Libre Expression

Étiquette : ransomware

  • Cent hôpitaux roumains hors ligne après la cyberattaque du ransomware BackMyData

    Cent hôpitaux roumains hors ligne après la cyberattaque du ransomware BackMyData

    Alors qu’en France les sociétés Almerys et Viamedis sont en proie à une fuite de 33 millions de données d’utilisateur unique, la Roumanie voit cent de ses hôpitaux hors ligne. La faute incomberait au ransomware « BackMyData » sui s’est attaqué à la plateforme Hipocrate. L’attaque a eu lieu durant la nuit du 11 au 12 février 2024. Ils sont 21 hôpitaux directement touchés par l’attaque cybernétique, qui est passée à 25 le matin du 13 février 2024. Par précaution, 79 autres établissements de soins ont été mis hors ligne. En France l’hôpital d’Armentières subit aussi une cyberattaque.

    C’est le système d’information utilisé par les hôpitaux roumains qui a été visé. Hipocrate (HIS) est le système de gestion des soins de santé. Les autorités déclaraient 21 centres touchés dans le sixième pays le plus peuplé en Europe. « Pendant la nuit du 11 au 12 février 2024, une cyberattaque de type ransomware visait les serveurs de production utilisant le système d’information HIS. À la suite de l’attaque, le système est en panne, les fichiers et les bases de données sont chiffrés », a déclaré le ministère roumain de la Santé.

    Le ransomware BackMyData à l’origine de la cyberattaque

    La direction nationale roumaine de la cybersécurité (DNSC) relate que les attaquants ont utilisé le rançongiciel Backmydata pour chiffrer les données des hôpitaux, une variante de ransomware de la famille Phobos.

    BackMyData, explique PcRisk, désactive le pare-feu, supprime les points de restauration, sans avoir au préalable chiffré l’ensemble des dossiers.

    Comme Phobos il exploite les vulnérabilités des services de protocole de bureau à distance (RDP) pour l’infection. Ils ciblent souvent la faiblesse des identifiants. C’est pour ça qu’il faut avoir une passphrase solide. Car il utilise l’attaque par brut force et des dictionnaires de mots de passe. Cet ensemble de combinaison permet un accès non autorisé à des systèmes d’information dont la sécurité n’est pas optimale.

    (Crédits : PcRisk)

    « La plupart des hôpitaux concernés ont des sauvegardes de données sur les serveurs concernés, avec des données sauvegardées relativement récemment (1-2 jour sauf une, dont les données ont été sauvegardées il y a 12 jours », a déclaré le DNSC le lendemain de l’attaque. Une rançon de 3,5 BTC, soit 157 000 dollars américains sont réclamés par les cybercriminels (167 828, 675 € le 14 février 2024).

    L’hôpital pédiatrique de Pitesti touché le samedi 10 février

    Selon le DNSC les autres centres de soins ont été touchés à partir du 11 et 12 février 2024. Les 79 autres unités mises hors ligne font l’objet de complément d’enquêtes afin de déterminer si elles étaient (ou non) la cible de l’attaque.

    Les hôpitaux concernés ou non ont reçu une série de recommandations. Identifier les systèmes concernés, et les isoler du reste du réseau et bien sûr d’Internet. Ne pas les éteindre, ce qui supprimerait les preuves stockées dans la mémoire volatile (RAM). Conserver une copie du message de rançon et de toute communication. Collecter et conserver toutes les informations de journal pertinentes des équipements concernés, mais également des équipements réseau, pare-feu. Examiner les journaux système pour identifier le mécanisme par lequel l’infrastructure informatique a été compromise.

    (Crédits : capture d’écran/Hôpital de Spitalului)

    Capture d'écran de l'hôpital ciblé par la cyberattaque

    Mais il faut immédiatement informer, l’ensemble des employés, les clients, partenaires commerciaux concernés, de l’incident et de son étendue. Restaurez les systèmes concernés en fonction des sauvegardes de données après un nettoyage complet du système. Il est absolument nécessaire de s’assurer que les sauvegardes sont intactes, à jour et sécurisées contre les attaques. Auparavant (sur les smartphones, tablettes, ordinateurs personnels et professionnels), s’assurer que tous les programmes, applications et systèmes d’exploitation sont mis à jour.

    Une rançon de 3, 5 Bitcoins exigé

    L’institut d’Orthophonie et de Chirurgie fonctionnelle ORL de Bucarest, le Sanatorium de pneumophtisiologie Brad à Hunedoara, l’Hôpital de pneumophtisiologie Roșiori de Vede, et la Clinique privée de Sante Călărași font partie des quatre premiers centres de soins a être confirmés comme victimes de la cyberattaque. Aucune exfiltration n’a été confirmée par les autorités compétentes.

    Si aucune exfiltration n’a été confirmée par les autorités compétentes, ces dernières recommandent de ne pas contacter ni de payer les attaquants.

    « Après l’arrêt de 400 ordinateurs et serveurs, nous avons travaillé principalement sur le papier », a déclaré Mirela Grosu, responsable de l’Institut régional d’oncologie.

    Le ministère roumain de la Santé, dont M. Alexandru Rafila est à la manœuvre a déclaré que : « l’incident fait l’objet d’une enquête menée par des informaticiens, y compris des experts en cybersécurité de la Direction nationale de la cybersécurité (DNSC), et les possibilités de reprise sont évaluées. Des mesures de précaution exceptionnelles ont également été activées pour les autres hôpitaux qui n’ont pas été touchés par l’attaque. »

    (Crédits : Mohamed Hassan/Pixabay)

    Depuis que les systèmes ont été mis hors ligne ou fermés, les médecins ont été contraints de revenir à la rédaction de prescriptions et à la tenue de registres sur papier. Il n’y a pas eu de mise à jour sur les informations depuis. Concernant la demande de rançon, chaque intervenant dans les sphères de l’État roumain, martèle de ne pas payer la demande. Comme la mésaventure que connaît l’hôpital d’Armentières survenue au cours du même week-end, les demandes de rançons sont sorties des imprimantes. L’ampleur des dégâts sera déterminée par l’enquête, en France comme en Roumanie.

  • Cyberattaque du système de santé colombien Salud Total EPS-S

    Cyberattaque du système de santé colombien Salud Total EPS-S

    Déjà en 2022, l’EPS (Empresas promotoras de salud) Sanitas avait fait l’objet d’une cyberattaque. L’impact direct affectait 5,5 millions de Colombiens. À peine plus d’une année s’écoule pour qu’autre EPS soit victime d’une intrusion non autorisée. L’entreprise « Salud Total » est la victime. C’est le 27 janvier 2024 que l’entité a révélé l’affaire sur son site WEB. L’attaque cybernétique serait de type ransomware selon les informations. Elle perturberait selon Total Health EPS-S sa plateforme technologique.

    Par un communiqué du 29 janvier 2024, l’entreprise de santé colombienne alertait ses 4,8 millions de membres. Sur les différents réseaux sociaux, l’EPS répondait que « nous vous rappelons qu’en raison de l’urgence, nos canaux ont été isolés afin de sauvegarder toutes les informations. » Si la santé du système d’information semble altérée, la mémoire des Colombiens ne l’est pas.

    La Superintendencia nacional de Salud a activé son plan d’urgence. « En ce qui concerne la fourniture de services médicaux, l’EPS a assuré les soins, la fourniture de médicaments, la réalisation de laboratoires, entre autres, par l’intermédiaire de son réseau de services et d’urgences sans affecter les soins de l’utilisateur. » La société a indiqué que sa priorité était actuellement de protéger les données de ses utilisateurs et de rétablir les services concernés.

  • Un vent hivernal de cyberattaques de type ransomware en Europe

    Un vent hivernal de cyberattaques de type ransomware en Europe

    Les cyberattaques ne sont pas gelées par les températures. La Suède a subi le 20 janvier une attaque par ransomware avec une multitude d’incidents en cascade : universités médicale et d’agriculture, compagnie IT, commune, magasin… En Allemagne, un centre de formation pour adultes, un ministère en Tchéquie subit une attaque par déni de services, le Département de la Sarthe ou encore la révélation du ransomware LockBit qui a jeté son dévolu sur une université française, l’ICN creative business School.

    La Suède est en tête du classement des attaques cybernétiques ces derniers jours. Tietoevry qui stipule que l’un des centres de données est partiellement sous la coupe d’une cyberattaque de type ransomware. « Tietoevry a pris immédiatement et le plus haut niveau d’action pour enquêter sur la situation, en atténuer les effets et les résoudre. À ce stade, il n’est pas possible de dire combien de temps le travail prendra », martèle l’entreprise. Elle souligne travailler en collaboration avec les autorités compétentes. Mais la compagnie est fournisseur IT de plusieurs entreprises en Suède.

    Comme un château de cartes

    La mise en cascade des dysfonctionnements en Suède est exemplaire. Plus d’une dizaine d’entreprises subissent de plein fouet l’attaque cybernétique par ransomware de Tietoevry. De la municipalité de Bjuv, aux magasins de Granngården, l’université d’agriculture d’Uppsala, la chaîne de cinéma, les services financiers de Loomis, mais également les services de santé de la région d’Uppsala… S’il n’existe pas de risque immédiat pour l’ensemble des patients, l’accès aux dossiers médicaux est compromis pour le moment.

    La société Loomis est également impactée par la cyberattaque subie par le fournisseur de Tietoevry. (Crédits : capture d’écran/Loomis)

    La chaîne de cinéma Filmstaden est dans la même expectative. « En raison d’un incident informatique chez l’un de nos fournisseurs, il n’est pas possible d’acheter des billets sur le site web ou sur l’application. […] Pour cette raison, il peut y avoir des files d’attente plus longues que d’habitude au cinéma, veuillez donc arriver à l’heure. »

    Le ministère du travail Tchèque victime de cyberattaque

    Le ministère du Travail tchèque indique que depuis le 16 janvier 2024, un dysfonctionnement du système d’information AKRIS. Le communiqué indique que l’entité gouvernementale est attentive aux liens frauduleux diffusés par SMS et par courrier électronique. Elle encourage les concitoyens à faire de même. Sur les liens frauduleux diffusés par tous moyens « ils mènent à de faux sites qui se font passer pour le site officiel. Il s’agit de phishing, ne cliquez pas sur les liens. »

    Non loin de la Tchéquie, c’est un canton suisse qui essuie une attaque par déni de services le 19 janvier 2024. (Crédits : capture d’écran/Canton de Basel-Stadt)

    Entre 6 h 30 et 9 h, le 19 janvier dernier, le site du canton n’était pas accessible. Les informaticiens cantonaux ont pris des contre-mesures pour assurer le fonctionnement sans interférence, assure la communication. Les auteurs de l’attaque ne sont pas connus. Contrairement à Pozzi Italy dont l’attaque est affichée par le ransomware Medusa.

    Cyberattaques en France

    Le site d’information Actu Le Mans a révélé que le Département de la Sarthe avait subi un incident cybernétique ce mercredi 24 janvier. C’est le président du conseil, Dominique Le Mèner qui informait l’entité départementale lors du débat d’orientations budgétaire de 2024. Sur le site vitrine du ransomware LockBit apparaît l’école de management ICN Business School.

    Mais du côté du ransomware 8Base affiche le groupe Sweetco spécialisé dans la création en puériculture, en literie, dans les équipements individuels de protection (gants, chaussures) et pour les housses et tapis pour automobile. Mais aussi la ligue de l’enseignement en Isère fait partie des victimes comme le cabinet Arpege ou encore Malongo.

  • Cyberattaques… quels sont les coûts et conséquences ?

    Cyberattaques… quels sont les coûts et conséquences ?

    Peu importe la cible touchée par une cyberattaque, elle subit des dommages. Plus l’offensive est sophistiquée, plus les conséquences peuvent être désastreuses. Les attaquants peuvent s’en prendre à vos terminaux de différentes manières. Les plus connues sont par le déni de service (DDoS), par ransomware ou rançongiciel… Si l’entreprise trinque, les clients également. Retour sur deux exemples parmi tant de victimes à chaque seconde : la commune de Saguenay au Canada et l’entreprise réunionnaise Colipays.

    La ville de Saguenay a été la cible en octobre 2023 d’une cyberattaque. Rapidement, les systèmes informatiques ont été mis en sécurité, et des mesures de protection étaient mises en place assurait la clinique. L’entreprise Colipays subissait une attaque cybernétique durant les périodes de Noël affectant la livraison de clients. Leur nombre selon la première estimation entre 200 et 500.

    Quel est le coût d’une cyberattaque ?

    Il est difficile de faire à brûle-pourpoint une estimation Il y a les coûts directs et ceux qui sont indirects. Les premiers sont facilement quantifiables, les seconds moins. Comme les terroristes, leurs buts sont de maximiser l’impact pour nuire à votre défense future. Aussi, ils cherchent à minimiser les frais de l’attaque pour un maximum de dégâts. L’attaque terroriste qui a marqué les esprits et celle contre les tours jumelles, le World Trade Center le 11 septembre 2021. Les conséquences se chiffrent, car « les dépenses de sauvetage et de déblaiement ainsi que les frais connexes ont été estimés à au moins 11 milliards de dollars. »

    Les coûts directs facilement quantifiables.

    Les coûts premiers sont la possible rançon ainsi que les frais de justice. Puis le renforcement des moyens de sécurisation, des données corrompues ainsi que la mise en conformité réglementaire. Les enquêtes techniques avec les notifications aux clients de l’intrusion, et les relations publiques.

    En octobre dernier, la ville canadienne de Saguenay est victime d’une cyberattaque. C’est à travers ses équipes informatiques, qui ont réagi rapidement, que les dommages n’ont pas été causés.

    Saguenay a dû dépenser de 35 000 à 40 000 $ pour répondre à une attaque informatique dont elle a été victime en octobre dernier.

    « Il n’y a absolument rien auquel les pirates ont pu avoir accès, a confirmé Dominic Arseneau, porte-parole de la Ville de Saguenay. Le rapport final disait que l’objectif des pirates n’était pas forcément de voler des données de la Ville, mais plutôt d’usurper l’identité de la Ville pour hameçonner d’autres personnes par la suite ».

    (Crédits : Mohamed Hassan/Pixabay)

    Peu après l’attaque de la commune, c’est la clinique qui subit les foudres. Le ou les personnes à l’origine ont eu accès aux prénoms, noms, adresses, numéros de téléphone, jusqu’au numéro d’assurance maladie et des informations sur leur couverture d’assurance. « Il est important de noter qu’à l’heure actuelle, nous n’avons aucune indication [voulant que] vos renseignements personnels […] aient été mal utilisés », expliquait le Dr Michel Bérubé, directeur médical de ladite clinique.

    Les coûts indirects

    Une entreprise victime d’une attaque peut voir son image ternie. La méfiance voire défiance peut s’installer chez les clients, les partenaires, jusqu’aux investisseurs. La marque Lise Charmel, groupe lyonnais avait été placé en redressement judiciaire suite à la cyberattaque qui avait bloqué l’entreprise un mois durant. La procédure judiciaire a été retirée de la période d’observation depuis le 30 septembre 2021.

    Le groupe recouvrait le chemin de la rentabilité et du chiffre d’affaires. C’est un petit « miracle » tout de même après « le black-out total » sur la production, mais aussi la création, les achats, la logistique, jusqu’aux e-mails.

    L’entreprise réunionnaise Colipays rétablit la vérité après la cyberattaque subie depuis les fêtes de fin d’année 2023. Le remboursement prévu au 15 janvier 2024 est décalé au vu du nombre de dossiers à traiter.

    « Si aucune date fixe de remboursement ne peut aujourd’hui être annoncée, nous pouvons juste à ce jour vous dire que tous nos clients seront remboursés, c’est notre engagement et notre promesse », communique Colipays sur Zinfos974. La gestion des réclamations via courriel les a conduits à renforcer leurs équipes. Vingt personnes, qui ont dû être formées à cette mission. (Crédits : Mohamed Hassan/Pixabay)

    Les conséquences se découvrent les unes après les autres. « Nous comprenons l’impact que cette situation peut avoir sur nos clients, et nous nous engageons à rembourser intégralement chaque personne victime du piratage », indique l’entreprise. D’autant que les réseaux sociaux se sont transformés en pugilat. LA transparence est de mise. Surtout après être entré en contact avec un groupe formé sur Facebook. « Certains commentaires excèdent la limite du raisonnable, car particulièrement virulent, et peuvent être sanctionnés judiciairement », martèle l’entreprise.

    La facture indirecte est toujours plus élevée

    Les coûts directs sont conséquents, mais ils sont minimisés par l’ampleur des coûts indirects. Ils sont l’augmentation des primes d’assurance, l’interruption des activités, la déprécation de la marque, la baisse du chiffre d’affaires, perte de confiance des clients voire des investisseurs… jusqu’au dépôt de bilan. Dans le monde digital dans lequel nous vivons, la protection des données et des infrastructures est plus qu’une nécessité absolue.

    La Capitale des Flandres cyberattaque indiquait un coût d’un million d’euros, qui est désormais estimé à 1,7 million relate La Voix du Nord. « Entre 50 et 60 % des PME ayant été victimes de cyberattaques mettent la clé sous la porte dans les dix-huit mois qui suivent », estime le directeur régional Grand Est d’Orange Cyberdefense, Gérard Vallet en réponse aux questions de L’Alsace.

    Près d’une année après avoir été la cible de hackers qui au moment des faits avait bloqué la quasi-totalité des systèmes informatiques, Clestra, fabricant bas-rhinois de cloisons pour bureaux et salles blanches, n’en finit pas de payer les conséquences de cette cyberattaque. Comme des sociétés outre-Atlantique.

    Clestra hauserman, victime d’une cyberattaque qui lui aurait coûté entre 7 et 8 millions d’euros, a entraîné sa mise en redressement judiciaire, les piratages informatiques peuvent avoir des répercussions très graves.

    (Crédits : Mohamed Hassan/Pixabay)

    « C’est la principale raison qui a amené l’entreprise au dépôt de bilan », indique Amar Laadra, responsable CGT métallurgie. Le bilan de l’année 2022 des conséquences financières des cyberattaques envers les entreprises françaises est sans appel. Elles ont coûté 2 milliards d’euros à la France en 2022. Selon le cabinet de conseil Asterès, qui se fonde sur l’analyse de 385 000 cyberattaques en France en 2022. « La compromission des informations d’identifications est la première cause de violation pour 19 % des entreprises. L’hameçonnage qui arrive juste après touche 16 % des organisations. Il s’agit également de la cause de violation de données la plus coûteuse en 2022 pour 4,91 millions de dollars en moyenne », martèle le gouvernement. Malgré la prise de conscience des enjeux de la cybersécurité, les entreprises et collectivités restent mal protégées, avec un manque cruel de « culture informatique ».

  • Pas de trêve des confiseurs pour les cyberattaques

    Pas de trêve des confiseurs pour les cyberattaques

    Sur les cinq continents, les attaques pleuvent. La France ne fait pas exception. Le syndicat général des vignerons de la Champagne, Ubisoft et Colipays sont victimes en cette fin d’année 2023. Cette période accentue les tensions, tant sur les professionnels que leurs clients. Des déluges de commentaires de mécontentements s’affichent sur les réseaux. Pour l’entreprise basée à La Réunion, les colis auraient vu leurs adresses de livraison modifiées, empêchant leurs arrivées à destination.

    « Pas de Letchis pour Noël », comme de nombreux autres colis qui ne sont pas arrivés suite aux commandes effectuées chez Colipays. L’entité annonce avoir repoussé l’attaque cybernétique. L’accès au site avait été temporairement suspendu dans le but de « faire une double vérification de sécurité dans un souci de protection de données de nos clients ». Les cybercriminels auraient seulement modifié les adresses de livraisons. Les malversations auraient impacté pas moins de 200 à 500 clients dans la période du 19 au 22 décembre 2023.

    Le 27 décembre 2023 sur sa page Facebook, Colipays communique sur la cyberattaque subie. La cyberattaque dont le site a été victime est identifiée comme incident auprès de la CNIL. Le numéro FR231220900002. Une plainte a été déposée.

    L’entreprise semble avoir selon les médias et les clients mis du temps à réagir. Mais comment réagir en cas d’attaques, surtout si c’est la première fois. Une adresse de courriel est mise en place pour signaler les anomalies suspectes : signalement@colipays.com Colipays communique le 29 décembre sur des modalités pour pallier l’attente vaine des colis.

    (Crédits : Colipays)

    Ubisoft enquête sur une intrusion non autorisée

    Le 20 décembre 2023, un pirate dont l’identité est encore inconnue est parvenu à s’introduire dans le système de la société Ubisoft. VX-Underground précise que ce dernier aurait durant deux jours navigué dans les systèmes d’information de la firme française. Ladite personne cherchait à exfiltrer 900 GB de donnée. Dans la masse des renseignements ciblés se trouvaient les informations des utilisateurs de Tom Clancy’s Rainbow Six Siege le jeu sorti en 2015 compte 85 millions de joueurs.

    « Nous avons connaissance d’un incident présumé en matière de sécurité des données et nous menons actuellement une enquête », a indiqué mardi 26 décembre à l’AFP un porte-parole d’Ubisoft.

    La cyberattaque fomentée envers Ubisoft remémore celle perpétrée une semaine auparavant sur Insomniac Games. En téléchargement sur le site vitrine les cybercriminels derrière le ransomware Rhysida est disponibles 1,67 TB pour plus de 1,3 million de fichiers.

    (Crédits : capture d’écran/Rhysida)

    Le syndicat général des vignerons de la Champagne victime

    Ce n’est pas le cadeau attendu par le syndicat bien au contraire. C’est autour du 26 décembre que le syndicat aurait été victime d’une cyberattaque. Depuis le syndicat a fermé ses portes, ce jusqu’au 2 janvier espèrent-ils. « Suite à un événement exceptionnel, l’ensemble des services du SGV Champagne sera indisponible entre Noël et jour de l’an », communique l’entité sur sa page Facebook.

    Le journal L’Union relate que selon un courriel envoyé aux administrateurs « le Syndicat général des vignerons a fait l’objet d’un piratage informatique durant Noël. Une procédure de gestion de crise a été activée. Dans l’attente d’expertise complémentaire, l’ensemble des services du SGV sera indisponible entre Noël et Nouvel An. »

    Par mesure de sécurité, l’accès aux données à la messagerie est bloqué. Le SGV propose à ses adhérents plusieurs services : centrale d’achat, expédition de colis, service de paie en ligne, habillage… autant d’informations sensibles qui pourraient intéresser des personnes malveillantes.

    (Crédits : Couleur/Pixabay)

    « Je ne peux pas vous dire exactement ce qu’il s’est passé. Il y a bien un virus, mais il n’y a pas de pirate, explique le président du SGV Maxime Toubart au journal L’Union. En ce moment, on nettoie tout sur le réseau et on met à jour. Je ne sais pas s’il y a eu défaillance ou piratage en règle. »

  • Ransomware. AlphV/BlackCat Versus FBI, le chat et la souris ?

    Ransomware. AlphV/BlackCat Versus FBI, le chat et la souris ?

    Il y a quelques jours, le FBI indiquait détenir le site du ransomware bien connu BlackCat. Depuis le Département de la Justice explique offrir un outil de déchiffrement à plus de 500 victimes dans le monde. De ce fait, cette opération aurait privé le ransomware et ses affiliés de 68 millions de dollars. « En perturbant le groupe de ransomware BlackCat, le ministère de la Justice a une fois de plus piraté les pirates », a déclaré la procureure générale adjointe Lisa O. Monaco. Sauf que…

    L’un, AlphV/BlackCat est dans l’illégalité. Il vole des infos, chiffre les systèmes d’information à travers le monde contre des rançons. L’autre, le FBI chasse les cybercriminels, pour les arrêter, les condamner et permettre aux entreprises victimes de déchiffrer les données : le jeu du chat et de la souris. « Au cours des 18 derniers mois, ALPHV/Blackcat est devenu la deuxième variante de ransomware en tant que service le plus prolifique au monde, basé sur les centaines de millions de dollars de rançons payés par les victimes dans le monde entier », relate le Département de Justice américain (DOJ).

    Ragnar Locker, REvil, AlphV/BlackCat…

    Les sites de REvil, puis Ragnar Locker démantelés, celui de BlackCat saisi… puis après plus d’une semaine, la première page change de couleur et de message.

    Le titre sur le site vitrine de la franchise est sans équivoque : « This website has been unseized ». Est-ce une provocation ?

    Les opérateurs derrière BlackCat expliquent qu’à la suite de l’intervention du FBI, les règles changent et le ton semble se durcir de part et d’autre.

    « Grâce à leurs actions, nous introduisons de nouvelles règles, ou plutôt, nous supprimons TOUTES les règles, sauf une, vous ne pouvez pas toucher à la CEI, vous pouvez désormais bloquer les hôpitaux, les centrales nucléaires, n’importe quoi, n’importe où. »

    Sur le nouveau site vitrine, le gang derrière le ransomware affiche sur son site vitrine sept victimes. Advantage group international (Canadien), Tipalti (Californie, USA), E & J Gallo Winery (Californie, USA), le cabinet d’avocats Eckell Sparks (USA), PriceSmart (Californie, USA), Viking Therapeutics (Californie, USA) et Navigation Financial Group (Texas, USA). Les entreprises affichées sont toutes issues de l’Amérique du Nord.

    (Crédits : capture d’écran/Alphv/BlackCat)

    L’opération conjointe des forces de l’ordre des États-Unis, d’Europol, du Danemark, de l’Allemagne, du Royaume-Uni, des Pays-Bas, de l’Australie, de l’Espagne et de l’Autriche a permis la saisie du site. Le 7 décembre 2023, le site vitrine cessait tout fonctionnement rappelle BleepingComputer, jusqu’au mardi 19 décembre.

    Une action de Police conjointe, une action en justice

    Dans un document de 20 pages, l’acte juridique de la Cour américaine sont relatées les opérations suite à la saisie du site.

    Jusqu’ici tout allait bien… Mardi dans l’après-midi, le site du ransomware avait changé d’image, passant du rouge au vert.

    « Au cours de cette enquête, les forces de l’ordre ont pu se familiariser avec le réseau du Blackcat Ransomware Group. Le FBI a ainsi identifié et collecté 946 paires de clés publiques/privées pour des sites Tor que le Blackcat Ransomware Group utilisait pour héberger des sites de communication avec les victimes, des sites de fuites et des panneaux d’affiliation comme ceux décrits ci-dessus. Le FBI a enregistré ces paires de clés publiques/privées sur la clé USB. »

    (Crédits : capture d’écran/AlphV/BlackCat)

    Le ransomware s’est fait un nom en raison de l’ampleur de ses attaques, mais aussi de l’aspect dévastateur souligne Zataz. Le secteur des soins de santé n’était pas épargné, comme de très nombreuses autres entreprises. L’alerte Flash du FBI expliquait que BlackCat est « est le premier groupe de ransomware à le faire avec succès en utilisant RUST, considéré comme un langage de programmation plus sûr qui offre de meilleures performances et un traitement simultané fiable. Les acteurs de la menace affiliés à BlackCat demandent généralement des paiements de rançon de plusieurs millions de dollars en bitcoin et en monero, mais ils ont accepté des paiements inférieurs au montant initial de la demande de rançon. »

    Les sites tombent, le code demeure

    Si LockBit avait proposé aux affiliés de BlackCat de les rejoindre cela semble désormais plus d’actualité. Lorsqu’un site tombe le code est réutilisé par d’autres cybercriminels. Ils usent de codes et les améliorent sans cesse.

    « Comme vous le savez tous, le FBI a reçu les clés de notre blog, nous allons maintenant vous raconter comment tout cela s’est passé. Premièrement, comment tout cela s’est passé, après avoir étudié leurs documents, nous comprenons qu’ils ont eu accès à l’un des DC, puisque tous les autres DC n’ont pas été touchés, il s’avère qu’ils ont piraté d’une manière ou d’une autre l’un de nos hébergeurs, peut-être qu’il les a même aidés », explique AlphV.

    (Les DC sont des Contrôleurs de Domaines, NDLR)

    « Le maximum dont ils disposent est celui des clés depuis un mois et demi, soit environ 400 entreprises, mais maintenant, à cause d’elles, plus de 3 000 entreprises ne recevront jamais leurs clés. »

    (Crédits : capture d’écran/AlphV/BlackCat)

    « Nous n’accordons aucune remise aux entreprises […] Merci pour votre expérience, nous prendrons en compte nos erreurs et travaillerons encore plus dur […]. » Quoi qu’il en soit, aucun des belligérants ne s’avouera vaincu, jusqu’à preuve du contraire. De son côté le FBI n’accordera, semble-t-il, aucune pitié. « Le FBI continuera de poursuivre énergiquement ces acteurs criminels partout où ils tenteront de se cacher et de veiller à ce qu’ils soient traduits en justice et tenus responsables par la loi », a déclaré Paul Abbate, directeur adjoint du FBI, comme les États-Unis poursuivent le ransomware Play.

  • Le site du ransomware AlphV/BlackCat saisi

    Le site du ransomware AlphV/BlackCat saisi

    Dès que vous consultez l’adresse onion du ransomware BlackCat sur le darknet une image apparaît. Ainsi que des logos bien connus : « Le bureau fédéral d’investigation a saisi ce site dans le cadre d’une action coordonnée des services répressifs à l’encontre de AlphV Blackcat ». Le 28 novembre 2023, Europol annonçait par un communiqué avoir arrêté cinq individus. Depuis le site de fuite tournait au ralenti, avant de tomber. Mais tout n’est pas perdu pour tout le monde.

    L’opération avait débuté en 2019. entre la Norvège, la France, le Royaume-Uni et l’Ukraine. En 2021, 12 personnes cibles de haute importance étaient arrêtées le 26 octobre. Les actions menées en Suisse et en Ukraine permettaient la saisie de 52 000 dollars en espèces, cinq véhicules de luxes. Les suspects ciblés avaient tous des rôles différents. Un homme de 32 ans, suspecté d’être le chef du gang, et quatre complices présumés ont été arrêtés. Était-ce la fin de la franchise AhplV/BlackCat ? Oui, mais quant aux affiliés…

    La plainte est-ce un baroud d’honneur se sachant traqué, ou un moyen de détourner l’attention. Le FBI offre jusqu’à 10 millions de dollars de récompense pour des informations permettant d’identifier ou de localiser toute personne qui participe à des activités cybernétiques malveillantes contre les infrastructures critiques des États-Unis (Crédits : capture d’écran)

    Les opérateurs avaient surpris la toile en novembre 2023. Suite à l’ajout de MeridianLink à leur site de fuite, les cybercriminels avaient porté l’affaire devant la justice américaine. « Nous voulons attirer votre attention sur une question concernant le respect par MeridianLink des règles récemment adoptées en matière de divulgation des incidents en matière de cybersécurité », écrivait AlphV. Ils se basaient sur l’article 1.05 du formulaire 8-K. Il stipule qu’après une intrusion non autorisée les victimes ont quatre jours ouvrables pour déposer devant la Securities as Exchange Commission (SEC). Le fameux article dispose à l’alinéa (a) que « si le déclarant subit un incident de cybersécurité qu’il juge important […] ». Cependant l’alinéa (d) dispose « si un déclarant soumit au 47 CFR 64.2011 est tenu de retarder la divulgation d’une violation de données en vertu de cette règle » jusqu’à 7 jours.

    Perdus, pas pour tout le monde

    Le 6 décembre, la revendication de la cyberattaque contre la DENA, l’agence allemande de l’énergie était publiée sur le site de fuite d’Alphv/BlackCat. « La DENA a été attaquée par une cyberattaque ce week-end. L’infrastructure du serveur a été attaquée », communiquait l’agence le 14 novembre 2023. Comme avait remarqué LeMagIT, la revendication est apparue sur le site vitrine de LockBit le 12 décembre.

    Le mercato est, semble-t-il, lancé. Le malheur des uns fait le bonheur des autres stipule l’adage. LeMagIT explique que « sur un forum russophone fréquenté notamment par des cybercriminels, l’opérateur de la franchise LockBit 3.0 a profité de l’occasion, et du désarroi des affidés de son concurrent, pour essayer de gonfler ses rangs. » Le groupe derrière NoEscape serait dans la tourmente également selon le tweet d’AzAl Security.

    Après Ragnar Locker, c’est AlphV/BlackCat qui voit son site vitrine disparaître. Pendant qu’il y a un site qui se ferme, un autre apparaît comme Hunters international.

  • Labelians, la polyclinique du Cotentin, SMG Confrère et la province des Loyauté victimes de cyberattaques par ransomware

    Labelians, la polyclinique du Cotentin, SMG Confrère et la province des Loyauté victimes de cyberattaques par ransomware

    Les attaques cybernétiques par ransomware ne connaissent pas de répit. LockBit et 8Base sont responsables, d’après leurs revendications, respectivement des incidents cybernétique de la polyclinique du Cotentin et de Labelians, quand à 8Base c’est la société SMG Confrère. Auparavant, APVL ingénierie, le groupe Apex Isast. Que se passe-t-il lorsque les victimes ne payent pas la rançon exigée ? La communauté de communes de Bresse Louhannaise et le Département du Loiret sont deux parfaits exemples.

    Le Département du Loiret fait l’objet le 4 novembre 2023 d’une intrusion non autorisée. Le ransomware LockBit mettait en ligne le 25 novembre les données exfiltrées. Selon la communication du Loiret du 27 novembre dernier, au stade des investigations « aucune donnée sensible n’a été mise en ligne sur le portail officiel de l’attaquant. Les données publiées ont été extraites d’un répertoire d’un serveur de fichier contenant l’historique du site archives-loiret. Le Département reste vigilant |…] »

    Sur 17 651 lignes est affiché le répertoire consultable des données en ligne. Dans les données qui représentent 24,51 GB de nombreux fichiers au format PNG sont en ligne.

    Par une étude du fichier, il est possible d’apprendre avec quel appareil photographique la prise de vue est effectuée, le lieu… (Crédits : capture d’écran/LockBit)

    Ainsi de précieuses informations sont accessibles à un œil averti : les différents réglages, la version du firmware de l’appareil, la focale, la marque, la date, les coordonnées… jusqu’au logiciel de retouche d’image utilisé. Ces données semblent désuètes, mais elles apportent des compléments aux habitudes des utilisateurs des systèmes d’information, avec d’autres types de fichiers également.

    La confirmation d’origine des fichiers exfiltrés s’affiche, ici : « Archives Départementales du Loiret ». Ces attaques remémorent celles perpétrées contre les hôpitaux, les communes de Morlaix, Betton ou Angoulême. « Malgré une année marquée par le conflit russo-ukrainien et ses effets dans le cyberespace, la menace informatique n’a pas connu d’évolution majeure, les tendances identifiées en 2021 s’étant confirmées en 2022. Le niveau général de la menace se maintient en 2022 avec 831 intrusions avérées contre 1082 en 2021 », analyse l’ANSSI. La communauté de communes de la Bresse Louhannaise ne fait pas défaut à cette statistique.

    La « Com Com » de la Bresse Louhannaise

    Les attaques à but lucratif sont la principale menace pour les collectivités territoriales martèle l’ANSSI. Elles peuvent également l’objet d’hacktivisme avec les défigurations de sites ou des actions à but de sabotage.

    Concernant les données volées de la communauté de communes de la Bresse Louhannaise, le dossier « Nodomain » est d’une taille de 2,4 GB. L’archive est de 3,4 GB décompressée avec 13 486 fichiers. Dans ce nombre se trouve cartes grises, contrôles techniques de véhicules, vieux rapports, documents RH, plannings de différents services…

    Mais il existe des documents où s’affichent des données personnelles sensibles (Numéros de sécurité sociale, courriels, dates de naissance, adresses…). Les données volées pourraient servir dans de futures attaques, usurpation d’identité, faux, usages de faux…

    Selon le rapport de l’ANSSI, près de deux cents collectivités territoriales ont subi des incidents entre janvier 2022 et septembre 2023.

    (Crédits : capture d’écran/LockBit)

    187 incidents en 18 mois

    De janvier 2022 à juin 2023, l’ANSSI a traité 187 incidents cyber affectant les différentes collectivités territoriales, soit une moyenne d’un tous les trois jours. Ils représentent 17 % de l’ensemble de ceux traités par l’ANSSI sur la période.

    40 incidents touchant des collectivités territoriales liés à des compromissions et chiffrements par ransomware ont été rapportés à l’ANSSI au cours de ladite période, soit plus d’un incident signalé sur cinq. Le rapport stipule que « parmi les souches de rançongiciels observées » celle de LockBit a été observée à 18 fois. Puis les souches HIVE, CONTI et PLAY ont également été observées à plusieurs reprises.

    En 2022, une collectivité affectée probablement par le biais du ransomware PLAY est contrainte d’isoler son système d’information d’Internet et de couper toutes ses interconnexions. C’est 158 services hébergés en interne qui sont à l’arrêt. Les services publics de la collectivité sont maintenus, en mode dégradé depuis le début de 2023.

    (Crédits : ANSSI)

    Labelians et la polyclinique du Cotentin

    Les deux entités sont affichées côte à côte sur le darkweb. Les opérateurs derrière le ransomware LockBit affichent un ultimatum à la date du 18 décembre 2023 peu après 20 h. Elles sont parmi les victimes comme deux cibles particulières. Pronat qui œuvre dans le monde de l’électronique, de l’aérospatial et du médical, avec un délai de 415 jours. Le même délai est accordé à la police péruvienne.

    Si le nombre de cyberattaques et de revendications recensées par LeMagIT en novembre est de 467. Elles s’ajoutent aux nombreuses victimes enregistrées depuis une année. En France, le nombre est relativement faible. Le nombre de cas connus est de 205 entre le mois de décembre 2022 et celui de l’année 2023, au 8 décembre avec la province des îles Loyauté le 8 décembre 2023.

    La liste des partenaires et le milieu respectif sont un possible facteur de choix. Ainsi Labelians et le monde médical à travers la polyclinique du Cotentin agrandissent le nombre de victimes connues en France.

    (Crédits : capture d’écran/LockBit)

  • La compagnie d’eau du nord du Texas victime de cyberattaque du ransomware Daixin

    La compagnie d’eau du nord du Texas victime de cyberattaque du ransomware Daixin

    Il y a tout juste une semaine, le 28 novembre 2023 le groupe de cybercriminels connus sous le nom de Daixin Team revendique la cyberattaque contre la compagnie d’eau du nord Texas (NTMWD). Depuis, les dossiers extirpés sont en ligne sur le site de fuite. Au nord-est du pays, l’état de Pennsylvanie est aussi la cible de cyberattaques de la part d’une organisation criminelle « Cyber Av3ngers ». Les infrastructures du système d’eau potable d’Aliquippa ciblés. Les opérateurs prenaient partiellement le contrôle sur la distribution.

    La compagnie North Texas Municipal Water District (NTMWD) subissait une cyberattaque fin novembre. Elle fournit deux millions de personnes en eau potable dans le nord du Texas, mais pas seulement. L’entreprise fournit également, avec plus de 850 employés, des services de gestion de l’eau, des eaux usées et des déchets solides à de nombreuses villes de l’État.

    Une enquête est en cours pour déterminer la teneur des fuites. Le réseau téléphonique est toujours en dérangement. « La plupart de notre réseau d’entreprises a été restauré. […] Nous continuons de fournir ces services comme d’habitude », a déclaré Alex Johnson, directeur des communications pour NTMWD.

    Le NTMWD a engagé des experts qui enquêtent activement sur l’ampleur d’une intrusion non autorisée. L’enquête comprend un examen de toute donnée potentiellement touchée par le district, ce qui prend du temps.

    Sur l’éventualité d’une rançon exigée par Daixin Team, l’entreprise n’a pas souhaité répondre à The Record.

    La CISA avait émis une note sur les attaques contre les sociétés de délivrance et de traitements de l’eau en octobre 2021.

    (Crédits : capture d’écran/Daixin Team)

    Déjà en 2021, des cyberattaques visant des infrastructures de traitement ou d’alimentation en eau touchaient les États-Unis. Une installation californienne d’approvisionnement en eau et de traitement des eaux usées, mais aussi dans le Maine et le Nevada. Ces incidents ont donné naissance à une alerte et un dossier de la part des services de sécurité américains (America’s cyber defense agency). The Record relate que des cybercriminels auraient entrepris d’empoissonner l’eau d’une station de traitement de la baie de San Francisco en janvier 2021. En février, une tentative de modification chimique à Oldsmar, en Floride et une autre en mai 2021 dans la commune de Belle Vernon en Pennsylvanie.

    33 844 fichiers sur le site de fuite

    Toutefois, Daixin Team avait annoncé la divulgation prochainement des informations volées, c’est désormais chose faite. Deux liens sont en ligne. Le premier est une arborescence des fichiers disponibles. L’autre propose les documents publiés. Les données sont découpées en trois fichiers TX1, TX2 et TX3.

    Des fichiers d’audit, des vidéos de lieux de construction d’infrastructure, au format PDF, XLSX… des photos de l’état des installations, des tuyaux… L’entreprise n’a pas fait plus de déclarations sur l’étendue des fuites et des circonstances de l’attaque.

    Sauf que l’incident dont elle est victime intervient un jour après qu’une attaque contre une autorité de l’eau en Pennsylvanie ait lieu. Une cyberattaque a frappé Aliquippa. La cyberattaque aurait incité les travailleurs à prendre du matériel hors ligne pour maintenir la pression de l’eau pour les usagers.

    (Crédits : capture d’écran/Daixin Team)

    L’eau d’Aliquippa attaquée par Cyber Av3ngers

    Municipal Water Authority of Aliquippa (MWAA), la compagnie des eaux de l’État de Pennsylvanie a fait l’objet d’une intrusion non autorisée le 27 novembre 2023. La revendication est effectuée par le groupe de cybercriminels pro-iranien Cyber Av3ngers. Ils auraient ciblé un équipement de confection israélienne employé par la firme, sous fond du conflit armé entre Israël et le Hamas. Celui-ci se trouve dans plusieurs entreprises aux États-Unis.

    L’objet fabriqué par la société israélienne Unitronics est utilisé dans les installations d’approvisionnement en eau et de traitement des eaux usées, le PLC.

    Matthew Mottes, le président du conseil d’administration de la municipalité de l’Autorité des eaux d’Aliquippa, a confirmé à KDKA-TV que le Cyber Av3ngers, avait pris le contrôle de l’une des stations. Une alarme s’est déclenchée dès que le piratage s’était produit. Ce qui a permis de reprendre le contrôle.

    L’agence pour la cybersécurité et la sécurité des infrastructures (CISA) n’a pas indiqué le nombre de cibles touchées. L’agence fédérale a informé les fonctionnaires du Sénat et de la Chambre des représentants que les pirates s’étaient introduits dans au moins 10 entreprises de traitement de l’eau relate CNN, selon une de leurs sources.

    (Crédits : MWAA)

    Ils seraient environ 1 800 PLC exposés dans le monde, dont quelques centaines comme celui visé par l’attaque d’Aliquippa. « Ces dispositifs compromis ont été publiquement exposés à Internet avec des mots de passe par défaut », a déclaré la CISA. En date du 1er décembre 2023, la CISA et ses partenaires publient un avis sur le groupe Cyber Av3ngers. Comme l’explique Zataz, leurs actions passaient sous les radars avant juillet 2023. Avant qu’en septembre ils revendiquent la perturbation de 150 serveurs appartenant aux chemins de fer israéliens.

  • Votre mot de passe est-il assez fort ?

    Votre mot de passe est-il assez fort ?

    La recrudescence des phishing, sweeping, Man-in-the-Middle, les attaques cybernétiques de type ransomware… et vos mots de passe volent en éclat. Des listes de mots de passe sont ainsi compilées en dictionnaire. L’opérateur malveillant qui souhaite accéder à vos données n’aura qu’à se servir de ces bases de données via des lignes de commandes… patatra !!! Vos données sont compromises, et votre vie privée ne l’est plus. Comment le rendre complexe, et surtout plus sécurisant ?

    Le mot de passe : quelle galère quand il s’agit de le choisir ! Comme de nombreuses personnes, la solution de facilité est de prendre le même pour tout. Ce qui facilite le travail des personnes malveillantes après le vol de votre mot de passe, pour ensuite être infecté par un ransomware. Tant que vous n’avez pas été victime tout va bien ? « Monumentale erreur ! » disait Arnold Schwarzenegger dans Last Action Hero en 1993. Cette formule est toujours d’actualité. Oui, il est difficile de retenir un mot de passe différent pour chaque inscription sur un site, une application… mais c’est nécessaire pour évitez les pires mots de passe et les catastrophes.

    Depuis 2019 jusqu’en 2022 le mot de passe « 123456 » est celui qui a trusté le meilleur classement. Il est premier en 2020 et 2021 et second en 2019 et 2022. Il représente à lui seul sur les quatre années 108 722 590 utilisateurs, soit la population totale de l’Espagne et de l’Italie réunie. Rassurez-vous « 123456789 » n’est pas loin avec 48 454 289 personnes l’ayant choisit. Pour clore le trio de tête, il ne manque que « 12345 » avec 36 144 521 choix.

    (Crédits : NordPass)

    L’évaluation s’effectue sur une base de données de 4,3 To extraite de sources accessibles au public, explique NordPass. En France les mots de passe suivants sont les plus plébiscités : 123456 (86656 personnes), 123456789 (38711 personnes), azerty (36579 personnes). Les trois nécessitent moins d’une seconde pour être déchiffrés.

    Choisir son mot de passe

    Peu importe le site où vous cherchez des conseils, ils sont quasiment identiques. Le site gouvernemental FranceNum relate l’importance de s’adapter avec la croissance rapide du piratage. Ainsi en 2020, un mot de passe de 8 caractères comprenant des lettres majuscules et minuscules, des symboles et des chiffres pouvaient être déchiffrés en 8 heures. « En 2023, il ne faut plus que 5 minutes. » Il préconise au minimum 11 caractères, et pour un solide au moins 17 caractères.

    Oui, sauf qu’il existe encore des sites où le nombre de caractères est limité à 8 voire 11, sans oublier les restrictions de caractères. Comment faire ? Le changer fréquemment dans ce cas et bien sûr, utiliser un gestionnaire de mot de passe. Alors, pourquoi ne pas choisir quelque chose de facile à se remémorer et qui n’apparaisse pas dans les dictionnaires de mots de passe ?

    Nombre de caractèresChiffres seulsLettres minusculesLettres minuscules et majusculesChiffres, lettres minuscules et majusculesChiffres, lettres minuscules, majuscules et symboles
    4,5,6ImmédiatImmédiatImmédiatImmédiatImmédiat
    7ImmédiatImmédiat1 seconde2 secondes4 secondes
    8ImmédiatImmédiat28 secondes2 minutes5 minutes
    9Immédiat3 secondes24 minutes2 heures6 heures
    10Immédiat1 minute21 heures5 jours2 semaines
    11Immédiat32 minutes1 mois10 mois3 ans
    …
    1714 heures18 000 ans2 milliards d’années48 milliards d’années380 milliards d’années
    186 jours481 000 ans126 milliards d’années1 trillion d’années26 trillions d’années
    Plus le mot de passe ou passphrase est long et diversifié, plus le temps nécessaire pour le déchiffrer sera long. Le but est comme la porte blindée, sécuriser et décourager le malfaiteur par rapport au gain espéré. La chute d’un ransomware et des cybercriminels en Ukraine est le parfait exemple. (Crédits : HiveSystems)

    Et si vous choisissiez une phrase ? Du style « Il s’est absenté sous un prétexte quelconque sans savoir où ». C’est un bon début et votre passphrase contient 59 caractères. Il faut avouer qu’il est plus simple à retenir que celui-ci « }4#atf^A~$jd6YD79zgD9_AC5a49kqJV23m.G7Gg,w4K5a-Lc!QS56:+(Y] » pour un même nombre de caractères, non ? La CNIL propose un outil pour générer un mot de passe solide. Ses préconisations sont d’avoir 1 nombre, une majuscule, un signe de ponctuation ou caractère spécial avec une douzaine de mots. L’exemple « Il s’est absenté sous un prétexte quelconque sans savoir où » peut alors devenir : « Il S’est absenté sous-1_prétexte quelConque 100 savoir houx ». C’est à chacun de trouver la bonne formule en fonction de l’usage.

    Fuites et failles

    Pour être sûr que votre mot de passe ne se trouve pas déjà dans un dictionnaire vous pouvez le passer à la moulinette de « Have i been pwned ». Pour rester sur le fameux « 123456 » le site WEB indique le résultat de plus de 37 millions de fois où celui-ci se trouve avoir fuité.

    Le 15 novembre 2023 sur Developpez, un article relate que la star-up Unciphered a découvert une faille en cherchant le mot de passe perdu par un client. Ce fameux client possède un compte où se trouvent 600 000 dollars en bitcoin. « Les experts d’Unciphered […] ont réalisé que le code utilisé pour le créer était également utilisé par des millions d’autres portefeuilles, et qu’ils pouvaient être piratés en quelques secondes. »

    Une vulnérabilité critique dans ownCloud est mise au jour par un article du 27 novembre 2023 sur IT-Connect. L’attaquant pourrait grâce aux failles récupérer le mot de passe administrateur.

    (Crédits : HaveIBeenPwned)

    Une dernière chose, dans cette partie de cache-cache, pensez à vider votre cache. Mais également si vous avez enregistré les mots de passe sur un fichier, et que pour plus de facilité vous utilisez Ctrl-C, Ctrl-V pour copier-coller votre mot de passe ou tout autre chose, attention. Prenez n’importe quel mot, phrase, sigle et copier le. Ainsi vous évitez de laisser la dernière chose copier en libre accès au prochain utilisateur, bienveillant comme malveillant. Ce qui peut-être pratique pour cacher le nom d’un cadeau, d’un restaurant, pour conserver la surprise.