La police a démantelé le site de fuite exploité par le groupe de rançongiciel KillSec et arrêté trois personnes, dont un opérateur présumé adolescent. L'opération, baptisée Operation KillSwitch, a également permis la saisie de serveurs. Selon un reportage de The Register, le site de fuite contenait au moins 110 To de données volées. Cette arrestation liée au rançongiciel KillSec et la saisie du site de fuite constituent une victoire notable pour les forces de l'ordre, mais elles laissent ouverte une question pratique pour toute personne dont les informations auraient pu se trouver dans ce butin.

Les détails disponibles à ce stade sont limités, aussi cet article s'en tient à ce qui a été rapporté et explique ce que cela pourrait signifier pour les personnes susceptibles d'être concernées.

Ce qu'Operation KillSwitch a démantelé

Operation KillSwitch ciblait l'infrastructure que KillSec utilisait pour publier les fichiers volés. Les groupes de rançongiciel exploitent généralement des sites de fuite comme tactique de pression : ils volent des données, menacent de les publier et les mettent en ligne si une victime refuse de payer. Prendre le contrôle de ce site perturbe la capacité du groupe à faire chanter les victimes et supprime un emplacement central où les données étaient hébergées.

Les autorités ont saisi des serveurs et arrêté trois personnes. L'une d'elles est un adolescent présumé qui aurait dirigé le groupe. Les enquêtes de ce type se poursuivent souvent après les arrestations initiales, car les serveurs saisis peuvent fournir des preuves concernant d'autres membres, les victimes et le mode de fonctionnement de l'opération. Le reportage dont nous disposons ne confirme ni d'autres chefs d'accusation ni d'autres suspects, il est donc trop tôt pour dire jusqu'où l'affaire ira.

Ce que 110 To de données volées pourraient contenir

Le chiffre rapporté est d'au moins 110 To. C'est un volume très important, et il convient d'être clair sur ce que nous savons et ce que nous ignorons. Le résumé source donne la taille des données mais, dans les éléments à notre disposition, ne détaille pas les types de fichiers qu'elles contiennent ni les organisations et les personnes concernées.

De manière générale, les données volées lors d'attaques par rançongiciel peuvent inclure :

  • Des dossiers d'employés et de clients, tels que noms, adresses et coordonnées
  • Des documents internes d'entreprise, contrats et fichiers financiers
  • Des identifiants de connexion ou d'autres informations de compte stockées sur des systèmes compromis
  • Des dossiers sensibles, selon le type d'organisation touchée

Ce sont des exemples généraux de ce que les victimes de rançongiciel perdent souvent, et non le contenu confirmé de cette archive précise. Si vous êtes lié à une organisation désignée comme victime de KillSec, surveillez les notifications officielles expliquant exactement ce qui a été dérobé.

Pourquoi une saisie ne rend pas les données divulguées sûres

Il est tentant de supposer qu'une fois que la police contrôle le site de fuite, les données volées sont contenues. Ce n'est pas garanti. Des données qui ont été publiées ou partagées, ne serait-ce que brièvement, peuvent être copiées, et les copies peuvent survivre au serveur d'origine. Les forces de l'ordre peuvent supprimer un emplacement d'hébergement, mais elles ne peuvent pas toujours savoir qui a téléchargé des fichiers auparavant ni si d'autres copies ont été conservées ailleurs.

Il existe aussi une différence entre des données hors ligne et des données en sécurité. Même si le site de fuite reste inaccessible, les informations ont tout de même été volées au départ. Quiconque y a accédé, ou en détient encore une copie, pourrait les utiliser à mauvais escient pour la fraude, l'hameçonnage ou l'usurpation d'identité. Les arrestations réduisent donc les préjudices futurs, mais n'annulent pas l'exposition déjà survenue.

C'est une tension familière dans l'actualité sur la vie privée et la sécurité : les régulateurs et la police disposent de plus en plus d'outils pour agir, comme on le voit dans des débats tels que l'eSafety Commissioner australien qui s'apprête à obtenir de nouveaux pouvoirs, mais les particuliers portent encore une grande partie du fardeau pratique de la protection de leurs propres informations une fois qu'elles ont fuité.

Ce que cela signifie pour vous

La plupart des gens ne sauront pas immédiatement si leurs données faisaient partie de l'archive KillSec. La meilleure approche est d'agir comme si une exposition était possible si vous avez reçu une notification de violation ou si une organisation avec laquelle vous traitez a été attaquée, et de prendre des mesures peu contraignantes qui aident dans tous les cas.

Si vous êtes informé que vous avez été concerné, prenez la notification au sérieux et suivez les instructions qu'elle contient. Si vous n'avez rien reçu, il n'y a pas lieu de paniquer, mais quelques habitudes réduiront votre risque, que cet ensemble de données précis vous concerne ou non.

Comment vérifier et limiter votre exposition

Commencez par ces étapes pratiques :

  1. Vérifiez les notifications de violation. Consultez votre messagerie, y compris les dossiers de spam, et votre courrier postal à la recherche de messages d'entreprises, d'employeurs, d'écoles ou de prestataires de santé concernant un incident de données.
  2. Changez les identifiants là où c'est nécessaire. Si l'on vous a informé que vos identifiants de connexion pouvaient être exposés, changez ce mot de passe immédiatement. Changez-le aussi partout où vous l'avez réutilisé, et utilisez un mot de passe unique pour chaque compte.
  3. Activez l'authentification multifacteur. La MFA ajoute une seconde barrière, de sorte qu'un mot de passe volé seul est bien moins utile à un attaquant.
  4. Surveillez les tentatives d'hameçonnage. Les coordonnées divulguées servent souvent à concevoir des courriels, des SMS et des appels convaincants. Soyez prudent face aux messages inattendus qui créent un sentiment d'urgence, et rendez-vous directement sur le site officiel d'une entreprise au lieu de cliquer sur des liens.
  5. Surveillez vos comptes. Examinez vos relevés bancaires et de carte pour détecter toute activité inhabituelle, et envisagez un gel de crédit ou une alerte de fraude si des données financières ou d'identité étaient impliquées.

À retenir

L'arrestation liée au rançongiciel KillSec et la saisie du site de fuite montrent que les forces de l'ordre peuvent perturber des opérations de rançongiciel, même celles prétendument dirigées par des suspects très jeunes. Cela n'annule pas le vol d'au moins 110 To de données. Vérifiez les notifications, mettez à jour et diversifiez vos mots de passe, activez la MFA et restez vigilant face aux tentatives d'hameçonnage. Ces mesures coûtent peu et vous protègent quoi qu'il arrive ensuite dans l'enquête.