2014, l’année des pirates : retour sur les pires attaques de hackers

Sony

Le piratage de Sony restera l'événement majeur de 2014 qui a surpassé tous les autres cas dans l'année. C’est la première fois que l'on voit une attaque qui touche aussi profondément et largement une entreprise. Pas un seul service de Sony n'a été épargné et cette attaque s'inscrit dans la durée. Elle aurait en effet débuté en février par une intrusion et l’installation de logiciels malveillants sur les systèmes de l’entreprise ce qui a permis de voler progressivement l'ensemble des données clés. Le 24 novembre, les pirates ont procédé à la destruction d’une majeure partie du système d’information. Les employés ont donc été dans l’obligation de recommencer à travailler sur papier, ils se sont remis à envoyer des fax. Les pirates ont porté atteinte en profondeur à la manière de travailler de l’entreprise, à son efficacité. Et ce n’est pas fini car la troisième étape de ce hacking a été de dévoiler les données sensibles de l’entreprise. Département après département, jour après par jour, les fichiers internes et les boites mails des dirigeants sont dévoilées. Ce qui a sérieusement porté atteinte à l'image de l'entreprise sur tous les plans, auprès des concurrents, des partenaires, des employés, de l’ensemble de son écosystème ! La motivation derrière cette attaque serait principalement idéologique. Le film "The Interview" attaquant l’image du dirigeant de la Corée du Nord ayant été identifiée comme la cause de cette attaque. Les dernières révélations et communications, des Etats-Unis mais aussi de la Corée du Nord montrent maintenant l’aspect diplomatique que prend cette attaque.

Target

C'est un cas emblématique de la fin 2013 et du début de l'année 2014. Target est une chaîne de grande distribution américaine. Le piratage de Target aux Etats-Unis, en chiffres, c'est 40 millions de cartes bancaires dérobées et 70 millions de données à caractère personnel. Cela fait en tout 110 millions de données. Les conséquences sur la société ont été extrêmement fortes. En premier lieu, le limogeage du Directeur Informatique et du PDG. On constate également un recul de 46% du bénéfice net entre novembre 2013 et janvier 2014. Les attaquants ont réussi à gagner a minima 53 millions de dollars en trois mois en revendant les données des cartes bancaires.

L'attaque s'est déroulée en plusieurs phases. Ils s'en sont d'abord pris à un fournisseur pour lui voler des mots de passe, puis se sont introduits à l'intérieur du réseau de l'entreprise pour enfin accéder aux terminaux de cartes bleues. Les systèmes de sécurité ont lancé des alertes. Alertes qui n'ont pas été prises en compte par les équipes de Target car elles n'étaient pas suffisamment formées et pas assez nombreuses. C'est finalement le ministère de la Justice qui a découvert la fraude en raison du taux élevé de fraudes à la carte.

EBay

Dans le cas de EBay, ce sont 145 millions de données à caractère personnel qui ont été dérobées. Les adresses email, physiques ainsi que des informations pour se connecter sur le site. Cette attaque était très visible car elle a concerné un acteur majeur de l’Internet et un nombre de comptes important. Il s'agit à nouveau d'une attaque qui remet en cause la vie privée des utilisateurs et qui impose un changement de mot de passe. 2014 aura permis de mettre à nouveau en lumière les failles du mot de passe. Le mot de passe est effectivement quelque chose de difficile à gérer et à protéger pour les particuliers et les entreprises.

Home Depot

Le piratage de Home Depot s'est fait avec la même logique que celui de Target. En chiffres, 56 millions de cartes bancaires ont été dérobées. Cette attaque s'est déroulée d'avril à septembre. La fuite de données a duré pendant plusieurs mois. C’est assez symptomatique car il faut généralement aux pirates quelques journées pour pénétrer le système des grandes entreprises, alors que ces dernières mettent en moyenne plus de 200 jours à détecter l'attaque. Il peut donc se dérouler plusieurs mois pendant lesquels les données fuitent petit à petit. Et dans plus de 60% des cas ce sont des tiers qui préviennent les entreprises ! Cela met en lumière le fait que les entreprises ont un vrai problème pour détecter les attaques et bien réagir. On constate également des manques sur la protection. Dans le cas de Home depot, toutes les données n'étaient effectivement pas chiffrées. Les entreprises sont mal préparées aux cyberattaques alors même que les cas se succèdent. Les fuites de données sont souvent sous-estimées car les systèmes fonctionnent correctement pendant que les informations sont en train d'être volées. Il est nécessaire de s’entraîner à gérer ces crises, mais c’est encore trop peu souvent le cas aujourd’hui.

JP Morgan

Le cas de JP Morgan Chase a été très remarqué car pour une des première fois une banque a été atteinte profondément dans son système interne. Habituellement les banques sont attaquées sur leurs plateformes externes comme les sites de banques en ligne ou les applications mobiles. L'attaque JP Morgan a donc eu l'effet d'un électrochoc dans la sphère bancaire. La fuite de données qui en a résulté a été massive. 83 millions de clients ont été touchés, les coordonnées physiques et des adresses e-mail ayant été dérobées. Heureusement, le cœur du système bancaire (qui assure les virements et le maintien des comptes) n'a pas été atteint. S’il fallait imager ce cas, nous pourrions dire que les pirates ont réussi à entrer dans la zone d'accueil d’une agence bancaire et voler les dossiers des clients dans les bureaux des conseillers mais ils n'ont pas pu atteindre le coffre et l'argent.

De nombreux autres cas emblématiques

Outre ces cas, d’autres piratages informatiques ont marqué l’année 2014. En France par exemple, Dominos Pizza et Orange en ont fait les frais. Si les logiques étaient les mêmes que dans les cas américains, l’ampleur était moindre. En Allemagne, une attaque informatique visant les systèmes d’industriels d’une usine a même entraînée la destruction de matériel. Pour le grand public, un des cas les plus médiatiques aura probablement été la divulgation des photos de stars volées qui a remis en cause la confiance dans les services cloud. 2014 aura également été l'année des révélations des malware étatiques avec des cas comme Regin, Careto ou Turla. Ces cas montrent clairement que les Etats se préparent à gérer des cas de cyberattaque.

L’actualité a été chargée cette année et devrait l’être encore en 2015. Le CLUSIF (club pour la sécurité de l’information en France, association loi de 1901) réalisera son panorama de la cybercriminalité le 14 janvier 2015 dans l’après-midi à Paris. Les principaux cas cyber de l’année 2014 seront décryptés et les tendances pour 2015 identifiées. Cet événement sera diffusé gratuitement sur Internet via le site du cLUSIF.