Octave Klaba, le dirigeant d’OVH a posté sur son site des informations sur un hacking qui a «compromis les accès de l'un des administrateurs système qui s'occupe du backoffice interne ». Il a déposé plainte. Un message a été adressé aux clients OVH leur conseillant de changer leur mot de passe.
OVH suppose que le hacker avait comme objectif de récupérer la base de données de ses clients Europe. Elle comporte les informations personnelles des clients: le nom, adresse, téléphone, et mot de passe chiffré.Octave Klaba précise : « Le chiffrement du mot de passe, basé sur SHA512, afin d'éviter le bruteforce demande beaucoup de moyens techniques » pour être cassé. Mais il conseille cependant à ses clients de changer le mot de passe de leur identifiant.
OVH rappelle qu’aucune information sur les cartes bancaires n'est stockée chez Ovh, et que les informations sur les cartes bancaires n'ont ni été consultées ni copiées.
Mesures de sécurité renforcées
A la suite de l’incident, OVH annonce avoir renforcé son système de sécurité et modifié les règles de sécurité en interne. Les mots de passe de tous les employés ont été régénérés ; un nouveau VPN a été mis en place dans une salle sécurisée PCI-DSS avec accès très restreints ; la consultation des emails internes n'est désormais possible qu'à partir du bureau/VPN ; tous les salariés passent sur 3 niveaux de vérification: IP, mot de passe et token hardware personnel.
« De manière globale, le backoffice passera dans les prochains mois sous la norme PCI-DSS qui nous permettra de garantir que le cas d'incident lié à un hack précis su les personnes précises il n'y ait pas d'impact sur nos bases de données. En un mot nous n'avons pas été assez parano et on passe désormais en mode parano supérieur.» indique Octave Klaba.
