Lorsqu'un groupe de ransomware publie une revendication contre une entreprise, la première question est de savoir si elle est vraie. Dans le cas de FTAPI, un fournisseur de logiciels de transfert sécurisé de fichiers utilisé par environ 2 000 entreprises, la réponse est en partie oui. L'histoire de la violation de données de FTAPI par ransomware a commencé lorsqu'un groupe se faisant appeler The Gentlemen a désigné l'entreprise comme victime, et FTAPI a depuis confirmé qu'un serveur interne avait été compromis. L'entreprise affirme que les transferts des clients sont restés sûrs.

Cette combinaison, une intrusion confirmée et une rassurance concernant les données des clients, mérite d'être lue attentivement. Cet article examine ce qui est réellement connu et ce qui reste non vérifié.

Ce que FTAPI a confirmé et ce que The Gentlemen revendique

Selon un reportage de Cybernews, FTAPI a reconnu qu'un serveur interne avait été affecté après que le groupe de ransomware The Gentlemen a revendiqué une attaque. La position de l'entreprise est que les fichiers que les clients envoient via sa plateforme n'ont pas été compromis. D'autres articles, dont un rapport de heise online, indiquent également que FTAPI a confirmé la violation.

L'inscription du groupe de ransomware est une revendication, pas une conclusion. Les gangs d'extorsion publient des listes de victimes pour faire pression, et ces listes peuvent exagérer ce qui a été dérobé. Ce qui distingue ce cas de beaucoup d'autres, c'est que l'entreprise elle-même a vérifié qu'une intrusion a eu lieu. Ce qui reste flou à partir des éléments disponibles, c'est l'ampleur complète : quelles données se trouvaient sur le serveur affecté, combien ont été dérobées, et comment les attaquants sont entrés.

Pourquoi une violation de serveur interne compte pour les plateformes de transfert de fichiers

Les plateformes de transfert de fichiers occupent une position de confiance particulière. Les entreprises les utilisent pour envoyer des contrats, des dossiers du personnel et d'autres documents sensibles, précisément parce qu'elles s'attendent à ce que le fournisseur soit durci. Ainsi, même lorsque le système compromis est décrit comme interne, les lecteurs devraient se demander ce qui s'y trouve.

Les serveurs internes d'un éditeur de logiciels peuvent contenir diverses choses : des informations sur les employés, des dossiers commerciaux, des données de support, des détails de configuration ou des coordonnées de clients. Rien de tout cela ne touche nécessairement les transferts chiffrés eux-mêmes. Mais cela peut tout de même avoir de l'importance pour les clients. Les coordonnées peuvent alimenter des attaques de phishing usurpant l'identité du fournisseur, et les données opérationnelles peuvent aider les attaquants à planifier d'autres tentatives.

Il y a aussi un point pratique concernant la confiance. L'assurance d'un fournisseur concernant les transferts des clients est une déclaration de la partie qui vient d'être victime d'une violation. Elle peut très bien être exacte, mais elle est plus convaincante lorsqu'elle est étayée par des détails tels que les systèmes qui ont été segmentés, la manière dont les clés de chiffrement sont gérées et ce que montrent les journaux.

Ce que les preuves montrent et ne montrent pas concernant les données des clients

D'après ce qui a été rapporté, les preuves étayent quelques conclusions restreintes :

  • Un serveur interne de FTAPI a été compromis, et l'entreprise l'a confirmé.
  • Le groupe de ransomware The Gentlemen revendique la responsabilité.
  • FTAPI déclare que les transferts de fichiers des clients n'ont pas été affectés.

Ce que les articles disponibles n'établissent pas est tout aussi important. Il n'existe aucune vérification indépendante de l'affirmation de l'entreprise concernant les transferts des clients, ni de confirmation publique de ce que The Gentlemen a exactement dérobé. Ni la revendication du groupe ni la rassurance de l'entreprise ne devraient être considérées comme l'image complète pour l'instant.

C'est une habitude utile lorsqu'on lit une revendication d'extorsion. Dans la revendication de Qilin contre l'ATF, le gang n'a fourni aucune preuve. Dans la menace de ShinyHunters contre Streamlabs, la revendication a été rapportée comme une tentative d'extorsion avec une date limite. Le cas de FTAPI diffère parce qu'une confirmation de l'entreprise existe, mais la même question s'applique : qu'est-ce qui est vérifié, et par qui ?

Ce que cela signifie pour vous

Si votre organisation utilise FTAPI, la déclaration de l'entreprise suggère que vos fichiers transférés n'ont pas été exposés, mais vous êtes en droit d'obtenir plus qu'un résumé. Les démarches raisonnables incluent de contacter votre chargé de compte, de demander quelles catégories de données se trouvaient sur le serveur affecté et de vérifier si des coordonnées ou des détails de compte de votre organisation ont été inclus.

Si vous utilisez un fournisseur de transfert de fichiers ou de partage de documents, cet incident est une invitation à revoir la relation. Les questions à poser incluent :

  • Quelles données le fournisseur stocke-t-il en dehors du pipeline de transfert, et comment sont-elles séparées ?
  • Qui détient les clés de chiffrement, et un attaquant disposant d'un accès interne pourrait-il les atteindre ?
  • À quelle vitesse le fournisseur notifie-t-il les clients des incidents, et avec quel niveau de détail ?
  • Le fournisseur publie-t-il les conclusions post-incident, ou seulement de brèves déclarations ?

Les personnes dont les données peuvent transiter par une entreprise utilisant une telle plateforme devraient rester vigilantes face aux e-mails inattendus qui mentionnent un transfert ou un fournisseur, car le phishing suit souvent les violations de ce type.

Points clés à retenir

Le cas de la violation de données de FTAPI par ransomware montre pourquoi les deux côtés d'une histoire d'extorsion méritent un examen attentif. L'entreprise a confirmé une violation, ce qui donne plus de poids à la revendication qu'une simple inscription non étayée. Mais l'assurance que les transferts des clients sont restés sûrs demeure une déclaration de l'entreprise en attente de détails.

Pour affiner votre propre jugement, comparez ce cas avec la revendication de Qilin contre l'ATF et la menace de ShinyHunters contre Streamlabs, et notez la quantité de preuves que chacun apporte. Ensuite, demandez à vos propres fournisseurs des divulgations de violation claires et spécifiques avant qu'un incident ne se produise, pas après.