Le ransomware de River Bank & Trust lié à une faille d’un ancien protocole VPN

Une attaque par ransomware contre une institution financière américaine

Le rapport de renseignements sur les menaces du 6 juillet de Check Point Research débute par une entrée qui donne à réfléchir : River Bank & Trust, une institution financière américaine, a subi un incident de ransomware après qu'un acteur non autorisé a obtenu l'accès au réseau de sa société mère. Selon les informations liées à la divulgation, l'accès initial a eu lieu autour du 16 juin, ce qui a donné à l'attaquant plusieurs semaines à l'intérieur du réseau avant le déploiement de la charge utile du ransomware. Cet écart entre la compromission initiale et l'impact final est un thème récurrent dans les campagnes de ransomware modernes, et c'est précisément le genre de détail qui devrait inquiéter quiconque est client, travaille avec ou dépend des fournisseurs de services financiers.

Ce qui rend cet incident particulièrement pertinent au-delà du secteur bancaire, c'est le vecteur d'attaque qui aurait été impliqué : un protocole VPN obsolète. Les informations liées au bulletin de Check Point indiquent que des acteurs liés aux ransomwares exploitent des implémentations VPN héritées que les organisations n'ont pas réussi à retirer ou à corriger. Ce n'est pas une technique nouvelle. Les protocoles VPN obsolètes constituent depuis longtemps un point d'entrée facile pour les attaquants, mais leur utilisation continue dans des environnements à forte valeur comme les services financiers souligne à quel point il est difficile pour les grandes organisations de moderniser l'infrastructure de sécurité au rythme qu'exigent les menaces.

Pourquoi les protocoles VPN obsolètes continuent d'apparaître dans les rapports de violation

Les VPN sont censés être un contrôle de sécurité, pas un passif. Mais les anciens protocoles VPN, dont certains sont antérieurs aux normes de chiffrement et aux pratiques d'authentification modernes, restent souvent dans les environnements de production bien après qu'ils auraient dû être mis hors service. Les systèmes hérités restent en place pour des raisons qui n'ont rien à voir avec la sécurité : contrats avec les fournisseurs, compatibilité avec du matériel plus ancien, ou simplement le risque opérationnel de migrer un système qui « fonctionne encore ».

Le problème, c'est que les attaquants recherchent activement ces points faibles. Un protocole VPN obsolète peut offrir un moyen relativement discret de pénétrer dans un réseau d'entreprise, surtout lorsqu'il lui manque des protections modernes comme l'authentification multifacteur ou une surveillance robuste des sessions. Une fois à l'intérieur, comme cela semble s'être produit dans le cas de River Bank & Trust, un attaquant peut passer des semaines à se déplacer latéralement, à élever ses privilèges et à identifier l'endroit le plus nuisible pour déployer un ransomware avant même de déclencher une alerte.

Pourquoi les institutions financières restent des cibles de grande valeur

Les banques et les sociétés de portefeuille financières détiennent des montagnes de données sensibles : numéros de compte, historiques de transactions, informations d'identification personnelle, et souvent un accès interconnecté à des réseaux d'entreprise plus larges via des relations mère-filiale. Cette interconnectivité mérite d'être soulignée dans ce cas, car la compromission aurait commencé par le réseau de la société mère plutôt que directement par les systèmes de River Bank & Trust. Les opérateurs de ransomware comprennent que les institutions financières subissent une pression réglementaire et réputationnelle intense pour résoudre rapidement les incidents, ce qui peut les rendre plus enclines à payer des rançons ou à régler rapidement plutôt que de risquer une interruption prolongée.

Cette tendance reflète également une évolution plus large couverte par les rapports de renseignements continus de Check Point : les acteurs de la menace privilégient de plus en plus le ciblage d'infrastructures et de points d'accès que les organisations considèrent comme « suffisamment bons », plutôt que de rechercher des vulnérabilités zero-day. Les anciens protocoles VPN, les outils d'accès à distance non corrigés et les périphériques réseau négligés constituent systématiquement des surfaces d'attaque plus productives que les nouveaux exploits spectaculaires.

Ce que cela signifie pour vous

Si vous êtes client d'une banque ou d'une institution financière, cet incident vous rappelle que la sécurité de vos données dépend fortement de décisions d'infrastructure prises en coulisses, des décisions sur lesquelles vous n'avez ni visibilité ni contrôle. Cela ne signifie pas que vous êtes impuissant. Surveiller vos comptes pour détecter toute activité inhabituelle, utiliser des mots de passe forts et uniques, et activer l'authentification multifacteur partout où votre banque le propose restent vos meilleures défenses individuelles.

Si vous gérez l'informatique ou la sécurité pour une organisation, en particulier une qui est liée aux services financiers par des relations de fournisseur ou une structure d'entreprise, cet incident est un argument concret pour auditer votre infrastructure VPN maintenant plutôt qu'après un incident. Le risque n'est pas hypothétique, et la chronologie rapportée ici, où l'accès initial a précédé le déploiement du ransomware de plusieurs semaines, montre à quel point les dégâts peuvent s'accumuler dans l'écart entre la compromission et la détection.

Les implications plus larges en matière de confidentialité de ce type d'incident sont également liées à la manière dont les organisations traitent généralement les données sensibles. Comme le détaille un récent rapport du GAO sur les risques de confidentialité liés à l'IA, les systèmes et outils sur lesquels les organisations s'appuient pour traiter les données personnelles et financières se développent d'une manière qui dépasse souvent les contrôles de sécurité censés les protéger. Les protocoles VPN hérités ne sont qu'un élément d'un schéma bien plus vaste où l'infrastructure est à la traîne par rapport aux risques.

Mesures concrètes à prendre

Pour les particuliers : activez l'authentification multifacteur sur tous les comptes financiers, surveillez régulièrement vos relevés et considérez les notifications de compte inattendues comme un signal pour vérifier l'activité directement auprès de votre institution plutôt que de cliquer sur des liens intégrés.

Pour les organisations : recensez et mettez hors service les protocoles VPN obsolètes, appliquez des normes d'authentification modernes sur tous les points d'accès distants, et partez du principe que toute connexion réseau mère-filiale n'est aussi sécurisée que son maillon le plus faible. Les campagnes de ransomware comme celle qui a touché River Bank & Trust démontrent que le point d'entrée est rarement exotique. C'est généralement l'infrastructure que tout le monde a oublié de mettre à jour.