informatique (ANSI). D’autant que Microsoft est une des dernières victimes du groupe Lapsus$.
Le groupe aurait fait son apparition au mois de décembre 2021. Ils ont commencé par cibler principalement des victimes de langue portugaise, telles que l’entreprise de médias Impresa et aussi le ministère de la Santé du Brésil. Mais il s’est fait remarquer par le vol de données chez de grandes compagnies que sont Nvidia, Samsung, Ubisoft, ou encore Microsoft. Dernier en date, Okta. L’entreprise a nié avoir été compromis et enquête sur les revendications d’une violation de données supposée.
Comme l’organisation de Ransomware-as-a-Service, LockBit 2.0, le groupe #Lapsus$ est prolifique. Il semble cependant se concentrer exclusivement sur le vol de données et l’extorsion. Okta Inc, dont les services d’authentification sont exploités par de nombreuses sociétés telles Fedex Corp, Moody’s Corp, Ymeris, Engie, Unify… pour donner accès à leurs réseaux, a déclaré mardi 22 mars 2022 qu’elle avait été attaquée par des « pirates informatiques » et que certains clients avaient pu être affectés.
En février 2022, Lapsus$ a volé 1 To de données à Nvidia, notamment des renseignements sensibles, du code source, des noms d’utilisateur et des mots de passe. Quelques jours plus tard, ils ont annoncé avoir volé 190 gigaoctets à Samsung, des informations sur le système d’authentification biométrique du smartphone Galaxy. (Crédits : capture d’écran)
Mardi 22 mars 2022, à 4 h 9, Lapsus$ revendiquait sur son canal Telegram, une cyberattaque contre Okta. Dans son message, le groupe précise ne pas avoir accédé à des bases de données de l’éditeur ni en avoir subtilisé, leur « intérêt s’est uniquement porté sur les clients d’Okta ». La firme américaine a publié sur son site Web qu’une « tentative infructueuse de compromission du compte d’un ingénieur de support client travaillant pour un prestataire tiers » s’était produite. Mais assure qu’il n’y a pas eu de brèche, que ses services « restent pleinement opérationnels », sans qu’aucune action corrective ne soit nécessaire du côté de ses clients. « Pour un service qui alimente les systèmes d’authentification de nombreuses grandes entreprises (et approuvé par FEDRAMP), je pense que ces mesures de sécurité sont plutôt médiocres […] », revendiquait Lapsus$.
Le 10 mars 2022, Ubisoft a publié une déclaration confirmant qu’elle avait subi une violation de ses systèmes. Quant à la firme américaine, elle indique « poursuivre l’investigation », notamment pour « identifier et contacter les clients qui pourraient avoir été contactés ». (Crédits : capture d’écran)
L’ampleur du méfait n’est pas connue, mais un piratage d’Okta pourrait avoir des conséquences majeures. En effet des milliers d’entreprises comptent sur cette société pour gérer l’accès à leurs propres réseaux et applications, comme en France, Foncia, Renault, Kiwi, BazarVoice… Okta a déclaré que la violation pourrait être liée à un incident antérieur survenu en janvier.David Bradbury, responsable de la sécurité chez Okta, confirmait par un billet que des assaillants ont bien eu la main sur l’ordinateur portable d’un ingénieur, entre les 16 et 21 janvier 2022. Mais que « l’impact potentiel sur les clients d’Okta est limité à l’accès dont disposent les ingénieurs de support. »
Quel serait votre état d’esprit, si au lendemain de la proclamation de la personne élue au poste de président de la Républiquefrançaise, celle-ci était entachée d’une fraude avérée ? Qui plus est lorsqu’elle est fortement suspectée en fonction du ressenti de chaque électeur. Oui, l’être humain fonctionne à l’émotion plus qu’à l’information. Existe-t-il un précédent ? Est-ce possible en France ? Puisque toute rumeur distillée par « radio moquette » est susceptible de voir le jour, quelles sont les conduites à tenir ? Que disposent les lois du Code électoral en ce sens ?
La fraude dite électorale désigne toutes irrégularités pouvant se dérouler pendant un scrutin. Elle peut concerner les opérations électorales elles-mêmes, des manœuvres constatées pendant la durée de la campagne, et même après les résultats officiels. Alors que plus de 30 % des collectivités locales ont subi une infection par codes malveillants de type ransomware, que risque l’élection présidentielle française ? En ce qui concerne les machines à voter, 63 communes françaises de plus de 3 500 habitants en sont équipées, représentant 1,3 million d’électeurs. « Un seul modèle de machine à voter est utilisé en France, le modèle ESF1 de la société néerlandaise NEDAP commercialisé par la société France Élections qui n’a aucun lien avec la société Dominion », affirment les services du ministre de l’intérieur GéraldDarmanin. Pour autant trois arrêtés, selon les sources dudit ministère de l’intérieur semblent indiquer le contraire :
Arrêté du 7 mai 2004 : Le modèle de machine à voter « Point & Vote » de la société Indra Sistemas SA est agréé
Arrêté du 8 mars 2005 : Le modèle de machine à voter « ESF1 » de la société NEDAP est agréé
L’article L118-3 dispose trois cas où l’élu de la République peut être destitué, comme le fut AlCapone pour fraudefiscale. « Lorsqu’il relève une volonté de fraude ou un manquement d’une particulière gravité aux règles de financement des campagnes électorales, le juge de l’élection, saisi par la Commission nationale des comptes de campagne et des financements politiques », alors peut être déclaré inéligible :
Le candidat qui n’a pas déposé son compte de campagne dans les conditions et le délai prescrits à l’article L. 52-12
Le candidat dont le compte de campagne, le cas échéant après réformation, fait apparaître un dépassement du plafond des dépenses électorales
Le candidat dont le compte de campagne a été rejeté à bon droit
L’inéligibilité est prononcée pour une durée maximale de trois ans et s’applique à tous les scrutins. Toutes sauf sur les mandats acquis antérieurement à la date de la décision. « Si le juge de l’élection a prononcé l’inéligibilité d’un candidat ou des membres d’un binôme proclamé élu, il annule son élection ou, si l’élection n’a pas été contestée, déclare le candidat ou les membres du binôme démissionnaires d’office. » Le Conseil constitutionnel est saisi, pour les présidentielles, par les préfets, par les candidats ou par lui-même, notamment après une réclamation des électeurs portée sur le procès-verbal de dépouillement établi à l’issue du décompte des voix dans chaque bureau de vote.
Le scandale Cambrige Analytica
Facebook avait estimé à environ 87 millions le nombre de ses utilisateurs « piégés » au Royaume-Uni pour favoriser le Brexit, mais aussi aux États-Unis afin de faciliter l’accession de DonaldTrump à la Maison-Blanche en 2016. « De nouveaux documents révèlent que la Malaisie, le Kenya, le Brésil et plus de 60 autres pays pourraient être également concernés par les manipulations de l’entreprise britannique », écrivait La Croix. CambridgeAnalytica est une société spécialisée dans l’analyse comportementale. L’objectif est de récolter des informations sur les individus pour connaître leurs biais d’influence. La firme met ses bases de données au service de ceux qui veulent optimiser l’efficacité de campagnes de communication.
Ce n’est pas illégal, amoral selon vos convictions, mais pas illégal. Cette méthode permet numériquement de faire apparaître plus souvent dans votre champ de vision le sujet. Un film sorti en 2015 illustre ces propos, « Focus » avec Will Smith et MargotRobbie.
Un meilleur ciblage de l’audience se targue Cambridge Analytica : « Le big data a révolutionné la façon dont les organisations identifient et localisent leurs meilleurs prospects. […] Cambridge Analytica construit un avenir […] en montrant aux organisations non seulement où se trouvent les gens, mais aussi ce qui les intéresse vraiment et ce qui motive leur comportement. […] nous utilisons la modélisation des données et le profilage psychographique pour développer les audiences, identifier les influenceurs clés et entrer en contact avec les gens de manière à les inciter à agir. »
La guerre de la communication
Vol de données, prise de contrôle d’un site Web, intrusion dans la sphère numérique d’un candidat, désinformation… tous les moyens sont bons. Aux États-Unis en 2016 des milliers de mails d’HillaryClinton sont publiées. En 2017, environ 70 663 mails et documents, soit 15 Go, sont divulgués. En 2020, des hackers ont ciblé les équipes de campagne du président républicain Donald Trump et du candidat démocrate JoeBiden. En septembre 2021, lors des dernières élections législatives, la Commission électorale russe a dénoncé trois cyberattaques d’origine étrangère visant son site internet. Les actions effectuées par des opérateurs peuvent être le fait des propres partis en lice, comme leurs adversaires ou encore des États qui auraient plus de conciliation et d’intérêts financiers avec un prétendant plus qu’un autre.
La Croix titre « Covid, guerre en Ukraine : le poids de l’émotion pèse sur la campagne électorale ». Car « la foule ne régit pas à la raison, mais à l’émotion. » écrivait la journaliste canadienne NaomiKlein, en 2007 dans son essai « The Shock Doctrine: The Rise of Disaster Capitalism ». (Crédits : DR)
Concernant le ouï-dire qu’il soit prononcé le coude sur le zinc, en terrasse, entre deux bouchées des ortolans farcis tant attendus… il suffit de prendre quelques minutes de votre vie pour vérifier avec un minimum de trois sources différentes. Quant à savoir si cela est possible en France, « impossible n’est pas Français » dit l’adage. D’autant que si truquer directement l’élection proprement dite s’avère difficile, influencer les 47 947 555 inscrits sur les listes au 24 mai 2021 (Source : INSEE) est plus simple, et déjà effectuée dans de nombreux pays. C’est en ce sens que le ministre AlexandredeMoraes, du STF (Cour suprême brésilienne), a décidé que l’application de messagerie Telegram serait bloquée au Brésil, outil favori de propagande du président JairBolsonaro. Avant de révoquer sa décision, deux jours plus tard. Il existe pléthores façons d’influencer une élection. « Selon nos analyses, les cibles principales sont les partis politiques et les candidats » , confie GérômeBillois, Expert en cybersécurité au cabinet de conseil Wavestone.
Le jour de l’élection, les scores de chaque candidat seront transmis par les mairies aux préfectures, puis ces dernières les feront remonter jusqu’au ministère de l’Intérieur, en utilisant les réseaux informatiques dudit ministère. (Crédits : Alexa Fotos/Pixabay)
« Il y a une vraie problématique, car chaque équipe de campagne doit assurer elle-même sa propre protection informatique, et en période d’élection, leur activité se démultiplie », constate-t-il. Une armée de bénévoles viennent renforcer les rangs, usant d’adresses mail privées (non chiffrées) et téléphones personnels pour échanger rapidement, une véritable caverne d’Ali-Baba pour des individus malintentionnés. Dans ce contexte, les attaques peuvent être multiples et variées. « Le piratage informatique pourrait agir comme le fioul jeté sur le feu de la désinformation ». Il peut s’agir de vol de données, d’une intrusion dans la boîte mail d’un candidat ou dans celles de l’équipe de campagne, d’une paralysie ou d’une perturbation de leur système informatique, ou encore d’une prise de contrôle du site internet du parti.
Le 14 janvier 2022, le Sénat argentin indiquait avoir subi, deux jours plus tôt, une attaque informatique aux premières heures du matin. Dans une série de tweets, les membres de l’assemblée précisaient qu’il s’agissait d’une infection par codes malveillants qui s’avérerait être le ransomware Vice Society. Le but consiste à utiliser un programme informatique pour bloquer l’accès aux données, les chiffrant et à demander le paiement d’une rançon pour les libérer. Il semble qu’ils n’ont pas dû régler tout ou partie de la somme requise par les opérateurs, car les données sont en ligne.
La chambre haute argentine a été victime d’une attaque par ransomware. Selon les médias locaux de l’époque, les malfaiteurs avaient crypté les renseignements, mais « toutes les informations volées sont publiques et sont disponibles pour tout le monde sur notre site de transparence », relatait la communication du Sénat argentin. Des sources proches de la présidence du Sénat déclaraient travailler au retour à la normale, et insistaient que les données soustraites n’étaient en aucun cas sensibles et qu’au moment des confidences qu’« il n’y a pas eu de demande de rançon et s’il y en a une, rien ne sera payé ».
🗣El Senado de la Nación sufrió el 12 de enero a las 4 AM un ataque realizado por piratas informáticos. Este tipo de ataques, denominados ransomware, fueron perpetrados en los últimos meses contra diversos organismos públicos, del Poder Judicial y empresas de primera línea.
En 2020, REvil avait dérobé 50 Go de données à l’autorité nationale des routes, Netwalker lui ciblait l’organisme des migrations, en fin d’année 2021, Everest publiait une offre d’achat pour les accès aux systèmes gouvernementaux en Argentine. (Crédits : Twitter)
« Dès l’attaque, notre équipe de sécurité informatique s’est mise au travail. Jusqu’à présent, nous avons réussi à récupérer la plupart des informations pertinentes et à isoler les équipements sensibles, ce qui nous permettra de reprendre nos activités dès que possible », assurait le Sénat. La plainte avait été déposée le lundi suivant l’attaque. En octobre 2021, le Registre national des personnes avait été victime de criminels volant des millions de données pour exiger une rançon.
Le 11 mars 2022, Vice Society a annoncé la divulgation des données volées au Sénat argentin, incluant un lien vers lesdits documents. (Crédits : capture d’écran)
Les numéros des pièces d’identité (DNI), le CUIL qui n’est autre que notre numéro de sécurité sociale français et de procédure apparaissent, les photocopies des rectos et versos des cartes, mais aussi les permis de conduire, signature à main levée… seul bémol les empreintes digitales. « Les chercheurs Sol González et Martina López d’ESET s’accordent à dire que, bien que l’exploitation de ces informations soit plus complexe d’un point de vue technique, cela ne signifie pas qu’elles ne peuvent pas être exploitées par les cybercriminels et, si elles sont utilisées, elles peuvent être très dangereuses, car il ne s’agit pas d’un mot de passe que l’utilisateur peut modifier », relate le site welivesecurity.
Les entreprises françaises et étrangères sont toujours les proies des personnes malveillantes usant de ransomware. La dernière victime de fuite d’informations par les opérateurs derrière LockBit 2.0 est le groupe français J. Richard. Ce spécialiste de l’aménagement paysager en région Centre-Val de Loire voit ses archives depuis les années 2013 jusqu’à 2022, en libre accès sur le Darknet. Si certaines comme les jours d’anniversaire de quelques salariés, ne présente que peu de risques, d’autres telles les coordonnées bancaires, ou les machines-outils employées le sont plus.
Les systèmes d’information sont vulnérables surtout si elles utilisent des systèmes d’exploitation qui ne sont plus mis à jour par le développeur, tel Windows XP. Microsoft a mis fin au support le 8 avril 2014, et il n’y a plus de mises à jour de la part du géant américain ni de gestion de la base virale de Windows Defender. Les opérateurs derrière LockBit 2.0 ont publié de multiples renseignements du groupe français J. Richard, le 11 mars 2022.
Nombreuses sont les informations qui peuvent permettre des attaques de diverses entreprises et collectivités. Comme tout un chacun, des données sensibles sont conservées sans protection au sein des ordinateurs que l’on croit inviolable, jusqu’à ce que l’impensable se produise. (Crédits : capture d’écran)
C’est une victime de plus que compte la France par Ransomware-as-a-Service. L’entité LockBit 2.0 émet une partie de données exfiltrées du groupe orléanais. Elles sont un extrait du Kbis, l’attestation décennale pour l’année 2022, des factures nominatives, des coordonnées bancaires, les mots de passe pour la messagerie, mais aussi le rapport détaillé des informations système d’un certain Poste numéro 2 et plus encore… LockBit indique que les données affichées ne sont que la première portion, sans en préciser la quantité restante.
Dans le dernier week-end du mois de février, ces attaques des systèmes d’information au Canada et en France se déroulaient. La plateforme de publication d’éditions électroniques de journaux PressReader, où sont publiées Le Journal de Montréal et Le Journal de Québec, ont éprouvé des difficultés techniques, dimanche matin, à la suite d’un « incident de cybersécurité ». En France, c’est le journal L’Équipe qui subissait une cyberattaque le 27 février 2022.
Dans un conflit, comme dans une élection présidentielle, le pouvoir ultime est le contrôle des médias, d’une façon ou d’une autre. Ainsi le dimanche 27 février, les serveurs du journal l’Équipe ont commencé à planter les uns après les autres, raconte le journaliste sur la chaîne Bfmtv. Ensuite vient le tour des ordinateurs des journalistes. Les différents serveurs donnant accès au chemin de fer du journal (mise en page), permettant d’intégrer les cartons (article normé) à la maquette du journal du lendemain.
La plateforme distribue les plus grands quotidiens et magazines de la planète, comme le Wall Street Journal ou le Washington Post. (Crédits : DR)
La rédaction craignait de ne pas pouvoir sortit le journal lundi 28 février, car au fur et à mesure de la journée de nombreux outils informatiques tombaient. À ce jour personne ne sait ou n’a voulu communiquer, sur l’origine de l’attaque. Au Canada, Le Journal de Montréal et Le Journal de Québec n’étaient pas disponibles via PressReader. La société donne accès à plus de 7 000 publications de journaux, bibliothèques et musées du monde entier. Elle a confirmé que les dysfonctionnements étaient dus à un incident de cybersécurité. Sur les questions de ransomware, la société n’a pas souhaité apporter de réponse. La société ajoutait dimanche 6 mars 2022 que les équipes basées à Vancouver et aux Philippines œuvraient pour restaurer le service. « Nos équipes ont travaillé sans relâche pour rétablir les opérations et nous sommes désormais en mesure de traiter et de diffuser les journaux et magazines actuels. Toutefois, nous continuons à faire évoluer ces systèmes pour qu’ils retrouvent leur pleine capacité. »
