La cyberattaque dont le géant sud-africain est victime le 16 mars 2025 a des effets immédiats. L’entreprise annonce, dans un communiqué officiel, le 24 mars qu’elle s’attend à voir son bénéfice semestriel chuter de 60 %. Cette attaque modifie et perturbe la production et les livraisons de ses produits. La firme se veut rassurante en indiquant « qu’aucune information confidentielle ou sensible n’a été compromise ». Cette histoire remémore la cyberattaque de la ferme états-unienne qui avait perdu 9 millions de dollars au final en 2021.
Le 16 mars 2025, la section avicole de la compagnie sud-africaine Astral Foods est à l’arrêt complet suite à une cyberattaque. En toute bonne foi, la compagnie assure avoir réagi « rapidement en mettant en œuvre tous les protocoles de reprise après sinistre et les plans de préparation. Cependant, notre division Volaille a été affectée par des temps d’arrêt dans la transformation et les livraisons aux clients. »
Conséquences diverses suite aux cyberattaques
Les cyberattaques touchent de très nombreuses sociétés à travers le monde. Certaines sont des TPE, PME mais aussi des multinationales. L’impact d’un tel traumatismes est différent d’une société à une autre, le tout en fonction de la conjoncture. Quelques unes s’en sortent sans trop de dommages, quand d’autres peuvent , en France , passe en redressement judiciaire, voire en liquidation. Ces cyberattaques font subir à leurs victimes une accélération avec des conséquences désastreuses parfois.
L’industrie avicole sud-africaine vit des moments particuliers. Les causes sont : la hausse des coûts de production, les conditions économiques compliquées et la baisse du prix du poulet. Cet incident cybernétique provoque la perte de 20 millions de rands (environ un million d’euros). Ainsi, Astral Foods estime que le bénéfice net par action ne devrait pas diminuer de plus de 60 %.
Selon le marché international le prix de la volaille a diminué de 0,01 BRL/kg, ou 0,12 % depuis le début de 2025 (l’unité de mesure le BRL est le Réal brésilien par kilogramme, NDLR).
En 2023, Les États-Unis représentent 17,5 % de la production mondiale devant la Chine (13,3 %) et le Brésil (12,3 %). Les producteurs de céréales utilisées dans l’alimentation de la volaille sont la Chine (20,4 %), États-Unis (18,4 %) et Brésil (6,5 %). (Crédits : Quang Nguyen/Pexels)
Le prix record est de 8,60 BRL/kg en septembre 2021, il affiche 8,29 BRL/kg à l’écriture de cet article (31/03/2025. La production mondiale de viande de volaille devrait atteindre plus de 141,3 millions de tonnes. La croissance affichée, selon les données de l’OCDE et la FAO est de 11 %. Elle devrait atteindre près de 160 millions de tonnes, lors de la prochaine décennie. Quant au traitement des volailles lors de leurs élevages : rien n’indique l’augmentation des bons traitements, comme l’accroissement de l’espace de vie, la vue de la lumière naturelle et le fait de manger de l’herbe.
Une perte de 9 millions de dollars suite à une cyberattaque
Une affaire similaire touche une ferme états-unienne en janvier 2021. La raison une attaque cybernétique de type ransomware qui bloque temporairement les activités agricoles d’une ferme. Elle entraîne des pertes d’environ 9 millions de dollars. De nombreuses entreprises à travers le monde ne se relèvent pas des suites des cyberattaques. Un exemple en France avec la société Octave : une cyberattaque survenue le 16 août 2024, liquidation judiciaire le 19 mars 2025.
Des sociétés de production de viande sont régulièrement la cible de cyberattaque. La compagnie JBS USA est la victime en mai 2021, du groupe Sodinokibi/REvil indique le FBI. Les conséquences sont multiples. L’interruption complète de ses activités, qui affecte durablement l’approvisionnement des supermarchés. « Il va sans dire que le bœuf a disparu des rayons de nombreux magasins aux États-Unis. »
L’entreprise a fait le choix de payer une rançon aux criminels. Le montant réglé est de 11 millions de dollars. Le but est d’éviter la perte des données de l’entreprise, des clients et des employés.
La note du département de la justice américaine indique une hausse du prix de gros jusqu’à 25 %. (Crédits : Tom Fisk/Pexels)
Le 14 janvier 2022, le FSB annonce le démantèlement du groupeSodinokibi/REvil. Au total, quatorze personnes sont arrêtées. 426 millions de roubles, soit environ 4,8 millions d’euros et 20 voitures de luxe sont saisis.
Mikhail Pavlovich Matveev, est appréhendé par les forces de l’ordre russes. Célèbre programmeur et cybercriminel, il est poursuivi pour avoir conçu un programme pour chiffrer les données d’un système d’information, autrement dit un ransomware. Connu sous les pseudonymes Wazawaka, m1x, Boriselcin, unc1756, Uhodiransomwar et Orange, il est recherché par le FBI. Les autorités américaines offrent jusqu’à 10 millions de dollars pour les informations conduisant à son arrestation.
Mikhail Pavlovich Matveev est associé, selon l’acte d’accusation du FBI, à de nombreuses variantes de ransomware, à savoir Lockbit, Babuk et Hive. Vendredi 29 novembre 2024, le bureau du procureur à Kaliningrad qui n’a pas encore communiqué de détails sur l’identité de l’individu le décrit comme un « programmeur ».
« À l’heure actuelle, l’enquêteur a recueilli des éléments de preuve suffisants, l’affaire pénale avec l’acte d’accusation signé par le procureur a été renvoyée au tribunal central de district de la ville de Kaliningrad pour examen sur le fond », a déclaré le ministère russe de l’Intérieur dans un communiqué, relate Bleepingcomputer.
Les communiqués des autorités américaines indiquent qu’en juin 2020, il aurait avec LockBit déployé des ransomware sur le réseau d’un organisme des forces de l’ordre dans le comté de Passaic, dans le New Jersey.
En avril 2021, avec le ransomware Babuk, il aurait ciblé les systèmes du département de la police métropolitaine à Washington, D.C. et de l’attaque du Colonial Pipeline revendiqué par DarkSide.
(Crédits : FBI)
Puis en mai 2022, avec Hive, il est accusé d’avoir chiffré les données contenues dans les systèmes d’information d’une organisation de soins de santé dans le comté de Mercer, dans le New Jersey. Mikhail Pavlovich Matveev est inculpé en vertu de la partie 1 de l’article 273 du Code pénal de la Fédération de Russie, il risque jusqu’à quatre ans de prison. Le tribunal de Saint-Pétersbourg a rendu son verdict dans l’affaire des quatorze accusés dans l’affaire du ransomware REvil. Quatre membres du ransomware REvil écopent au mois d’octobre 2024, de peines allant de 4 ans et demi à 6 ans de réclusion criminelle.
Selon l’entreprise australienne, une attaque informatique a été détectée dans son réseau le 12 octobre 2022. Elle était conforme aux signes précurseurs d’une cyberattaque par ransomware. L’assureur maladie a confirmé aujourd’hui 9 novembre 2022 que les données personnelles appartenant à approximativement 9,7 millions de ses clients actuels et anciens ont été consultées. Elles sont accessibles sur le Darknet, 826 014 fiches au format « csv » sont téléchargeables.
L’entreprise australienne refuse de payer une rançon après que 9,7 millions de clients ont été exposés au piratage d’un ransomware. « Ce chiffre représente environ 5,1 millions de clients Medibank, environ 2,8 millions de clients ahm (pas de dates d’expiration) et environ 1,8 million de clients internationaux (pas de dates d’expiration) », a déclaré Medibank.
Les données compromises incluent les prénoms, noms, dates de naissance, adresses, téléphone et adresses e-mail, ainsi que les numéros d’assurance-maladie pour les clients ahm, les numéros de passeport et les informations des visas pour les clients étudiants internationaux. (Crédits : capture d’écran)
Les détails compromis incluent les informations sensibles sont incluses dans un fichier de 20,4 MB compressé. Cela correspond au total à 242,1 MB. Soit 414 fichiers avec 2 000 clients dans chacun, pour un total de 826 014 personnes. Les informations libérées affichent également des captures d’écran de discussion entre le PDG de Medibank, David Koczkar et les cybercriminels. M. Koczkar a déclaré lundi que le paiement d’une rançon pourrait faire de l’Australie « une cible plus importante » et inciter les criminels à agir.
Medibank et son CEO David Koczkar continue de travailler avec le gouvernement australien, le Centre australien de cybersécurité et la police fédérale australienne. (Crédits : DR)
« Sur la base des conseils approfondis que nous avons reçus de la part d’experts en cybercriminalité, nous pensons qu’il n’y a que peu de chances que le paiement d’une rançon garantisse le retour des données de nos clients et empêche leur publication. En fait, payer pourrait avoir l’effet inverse et encourager le criminel à extorquer directement nos clients, et il y a de fortes chances que payer mette davantage de personnes en danger en faisant de l’Australie une cible plus importante », a déclaré M Koczkar.
Le ministre de l’Intérieur, Clare O’Neil, a affirmé que la décision de Medibank de ne pas payer de rançon était conforme à l’avis du gouvernement. (Crédits : capture d’écran)
« Compte tenu de la nature de ce crime, nous pensons malheureusement maintenant que toutes les données client consultées auraient pu être prises par le criminel », a déclaré la société, exhortant les clients à être attentifs à toute fuite potentielle. Le communiqué assure « qu’il n’y a pas eu d’accès aux cartes de crédit ou aux données bancaires, il n’est donc pas nécessaire de mettre à jour vos données de paiement ou d’annuler votre prélèvement automatique. »
« Compte tenu de la nature de ce crime, nous pensons malheureusement maintenant que toutes les données client consultées auraient pu être prises par le criminel », a déclaré la société. Elle exhorte ses clients à être attentifs à toute tentative de phishing. (Crédits : capture d’écran)
Deux cabinets d’avocats ont également déclaré mardi 8 novembre 2022 qu’ils enquêtaient pour savoir si Medibank avait violé ses obligations envers ses clients. Les cabinets, Bannister Law et Centennial Lawyers, examineront si Medibank a enfreint sa politique de confidentialité et évalueront si des dommages et intérêts doivent être versés à la suite de cette violation.
La ville de Stratford avait subi une attaque informatique, quasiment trois années jour pour jour. Les premiers problèmes survenaient le 14 avril 2019. La ville américaine avait choisi de payer 75 091 $ pour mettre fin à une récente cyberattaque. Cette fois c’est l’université qui vient d’être visée par le Ransomware Revil. Ils affirment détenir environ 60 Go de fichiers, passeports, rapports financiers et de nombreuses informations sur le personnel de l’établissement…
La municipalité avait cédé devant les exigences de l’opérateur, trois jours après avoir été infecté. L’attaquant avait installé un logiciel malveillant sur six des serveurs physiques de la ville ainsi que sur deux de ses serveurs virtuels, puis avait crypté tous les systèmes afin que les membres du personnel ne puissent accéder à aucune donnée. Il réclamait un total de 10 bitcoins qui, à l’époque, étaient évalués à 7 509,13 dollars chacun. Quelques jours plus tard, le 25 avril, les clés de décryptage ont été reçues de l’attaquant, aucune donnée n’avait été compromise assurait les autorités.
Les opérateurs derrière le ransomwareRevil postent sur le site de fuite environ 60 Go. Sur la première partie se trouve l’accès aux budgets, finance, comptabilité confidentielle, des lettres de créance… (Crédits : Capture d’écran)
Les États-Unis emploient les grands moyens face aux organisations derrière les ransomwares. L’affaire dite de Colonial Pipeline en mai 2021 avait mis le feu aux poudres. REvil était vendu en tant que Ransomware-as-a-Service (RaaS) sur les forums cybercriminels russophones par l’identité numérique « UNKN » depuis mai 2019. Début octobre 2021, un malfaiteur de REvil se savait recherché, car « le serveur est compromis » répondait-il. Il indiquait qu’il quittait la scène, avant qu’il soit trop tard.
Le Service fédéral de sécurité de la Fédération de Russie a annoncé ce vendredi 14 janvier 2022 avoir démantelé l’organisation de hackeurs REvil, sur demande des États-Unis. Il est considéré comme le groupe de cybercriminels le plus redoutable en manière de ransomware. « Il a été mis fin à l’existence de ce groupe criminel organisé », déclare le FSB dans son communiqué.
426 millions de roubles, y compris en cryptomonnaie, 600 000 dollars américains et 500 000 euros, ainsi que du matériel informatique, des porte-monnaie en cryptomonnaie utilisés dans les méfaits et vingt voitures achetées avec l’argent obtenu de manière illicite. (Crédits : capture d’écran/YouTube/FSB)
Le démantèlement fait suite à l’opération des services de sécurité (FSB) et de la police russe. Des perquisitions menées dans les villes de Moscou, Saint-Pétersbourg, les régions de Moscou, Leningrad et Lipetsk, répriment les activités illégales des membres d’un groupe criminel organisé. Au total, quatorze personnes et 25 adresses permettent la saisie de l’équivalent de 426 millions de roubles, soit environ 4,8 millions d’euros et 20 voitures de luxe, clôturant l’épilogue.
Tandis que plusieurs entreprises françaises et internationales respirent suite à la disparition, momentanée ou définitive, des opérateurs derrière « Avaddon », d’autres souffrent en silence. Le ransomware « Conti-Ryuk » frappe fort en s’attaquant à huit firmes sur l’hexagone pour le seul jour du 17 juin 2021. Dans le même temps, les données personnelles comprenant le nom, l’âge, l’e-mail et le numéro de téléphone concernant 1,2 million d’individus inscrits à Pôle Emploi auraient fuité.
Les attaques cybernétiques croissent de jour en jour. Pas assez de sociétés affichent une hygiène et philosophie de la sécurité, pourtant nécessaire. Au départ vecteur de machine à cash, elles peuvent aussi servir de monnaie d’échange, de pression à différents niveaux d’infrastructure.
Multiplication des attaques cybernétiques sous plusieurs vecteurs
Le groupe d’opérateurs derrière le ransomware Avaddon est l’un des plus prolifiques. Le 11 juin 2021, il ajoutait un trophée de premier plan, à savoir la « Valley National Bank ». Elle est une holding bancaire régionale dont les actifs s’élèvent à 42 milliards de dollars et qui exploite 230 succursales dans le New Jersey, à New York, en Floride, en Alabama ainsi qu’à Long Island.
Tandis que le compte à rebours affichait moins de 72 heures avant la publication de l’ensemble des données, black-out complet. Avaddon n’est plus. La raison de la fermeture soudaine n’est pas claire. La plus plausible est le rapprochement des forces de l’ordre à leur recherche, comme le bureau fédéral d’investigation (FBI) et le centre australien de cybersécurité (ACSC). Ils auraient décidé de prendre leur magot et de disparaître.
La clé permettant le déchiffrement de toutes les données sur les différents systèmes d’information est disponible. Il est à souhaiter que les différentes cibles, et autres tendent à accroître considérablement l’accès aux différentes sources. (Crédits : capture d’écran Emsisoft)
BleepingComputer a reçu un message prétendant venir du FBI, contenant un mot de passe et un lien vers un fichier ZIP protégé. C’est au total, 2 934 clés de déchiffrement, où chacune correspond à une entité spécifique. Emsisoft a publié un paléographe sans frais que toutes les cibles infectées puissent utiliser pour récupérer leurs documents gratuitement. « Les récentes actions des forces de l’ordre ont rendu nerveux certains acteurs de la menace : voilà le résultat. Une personne est tombée, et espérons que d’autres tomberont aussi », a déclaré Brett Callow, analyste des menaces chez Emsisoft, à BleepingComputer.
Vingt-et-une attaques au mois de mai
Acer finance, Le Volcan et Axa sont les entreprises touchées par le chiffrement d’Avaddon. Au mois de mai, pas moins de 21 attaques par ransomware sur le territoire français. Elles sont Acer Finance (12 mai/Avaddon), Axa Asie (15 mai/Avaddon), Mauffrey (18 mai/Conti-Ryuk), Arca Assurances (20 mai/Prometheus), Despretz (23 mai/Prometheus), Le Volcan (26 mai/Avaddon), Syndex (26 mai/Avaddon), Alma SAS (28 mai/LV), Cabinet Rémy Le Bonnois (31 mai/Everest), et Assurcopro (31 mai/Everest).
Quant à Berger-Levrault, le 14 mai 2021, l’impact aurait été limité au réseau interne de l’entreprise et affecte également la téléphonie et la messagerie électronique. Fraikin communiquait le 25 mai, avoir fait l’objet d’une attaque de ransomware. Elle assurait qu’aucune donnée « n’a été touchée, volée, détruite, ni corrompue par ce virus ». Le 3 juin 2021, la compagnie Tendriade est partie intégrante d’un lot de cinq infectées par les opérateurs derrière le ransomware Revil. (Crédits : Capture d’écran))
L’accalmie sera de courte durée. Dès le 8 juin, c’est l’organisation « LV » qui s’attaque à l’entreprise Demarne Frères. Les opérateurs revendiquent l’usurpation de plus de 40 Go de données (finances, comptabilité, documents bancaires, assurances, bases clients).
Une accalmie de courte durée
Les sociétés Funbreak et STAM le sont à leur tour et respectivement le 7 et 10 juin par « Conti-Ryuk ». Puis hier et aujourd’hui vendredi 18 juin 2021, « Conti-Ryuk » affiche avoir infecté Voltalia, Maître Prunille, le groupe Iserba, Cerfrance Côtes-d’Armor, Brangeon groupe, Au Forum du Bâtiment SAS.
Mais c’est une révélation qui affole plus d’un million d’âmes en France. Un particulier est en possession du nom, âge, e-mail et numéro de téléphone de 1,2 million de personnes inscrites à Pôle emploi. Il y a quelques jours, un individu connu pour son business de commercialisation de données piratées dévoilait vendre plus d’un million de comptes appartenant à des sociétaires de l’agence pour l’emploi.
Quelques heures après son annonce, il décidait de la retirer. « Je traite principalement avec de grosses structures commerciales qui économisent de l’argent sur la sécurité des données de leurs clients, explique-t-il. Ils embauchent des programmeurs bon marché et stupides qui font des erreurs triviales ». Bref, la sécurité internet à deux vitesses pour ce vendeur d’informations volées.
Fuite de données
Cette personne extrait des données qu’il affirme écouler « à différentes agences de marketing et à des particuliers ». Concernant Pôle Emploi, l’application pour smartphone semble être une des pistes de la faille permettant l’interception d’informations de plus d’un million d’assurés hexagonaux.
Les opérateurs offrent 48 heures aux entités touchées pour se manifester et prendre contact en vue d’un règlement. (Crédits : capture d’écran)
« Quelqu’un m’a écrit en MP et m’a expliqué qu’il s’agissait d’une base de données gouvernementale sur les chômeurs. J’ai fait preuve d’empathie : je ne l’ai vendu à personne et je l’ai retiré de la vente […] Dans une période aussi difficile, les institutions étatiques comme Pôle-emploi sont d’une grande utilité pour la société, et j’ai décidé de ne pas ruiner leur réputation. » Heureusement que certains malfaiteurs ont un sens moral… Ainsi, Jean de la Fontaine écrivit dans la fable du Corbeau et du Renard : « Tout flatteur vit aux dépens de celui qui l’écoute ».
Colonial Pipeline, qui détient le plus grand oléoduc sur le sol américain, est infecté par un code malveillant. La police fédérale américaine refuse de communiquer quant au versement possible d’une rançon. Seule indication de la part du FBI, le ransomware DarkSide serait à l’origine de l’attaque. Un vent de panique concernant une hausse du prix des carburants, ou encore un impact sur l’économie, affole la population outre-Atlantique. Cet oléoduc transporte essence et diesel sur près de 9000 kilomètres à travers les États-Unis, de Houston (Texas) jusqu’au port de New York.
Colonial Pipeline est la firme qui délivre quotidiennement plus de 380 millions de litres de fioul, elle a cessé toutes opérations samedi 8 mai 2021. La distribution représente quasiment 45 % des carburants consommés sur la côte est américaine. « Le 7 mai, la compagnie Colonial Pipeline a appris qu’elle était victime d’une attaque de cybersécurité », explique le groupe.
Une faille dans les tuyaux de l’énergie
Dans un communiqué laconique, Colonial Pipeline confirme avoir placé à l’arrêt toutes ses actions. « Nous avons mis certains de nos systèmes hors ligne par précaution afin de contenir la menace, ce qui a temporairement interrompu toutes les opérations de pipelines et affecté certains de nos systèmes informatiques. » En coulisses, l’information circule, le groupe est victime du ransomware DarkSide.
Le président des États-Unis, Joe Biden, continue d’être régulièrement renseigné de l’incident du Colonial Pipeline, stipule le site de la Maison-Blanche. L’institution apprécie en permanence la répercussion de cet incident sur le ravitaillement en carburant de la côte est.
« Nous surveillons les pénuries d’approvisionnement dans certaines parties du Sud-Est et évaluons toutes les mesures que l’administration peut prendre pour atténuer l’impact autant que possible. »
Le locataire de la Maison-Blanche a ordonné aux agences du gouvernement fédéral de mobiliser leurs ressources pour aider à édulcorer les déficits là où ils se produisent.
(Crédits : AFP)
Des responsables américains ont cherché à apaiser les inquiétudes, soulignant que les répercussions ont été modestes jusqu’à présent. Pour autant, les prix de l’essence aux États-Unis avaient augmenté de 1,5 % lundi matin, d’après la BBC.
Inquiétudes au Québec
L’arrêt du pipeline a des conséquences immédiates : files d’attente interminables devant les stations-service, flambée des prix à la pompe, et crainte de pénuries dans plusieurs États du Sud-Est. Des mesures d’urgence sont prises pour réacheminer le carburant par voie terrestre ou maritime. Les aéroports de Baltimore, Atlanta, Charlotte ou encore Nashville devront décider quant à leur alimentation en kérosène, dès demain mercredi 12 mai 2021. Au Québec, le gestionnaire d’actifs des épargnes des travailleurs possède 1,5 milliard de dollars américains de participations.
« Oui, la Caisse détient une participation dans Colonial Pipeline », corroborait le porte-parole de la Caisse de dépôt Maxime Chagnon, joint dimanche après-midi par La Presse.
« Le ransomware DarkSide est responsable de la compromission des réseaux de Colonial Pipeline », confirme le FBI. Les enquêteurs ont déterminé l’origine de l’agression dès lundi, par deux faits. Le premier concerne le langage utilisé, le russe. Le second vise le codage, qui est réalisé pour ne pas s’attaquer aux entreprises qui usent de claviers russes, selon l’agence gouvernementale. Cette opération révèle au grand jour une nouvelle forme de vulnérabilité nationale. Pour la première fois, une cyberattaque non étatique paralyse un pan entier de l’économie américaine.
(Crédits : Mikhaël Noury/Pexels)
« Nous continuons à travailler avec l’entreprise et nos partenaires gouvernementaux sur l’enquête. » Le président du Bureau ovale indiquait que rien ne permet pour le moment de conclure à une participation de Moscou. Le Kremlin a nié mardi être impliqué dans cette opération. « La Russie n’a rien à voir avec ces cyberattaques. La Russie n’avait rien à voir avec les cyberattaques perpétrées précédemment », souligne le porte-parole du Kremlin, Dimitri Peskov. « Nous rejetons catégoriquement toute accusation à notre endroit à ce sujet. »
DarkSide, la face obscure du hacking rentable
Apparu à l’été 2020, le rançongiciel DarkSide fait ses classes. Vraisemblablement issu de la sphère russophone, il se distingue dès ses premières attaques par un code sophistiqué et un modèle économique structuré : celui du RaaS, Ransomware-as-a-Service. Il repose sur la location de leur rançongiciel à des affiliés, en échange d’un pourcentage sur les rançons versées.
L’organisation se revendique de proposer un « produit visant uniquement les grandes entreprises ».
D’après plusieurs sources concordantes, Colonial Pipeline aurait payé 4,4 millions de dollars en cryptomonnaie pour recouvrer ses données. Le FBI parviendra à retracer une partie de la transaction et à récupérer une portion des fonds, soit 2,3 millions de dollars américains.
Après 2021, plusieurs groupes cybercriminels apparaissent. Ils possèdent des méthodes similaires à celles de DarkSide, notamment BlackMatter et AlphV (BlackCat). Le modèle RaaS, quant à lui, continue de prospérer, décentralisant les attaques et brouillant les pistes d’attribution. (Crédits : Antoni Shkraba Studio/Pexels)
Les spécialistes parlent déjà d’un tsunami numérique, non pas pour son ampleur destructrice, mais pour la prise de conscience brutale qu’il a provoquée. L’organisation fait sa dernière apparition le 13 mai 2021, la possible dispersion dans d’autres groupes similaires tels que Revil/Sodinokibi ou Ragnar Locker est avérée. La fin du ransomware REvil est actée par le FSB en 2022.
Les infections par code malveillant ne se sont pas arrêtées durant le mois d’avril 2021, bien que le mois de mars soit déjà bien rempli. Ce sont donc vingt-et-une attaques perpétrées contre des entreprises privées et publiques en France. Souvent, les tracas sont comme une rangée de dominos, des dommages collatéraux arrivent avec des coûts pour la remise en fonction. Elles sont catastrophiques pour des petites et moyennes entreprises, mais restent un problème majeur pour tout un chacun.
« Pierre Fabre » avait subi dans la nuit du 30 au 31 mars 2021 une infection par code malveillant de type ransomware. Les opérateurs derrière le RaaS (Ransomware as a Service) « Revil » demandaient une rançon de 50 millions de dollars. L’entreprise amorce un retour progressif à la « normale » un mois après l’infection. Puis, ce fut l’hôpital de Saint-Gaudens, où les soignants s’accommodaient d’une seconde infection, entre LE SARS-CoV-2 et le ransomware. L’armateur Bourbon, leader dans les services de l’offshore pétrolier, infecté dans la nuit du 8 au 9 avril 2021.
14 avril : Azenn, le spécialiste des réseaux (cuivre, fibre, réseaux IP)
15 avril : Trescal
Ce vendredi 9 avril 2021, le maire de Douai (59), Frédéric Chéreau s’exprimait en vidéo : « Une attaque informatique que nous avons subie la nuit dernière, la ville de Douai est l’objet , en ce moment même, d’une attaque par un rançongiciel […] ». Une commune en chasse une autre. À l’inverse du film Ch’tis, direction le Vaucluse. La ville de L’Isle-sur-Sorgue se voyait réclamer une somme rondelette : « […] des hackers professionnels sans doute issus du Liechtenstein réclament une rançon de 500 000 euros à la Ville en échange d’une clé de décryptage », confirmait Pierre Gonzalvès, le maire. Puis Morières-lès-Avignon, autre commune du département, subit à son tour une infection informatique.
70 attaques mondiales en dix jours
Un début d’avril particulièrement douloureux en France, sur le front des infections suite aux cyberattaques. Elles sont sept en France, mais soixante-dix dans le monde entier, 229 au mois de mars. L’entreprise infectée In Extenso revendique 100 000 clients en TPE (Très petite entreprise) et PME (Petites et moyennes entreprises).
Cocasserie du moment, cette attaque survient alors que la délégation aux entreprises du Sénat organisait le 15 avril 2021 à 9 h une table ronde sur la cybersécurité des ETI-PME-TPE, avec Guillaume Poupard (ANSSI) et Jérôme Notin (GIP Acyma), entre autres.
Conti News est l’un des ransomwares les plus présents quant aux attaques cybernétiques de type ransomware. Le Canadien Capmatic est, avec les trois dernières victimes présentes sur le site de fuite du ransomware sur le darkweb. Les cybercriminels pratiquent la double extorsion, avec sur l’image ci-contre, l’une des dernières revendications des opérateurs.
(Crédits : capture d’écran/Conti News)
La fondation Hopale prenait une piqûre de rappel avec l’attaque infectieuse du centre de vaccination de Berk-sur-Mer, dans le Nord-Pas-de-Calais. Les principales menaces venaient des ransomwares Ryuk, Conti et Darkside. Trescal informait par communiqué être la cible d’une attaque sur quelques serveurs européens et asiatiques.
15 avril : Gecos
16 avril : Fondation Santé des étudiants de France
18 avril : Oré Peinture
19 avril : Protectim, prestataire de services sécurité privés, Marietton développement, API
Les fuites de données de santé, des réseaux sociaux (20 millions de comptes en France), permettent de croiser les données, et, ainsi, de pouvoir accéder à des informations sur des habitudes, préférences… permettant la future infection des systèmes d’information. Douze établissements de la Fondation santé des étudiants de France, dont la clinique iséroise de la Tronche, étaient en pause le 17 avril 2021.
Chiffrement et extorsion
« Les hackers ont bloqué le serveur et réclament une rançon », indique Nice-Matin. Les opérations criminelles cherchent à gagner de l’argent, tout simplement, sans états d’âme. Le spécialiste du génie mécanique frappé par le groupe « LV » le 28 avril 2021. Il est partenaire des groupes stratégiques français, tels Thales, Safran, SKF, Eiffage, Schneider Electric, Groupe Atlantic (infecté en 2020) ou encore Michelin, sur les 43 affichés par le groupe sur son site. L’un des derniers à s’afficher au palmarès des opérateurs est la firme japonaise « Kajima Corp ». Les attaques ne sont pas dues au hasard, il existe une démarche première financière, mais pas seulement.
Car l’entreprise est spécialisée dans la conception, l’ingénierie, la construction et le développement immobilier, et depuis la seconde moitié des années 90, dans l’environnement. Notamment pour le traitement des déchets, le traitement de l’eau, la réhabilitation des sols et le conseil en environnement.
Nous sommes actuellement sur le web dit sémantique, nommé 3.0, avec en point de mire l’internet 4.0, dont le standard n’est pas encore établi. Il y aura un changement radical, bénéfique pour certains, car grâce à la surveillance de masse votée et en cours d’application en France, avec la loi de sécurité globale, différentes lois « antiterroristes », couplées à l’internet des objets, vous vous trouverez comme les personnages du film « Wall-E ». (Crédits : Obayashi)
Il est déjà en train de grignoter du terrain, millimètre après millimètre… Est-ce le retour de la trilogie Matrix ou celle de Terminator ? Faudra-t-il beaucoup de temps avant d’y être immergé ? « Les technologies qui le rendront possible sont déjà en développement et commencent à voir le jour. Les assistants virtuels, tels que Siri, Cortana ou Google Now, obtiennent, jour après jour, une meilleure compréhension du langage naturel grâce aux systèmes d’apprentissage automatique. Dans le même temps, Big Data est traité de plus en plus efficacement, reliant toutes les informations obtenues à travers de multiples sources », écrivait en septembre 2020 le journalisteDimas Pardo.
Les ransomwares font la part belle à l’actualité, Egregor, RansomExx, Clop, NetWalker, Revil… Comme le Sars-CoV-2, rebaptisé Covid-19, les attaques par « virus informatiques » sont légion, et ne connaissent pas des frontières. Les virus infectent l’être humain comme les lignes de code malveillant corrompent les systèmes d’information. Les plus usités sont le phishing et le rançongiciel. Le Phishing, ou hameçonnage reste l’un des principaux vecteurs de la cybercriminalité.
Il ne se passe pas une journée sans qu’une attaque ait lieu, quel que soit l’endroit. Or, comme le rappelait dès janvier, dans le Parisien, Guillaume Poupard, directeur général de l’agence nationale de la sécurité des systèmes d’information (ANSSI), en prophétisant : «les attaquants n’ont pas d’éthique, donc ils seraient capables d’attaquer les CHU au moment d’une crise quand nous avons besoin d’eux pour être sûr de récupérer une rançon. »
Extorquer de l’argent !
Ce type d’attaque vise à obtenir du destinataire, d’un courriel d’apparence légitime, qu’il transmette ses coordonnées bancaires, ou mieux encore, ses identifiants de connexion à des services financiers, afin de lui dérober de l’argent. L’hameçonnage peut être utilisé dans des attaques plus ciblées pour tenter d’obtenir d’un employé ses identifiants d’accès aux différents réseaux professionnels. Le rançongiciel, ou ransomware, consiste en l’envoi à la victime d’un logiciel malveillant qui chiffre la majeure partie des données accessibles et lui demande une rançon en échange du mot de passe de déchiffrement.
Les définitions posées, l’un des objectifs de ces programmes informatiques est d’utiliser les failles et faiblesses de vos systèmes à des fins pécuniaires. De nombreuses entreprises, associations, ministères, pays… sont victimes chaque instant de tentatives d’intrusions. En France, l’entreprise Dedalus avait été victime d’une attaque le 2 décembre 2020, relate Ticsanté. L’éditeur spécialisé dans l’informatique hospitalière rassurait par un communiqué de presse, dès le 4 décembre 2020 : « Seuls quelques serveurs de partage de fichiers et quelques machines internes au groupe Dedalus ont été touchés. Aucune donnée de clients de Dedalus n’a été perdue, volée ou compromise. De même la sécurité des accès réseaux aux clients n’a pas été compromise. » La société avait été prévenue par un de ses anciens employés, qui fut licencié pour faute grave, explique Nextinpact. (Crédits : Gerd Altmann/Pixabay)
Le groupe SIPA-Ouest-France dans la nuit du 20 au 21 novembre 2020 a été victime d’un Rançongiciel. Pourtant la communication du groupe parlait d’une cyberattaque sans mentionner une demande de rançon. Secret de polichinelle qui vole en éclats après la revendication de l’attaque par le groupe Egregor qu’explique très justement LeMagIT. Quelques jours auparavant, le 14 novembre 2020, c’est au Chili, et en Argentine que ce même groupe œuvrait. À travers les imprimantes, c’est la multinationale Censosud qui en faisait les frais, relate Segu-info. Cencosud est une autre cible de marque. L’entreprise de distribution chilienne a dégagé l’équivalent d’environ 10 milliards d’euros de chiffre d’affaires en 2019, année de son entrée en Bourse. Son effectif avoisine les 125 000 collaborateurs. Son activité en Amérique latine englobe des supermarchés comme Disco, Jumbo, Métro et Vea.
France, Israël, Brésil, Argentine, USA, Chili…
En Israël, consigné le 1er décembre 2020 par « The Times of Israël », le groupe BlackShadow revendiquait l’attaque contre la compagnie d’assurance israélienne Shirbit. Ils se seraient emparés d’un vaste trésor de données personnelles sur ses clients, dont beaucoup sont fonctionnaires. « Dans cette action, en plus de graves dommages causés aux centres de données, des informations concernant une partie importante des abonnés de l’entreprise ont été divulguées », a poursuivi le groupe, affirmant avoir présenté « des documents d’identité des abonnés, des états financiers et d’autres documents liés à l’entreprise » disponible pour le téléchargement. Des détails personnels, y compris l’adresse du domicile et les numéros de téléphone, du président du tribunal de district de Tel-Aviv, le juge Gilad Neuthal ont été ainsi divulgués.
En France, Angers, Houilles, Marseille ont été attaquées. La Nouvelle-République, dans un article du 23 janvier 2021, informe que le conseil départemental de la Vienne avait été victime dans la journée du 21 janvier 2021 d’une attaque des systèmes d’information. Fin janvier 2021, les opérateurs derrière le ransomware « Revil » revendiquaient une attaque contre un groupe américain E. & j. Gallo winery (Gallo.com), mais aussi la société française UCAR (ucar.fr) et diffusent des échantillons de données relatives aux clients.
Au Brésil, plusieurs attaques sans précédent eurent lieu. La première, le 3 novembre 2020 sur le tribunal supérieur de justice du Brésil (STJ) : « L’attaque de pirate informatique menée mardi dernier sur le système de la Cour supérieure de justice (STJ) a bloqué la base de données des affaires en cours devant le tribunal et a complètement paralysé les travaux jusqu’à la semaine prochaine », souligne O. Globo. Puis, un des opérateurs portugais de « Cyber Team », dirigé par le hacker portugais connu sous le pseudonyme de « Zambrius », a admis avoir attaqué au moins 61 pages Internet en 2020.
Le groupe a également revendiqué l’attaque du ministère brésilien de la Santé, mais pas seulement. Selon le journal Estadao de São Paulo, plusieurs mairies, chambres, petites entreprises, cabinets d’avocats et un service de la circulation sont parmi les victimes des attentats. Le même journal affirmait qu’une fuite du mot de passe du ministère de la Santé a exposé 16 millions de patients « Covid » : « […] parmi les personnes qui ont vu leur vie privée violée, avec la divulgation d’informations telles que le CPF, l’adresse, le téléphone et les maladies préexistantes, sont le président Jair Bolsonaro et les membres de la famille ; le ministre de la Santé, Eduardo Pazuello ; six autres ministères, comme Onyx Lorenzoni et Damares Alves ; le gouverneur de São Paulo, João Doria (PSDB), et 16 autres gouverneurs, en plus des maires de la Chambre, Rodrigo Maia (DEM-RJ), et du Sénat, Davi Alcolumbre (DEM-AP). »
Un grand coup porté à Emotet
Le 27 janvier 2021, Europol indiquait le résultat d’une collaboration entre les autorités, qu’elles soient de Police ou de Justice, aux Pays-Bas, en Allemagne, aux États-Unis, au Royaume-Uni, en France, en Lituanie, au Canada et en Ukraine, avec une activité internationale coordonnée par Europol et Eurojust.
La finalité perturber et détruire l’infrastructure du botnet connu sous le nom d’Emotet. Ainsi les différents acteurs de cette lutte affichent leur volonté d’éradiquer par la communication des actions menées.
« Du fait de ces activités, les banques et institutions financières étrangères ont subi des pertes de 2,5 milliards de dollars. Les auteurs risquent jusqu’à douze ans de prison », martèle sur son site, la police nationale ukrainienne.
L’infrastructure EMOTET comprenait des serveurs situés dans le monde entier et était un réseau agent logiciel, ou bot informatique. Le code malveillant s’est propagé via les spams, des systèmes de bureautique tels Word, Excel, etc. Les e-mails ressemblaient à un avertissement sur la sécurité du compte, une invitation à une fête et même un avertissement contre la propagation du COVID-19.
D’autant que notre vie réelle comme numérique tient, pour la plupart, dans notre smartphone, ou ordiphone. C’est pourquoi, la protection de vos systèmes d’information et des terminaux, que cela soit votre ordinateur, votre smartphone, tablette, et cætera, doit être régulièrement mis à jour.
En fonction de votre utilisation desdits « objets informatiques » professionnelle ou privée, le niveau de sécurité souhaitée à un véritable coût.
(Crédits : DR)
Une porte blindée ralentie, voire désespère le voleur, mais n’empêche pas l’intention de vous voler, ou d’utiliser votre terminal de façon malveillante. « […] ceux qui sont versés dans l’art de la guerre peuvent se rendre invincibles, mais [ils] ne peuvent rendre à coup sûr l’ennemi vulnérable.» Sun Tzu, dans l’art de la guerre, souligne ainsi qu’il ne faut pas sous-estimer l’ennemi.
La clef est sous le paillasson !
Comme le rappelait en préambule Guillaume Poupard, directeur général de l’ANSSI, « les attaquants n’ont pas d’éthique». Un ordinateur, ses périphériques, les objets connectés (une box internet, un assistant vocal, le WIFI, les imprimantes…) sont autant d’entrées possibles pour toute personne malintentionnée. Il ne faut cependant pas verser dans la paranoïa, mais juste se prémunir, en modifiant régulièrement les mots de passe, ou passphrase.
Car, il est courant de constater qu’Admin soit l’identifiant et le mot de passe pour accéder aux systèmes d’information. Les mots de passe restent inchangés depuis l’installation, plus par confort que par paresse. Pourtant, cela revient à laisser sa clef de domicile sous le paillasson avec un mot visible de tous : « la clef est sous le paillasson ! »
Ainsi, après que Publihebdos, appartenant à SIPA-Ouest-France, fut attaqué dans la nuit du 20 au 21 novembre 2020, des journalistes indiquaient sur la page web de leur journal : « si vous nous avez envoyé des communiqués ou autres rendez-vous, merci de nous les renvoyer à l’adresse… » fort heureusement ôté rapidement. Plus que de l’incompétence ou de l’inconscience, c’est une méconnaissance de ce milieu dit vulgairement « informatique ». C’est pourquoi un apprentissage semble nécessaire. (Crédits : Mohamed Hassan/Pixabay)
Comme de filmer un moniteur d’ordinateur, ou écran, pour illustrer les dégâts occasionnés par une attaque, avec en toutes les informations pour en produire une autre. Au sein de votre domicile, une porte blindée n’empêche pas la tentative de cambriolage, mais retarde, et décourage le malfaiteur. Il ne sert à rien d’installer une porte blindée sécurisant votre domicile et de laisser fenêtres et portes ouvertes à tous, il en va de même pour les systèmes d’information que nous possédons tous.
