La rentrée scolaire est un marronnier, elle l’est aussi côté ransomware. Après la fuite de données du site WEB de Pôle Emploi, c’est au tour du fournisseur d’énergie Engie de se trouver sous la lumière des projecteurs. Mais également la ville de Betton située en Ille-et-Vilaine qui vient de communiquer sur la cyberattaque dont elle est victime. La communauté de communes d’Aix Marseille Provence et celle des Gorges de l’Ardèche, le groupe MCDA ou encore Auto Pièces Reims…
Publié le 23 août 2023 sur le site de Zataz, un pirate affirme être en possession de près de 140 000 personnes uniques. Les données « proviennent d’un sous-domaine de engie.fr (Ma Prime Économie d’Énergie) à travers une faille n-day. » Ils contiennent le prénom, le nom, l’adresse e-mail, la ville, les numéros de téléphone et le numéro de client. Au total cela concerne 138 608 femmes et hommes qui se sont enregistrés entre 2018 et avril 2023 chez Engie. « Les adresses postales ont été supprimées, car je les considère comme non éthiques pour les clients qui n’ont rien demandé », affirme le pirate au site Zataz.
La prudence est de mise. La recrudescence de données exfiltrées pourraient amener de nombreuses tentatives d’escroquerie. (Crédits : capture d’écran/Lockbit)
Medusa revendique la cyberattaque de Betton
L’attaque est constatée le jeudi 31 août 2023 relate le communiqué. Durant la nuit un des serveurs de la mairie était ciblé. Dès la découverte, une plainte est déposée. Des sauvegardes permettent de préserver les informations fiables appuie la municipalité bretonne. La rançon demandée est de 100 000 $, sans paiement de la part de la commune, les données seront publiées et en libre accès comme celles de Sartrouville. Les opérateurs derrière ce ransomware ont affiché depuis Jules B, Skynet, Arani Cruises, Axis Elevators, Durham Fasteners et Len Italia.
La commune de Betton s’ajoute à la liste des victimes du ransomware Medusa. (Crédits : capture d’écran/Medusa)
Le ransomware bien connu Lockbit revendique les attaques des communautés de communes d’Aix Marseille Provence et celle des Gorges de l’Ardèche, le groupe MCDA ou encore Auto Pièces Reims… sans évoquer les entreprises, sociétés étrangères.
Le chercheur en cybersécurité, Jeremiah Fowler à découvert une faille dans le service d’escorte et dans l’application Fatal Model. Deux bases de données non protégées par mot de passe contenant plus de 18 millions d’enregistrements. Elles comportaient les données personnelles de clients et d’escortes, adresses électroniques… aussi la base de données de journalisation avec environ 14,7 millions d’enregistrements, d’un poids d’approximativement 19,17 Go, jusqu’au stockage en cloud chez Amazon Web Service (AWS) qui incluait plus de 3,5 millions de fichiers, soit 700 Go.
La fuite possible de ces données aurait pu, si ce n’est déjà fait, permettre de lancer des opérations de phishing, ou toute autre action malveillante. Les cybercriminels pourraient lancer une campagne d’extorsion par chantage, en menaçant d’exposer publiquement des informations sensibles ou privées. Les escortes comme les clients sont potentiellement des cibles. Les bases de données contenaient des adresses électroniques, des noms, des numéros d’identification d’utilisateur, etc.
Dans cette capture d’écran, apparaissent l’adresse ce courriel, le numéro de téléphone, les données de l’appareil de connexion. Il existe aussi des fichiers d’application, d’installation et de développement, des jetons d’accès administrateur et des informations sur les appareils des utilisateurs. (Crédits : Jeremiah Fowler/WebSitePlanet)
La prostitution est légale au Brésil depuis 2002. Elle est officiellement reconnue comme métier par le ministère du Travail et de l’Emploi. Mais la fuite de données, comme toute fuite peut présenter des risques importants concernant la vie privée des professionnelles et des clients. Les escortes et les clients supposent un certain niveau de confidentialité lorsqu’ils utilisent l’application et les services web de Fatal Models. Toute violation de données exposant des informations personnelles, des images ou d’autres détails pourrait potentiellement conduire à un harcèlement ou à une atteinte à la réputation.
Le site Fatal Model
Sur le site en question, créé en 2016, les dirigeants indiquent chercher à « autonomiser les professionnels du marché adulte, de briser les tabous sur la profession et d’agir comme un facilitateur pour contacter les clients par le biais de la technologie. » Selon la plateforme, elle a enregistré en 2020 plus de 100 millions d’utilisateurs et 275 millions d’accès.
Les détails de l’appareil de connexion, dans l’exemple un smartphone de chez Apple, avec le modèle vu, la version de l’operating system (OS)… sont contenus dans les enregistrements de journalisation. Cela représente 14,7 millions d’enregistrements pour un poids d’environ 19,17 Go. (Crédits : Jeremiah Fowler/WebSitePlanete)
Le contenu de la base de données est :
La base de données de journalisation contenait 14 669 275 enregistrements, pour 19,17 Go.
Sur le cloud AWS plus de 3 507 180 fichiers pour 700 Go.
Le compte AWS avait un dossier nommé « 2022 ». Il contenait 35 400 comptes d’escorte avec des images et des vidéos utilisées pour la vérification, la publicité ou les offres de services.
Dans un autre dossier nommé « 2023 », environ 33 900 comptes d’escorte avec des images de vérification, des photos, des vidéos…
La prostitution est telle au Brésil que le club de foot « Esporte Clube Vitoria » a signé un partenariat avec le site « Fatal Model ». Le logo du site apparaîtra sur les manches du maillot du club, sur les panneaux publicitaires et les billets vendus. (Crédits : Fluorite Videos/Ivan Verrengia/MKTEsportivo)
Dans la base de données existe des fichiers JavaScript explique Jeremiah Fowler qui peuvent inclure côté client des informations sensibles. Elles sont des clés API, des jetons d’authentification, qui peuvent permettre à des personnes malveillantes d’avoir accès à des systèmes ou à des ressources non autorisées. Mais le site use d’une technologie avancée pour vérifier l’identité des escortes et des clients. Son but est de protéger et de s’assurer qu’il s’agit de personnes réelles.
Donc dans chaque fuite de données, ou de suspicion, comme pour Pôle Emploi en France, il est nécessaire de surveiller vos comptes importants, de mettre à jour vos mots de passe, et attention aux tentatives de phishing. (Crédits : capture d’écran/Pôle Emploi)
À travers des enregistrements, des images et des coordonnées exposés dans la base de données, cela explique que « les fichiers indiquent que les utilisateurs ont été vérifiés par une société de logiciels biométriques, spécialisée dans les technologies de reconnaissance qui authentifient les individus sur la base de leurs traits faciaux » écrit Jeremiah Fowler. Toute action entraîne une réaction. Toute fuite de données engendre ou peut engendrer des expositions de vulnérabilités connues et les exploiter. Selon le profil des utilisateurs, des pratiques peu sûres pourrait compromettre des systèmes ou de lancer de futures attaques dans de petites, moyennes ou grandes entreprises en croisant les données qui fuitent suite aux attaques par ransomwares.
Le 26 août 2023, l’opération « Duck Hunt » était lancée. Son but anéantir l’infrastructure de Qakbot. Le programme malveillant Quakbot a infecté plus de 700 000 ordinateurs, facilité le déploiement de ransomwares. Il a causé plusieurs millions de dollars de dommages, près de 58 millions sous forme de rançons, qui ont été versés depuis 2007, explique Europol. Une coopération internationale de la France, l’Allemagne, la Lettonie, les Pays-Bas, la Roumanie, le Royaume-Uni et les États-Unis a mis fin à l’infrastructure du réseau.
Actif depuis 2007, Qakbot, connu également sous QBot ou Pinkslipbot, a évolué s’adaptant aux contre-mesures, et ainsi utilisant différentes techniques pour infecter les utilisateurs et compromettre les systèmes. Par des conférences de presse ce mercredi 30 août 2023 en France comme aux États-Unis, les différentes autorités ont confirmé leur participation comme la chute de l’infrastructure. L’opération s’étant déroulée quatre jours plus tôt. C’est 8,6 millions de dollars en cryptomonnaie qui sont récupérés par cette opération.
La victime reçoit un courriel avec une pièce jointe ou un lien hypertexte. Elle clique dessus. Elle est incitée à télécharger des fichiers malveillants en imitant un processus légitime. Enfin, exécution de logiciels malveillants tels que des ransomwares, vol de données, d’informations, de frappes au clavier et/ou des informations d’identification. (Crédits : Europol)
Qakbot s’infiltre dans les ordinateurs des victimes par le biais de courriels de spam contenant des pièces jointes ou des liens hypertextes malveillants. Une fois installé, le logiciel malveillant permet des infections avec des charges utiles telles que des rançongiciels. Il peut aussi servir et devenir un élément d’un réseau d’ordinateurs compromis contrôlé simultanément par les cybercriminels, souvent à l’insu des victimes. Mais Qakbot se concentre principalement sur le vol de données financières et d’identifiants de connexion à partir de navigateurs web.
Qakbot a été utilisé comme premier moyen d’infection par de nombreux groupes de ransomware prolifiques ces dernières années, notamment Conti, ProLock, Egregor, REvil, MegaCortex et Black Basta. D’autant qu’Anonfiles un des sites de stockages les plus utilisés par les pirates informatiques à mis fin à ses activités relate Zataz. (Crédits : FBI/YouTube)
L’enquête suggère qu’entre octobre 2021 et avril 2023, les administrateurs ont reçu des honoraires correspondant à près de 54 millions d’euros de rançons payées par les victimes. L’examen légal de l’infrastructure saisie a révélé que le logiciel malveillant avait infecté plus de 700 000 ordinateurs dans le monde. Les services répressifs ont détecté des serveurs infectés par Qakbot dans près de 30 pays d’Europe, d’Amérique du Sud et du Nord, d’Asie et d’Afrique, ce qui a permis au logiciel malveillant d’agir à l’échelle mondiale. Selon le procureur fédéral Martin Estrada, 200 000 systèmes auraient été infectés aux États-Unis sur les 700 000 à travers le monde, dont 26 000 en France.
Le Pôle Emploi dans la tourmente suite à un acte de « cyber malveillance » dont l’entité est victime. Un vol de données confidentielles, notamment les prénom et nom, numéro de sécurité sociale… Jusqu’à dix millions de personnes pourraient être touchés selon les estimations hautes. Déjà en 2021, près de 1,2 million d’informations avaient été extraites du même Pôle Emploi. Le « pirate » affirmait les vendre « à différentes agences marketing et à des particuliers » expliquait le site Zataz, avant de se raviser.
C’est par un communiqué du 23 août 2023 de l’agence pour l’emploi informe de l’acte de « cyber malveillance » subi : « Suite à un acte de cybermalveillance dont l’un des prestataires de Pôle emploi a été victime, des données personnelles concernant des demandeurs d’emploi sont susceptibles d’être divulguées. » La direction de Pôle Emploi porte plainte.
Suite à cet acte, la direction du Pôle Emploi demande aux assurés « de rester vigilants face à tout type de démarche ou proposition qui pourrait paraître frauduleuse. » Des fuites de données font aussi l’actualité chez SevenRooms (1 205 385 comptes ), Duolingo ( 2 676 696 comptes) et Atmeltomo ( 580 177 comptes). (Crédits : capture d’écran Pôle Emploi)
C’est à travers un de ses sous-traitants, l’entreprise Marjorel confirme Le Parisien, que les données des assurés du Pôle Emploi sont exposées. Cette entreprise est responsable de la numérisation et du traitement des documents transmis par les demandeurs d’emploi. « Les nom et prénom, le statut actuel ou ancien de demandeur d’emploi, ainsi que le numéro de Sécurité sociale […] pourraient être concernés », précise Pôle Emploi. En revanche, l’organisme indique que les adresses emails, numéros de téléphone, mots de passe et coordonnées bancaires ne seraient pas concernés. Des enquêtes sont diligentées pour en connaître l’auteur.
Vol de données contre de l’argent
Comme l’écrit Damien Bancal sur Zataz, un pirate informatique avait volé des informations à Pôle Emploi en 2021. Son but était de faire de l’argent tout simplement. La faille MoveIT selon l’analyse de Coverware, aurait permis au groupe CloP de gagner entre 75 et 100 millions de dollars. Selon les informations du site Zataz, le pirate dénommé « PieWithNothing » aurait commercialisé dès le 8 août 2023 deux fichiers Pôle Emploi. D’après les informations, le premier concerne 1,2 million d’assurés datant de 2021, le second de 2022. Ce dernier comprendrait selon les échanges entre les protagonistes : le nom complet, l’âge, le numéro de téléphone portable, l’e-mail, la commune de résidence, le niveau de formation, les expériences, la détention du permis de conduire, disponibilité d’une voiture, emploi souhaité, géolocalisation. Les deux fichiers seraient commercialisés pour 900 $.
La rentrée pointe le bout de son nez que l’actualité démontre que les cyberattaques n’ont pas pris de vacances. Alors que la ville d’Angoulême se met petit à petit en ordre de marche, c’est la ville de Sartrouville qui fait les frais du ransomware Medusa depuis le jeudi 17 août 2023. L’école vétérinaire de Nantes est aussi victime d’une attaque cybernétique, mais déclarée le 7 août. L’attaque n’est pas encore revendiquée par les opérateurs derrière cette opération criminelle.
La mairie de la première ville de Charente affiche le tempo. L’attaque dont elle a été victime dans la nuit du 24 au 25 juillet 2023 mobilise encore les services. Depuis la mi-août, la mairie informe que deux logiciels ont été réinstallés. Mais que parallèlement les investigations se poursuivent. Alors que les manifestations de la commune vont attirer de nombreuses personnes. En premier, la 16e édition du film Francophone d’Angoulême du 22 au 27 août et du circuit des remparts lors du week-end des journées du patrimoine.
La ville et l’agglomération de Grand Angoulême ont été victimes toutes deux de la cyberattaque. La reprise se fait tout en douceur, et peut prendre plusieurs semaines, voire des mois. Le communiqué de la ville affirme que 250 serveurs étaient touchés. Comme la ville de Lille qui malgré l’antériorité de l’attaque, continue de souffrir. (Crédits : Grand Angoulême)
Sartrouville victime de Médusa
Le jeudi 17 août 2023, la commune des Yvelines subit une cyberattaque par le ransomware Médusa. Dans le communiqué de presse, l’édile, Pierre Fond affirme que « nous tenons à assurer nos citoyens que toutes les mesures nécessaires ont été prises pour résoudre cette situation dans les plus brefs délais. Notre équipe informatique travaille sans relâche pour rétablir l’intégralité de nos services. […] ». Une plainte a bien sûr été déposée auprès de l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC).
Sur le site de fuite de Médusa, des preuves viennent corroborer la cyberattaque. La possibilité de naviguer dans l’arborescence du site, et même d’en télécharger l’arbre. Le montant de la rançon demandé est de 500 000 dollars. (Crédits : capture d’écran/Médusa)
Dans l’arbre d’arborescence se retrouvent des documents sur les food-trucks, les subventions, des rapports sur la vidéoprotection… Les données auraient été chiffrées. La mairie souligne que l’impact a été « limité grâce à leur vigilance et à la rapidité d’intervention » en parlant des équipes techniques.
L’école vétérinaire de Nantes touchée
L’école vétérinaire Osiris de Nantes essuie une cyberattaque. Elle s’est déroulée le 7 août informe Ouest-France. Au stade de l’enquête, seul un « serveur comprenant un annuaire des personnels de l’établissement, avec comme seules données les noms, prénoms et adresses mail professionnelles » auraient été copiés, explique la communication d’Oniris. L’attaque n’a pas été encire revendiquée. Une plainte a également été immédiatement déposée auprès de l’OCLCTIC.
L’école nationale vétérinaire, agroalimentaire et de l’alimentation de Nantes, Oniris subie une cyberattaque depuis le lundi 7 août. Une plainte a été déposée auprès des forces de l’ordre, ainsi qu’une notification auprès de la CNIL. (Crédits : Oniris-Nantes)
« Nous avons verrouillé tout notre système informatique », se veut rassurant Oniris. La communication insiste que « les membres ont été prévenus que leur adresse e-mail Oniris était pour le moment inutilisable ; aucun mail ne peut être reçu ni envoyé. »
Le nombre est conséquent. Sur l’année 2023, l’entreprise de cybersécurité Fortinet tient les comptes. Elle indique que le pays d’Amérique centrale qu’est le Salvador a subi pas moins de 24 millions de cyberattaques. Toutes ces agressions se sont déroulées lors du premier trimestre de 2023. L’Amérique latine est en proie à une chasse appuyée. Le Mexique, le Brésil, la Colombie, le Pérou ou encore le Costa Rica endurèrent dans un temps plus ou moins proche des attaques plus ou moins dévastatrices.
La cible des cybercriminels ? Tout système d’information que ce soit votre smartphone, tablette, IoT, votre ordinateur personnel ou professionnel. La finalité engrangée de l’argent, des secrets, des données… En France, les dernières victimes sont la ville d’Angoulême et l’agglomération Grand Angoulême, le 24 juillet 2023. Les deux entités ont subi une cyberattaque. L’origine de l’attaque cybernétique serait un simple courriel explique le reportage de France 3.
Les images diffusées peuvent informer de systèmes, outils ou renseignements pour mieux cibler les cyberattaques prochaines. (Crédits : capture d’écran/Facebook/Angoulême)
11 millions en janvier, 9 millions en mars
Le pays qui compte près de 7 millions d’individus voit ses infrastructures mises à rude épreuve. Les méthodes les plus classiques de ces cybercrimes sont le phishing, des documents corrompus, des manques accrus de sécurité. Elles sont souvent conjuguées à différentes offensives, par exemple les ransomwares, les dénis de services (DDoS).
Les dommages peuvent paralyser partiellement, ou complètement un pays en souffrance comme le fut le Costa Rica. Elles sont des vecteurs d’attaques lors de conflits armés, de guerre commerciale, de guerres armées, de déstabilisation. (Crédits : StockSnap/Pixabay)
Le pays dans cette région d’Amérique, le Costa Rica détient le record avec deux milliards. Les pays d’Amérique latine les plus visés sont sans conteste le Mexique, le Brésil, la Colombie et le Pérou. Cette partie du monde concentre plus de 360 milliards d’attaques ou tentatives d’attaques explique le quotidienLa Prensa Grafica. Une cyberhygiène semble nécessaire, car un adage précise que tout incident « informatique » est issu de l’entité située entre la chaise de bureau et le système d’information.
Le groupe « Guacamaya » s’attaque aux sites des armées
En septembre 2022, le gouvernement mexicain se retrouvait confronté à l’une, sinon la plus grande cyberattaque., du moins celle connue du public. Ainsi, des dizaines de milliers de courriels étaient exposés. Les premiers datent de 2016 à septembre 2022. Ils révélaient l’état de santé du président Andrés Manuel López Obrador, des différents chefs de l’armée chilienne, soit 6 téraoctets d’informations plus ou moins sensibles du ministère de la Défense nationale chilienne, la Sedena.
Ce sont 10 téraoctets d’informations, dont certaines ultrasensibles, qui étaient volés au Chili, au Mexique, au Salvador, au Pérou et en Colombie par le groupe de cyberactivistes, Guacamaya. Comme dans les précédentes affaires, des journalistes ont commencé à en divulguer le contenu. (Crédits : Latinus/YouTube)
Selon Latinus l’objectif principal du groupe, qui se fait appeler « Guacamaya », était de révéler des informations de l’armée chilienne, qu’il a réussi à pénétrer, ainsi que les serveurs Internet des armées du Salvador, du Pérou, de la Colombie et du Mexique. De même l’état-major interarmées (EMCO) avait contraint la ministre chilienne de la Défense, Maya Fernández à revenir au Chili pour gérer une cellule de crise. Les activistes de « Guacamaya » n’en étaient pas à leur première opération. En août 2022, selon la plateforme DdoSecrets.com, ils divulguent plus d’un téraoctet de courriels provenant de sociétés minières et pétrolières du Brésil, de Colombie, du Chili, de l’Équateur, du Guatemala et du Venezuela, relate El Universal. Les actions contre les multinationales, gouvernements, Pays… passent désormais via l’Internet, une nouvelle guerre à d’ores et déjà commencée.
Les opérateurs usant de ransomware prennent encore moins de pincettes pour diffuser les données volées. Suite aux cyberattaques, il est légion de voir des chiffres hallucinants et effrayants. D’autant que si le nombre de petites attaques réussies augmente de manière significative, les cyberattaques envers les grosses entreprises ne sont pas en reste. Le but persistant toujours l’argent des rançons. En 2022, la somme récoltée passait de 766 millions de dollars à 457 selon Chainalysis. Elle pourrait s’élever à 900 millions de dollars en 2023, selon le rapport.
D’un côté comme de l’autre, la liste des victimes des divers ransomwares s’allonge. Les Cl0P, Alphav ou encore LockBit proposent même les archives dans différentes pages ou onglet. Chez LockBit, les informations sont à hauteur de 275 Gb pour Aimtron, 243 Gb pour Ibafrance, plus de 4 Tb en plusieurs fichiers pour Mundo-r ou encore Ifcaire est annoncé à 181 Gb. Tout comme l’agence Magnum dernièrement placardée qui devrait voir ses données exposées pour le 29 juillet 2023.
Alors quand Snatch affiche 4 TB d’informations sur l’hôpital général de Tampa dans le centre ouest de la Floride, cela permet de relativiser. Ou davantage avec la compagnie chinoise Ningbo Joyson Electronic Corp. où cette fois c’est pas moins de 20 TB. (Crédits : capture d’écran/Snatch)
Pour comprendre l’ampleur des chiffres, il suffit de différencier les millions et les milliards, ou les Megabytes aux Terabytes. Si 1 Mb équivaut à une seconde, cela représente 11 jours, 46 minutes et 40 secondes. Pour 1 Tb, cela symbolise 31 ans, 251 jours, 7 heures 46 minutes et 40 secondes. Soit un écart de 31 ans, 240 jours et 7 heures.
Rien à cacher ?
Souvent, la phrase entendue est « ça va, je n’ai rien à cacher ! » . D’autant plus si vous vivez pécuniairement de votre vie privée sur les réseaux sociaux. Pour les autres, vous n’avez rien à cacher jusqu’au moment où vous faites partie intégrante des données exposées, vous comprenez que c’est problématique. L’usurpation d’identité est courante, les faux également. Quand les données sont recoupées, analysées, cela devient une mine d’or pour toute personne les utilisant. Lorsque le groupe de cybercriminels usant du ransomware Alphv/BlackCat révélerait des données du groupe Estée Lauder et de VOG (Home of apples). Ainsi de nombreuses identités et autres informations pourraient être jetées en pâture. Vous pouvez ainsi croiser des données pour en obtenir davantage et ainsi attaquer de plus grosses entreprises.
Un jeune homme de 26 ans sera jugé par le tribunal judiciaire de Paris le 15 novembre 2023, relate FranceTVinfo. Il est convoqué pour une comparution immédiate sur reconnaissance préalable de culpabilité. Il est soupçonné d’avoir commis le vol de données personnelles de 2 800 employés du journal Le Monde. (Crédits : Elias/Pixabay)
Gagner encore plus d’argent
Le rapport de Chainalysis indique que les sommes payées avaient diminué en 2021. Il faut dire que 2020 et 2021, les profits engendrés atteignaient des sommets avec respectivement 765 et 766 millions de dollars. Selon les dernières observations de Chainalysis, les cyberattaques avec rançongiciel ont rapporté en 2023 près de 450 millions de dollars aux cybercriminels, au premier semestre 2023.
Si certains ransomwares ont disparu, comme Conti ou Revil/Sodinokibi, Cl0P et LockBit font la part belle aux cyberattaques. Sans oublier les nouveaux venus : cAcTUS, Médusa, Akira, 8Base, Bianlian… Les sommes des rançons pourraient atteindre les 900 millions cette année, selon les estimations de Chainalysis. (Crédits : Chainalysis)
Coverware indique qu’au deuxième trimestre de 2023, le pourcentage de cyberattaque par ransomware ayant donné paiement d’une rançon par la victime chute à 34 %. Pour autant le nerf de la guerre est l’argent. Prenons l’exemple d’un cabinet médical qui voit l’ensemble de ses données chiffrées, et qui faute de sauvegarde subit un impact dévastateur. L’impact est de 100 %, mais sa réserve financière est faible, donc la rançon ne pourra qu’être minime.
Selon l’analyse de Coverware, le groupe CloP aurait gagné entre 75 et 100 millions de dollars rien qu’avec la campagne MoveIT, peu de cibles, mais de fortes rançons. « À titre indicatif, ce montant est supérieur au budget annuel du Canada en matière de sécurité offensive ». (Crédits : Coverware)
De l’autre côté, une multinationale aura un système de protection des systèmes d’information sans doute élevé. Donc le bénéfice de toute attaque doit être supérieur aux coûts, c’est le B.A.BA de chaque entreprise, légale ou non, faire du profit. Coverware explique que le groupe criminel Cl0P a « augmenté de façon spectaculaire la demande moyenne qu’il adresse aux victimes. […] un très faible pourcentage de victimes a pris la peine d’essayer de négocier, sans parler d’envisager de payer. Celles qui l’ont fait ont payé beaucoup plus que les campagnes CloP précédentes, et plusieurs fois plus que la rançon moyenne mondiale de 740 144 $ (+126 % par rapport au premier trimestre 2023). » Que les cyberattaques soient le fait de groupes criminels ou d’États, le but de perturber la disponibilité ou compromettre l’intégrité des processus commerciaux et opérationnels.
Plusieurs cyberattaques se sont déroulées en France le 2 juillet 2023. Deux sont de notoriété publique. La première concerne l’aéroport de Montpellier, la seconde celle de la ville et de l’agglomération d’Agen. Les auteurs de l’attaque sont encore inconnus. Du côté de Montpellier c’est l’aéroport qui subissait lors de la nuit du 1er au 2 juillet une attaque très violente. Plusieurs jours seront nécessaires pour avoir la situation « sous contrôle ». Aucune fuite de données n’aurait eu lieu selon les victimes.
Une semaine avant les grands départs en vacances, l’aéroport de Montpellier subissait une cyberattaque « très violente » selon un responsable de l’encadrement. Le retour au papier crayon pour gérer la bagagerie ou l’embarquement raconte France 3, aucune annulation de vol ne sera effectuée. Le dimanche des retards marquaient les vols, mais tous prenaient la piste.
Cette panne provoque des temps d’attente plus importants que d’habitude pour les voyageurs, car les agents doivent enregistrer manuellement chaque passager et chaque bagage. Tout est mis en œuvre pour que le problème soit résolu dans la journée.
Emmanuel Brehmer. Président du directoire de l’aéroport de Montpellier
Sauf que la remise « sous-contrôle » ne s’opérera que le mercredi. Une plainte a été déposée auprès de la Gendarmerie, un signalement à la CNIL. « D’après les premiers éléments techniques dont nous disposons, il n’y aurait pas eu de fuite de données », relate le Midi Libre.
600 postes de travail touchés
De son côté, la ville d’Angers par un communiqué du 5 juillet 2023 confirmait avoir « connu ce dimanche 2 juillet 2023 une attaque informatique malveillante. L’accès à plusieurs serveurs a été bloqué et notamment les serveurs de mails. De nombreux services ont été impactés. » L’attaque semblerait être issue d’un pays à l’est de la France explique Sud Ouest.
« Les Jeux olympiques, c’est fondamentalement un événement hors normes, à tout point de vues, y compris en cybersécurité », indique Vincent Strubel, nouveau directeur général de l’agence nationale de la sécurité des systèmes d’information. (Crédits : France Inter/YouTube)
Valérie Pitous, la directrice de cabinet du maire Jean Dionis, rapportait que « nous nous sommes rendu compte assez vite de la situation et nous avons pu agir rapidement pour éviter le cryptage d’un grand nombre de données. Nous avons essayé de mettre en place des solutions pour ne pas trop perturber le fonctionnement de nos collectivités et l’activité des services. » La situation semble s’être nettement améliorée.
Une même situation au port de Nagoya
Le 5 juillet, c’est le port de Nagoya au Japon qui subissait une cyberattaque. Ce dernier affirmait que le système de gestion des chargements et déchargements des conteneurs avait été infecté. Le site WEB JIJI relate qu’une confirmation que des lettres de menace ont été envoyées à des entreprises liées au port. Rédigées en anglais, il est entendu de leur provenance émanerait du ransomware LockBit. La police préfectorale d’Aichi enquête.
Le ransomware LockBit affiche des victimes japonaises tel que la société Nagase spécialiste de la fabrication de produits chimiques, mais pas celle concernant les entreprises tout autour du port de Nagoya. (Crédits : capture d’écran/LockBit)
L’Association des transports portuaires de Nagoya (Nagoya Harbor Transportation Association) indique que la panne du système s’est produite vers 6 h 30 le 4 juillet dernier. Les porte-conteneurs qui utilisent le port transportent des marchandises principalement liées à l’automobile, mais aussi des appareils électroménagers et des produits alimentaires. Un temps d’attente qui affecterait les denrées.
Une biscuiterie française attaquée
La biscuiterie française Mercier, basée à Baugy dans le Cher a subi une cyberattaque vendredi 7 juillet. La conséquence est l’arrêt de production complète durant trois jours. Une équipe spécialisée a œuvré jusqu’en encore lundi 10 juillet au matin. L’ensemble de la firme se trouve bloqué. « Il nous faut encore quelques jours pour voir comment on va avancer », explique le chocolatier Daniel Mercier à la journaliste du quotidien Le Berry Républicain. « Face à un événement comme cela, on est démuni […] Quand ça vous tombe dessus, c’est très violent. C’est juste terrifiant », conclut l’homme d’affaires.
Celui qui avait subi une cyberattaque le 5 mars 2023 voit quatre mois plus tard tout ou partie de ses données en libre accès sur le DarkWeb. Suite à cette offensive cybernétique et à la propagation des informations, l’entité de santé alerte sur les possibles tentatives de malversations. « Il est conseillé à chacun d’être attentif au risque de faire l’objet de tentatives de fraude ou d’usurpation d’identité ou de fraude ». Les données diffusées représentent plus de 4, 5 Térabytes, soit 4500 GB.
Les cybercriminels usant du ransomware « Ramsom House » qui ont mené la cyberattaque contre l’hôpital le 5 mars dernier, ont publié toutes les données qu’ils ont dérobées selon l’hôpital, qui a confirmé que la publication ou l’utilisation de ces données constituait un délit.
Cinq jours après l’attaque, une demande de rançon de 4,5 millions de dollars était formulée. Le but était de restituer les données, contre menue monnaie. La Generalitat s’y refusait. La réponse des opérateurs derrière Ransom House ne se faisait pas attendre. Le 30 mars, le groupe publiait entre trois et quatre gigaoctets des informations volées. Le 16 avril, les pirates ont à nouveau livré des données volées.
Des lignes et des lignes de données se suivent, des dossiers de protocoles, des informations sur des biopsies… sans parler des informations concernant le personnel, rien n’échappe à cette fuite massive d’informations. (Crédits : capture d’écran/Ransom House)
Dans le communiqué du 5 juillet 2023, l’établissement de santé met en garde « tous ceux qui pourraient accéder, intentionnellement ou non, aux données confidentielles volées illégalement, qu’ils pourraient commettre un délit de divulgation de secrets prévu par le Code pénal, et que le corps des Mossos d’Esquadra pourrait les poursuivre dans le cadre des procédures policières et judiciaires correspondantes ».
La finale du championnat de France vient juste de couronner Toulouse face à La Rochelle, qu’un coup de tonnerre tombe sur l’ovalie, à moins de 78 jours de la coupe du monde. Mais le groupe revendique et affiche ce mercredi 21 juin 2023 d’autres victimes françaises. Le groupe Pacte novation basée à Issy-les-Moulineaux. Le premier est spécialisé en ingénierie informatique, mais comprend Novasys Inégénierie et Assigraph International. Puis le groupe Salins, l’un des principaux saliniers européens.
C’est par un post de l’Union Sportive Néracaise qui annonçait que la Fédération française de Rugby avait subi une « cyberattaque majeure » le 12 juin dernier que l’information apparaissait. Le 21 juin 2023, la fédération n’avait pas donné de nouvelle suite à la mise en place d’une cellule de crise. Le groupe criminel Play indique laisser un délai avant la publication des données le 27 juin.
Le communique de presse a été publié ce jeudi 22 juin. « La Fédération Française de Rugby tient à rappeler que la protection des données du réseau fédéral reste une de ses plus grandes priorités.. » (Crédits: Capture d’écran/FFR)
La fédération à depuis publié un communiqué indiquant que l’attaque serait survenue entre le 7 et le 8 juin. « Dès que l’attaque a été identifiée, le 8 juin à midi, les équipes de la FFR ont rapidement pris des mesures », explique l’entité. Cette attaque a principalement affecté les serveurs de messagerie. C’est également le cas pour les groupes Salins et PacteNovation. Le site du dernier n’est plus accessible en ligne.
Le groupe de cyberdélinquants Play affiche 19 victimes de leurs attaques dans le même jour de la fête de la musique. LeMagIT informait de cette mise en ligne et revendication de la cyberattaques. (Crédits : capture écran/Play)
La firme usant du ransomware a également mis en ligne les entreprises Luis Simoes dans la logistique et le transport au Portugal, Allpro Consulting Group au Texas, PWI Engineering dans le New Jersey, Omnipol en Tchéquie… Tout autant d’entreprises qui risquent de voir leurs données accessibles à tout un chacun sur le dark web.
