Ce qui s'est passé : FulcrumSec et l'exposition des jetons GitHub

Un groupe d'extorsion cyber se faisant appeler FulcrumSec est à l'origine d'une violation de données chez Novo Nordisk, l'entreprise pharmaceutique connue pour produire des médicaments largement utilisés contre le diabète et pour la perte de poids. Selon les informations rapportées, les attaquants ont obtenu leur point d'ancrage non pas grâce à un exploit zero day sophistiqué, mais en trouvant des identifiants codés en dur liés à des jetons d'accès GitHub présents dans l'infrastructure informatique publique de Novo Nordisk.

Il ne s'agit pas d'une tactique isolée pour ce groupe. FulcrumSec aurait établi un schéma consistant à scanner des dépôts de code publics, des scripts côté client et d'autres infrastructures exposées à la recherche de secrets oubliés tels que des clés API, des jetons de session et des identifiants d'accès que les développeurs ont accidentellement laissés en place. Une fois qu'un jeton valide est trouvé, il peut agir comme un passe-partout, offrant aux attaquants un chemin vers des systèmes qui n'étaient jamais censés être accessibles depuis l'extérieur.

La violation de données chez Novo Nordisk impliquant des jetons GitHub illustre un thème récurrent dans les intrusions d'entreprise modernes : les attaquants n'ont de plus en plus pas besoin de franchir un pare-feu lorsqu'un morceau de code oublié leur remet les clés à la place.

Pourquoi les identifiants codés en dur continuent de provoquer des violations d'entreprise

Les identifiants codés en dur, c'est-à-dire les noms d'utilisateur, mots de passe, clés API ou jetons écrits directement dans le code source plutôt que stockés dans un gestionnaire de secrets sécurisé, restent l'une des causes les plus persistantes et les plus évitables de violations de données d'entreprise. Les développeurs intègrent souvent ces valeurs lors de tests ou de cycles de déploiement rapides, avec l'intention de les supprimer plus tard. Dans les grandes organisations d'ingénierie au rythme rapide, cette étape de nettoyage est fréquemment sautée ou oubliée.

Une fois ce code poussé vers un dépôt public ou semi-public, ou livré dans du JavaScript côté client que le navigateur de n'importe quel visiteur peut télécharger, l'identifiant est effectivement exposé à quiconque sait où chercher. Des groupes comme FulcrumSec ont bâti tout leur modèle opérationnel autour de la recherche de ce type de négligences à grande échelle, traitant l'analyse des identifiants comme une partie répétable, presque automatisée, de leur processus de reconnaissance.

Ce schéma s'étend bien au-delà du secteur pharmaceutique. Les institutions financières, les entreprises technologiques et les fabricants ont tous connu des compromissions similaires liées aux identifiants. La couverture de la violation revendiquée de Deutsche Bank par le groupe rançongiciel Unsafe et de l'attaque rançongiciel D1R contre ARM ayant contourné l'authentification à deux facteurs pointent toutes deux vers le même problème sous-jacent : les attaquants trouvent plus facile de passer par une porte laissée déverrouillée par un développeur que d'en forcer une.

Ce que cela signifie pour les données de santé des patients et des consommateurs

Pour une entreprise comme Novo Nordisk, les enjeux d'une fuite d'identifiants dépassent l'embarras corporatif habituel. Les entreprises pharmaceutiques traitent des informations sensibles liées à la recherche clinique, à la fabrication et, dans de nombreux cas, des données liées aux patients qui dépendent de leurs médicaments. Lorsqu'un groupe d'extorsion obtient un accès interne via un jeton divulgué, l'exposition peut se propager vers les partenaires, les prestataires de soins de santé et, en fin de compte, les personnes dont les informations de santé touchent ces systèmes.

Cette violation s'ajoute à une liste croissante d'incidents affectant le secteur de la santé et pharmaceutique. Des articles précédents ont détaillé comment Boston Scientific et McKesson ont tous deux confirmé des violations exposant des données de patients, et comment le groupe ShinyHunters a frappé Abbott et NAIC via une faille Oracle, perturbant au passage la recherche sur les médicaments contre le cancer. Chaque incident a utilisé un point d'entrée technique différent, mais le résultat est le même : des données sensibles liées à la santé finissent entre les mains de personnes qui n'ont aucun droit légitime sur elles.

Les consommateurs qui prennent des médicaments produits par de grandes entreprises pharmaceutiques ont généralement une visibilité et un contrôle limités sur la manière dont ces entreprises sécurisent leurs pipelines de développement internes. Il est donc raisonnable de supposer que toute organisation traitant des données de santé n'est aussi sécurisée que son secret de développeur le plus faible, et d'agir en conséquence lorsqu'elle est notifiée d'une violation.

Comment les organisations et les individus peuvent réduire l'exposition liée aux fuites d'identifiants

Pour les organisations, la solution n'a rien d'exotique. Les équipes de sécurité recommandent régulièrement de faire tourner les identifiants selon un calendrier régulier, de scanner les dépôts de code et les scripts côté client à la recherche de secrets exposés avant le déploiement, et de s'éloigner des jetons codés en dur au profit d'outils centralisés de gestion des secrets qui émettent des identifiants à durée de vie courte et révocables. Rien de tout cela n'est un conseil nouveau, mais la récurrence de ces violations montre à quel point il reste difficile de l'appliquer de manière cohérente au sein de grandes équipes d'ingénierie.

Pour les individus, la réponse pratique à des nouvelles comme la violation de données chez Novo Nordisk impliquant des jetons GitHub est simple. Surveillez les lettres de notification de violation de toute entreprise pharmaceutique, pharmacie ou régime de santé avec lequel vous interagissez, et prenez-les au sérieux même si l'avis semble routinier. Utilisez des mots de passe uniques pour les portails de santé et activez l'authentification multifacteur partout où elle est proposée. Surveillez les comptes liés aux ordonnances, à l'assurance et à la facturation pour détecter toute activité inhabituelle, car les données volées lors de ces incidents refont souvent surface plus tard dans des campagnes d'hameçonnage ou des tentatives d'usurpation d'identité.

Points clés à retenir

La violation chez Novo Nordisk rappelle que les attaquants n'ont pas toujours besoin d'outils avancés pour compromettre une grande entreprise ; parfois, un seul identifiant oublié suffit. Si vous utilisez des produits de Novo Nordisk ou d'autres entreprises de santé et pharmaceutiques, gardez un œil sur les notifications officielles de violation, examinez les paramètres de sécurité de tout compte associé et traitez avec une prudence accrue les courriels inattendus mentionnant vos ordonnances ou vos antécédents médicaux. Compte tenu du schéma observé dans d'autres violations liées à la santé, il vaut la peine de vérifier périodiquement comment vos propres comptes liés à la santé sont sécurisés, plutôt que d'attendre qu'une lettre de notification vous pousse à agir.