Le ransomware Everest revendique une attaque contre l’entreprise technologique indienne Greenbotz

Le groupe de ransomware Everest a ajouté l’entreprise technologique indienne Greenbotz à sa liste de victimes, menaçant de divulguer les données volées si l’entreprise ne répond pas à ses demandes. La revendication, documentée pour la première fois dans un rapport d’incident de DeXpose, suit un schéma que le groupe a utilisé à maintes reprises contre des organisations du monde entier : infiltrer un réseau, exfiltrer des données sensibles, puis utiliser la menace d’une exposition publique comme levier de paiement.

Comme pour la plupart des divulgations de ransomware de ce type, l’étendue complète de ce qui a été consulté, le nombre d’enregistrements touchés et l’implication éventuelle de données clients ou employés n’ont pas été vérifiés de manière indépendante au-delà des allégations du groupe lui-même. Les gangs de ransomware exagèrent fréquemment l’ampleur ou la sensibilité des données volées pour pousser les victimes à payer rapidement, de sorte que les détails de l’incident Greenbotz doivent être considérés comme une affirmation non confirmée jusqu’à ce que plus d’éléments apparaissent.

Qui est Everest, et pourquoi cela importe

Everest s’est forgé une réputation comme l’une des opérations de ransomware axées sur l’extorsion les plus persistantes aujourd’hui. Le livre de jeu du groupe repose généralement sur le vol de données plutôt que sur le chiffrement pur, ce qui signifie que les victimes sont moins sous pression par des systèmes verrouillés que par la menace de voir des informations sensibles rendues publiques ou vendues. Cette approche a fait d’Everest un nom récurrent dans les signalements de violations, dans de nombreux secteurs et pays.

Les tactiques du groupe ne se limitent pas aux petites structures. Plus tôt cette année, Everest a été lié à une affaire très médiatisée concernant le refus de Stadler Rail de payer une rançon de 12,3 millions de dollars après que des attaquants ont volé des données techniques par l’intermédiaire d’un fournisseur tiers. Cette affaire a montré comment Everest obtient souvent un accès initial non pas directement via l’entreprise ciblée, mais par des maillons plus faibles d’une chaîne d’approvisionnement, un détail à garder à l’esprit pour toute entreprise, en Inde ou ailleurs, qui dépend de fournisseurs ou de sous-traitants externes pour ses services informatiques.

Pour une entreprise technologique comme Greenbotz, les enjeux dépassent la seule société. Les fournisseurs de technologies détiennent souvent, dans le cadre normal de leurs activités, l’accès aux systèmes de leurs clients, des codes sources, des identifiants ou des données clients. Si l’une de ces informations faisait partie de ce qui a été consulté, les répercussions pourraient dépasser largement les seuls employés et infrastructures de Greenbotz.

Implications pour la vie privée des employés et des clients

Lorsqu’une entreprise technologique est ciblée, les préoccupations en matière de vie privée se limitent rarement aux archives internes de l’entreprise. Selon ce que Greenbotz stockait ou traitait, une violation pourrait potentiellement exposer :

  • Les informations personnelles des employés, y compris les coordonnées ou les données financières utilisées pour la paie
  • Les données de clients ou de partenaires partagées dans le cadre de contrats de service
  • Du code source propriétaire ou de la documentation technique
  • Des identifiants ou des jetons d’accès liés à des systèmes connectés

Tant que Greenbotz ou des chercheurs indépendants n’auront pas confirmé exactement quelles données ont été impliquées, il n’est pas possible de dire avec certitude qui est touché. Mais le profil de risque général d’une violation touchant une entreprise technologique, étant donné le degré d’intégration souvent profond de ces sociétés avec l’infrastructure de leurs clients, tend à être plus large que celui d’un incident limité à une seule entreprise.

Ce que cela signifie pour vous

Si vous êtes un client, un partenaire ou un employé en lien avec Greenbotz, ou simplement une personne souhaitant comprendre comment ces incidents se répercutent, quelques points pratiques méritent d’être gardés à l’esprit. Les groupes de ransomware comme Everest misent sur l’urgence et la peur pour obtenir un paiement, et les menaces de fuite publique font partie de cette campagne de pression. Cela ne signifie pas que la menace doive être ignorée, mais cela ne veut pas non plus dire que chaque affirmation sur un site de fuite est entièrement exacte ou complète.

Pour les utilisateurs quotidiens, la leçon plus large à tirer de tels incidents concerne l’exposition via des tiers. La plupart des gens ne choisissent pas directement les fournisseurs sur lesquels s’appuie une entreprise avec laquelle ils interagissent, ce qui rend difficile de se protéger totalement contre des violations en aval. Ce que vous pouvez contrôler, c’est votre réaction une fois qu’une violation impliquant vos données devient publique : changer les mots de passe réutilisés, activer l’authentification multifacteur lorsqu’elle est disponible et surveiller toute activité inhabituelle sur vos comptes.

Mesures concrètes à prendre

Si vous avez une relation quelconque avec Greenbotz, que ce soit en tant que client, partenaire ou employé, soyez attentif à une communication officielle de l’entreprise confirmant quelles données, le cas échéant, ont été touchées. En attendant, révisez et mettez à jour les mots de passe liés à tout système partagé, activez l’authentification multifacteur partout où elle est proposée et évitez de réutiliser des identifiants sur plusieurs plateformes. Les entreprises qui dépendent de fournisseurs technologiques tiers devraient aussi profiter de cette occasion pour revoir les contrôles d’accès des fournisseurs et s’assurer que les données sensibles partagées à l’externe se limitent au strict nécessaire.

Les groupes de ransomware comme Everest continuent de cibler des organisations de toutes tailles dans toutes les régions, et Greenbotz n’est que le dernier nom ajouté à une longue liste. Se tenir informé de la manière dont ces attaques se déroulent, et prendre des précautions de base avant et après la confirmation d’une violation, reste le moyen le plus fiable de limiter les retombées personnelles et organisationnelles.