Il y a quelques jours, TF1 révélait que des pirates informatiques avaient dérobé les informations personnelles de près de 1,9 millions d’internautes via son site internet. Les individus ciblés étaient utilisateurs du kiosque en ligne Viapresse, partenaire de TF1.fr. C’est le groupe de hackers Linker Squad qui serait à l’origine de ce piratage. Il aurait ainsi récupéré identifiants, mots de passe, adresses email et les données bancaires des internautes. La chaîne a depuis rassuré ses clients en indiquant que son partenaire commercial avait « pris en charge l'incident dès sa détection en liaison avec les équipes de eTF1, qui ont supprimé les accès à ce site ». De son côté, Viapresse assure que les données bancaires de ses clients n’ont pu être volées, car il ne les stocke pas lui-même et n’y a même pas accès, tout passant par les plates-formes sécurisées des banques.
Les sous-traitants plus vulnérables
Pour Tanguy de Coatpont, directeur général de Kaspersky Lab « il est courant pour les cybercriminels de cibler les fournisseurs et sous-traitants de grandes entreprises. Ces dernières sont souvent mieux protégées, ou du moins semblent l’être, alors que certaines entreprises plus petites de leur écosystème apparaissent plus vulnérables et donc moins compliquées à attaquer. ». Le DG de Kaspersky Lab fait remarquer également que les sous-traitants ont parfois accès au réseau de leurs gros partenaires alors qu’ils évoluent en dehors de leurs politiques de sécurité. « De la même façon, les cybercriminels ont tendances à cibler les informations ou les infrastructures qui sont les plus faciles d’accès. ».
« 40 % des hackers interrogés choisiraient un sous-traitant pour réaliser une cyberattaque », Tanguy de Coatpont
Chez Orange, au cours du printemps dernier, une méthode d’attaque par un sous-traitant avait aussi été employée pour violer les données personnelles de près de 1,3 millions de ses clients. L’attaque visait une plateforme technique d'envoi de courriers électroniques et de SMS d’un prestataire, utilisée pour les campagnes commerciales de l’opérateur. Dans ce cas, les hackers avaient récupéré des informations personnelles de type nom et prénom, adresse mail, numéro de téléphone et date de naissance dans le but de mettre en place ensuite des arnaques de type phishing. Fin août, la Cnil avait d’ailleurs prononcé un avertissement à l'encontre d’Orange suite aux lacunes de sécurité observées chez l’opérateur. La Commision soulignait également qu’en sa qualité de responsable de traitements, l’opérateur « ne saurait minimiser sa responsabilité par le recours à plusieurs prestataires. » (lire le point de vue de maître Iteanu à ce sujet : « La cyber-sécurité a-t-elle une obligation de résultat ? »). Tanguy de Coatpont rappelle que lors de la conférence Blak Hat en 2014, l’entreprise Thycotic avait réalisé une étude qui révélait que 40 % des hackers interrogés choisiraient un sous-traitant pour réaliser une cyberattaque.
Partir de loin pour arriver à ses fins
Plus généralement, les hackers sont capables de partir de loin pour arriver à leurs fins. Rappelez-vous, en octobre dernier, c’étaient quelques 7 millions d’identifiants et de mots de passe qui avaient été dérobés au service de stockage en ligne Dropbox. Les serveurs de Dropbox n’y étaient pour rien semble-t-il, les responsables étant les applications tierces capables de se connecter avec le service. « Ces identifiants et mots de passe ont été dérobés à d'autres services et utilisés dans des tentatives pour se connecter à d’autres sites Internet, parmi lesquels Dropbox », expliquait alors Anton Mityagin, responsable de la sécurité. Services interconnectés, liens malencontreux, sous-traitants et prestataires peu sécurisés, faille cross-site … les « chaînes numériques » exploitables par les hackers sont aujourd’hui fort nombreuses… Et Tanguy de Coatpont de conclure qu’avec « l’augmentation du nombre d’attaques ciblées, les grandes entreprises ont tout intérêt à penser leur protection informatique de façon globale, et non plus seulement comme un bouclier limité aux murs de leurs bureaux. »
