Cyberattaque : Vol massif de données chez Shell, Philips et près de 50 entreprises

Lire plus tard

Un important groupe de cybercriminels affirme avoir dérobé de grandes quantités de données appartenant à près de 50 entreprises dans le monde, parmi lesquelles figurent des groupes internationaux comme Shell, Philips, Fiserv et GE.

La revendication émane de Cl0p, un groupe spécialisé dans l’exploitation de failles présentes dans des logiciels largement utilisés par les entreprises. Contrairement à une attaque visant une seule société, cette méthode permet aux pirates de compromettre simultanément un grand nombre d’organisations utilisant le même outil vulnérable. Reuters indique ne pas avoir pu vérifier indépendamment la nature ni le volume des données que Cl0p affirme avoir récupérées.

Plusieurs des entreprises citées ont néanmoins confirmé enquêter sur des incidents ou tentatives d’intrusion.

Philips confirme une tentative d’intrusion

Le groupe néerlandais Philips a confirmé avoir été ciblé par Cl0p.

L’entreprise indique avoir détecté puis contenu une tentative de compromission visant un serveur spécifique contenant des données internes.

Philips assure toutefois que l’incident n’a pas affecté les environnements de ses clients. L’entreprise n’a pas confirmé publiquement l’ampleur des données que les pirates prétendent avoir récupérées.

Cl0p affirme de son côté avoir obtenu environ 13,5 gigaoctets de données liées à Philips, comprenant notamment des schémas et documents techniques. Ce volume reste une revendication du groupe et n’a pas été confirmé indépendamment.

Shell enquête sur un « incident potentiel »

Le géant pétrolier Shell a également indiqué être au courant d’un « incident potentiel » récent, confirmant qu’une enquête était en cours.

« Nous travaillons avec nos équipes de sécurité et les experts concernés pour vérifier la situation », a indiqué un porte-parole du groupe à Reuters.

Cl0p affirme avoir extrait environ 89 gigaoctets de données de Shell. Selon les informations publiées autour de la revendication du groupe, les fichiers concernés pourraient comprendre des dessins techniques, des photographies d’installations, des rapports d’essais et des documents relatifs à différents projets.

Là encore, Shell n’a pas confirmé que ces 89 Go avaient effectivement été volés, et aucune vérification indépendante ne permet pour l’instant de valider le contenu annoncé par les pirates.

Fiserv : aucune donnée bancaire compromise à ce stade

Fiserv, groupe américain spécialisé dans les technologies et services financiers, figure également sur la liste publiée par Cl0p.

L’entreprise affirme avoir procédé à une analyse approfondie des accusations et précise n’avoir trouvé, à ce stade, aucun signe indiquant une compromission des données de ses clients, des informations bancaires, des transactions ou des données personnelles.

Fiserv assure également que son environnement opérationnel ne semble pas avoir été affecté.

Cette précision est particulièrement importante compte tenu de la nature des activités du groupe, qui fournit des technologies de paiement et différents services aux établissements financiers.

GE déclenche ses procédures de réponse

GE a pour sa part confirmé avoir connaissance des affirmations du groupe de pirates.

Un porte-parole a indiqué que l’entreprise avait déclenché ses protocoles de réponse aux incidents cyber et qu’elle cherchait désormais à déterminer la réalité et l’étendue d’un éventuel problème.

À ce stade, aucune conséquence opérationnelle majeure n’a été annoncée publiquement par les quatre grands groupes cités.

Une faille commune pourrait expliquer la vague d’attaques

L’une des principales pistes concerne des vulnérabilités dans les logiciels Windchill et FlexPLM de l’éditeur PTC, utilisés notamment dans les secteurs de l’ingénierie, de la conception et de l’industrie.

Le groupe de partage d’informations spécialisé Ransom-ISAC avait diffusé le 22 juillet une alerte indiquant que Cl0p exploitait des vulnérabilités dans ces solutions. PTC avait lui-même publié plusieurs avis de sécurité depuis le 18 juin, demandant notamment à ses clients d’installer des correctifs.

Ce type d’attaque est particulièrement redoutable : au lieu de tenter de pénétrer entreprise après entreprise, un groupe criminel recherche une faille dans un logiciel utilisé par des dizaines ou centaines de sociétés, puis cherche les serveurs vulnérables avant que les correctifs ne soient appliqués.

Cl0p s’est déjà illustré par ce type de campagnes massives contre des logiciels d’entreprise.

Cl0p, un groupe actif depuis plusieurs années

Cl0p, parfois écrit Cl0p ou Clop, est un groupe cybercriminel russophone actif depuis plusieurs années et connu pour cibler de grandes entreprises.

Selon Ukrainska Pravda, son activité remonte au moins au début de 2019 et le groupe opérerait principalement depuis la Russie et d’autres territoires de l’ex-Union soviétique.

Le groupe est notamment associé à une stratégie d’extorsion par les données.

Les attaquants cherchent à pénétrer dans les systèmes informatiques d’une organisation, à extraire des informations confidentielles, puis à exercer une pression sur la victime en menaçant de rendre ces données publiques si elle refuse de payer.

Cette stratégie est souvent qualifiée de « double extorsion » lorsqu’elle combine le blocage ou la perturbation des systèmes avec le vol de données et la menace de publication.

Une revendication spectaculaire, mais qui reste à confirmer

La prudence reste donc essentielle.

Le fait que Philips ait confirmé une tentative d’intrusion, que Shell enquête sur un incident potentiel et que GE ait activé ses procédures de réponse montre que la campagne revendiquée par Cl0p est prise au sérieux par les entreprises concernées.

Cela ne signifie toutefois pas que l’ensemble des affirmations publiées par le groupe est établi.

Reuters souligne ne pas avoir pu vérifier indépendamment le type de données prétendument volées, leur volume ou la réalité de toutes les compromissions annoncées. Les pirates n’ont par ailleurs pas répondu aux demandes de commentaire de l’agence.

L’affaire illustre surtout une évolution devenue centrale dans la cybersécurité des grandes entreprises : une seule vulnérabilité dans un logiciel partagé peut permettre à un groupe de pirates de viser simultanément plusieurs dizaines d’organisations à travers le monde.

Pour Shell, Philips, GE, Fiserv et les autres entreprises citées, les investigations doivent maintenant déterminer si les cybercriminels ont réellement réussi à extraire les volumes de données qu’ils revendiquent et, surtout, quelle est la sensibilité des informations éventuellement compromises.

Que se passe-t-il en Tunisie?
Nous expliquons sur notre chaîne YouTube . Abonnez-vous!