Une entreprise australienne de patrimoine citée sur un site de fuite de ransomware
Une entreprise de Victoria spécialisée dans le patrimoine et la restauration, HBS Group, aurait été ajoutée au site de fuite d'un gang de cyberextorsion connu sous le nom de The Gentlemen, selon un rapport exclusif de Cyber Daily. Le groupe affirme avoir compromis les systèmes de l'entreprise et annonce qu'il publiera les données dérobées dans un délai de sept jours si ses exigences ne sont pas satisfaites. À l'heure où nous écrivons ces lignes, HBS Group n'a pas publié de déclaration publique confirmant l'incident, et le contenu précis des données présumées n'a pas été vérifié de manière indépendante.
Bien que la revendication ne soit toujours pas confirmée par l'entreprise elle-même, le fait d'être citée sur le site de fuite d'un groupe de ransomware constitue un développement grave. Ces inscriptions sont généralement le premier acte d'une campagne de double extorsion, où les attaquants dérobent les données avant de déployer (ou de menacer de déployer) un chiffrement, puis utilisent la menace de publication comme levier pour contraindre les victimes à payer.
Pourquoi une entreprise de restauration du patrimoine est-elle une cible
À première vue, une entreprise de patrimoine et de restauration peut ne pas sembler une cible évidente pour un ransomware, comparativement aux hôpitaux, banques ou commerces de détail. Pourtant, les sociétés de ce secteur détiennent souvent une quantité surprenante d'informations sensibles. Les travaux de restauration et de conservation du patrimoine impliquent fréquemment des contrats avec des organismes publics chargés du patrimoine, des collectivités, des musées et des propriétaires privés, ainsi que des dossiers financiers, de la documentation de projet et les coordonnées personnelles des clients et du personnel.
Les groupes de ransomware ciblent de plus en plus les entreprises de taille moyenne précisément parce qu'elles disposent souvent de moins de ressources dédiées à la sécurité que les grandes entreprises, tout en détenant des données suffisamment précieuses pour permettre une extorsion. Ceci reflète un schéma observé lors d'autres violations australiennes ces derniers mois, notamment la fuite touchant la marque de cosmétiques Napoleon Perdis, où des centaines de milliers de dossiers clients ont été exposés par un acteur malveillant opérant en dehors du modèle traditionnel de ransomware. Les attaquants jettent un large filet sur les secteurs qui traitent des données personnelles et commerciales, et pas seulement sur ceux traditionnellement associés aux violations à haute valeur.
Le modèle plus large de l'extorsion de données
L'approche de Gentlemen – inscrire publiquement une victime et lancer un compte à rebours avant la publication des données – est une tactique largement répandue dans l'écosystème des ransomwares pour maximiser la pression. Elle vise à forcer une réaction rapide, avant que l'entreprise puisse évaluer pleinement l'ampleur de la violation ou avertir les parties concernées. Des tactiques de pression similaires ont été observées lors de l'attaque de vishing contre Cushman & Wakefield, où plusieurs groupes de cybercriminalité ont revendiqué leur implication dans un seul incident touchant une grande société d'immobilier commercial, soulignant comment les groupes d'extorsion se livrent souvent à une compétition pour attirer l'attention et obtenir un levier une fois la violation rendue publique.
Ces incidents mettent également en lumière un thème récurrent : les attaquants n'ont pas besoin de s'en prendre à une marque très connue pour causer des dégâts réels. Les petites entreprises spécialisées qui gèrent des contrats, des dossiers clients et des données financières sont des cibles de plus en plus viables, et les conséquences pour les personnes dont les informations se retrouvent compromises dans ces fuites peuvent être tout aussi importantes que dans les violations qui font les gros titres, comme le cas d'un pirate adolescent lié à une violation de la base de données d'identité de 18 millions de fiches en France.
Ce que cela signifie pour vous
Si vous êtes un client, un contractant ou un employé lié à HBS Group, ou à toute organisation citée sur un site de fuite de ransomware, voici quelques mesures pratiques à prendre dès maintenant, plutôt que d'attendre une confirmation officielle.
Premièrement, traitez avec prudence toute communication se réclamant de HBS Group, jusqu'à ce que l'entreprise confirme les détails par les canaux officiels. Les incidents d'extorsion sont parfois suivis de tentatives de hameçonnage qui usurpent l'identité de l'organisation compromise ou proposent de faux services de « remédiation ».
Deuxièmement, si vous avez partagé des informations personnelles, financières ou contractuelles avec une entreprise de patrimoine, de restauration ou de services immobiliers, pensez à surveiller vos comptes et votre activité de crédit à la recherche d'activités inhabituelles dans les semaines à venir. Les groupes de ransomware mettent souvent à exécution leurs menaces de fuite même après l'expiration du délai ; la vigilance ne doit donc pas cesser au bout de sept jours.
Troisièmement, les entreprises de secteurs similaires, en particulier celles qui gèrent des contrats publics, des archives immobilières historiques ou des données financières de clients, doivent voir cela comme un rappel pour revoir les pratiques de sécurité de leurs fournisseurs, leurs protocoles de sauvegarde et leurs plans de réponse aux incidents avant qu'une attaque ne survienne.
Garder une longueur d'avance sur les menaces de ransomware
L'affaire HBS Group est encore en cours, et il reste à voir si l'entreprise confirmera la violation ou comment les données présumées seront traitées si elles sont publiées. Ce qui est clair, c'est que des groupes de ransomware comme The Gentlemen continuent de cibler un éventail toujours plus large de secteurs, en utilisant les annonces sur les sites de fuite publics et les délais courts comme outils d'extorsion.
Pour les particuliers, la meilleure défense est la vigilance : vérifiez les communications, surveillez les signes d'utilisation frauduleuse et évitez d'interagir avec des messages non sollicités liés à l'actualité des violations. Pour les organisations, cet incident est un point de donnée supplémentaire qui renforce le constat selon lequel aucun secteur, aussi traditionnel ou spécialisé soit-il, n'est à l'abri de la cyberextorsion. Rester informé de la manière dont ces attaques se déroulent et agir rapidement lorsque vos propres données peuvent être impliquées reste le moyen le plus efficace de limiter les dégâts lorsqu'une violation comme celle-ci éclate au grand jour.
