Analyse : le piratage MOVEit a engendré plus de 600 brèches, mais ce n’est pas encore terminé – cyberanalystes

WASHINGTON/SAN FRANCISCO, 8 août (Reuters) – Une faille hydrique centrée sur un seul fabricant de logiciels américain a compromis les données de plus de 600 organisations dans le monde, selon des décomptes de cyber-analystes corroborés par Reuters.

Mais plus de deux mois après la première révélation de la faille par Progress Software, basé dans le Massachusetts, le défilé des victimes n’a guère ralenti. Les décomptes montrent que près de 40 millions de personnes ont été affectées jusqu’à présent par le piratage du programme de gestion de fichiers MOVEit Transfer de Progress. Maintenant, les extorqueurs numériques impliqués, un groupe nommé « cl0p », sont devenus de plus en plus agressifs pour faire tomber leurs données dans le domaine public.

« Nous n’en sommes qu’au tout début », a déclaré Marc Bleicher, directeur de la technologie de la société de réponse aux incidents Surefire Cyber. « Je pense que nous commencerons à voir l’impact réel et les retombées sur la route. »

MOVEit est utilisé par les organisations pour expédier de grandes quantités de données souvent sensibles : informations sur les pensions, numéros de sécurité sociale, dossiers médicaux, données de facturation, etc. Étant donné que bon nombre de ces organisations traitaient des données pour le compte d’autres personnes, qui à leur tour obtenaient les données de tiers, le piratage s’est propagé de manière parfois alambiquée.

Par exemple, lorsque cl0p a subverti le logiciel MOVEit utilisé par une société appelée Pension Benefit Information, spécialisée dans la localisation des membres survivants de la famille des titulaires de fonds de pension, ils ont eu accès aux données de la Teachers Insurance and Annuity Association of America, basée à New York, qui gère à son tour les programmes de retraite de 15 000 clients institutionnels, dont beaucoup ont passé les dernières semaines à informer les employés de leur exposition.

« Il y a cet effet domino », a déclaré John Hammond de Huntress Security, l’un des premiers chercheurs à avoir commencé à suivre l’infraction.

Les hacks par des groupes comme cl0p se produisent avec une régularité engourdissante. Mais la grande variété de victimes du compromis MOVEit, des élèves des écoles publiques de New York aux conducteurs de Louisiane en passant par les retraités californiens, en a fait l’un des exemples les plus visibles de la façon dont une seule faille dans un logiciel obscur peut déclencher une catastrophe mondiale en matière de confidentialité. .

Christopher Budd, expert en cybersécurité de la société britannique Sophos, a déclaré que la violation rappelait à quel point les organisations interdépendantes étaient sur les défenses numériques les unes des autres.

Progress a déclaré avoir été victime « d’un groupe cybercriminel avancé et persistant » et que son objectif était de soutenir ses clients.

« DES MILLIERS D’ENTREPRISES »

La campagne de piratage de Cl0p a commencé le 27 mai, selon deux personnes proches de l’enquête Progress.

Progress a eu vent du compromis pour la première fois le lendemain, lorsqu’un client a alerté l’entreprise d’une activité anormale, ont indiqué ces sources. Le 30 mai, la société a envoyé un avertissement, et le lendemain a publié un « correctif », ou réparation, qui a partiellement contrecarré la campagne des pirates.

« De nombreuses organisations ont en fait été en mesure de déployer le correctif avant qu’il ne puisse être exploité », a déclaré Eric Goldstein, haut responsable de la US Cybersecurity and Infrastructure Security Agency.

Toutes les organisations n’ont pas eu cette chance. Les détails sur la quantité de matériel volé ou le nombre d’organisations touchées ne sont pas accessibles au public, mais Nathan Little, dont la société Tetra Defence – qui fait partie de la société de sécurité Arctic Wolf – a répondu à des dizaines d’incidents liés à MOVEit, a estimé que la violation a probablement touché des milliers de entreprises.

« Nous ne connaîtrons peut-être jamais le nombre exact et détaillé », a-t-il déclaré.

Certains analystes ont tenté de garder une trace. Mardi, la société de cybersécurité Emsisoft avait totalisé 602 victimes avec 39,7 millions de personnes touchées.

L’analyste informatique allemand Bert Kondruss a fourni des chiffres similaires, que Reuters a corroborés en les recoupant avec des déclarations publiques, des documents d’entreprise et des messages cl0ps.

QUI A ÉTÉ EXPOSÉ?

Les organisations éducatives – collèges, universités et même les écoles publiques de New York – représentaient un quart des victimes, Emsisoft et Kondruss en comptant plus de 100 aux États-Unis seulement.

L’exposition est allée bien au-delà du milieu universitaire.

Conduire une voiture? Les autorités automobiles de la Louisiane et de l’Oregon ont divulgué collectivement la compromission d’environ 9 millions d’enregistrements. À la retraite? Des organisations de gestion des pensions telles que le système de retraite des employés publics de Californie et T. Rowe Price ont été violées via les informations sur les prestations de retraite. La brèche chez l’entrepreneur du gouvernement américain Maximus a entraîné à elle seule la compromission des dossiers de 8 à 11 millions de personnes.

Une doublure argentée ténue? Les pirates ont peut-être ingéré trop de données pour tout libérer.

Alexander Urbelis, avocat principal du cabinet d’avocats new-yorkais Crowell & Moring, qui a aidé les victimes à évaluer leur exposition au filet des pirates, a déclaré que les vitesses de téléchargement extraordinairement lentes du site Web darknet grinçant des pirates « rendaient tout sauf impossible pour quiconque » – bien intentionnés ou non – « pour accéder aux données volées. »

Goldstein, le responsable américain, a déclaré que dans « de nombreux cas », les données n’avaient pas encore été divulguées.

Cl0p, qui n’a pas renvoyé les messages de Reuters, semble essayer d’améliorer son jeu. À la fin du mois dernier, il a créé des sites Web spécifiquement destinés à mieux diffuser les données volées. Plus tôt cette semaine, il a commencé à partager les données via des réseaux peer-to-peer.

C’est une mauvaise nouvelle pour les victimes, a déclaré Bleicher de Surefire.

« Une fois que ces données commencent à être divulguées lentement, elles apparaissent davantage dans le métro », a-t-il déclaré. L’impact de la brèche à son tour « deviendra probablement beaucoup plus important que nous ne le pensons actuellement ».

Reportage de Raphael Satter et Zeba Siddiqui; Montage par Chris Sanders et Grant McCool

Nos normes : Les principes de confiance de Thomson Reuters.