L'affaire de la rançon liée au piratage du cloud de GMO Internet a un chiffre marquant : 50 millions de dollars. Selon les informations de TokenPost, le PDG de l'entreprise a révélé que les attaquants ont exigé ce montant après une intrusion dans son infrastructure cloud, et que l'entreprise affirme n'avoir rien payé. Jusqu'à 26 739 serveurs pourraient avoir été affectés.
Les détails publics sont pour l'instant minces. Néanmoins, cette affaire rappelle utilement à quel point les clients des hébergeurs et des fournisseurs de cloud dépendent d'une sécurité qu'ils ne peuvent pas voir, et ce qu'ils peuvent faire malgré tout pour se protéger.
Ce que GMO Internet dit s'être passé
Les affirmations centrales issues des informations sont brèves. Le PDG de GMO Internet a déclaré que l'entreprise avait reçu une demande de rançon de 50 millions de dollars à la suite d'une intrusion dans son environnement cloud. L'entreprise affirme n'avoir pas payé. L'ampleur de l'exposition possible s'élève à jusqu'à 26 739 serveurs.
La formulation compte. « Jusqu'à » et « pourraient » sont des termes prudents. Ils suggèrent que l'entreprise décrit l'étendue potentielle maximale plutôt que de confirmer que chacun de ces serveurs a été consulté ou que des données y ont été dérobées. Les sources dont nous disposons ne précisent pas comment les attaquants sont entrés, quel type de données était concerné, ni si des informations ont été publiées ou vendues.
Tant que GMO Internet ou des enquêteurs indépendants ne publieront pas davantage d'informations, ces questions restent ouvertes. Nous ne ferons pas de suppositions ici.
Qui peut être affecté par l'exposition des serveurs
Le chiffre de 26 739 serveurs est un décompte de machines, pas de personnes. Un seul serveur chez un hébergeur peut contenir les données d'un client ou de plusieurs, selon la configuration du service. Cela signifie que le nombre de personnes ou d'entreprises affectées pourrait être inférieur ou supérieur à ce que suggère le nombre de serveurs.
En pratique, les personnes ayant le plus de raisons d'être attentives sont :
- Les clients qui exploitent des sites web, des applications ou des bases de données sur les services cloud de GMO Internet
- Les entreprises dont les prestataires hébergent des données chez l'entreprise
- Les utilisateurs finaux de sites et de services reposant sur une infrastructure potentiellement concernée
Ce dernier groupe est le plus difficile à identifier. De nombreuses personnes utilisent des services hébergés par un fournisseur sans savoir qui il est. Si une entreprise avec laquelle vous traitez est affectée, l'avis pourrait provenir de cette entreprise plutôt que de l'hébergeur.
Ce que signifie une intrusion chez un hébergeur pour les données des clients
Lorsque vous stockez des données chez un fournisseur de cloud ou un hébergeur, vous faites confiance à plusieurs couches de sécurité que vous ne contrôlez pas : le réseau du fournisseur, ses accès administratifs, les pratiques de son personnel et ses mises à jour. Une faiblesse dans l'une de ces couches peut exposer de nombreux clients à la fois, ce qui explique pourquoi les attaquants ciblent les fournisseurs plutôt que les sites individuels.
Une demande de rançon ajoute une autre dimension. Ce type d'extorsion repose généralement sur une menace, comme le verrouillage de systèmes ou la divulgation de données volées. Les informations ne précisent pas laquelle a été brandie ici, il n'est donc pas clair si les données des clients risquent d'être publiées ou si la pression visait les opérations.
Le refus affiché de l'entreprise de payer est notable. Les professionnels de la sécurité conseillent souvent de ne pas payer, car le paiement ne garantit ni la suppression des données ni la restauration de l'accès, et il peut encourager d'autres attaques. Mais refuser n'efface pas le risque pour les clients. Si des données ont été copiées, elles peuvent toujours être entre les mains des attaquants quelle que soit la décision de l'entreprise.
C'est le point clé pour les utilisateurs : la décision d'un fournisseur concernant une rançon est distincte de la question de savoir si vos données sont en sécurité. Vous ne pouvez contrôler la seconde qu'en limitant ce qu'une intrusion pourrait révéler en premier lieu.
Mesures que les utilisateurs peuvent prendre dès maintenant pour limiter l'exposition
Vous n'avez pas besoin d'attendre un rapport d'incident complet pour renforcer votre propre sécurité. Les mesures raisonnables incluent :
- Changez vos mots de passe. Si vous utilisez un service susceptible de fonctionner sur l'infrastructure de GMO Internet, changez votre mot de passe là-bas, et partout où vous l'avez réutilisé. Utilisez un mot de passe unique pour chaque compte, idéalement généré par un gestionnaire de mots de passe.
- Activez l'authentification à deux facteurs. Même si un mot de passe fuite, un second facteur rend la connexion bien plus difficile pour un tiers. Les applications d'authentification ou les clés matérielles sont généralement plus robustes que les SMS.
- Surveillez les avis de violation. Vérifiez les e-mails de vos fournisseurs et de tous les services que vous utilisez, et lisez-les attentivement. Rendez-vous directement sur le site officiel de l'entreprise plutôt que de cliquer sur des liens dans des messages inattendus, car les actualités de violations déclenchent souvent des tentatives d'hameçonnage.
- Chiffrez les données sensibles avant de les téléverser. Si les fichiers sont chiffrés sur votre appareil avec des clés que vous seul détenez, une intrusion côté fournisseur expose des données brouillées plutôt que des documents lisibles. C'est la protection la plus durable contre un hébergeur que vous ne pouvez pas inspecter.
- Faites le tri dans ce que vous stockez. Supprimez les données dont vous n'avez plus besoin des serveurs tiers. Les informations qui ne sont pas là ne peuvent pas être volées.
- Surveillez vos comptes. Gardez un œil sur vos relevés financiers et vos alertes de connexion pour détecter toute activité inhabituelle au cours des prochaines semaines.
Ce que cela signifie pour vous
Si vous êtes un client direct de GMO Internet, surveillez les communications officielles de l'entreprise et suivez ses recommandations. Si vous êtes un chef d'entreprise, vérifiez lesquels de vos systèmes et prestataires dépendent de l'infrastructure affectée et demandez-leur directement s'ils sont concernés.
Si vous êtes un utilisateur ordinaire sans idée de votre implication éventuelle, l'hypothèse la plus sûre est simplement de considérer cela comme une invitation à améliorer vos habitudes. Un VPN ne résout pas une intrusion côté fournisseur, car les données ont été exposées sur le serveur, pas en transit. Des mots de passe forts et uniques, l'authentification à deux facteurs et le chiffrement de ce que vous stockez sont ce qui aide ici.
Points clés à retenir
La divulgation de la rançon liée au piratage du cloud de GMO Internet laisse de nombreuses questions sans réponse : comment les attaquants sont entrés, ce qui a été dérobé et combien de clients sont réellement affectés. Ce qui est établi, c'est une demande de 50 millions de dollars, un refus affiché de payer et une empreinte potentielle allant jusqu'à 26 739 serveurs.
Pendant que les faits émergent, agissez sur ce que vous pouvez contrôler. Changez vos mots de passe, activez l'authentification à deux facteurs, lisez les avis de violation de vos fournisseurs lorsqu'ils arrivent et chiffrez les fichiers sensibles avant qu'ils n'atteignent les serveurs de quiconque. Ces mesures limitent les dommages de cet incident et du prochain.
