Un avis conjoint de la CISA, du FBI et de leurs partenaires indique que le rançongiciel SafePay a frappé plus de 600 victimes, et que le mode d'entrée est souvent d'une banalité affligeante. Selon l'avertissement, le groupe utilise le rançongiciel SafePay et des identifiants VPN volés pour simplement se connecter, et il exploite également deux failles de 2024 dans des équipements Veeam et SonicWall. La conclusion est simple : une passerelle VPN n'est sûre qu'à hauteur de la sécurité de ses identifiants et de son micrologiciel.

Ce que dit l'avis sur SafePay

L'avis, publié par la CISA, le FBI et des agences partenaires, rapporte que le rançongiciel SafePay a compromis plus de 600 victimes. Deux voies d'accès initiales se démarquent : des identifiants VPN valides que les attaquants ont obtenus ailleurs, et deux vulnérabilités de 2024 affectant des produits Veeam et SonicWall.

La source est brève, aussi certains détails ne sont pas couverts ici, comme les identifiants CVE spécifiques ou la liste complète des secteurs touchés. Les administrateurs devraient lire l'avis original directement pour les indicateurs techniques et la liste des mesures d'atténuation. Ce que le résumé rend clair, c'est le schéma : les attaquants ne s'appuient pas sur des techniques exotiques. Ils utilisent un accès qui a soit fuité, soit été laissé sans correctif.

Comment les identifiants VPN volés et les failles de périphérie ouvrent la porte

Un VPN est censé être une entrée contrôlée vers un réseau privé. Si un attaquant détient un nom d'utilisateur et un mot de passe valides, cette entrée s'ouvre pour lui comme pour un employé. Pour le VPN, un identifiant volé ressemble à une session légitime, ce qui explique pourquoi cette voie peut être difficile à repérer sans vérifications supplémentaires.

Les identifiants volés proviennent généralement de violations antérieures, d'hameçonnage ou de réutilisation de mots de passe entre services. Si un membre du personnel utilise le même mot de passe pour un VPN professionnel et un compte personnel qui fuit ensuite, l'attaquant n'a besoin d'aucun exploit technique.

La seconde voie concerne les équipements de périphérie non corrigés. Les pare-feu, les appliances VPN et les logiciels de sauvegarde se trouvent à la frontière ou au cœur d'un réseau, de sorte qu'une faille dans ces systèmes peut donner aux attaquants un point d'ancrage solide. L'avis pointe deux failles de 2024, l'une dans Veeam et l'autre dans des équipements SonicWall. Le fait que des vulnérabilités de 2024 soient encore exploitées compte : cela suggère que des correctifs existent mais ne sont pas toujours appliqués.

Ensemble, ces voies montrent pourquoi les outils de périmètre nécessitent la même attention que tout autre système critique. Un VPN ne protège le trafic que si l'accès à celui-ci est protégé, et l'appliance elle-même doit être maintenue à jour.

Mesures pour renforcer l'accès VPN et les équipements de périphérie

Aucune des mesures suivantes n'est exotique, et la plupart correspondent aux faiblesses décrites dans l'avis.

  • Exiger l'authentification multifacteur sur chaque connexion VPN. Un mot de passe volé seul ne devrait pas suffire pour entrer.
  • Corriger rapidement les produits SonicWall et Veeam. Vérifiez que les correctifs de 2024 ont réellement été installés, et pas seulement planifiés.
  • Surveiller la réutilisation des identifiants. Comparez les identifiants des employés avec les données de violations connues et forcez des réinitialisations là où une exposition est détectée.
  • Examiner les journaux VPN à la recherche d'activités inhabituelles. Les connexions à des heures étranges, depuis des emplacements inattendus ou depuis des comptes normalement inactifs méritent un examen plus approfondi.
  • Supprimer les comptes obsolètes. Les anciens employés et les identifiants de sous-traitants inutilisés sont des cibles faciles.
  • Protéger les sauvegardes. Veeam est un logiciel de sauvegarde, donc une compromission à ce niveau peut saper la reprise. Conservez des copies isolées et testez les restaurations.

Ce que le bilan de 600 victimes signifie pour les organisations et les utilisateurs

Pour les organisations, plus de 600 victimes est un rappel que les groupes de rançongiciels passent à l'échelle en répétant ce qui fonctionne. Si un seul identifiant faible ou une vieille appliance non corrigée suffit, alors l'hygiène de base est l'une des défenses les plus efficaces disponibles, et l'une des moins coûteuses.

Pour les utilisateurs individuels, y compris les personnes qui se connectent à un VPN professionnel ou utilisent un service VPN grand public, la leçon porte sur les identifiants. Utilisez un mot de passe unique pour chaque compte, activez l'authentification multifacteur partout où elle est proposée, et changez rapidement vos mots de passe si un service que vous utilisez signale une violation. Les employés font partie de la défense, puisque leurs identifiants sont exactement ce que les attaquants recherchent.

Il est également utile de se rappeler ce qui se passe après la compromission d'un réseau. Les opérateurs de rançongiciels font souvent pression par des demandes d'extorsion et des menaces de divulguer des données. L'affaire d'extorsion ATB, dans laquelle un groupe se faisant appeler DataSuckers aurait exigé 400 K$ avec 7,9 M de personnes annoncées comme affectées, montre comment cette pression se manifeste une fois que les attaquants ont obtenu l'accès.

Ce que cela signifie pour vous

Si vous gérez des systèmes informatiques, traitez votre passerelle VPN et votre logiciel de sauvegarde comme des actifs hautement prioritaires. Auditez qui peut se connecter, confirmez que l'authentification multifacteur est appliquée et vérifiez que les mises à jour SonicWall et Veeam sont en place. Si vous êtes un utilisateur au quotidien, sécurisez vos propres comptes : mots de passe uniques, MFA et action rapide après tout avis de violation.

Points clés à retenir

L'avertissement sur les identifiants VPN volés par le rançongiciel SafePay est un appel à corriger les fondamentaux. Imposez la MFA sur toutes les connexions VPN, corrigez sans délai les équipements SonicWall et Veeam, et surveillez les identifiants réutilisés ou divulgués. Les attaquants qui peuvent simplement se connecter n'ont pas besoin de s'introduire par effraction, alors rendez-leur la connexion beaucoup plus difficile.