Maersk confirme une fuite de données suite aux revendications d'un groupe de ransomware

Le géant mondial du transport maritime et de la logistique Maersk a confirmé que des pirates avaient compromis un ancien système appartenant à une société qu’il avait rachetée auparavant, à la suite des déclarations du groupe de ransomware WhiteArmor affirmant avoir dérobé environ 100 Go de données à l’entreprise.

Selon Maersk, l’incident a été maîtrisé et se limite à un système local lié à LF Logistics, une entreprise de chaîne d’approvisionnement rachetée par la compagnie maritime en 2022. L’entreprise a souligné que ses activités principales ne sont pas affectées et qu’il n’existe actuellement aucune preuve indiquant que des données sensibles sur les clients aient été divulguées. Les clients peuvent continuer à réserver et à gérer leurs expéditions comme d’habitude.

WhiteArmor a exigé une rançon de 5 millions de dollars et affirme détenir un volume important de données, notamment des dossiers de chauffeurs, des journaux d’appareils mobiles, des informations sur les comptes administratifs et des données relatives à la chaîne d’approvisionnement. Maersk n’a pas confirmé la nature ni l’étendue des données qui auraient été volées et a indiqué que son enquête était toujours en cours.

Cet incident rappelle une nouvelle fois les risques associés aux systèmes hérités et aux environnements technologiques issus d’acquisitions. Il met également en évidence la menace persistante que représentent les groupes de ransomware pour les opérateurs mondiaux de logistique et de chaîne d’approvisionnement, où les perturbations opérationnelles et les informations commerciales sensibles peuvent constituer un levier important pour les attaquants.

La France accuse l’Iran d’être à l’origine des cyberattaques contre des supermarchés, tandis que Téhéran nie toute implication

L’Iran a rejeté les allégations françaises selon lesquelles il serait responsable d’une série de cyberattaques ayant perturbé les systèmes de réfrigération dans des supermarchés à travers la France et d’autres pays européens. Ces accusations font suite à une vague d’attaques qui ont modifié à distance les régulateurs de température des unités de réfrigération commerciales, entraînant la détérioration de quantités importantes d’aliments réfrigérés et surgelés.

Les autorités françaises ont attribué ces attaques à des individus liés au Corps des gardiens de la révolution islamique (CGRI) iranien, qualifiant cette campagne d’acte de cyber-sabotage sans précédent visant des infrastructures commerciales critiques. Les responsables français ont indiqué que ces incidents avaient touché des centaines de supermarchés, notamment des magasins des enseignes Intermarché, Carrefour, Monoprix et E.Leclerc, et ont averti que des sanctions pourraient s’ensuivre.

Les attaques visaient les logiciels utilisés pour gérer à distance les systèmes de réfrigération, provoquant, selon certaines sources, une hausse spectaculaire des températures dans certaines installations et contraignant les détaillants à jeter leurs stocks. Des incidents similaires ont depuis été signalés en Belgique, au Luxembourg, en Suède, en Irlande, aux Pays-Bas, en Estonie et en Finlande, suscitant des inquiétudes quant à la vulnérabilité des systèmes de technologie opérationnelle (OT) à travers l’Europe.

L’Iran a rejeté ces allégations, les qualifiant de « sans fondement et hostiles », tandis que le parquet français a ouvert une enquête sur les auteurs présumés. Cet incident met en lumière les inquiétudes croissantes concernant les cyberattaques visant les infrastructures physiques, où les failles numériques peuvent avoir des conséquences opérationnelles et économiques immédiates.

La Pologne a mis hors ligne son portail de services publics après une tentative de cyberattaque

La Pologne a temporairement mis hors ligne sa plateforme nationale d’administration en ligne ePUAP après avoir détecté et bloqué une cyberattaque visant ce service. Cette plateforme est largement utilisée par les citoyens, les entreprises et les institutions publiques pour soumettre des documents officiels, communiquer avec les administrations et effectuer des démarches administratives en ligne.

Selon le ministère polonais des Affaires numériques, les équipes de sécurité ont identifié et stoppé l’attaque avant qu’elle ne puisse causer des dommages. Les responsables ont souligné qu’il n’existe actuellement aucune preuve indiquant que les systèmes gouvernementaux aient été compromis, perturbés ou consultés par des attaquants, et que la mise hors ligne a été décidée à titre de mesure de précaution pendant la réalisation d’évaluations techniques.

Cette interruption temporaire a rendu inaccessibles les boîtes aux lettres électroniques de l’ePUAP et pourrait également affecter l’accès au service d’identité numérique « Trusted Profile » du pays, que les citoyens utilisent pour accéder aux plateformes du secteur public et signer numériquement des documents officiels. Bien que les autorités n’aient pas encore révélé la nature de l’attaque ni identifié ses auteurs, les efforts de rétablissement se poursuivent.

Cet incident met en évidence la menace cybernétique croissante à laquelle sont confrontés les services numériques publics à travers l’Europe. Il souligne également le difficile équilibre entre le maintien de la disponibilité des services et la mise en place de mesures proactives visant à protéger les infrastructures publiques critiques contre toute compromission potentielle.

N-able publie des correctifs d’urgence pour des vulnérabilités critiques de type «zero-day» affectant N-central

Le fournisseur de solutions de surveillance et de gestion à distance N-able a publié des mises à jour de sécurité d’urgence pour plusieurs vulnérabilités critiques affectant sa plateforme N-central, après que des chercheurs en sécurité ont rendu publique une série de failles «zero-day». Ces révélations ont conduit l’entreprise à mettre temporairement hors ligne ses environnements N-central hébergés en Amérique du Nord, en Europe et en Asie-Pacifique, par mesure de précaution contre toute exploitation potentielle.

Ces vulnérabilités, qui affectent la plateforme de surveillance et de gestion à distance N-central utilisée par les fournisseurs de services gérés (MSP) et les équipes informatiques d’entreprise, comprennent des failles pouvant permettre l’exécution de code à distance, l’escalade de privilèges, le contournement de l’authentification, les attaques de type « cross-site scripting » (XSS) et les attaques par falsification de requêtes côté serveur (SSRF). Les chercheurs en sécurité ont également publié un code d’exploitation de type « proof-of-concept », ce qui augmente considérablement le risque d’exploitation malveillante.

Bien que N-able n’ait confirmé aucune attaque aboutie, des chercheurs spécialisés dans le renseignement sur les menaces ont signalé avoir observé des activités actives de balayage et de sondage sur Internet ciblant des serveurs N-central vulnérables peu après la divulgation des failles. En réponse, N-able a publié des correctifs corrigeant les failles les plus critiques et a exhorté tous ses clients disposant d’installations sur site à effectuer la mise à jour immédiatement avant de rétablir l’accès public à leurs systèmes.

Cet incident met en évidence les risques de cybersécurité auxquels sont exposées les plateformes de gestion à distance, qui constituent des cibles très attractives car elles offrent un accès privilégié à un grand nombre d’environnements clients. Les experts en sécurité avertissent que les organisations qui tardent à appliquer les correctifs pourraient être exposées à des risques accrus de compromission, d’autant plus que les attaquants continuent de rechercher des systèmes exposés et vulnérables.

740 000 dollars de frais frauduleux liés à l’IA générés après le vol des identifiants de clients de Railway

Le fournisseur d’hébergement cloud Railway a révélé que des attaquants avaient exploité des vulnérabilités de son infrastructure pour voler les identifiants d’authentification de ses clients et générer environ 740 000 dollars de frais frauduleux liés à l’utilisation de l’IA. L’entreprise estime que les auteurs de cette attaque ont spécifiquement ciblé les identifiants des services d’IA, ce qui souligne la valeur croissante de l’accès aux plateformes d’IA et aux environnements de développement.

Selon Railway, les attaquants ont exploité des failles inconnues dans son infrastructure de compilation pour accéder aux identifiants internes et au code source. Ils ont ensuite tiré parti d’autres vulnérabilités pour obtenir les clés de déchiffrement utilisées pour les variables d’environnement des clients, exposant potentiellement les identifiants liés à pas moins de 100 000 espaces de travail.

Les attaquants se seraient concentrés sur la collecte de clés API et d’identifiants d’authentification associés à des fournisseurs d’IA, des plateformes cloud et des services de développement. Les identifiants volés ont ensuite été utilisés pour consommer d’importantes quantités de ressources de calcul d’IA, ce qui a entraîné des frais frauduleux considérables. Railway a déclaré qu’elle collaborait avec les fournisseurs concernés pour obtenir des remboursements et qu’elle prendrait en charge les coûts qui ne pourraient pas être récupérés.

Cet incident s’inscrit dans une vague plus large d’attaques ciblant les plateformes de développement d’IA, les cybercriminels cherchant de plus en plus à accéder à des ressources d’IA et à des identifiants de grande valeur plutôt qu’aux données financières traditionnelles. Railway affirme que les attaquants ont été éliminés de ses systèmes et que toutes les vulnérabilités identifiées ont été corrigées.

Les cyberattaques contre les organisations australiennes bondissent de 39 % d’une année sur l’autre

Les organisations australiennes ont été confrontées à une augmentation de 39 % des cyberattaques au cours du mois d’octobre, les entreprises subissant en moyenne 2 117 attaques par semaine, selon une nouvelle étude de Check Point Research. Bien que le volume mensuel d’attaques ait légèrement diminué par rapport à septembre, les experts en cybersécurité avertissent que la tendance générale reste clairement à la hausse.

Le rapport met en évidence un environnement de menaces de plus en plus menaçant, alimenté par les ransomwares, les attaques basées sur l’IA et l’exposition croissante des données sensibles via les plateformes d’IA générative. À l’échelle mondiale, les groupes de ransomwares ont fait 1 063 victimes en octobre, soit le total mensuel le plus élevé jamais enregistré par Check Point et une hausse de 35 % par rapport à l’année dernière.

Le secteur de l’éducation est resté le plus ciblé au niveau mondial, tandis que l’agriculture a connu la croissance la plus rapide en termes d’activité d’attaques. Les chercheurs ont également identifié des inquiétudes croissantes concernant l’utilisation par les employés d’outils d’IA générative, près de 3 % des requêtes d’IA en entreprise étant classées comme à haut risque en raison de l’exposition potentielle d’informations sensibles d’ordre commercial, financier et personnel.

Bien que l’activité de hameçonnage ait diminué d’un mois sur l’autre, les experts soulignent que les cybercriminels exploitent de plus en plus l’IA pour automatiser leurs attaques et améliorer leur efficacité. Ces conclusions renforcent la nécessité pour les organisations de renforcer leur cyber-résilience, de sensibiliser davantage leurs employés et de mettre en place une gouvernance claire concernant l’utilisation des outils d’IA.

Si l'une des menaces décrites dans ce bulletin vous préoccupe ou si vous avez besoin d'aide pour déterminer les mesures à prendre afin de vous protéger contre les menaces les plus graves auxquelles votre organisation est confrontée, veuillez contacter votre chargé de compte oucliquer icipour découvrir comment protéger votre organisation.

Le « Threat Intel Roundup » a été rédigé par Integrity360 afin de résumer l’actualité des menaces telle que nous l’observons, à la date de publication. Il ne doit en aucun cas être considéré comme un avis juridique, un conseil en matière de consultation ou tout autre conseil professionnel. Toute recommandation doit être envisagée dans le contexte propre à votre organisation. Integrity360 n'adopte aucune position politique dans les informations qu'elle partage. De plus, les opinions exprimées ne reflètent pas nécessairement le point de vue d'Integrity360.