Une campagne d'extorsion par vol de données en Corée du Sud a produit un résultat qui paraît presque comique sur le papier : 38 organisations ont été ciblées, des données ont été volées à 90 victimes, et le butin total s'élèverait à seulement 226 $. Ces chiffres, rapportés par Cybernews et tirés de rapports de police, font de cette affaire un utile retour à la réalité. Les pirates sud-coréens spécialisés dans l'extorsion de données ne réussissent pas toujours financièrement, mais cela ne signifie pas pour autant que les personnes dont les informations ont été dérobées sont en sécurité.

Comment la campagne d'extorsion à 226 $ s'est déroulée

Selon le résumé de Cybernews, le groupe a fait pression sur 38 organisations après avoir volé des données à 90 victimes. Le gain s'est élevé à 226 $. Les sources disponibles ne précisent pas qui a payé, combien de paiements ont été effectués, ni quelles étaient les demandes de rançon, nous ne spéculerons donc pas sur ces détails.

Ce que les chiffres montrent, c'est un écart important entre l'effort et la récompense. Voler des données à des dizaines de victimes et contacter des dizaines d'organisations représente un vrai travail, et pourtant le retour a été minime. Cela indique une opération soit mal exécutée, soit mal ciblée, soit les deux, et cela suggère que la plupart des organisations contactées n'ont pas cédé.

Cela contraste avec l'image plus industrialisée de l'extorsion numérique. Notre analyse du rançongiciel comme modèle économique décrit comment le domaine est passé de petites équipes discrètes à des structures plus organisées. Le cas sud-coréen se situe à l'opposé : un rappel que toutes les équipes d'extorsion ne sont pas des entreprises criminelles bien rodées.

Ce que les rapports de police révèlent sur les méthodes des pirates

L'article de Cybernews indique que les conclusions proviennent de rapports de police. La partie de l'article à laquelle nous avons accès est un résumé, et elle ne détaille pas les méthodes techniques utilisées par les pirates, cet article ne spéculera donc pas sur des outils ou des points d'entrée spécifiques.

Ce que l'on peut dire à partir des chiffres rapportés est ceci :

  • Le modèle reposait sur le vol de données et la pression. Le groupe a d'abord pris les données, puis contacté les organisations. C'est un schéma d'extorsion courant, et il ne nécessite pas de chiffrer les systèmes d'une victime.
  • L'ampleur était modeste. Quatre-vingt-dix victimes et 38 organisations ciblées, c'est loin des plus grandes campagnes enregistrées.
  • La police a pu documenter l'activité. L'existence de rapports de police contenant ces chiffres suggère que les enquêteurs avaient une visibilité sur ce qui s'est passé, y compris sur le peu d'argent échangé.

L'extorsion à faible niveau de compétence repose souvent sur une hypothèse : qu'une organisation paiera rapidement pour éviter l'embarras ou des ennuis réglementaires. Lorsque les organisations refusent, ou simplement ne répondent pas, l'économie s'effondre. C'est apparemment ce qui s'est produit ici.

Pourquoi une extorsion ratée met quand même en danger les données des victimes

Un paiement de 226 $ n'est pas synonyme d'absence de préjudice. Les données ont tout de même été volées à 90 victimes. Une fois que les informations quittent les systèmes d'une organisation, les personnes qu'elles décrivent n'ont plus aucun contrôle sur ce qui advient ensuite. Elles peuvent être conservées, vendues, partagées ou publiées, que l'extorsion ait réussi ou non.

Il existe aussi un risque pratique pour les individus. Les données volées telles que les noms, adresses e-mail ou identifiants peuvent être réutilisées dans des tentatives d'hameçonnage, de prise de contrôle de comptes ou d'arnaques ultérieures. Une équipe qui n'a pas réussi à gagner d'argent auprès de l'organisation peut encore tenter d'en gagner à partir des données elles-mêmes.

La Corée du Sud a connu d'autres incidents où des informations personnelles ont été exposées. Par exemple, nous avons couvert comment une fuite au sein d'un diplomate sud-coréen a exposé 10 000 dossiers dans une académie de formation dirigée par l'État. Des acteurs et des circonstances différents, mais la même leçon fondamentale : vos données se trouvent souvent dans des systèmes que vous ne gérez pas.

Ce que cela signifie pour vous

La plupart des gens ne peuvent pas empêcher une organisation d'être compromise. Ce que vous pouvez faire, c'est limiter les dégâts si vos informations font partie d'un ensemble de données volées.

  • Partez du principe que l'exposition est possible. Si une organisation avec laquelle vous traitez signale une violation, traitez tout contact prétendant s'y rapporter avec méfiance.
  • Attendez-vous à des arnaques de suivi. Les équipes d'extorsion et d'autres criminels peuvent envoyer des e-mails ou des messages directement aux personnes en utilisant les coordonnées volées.
  • Ne payez pas et ne répondez pas aux menaces. Si vous recevez un message menaçant de publier vos données, ne répondez pas et n'envoyez pas d'argent. Ce cas montre à quel point l'extorsion peut en réalité rapporter peu, et payer ne garantit jamais la suppression.
  • Surveillez l'activité de vos comptes. Les alertes de connexion inattendues, les e-mails de réinitialisation de mot de passe ou les nouveaux appareils sur vos comptes méritent votre attention.

Comment protéger vos comptes contre les tentatives d'extorsion

De solides bases vont loin, même face à des attaquants opportunistes :

  1. Utilisez un mot de passe unique pour chaque compte. Un gestionnaire de mots de passe rend cela réaliste. Si un service divulguait vos identifiants, les autres resteraient protégés.
  2. Activez l'authentification multifacteur. Privilégiez une application d'authentification ou une clé matérielle plutôt que le SMS lorsque c'est possible.
  3. Changez vos mots de passe après un avis de violation. Faites-le sur le service concerné et partout où vous avez réutilisé le même mot de passe.
  4. Limitez ce que vous partagez. Ne donnez aux organisations que les données personnelles dont elles ont réellement besoin. Les données qui n'ont jamais été collectées ne peuvent pas être volées.
  5. Méfiez-vous des messages inattendus. Ne cliquez pas sur les liens et n'ouvrez pas les pièces jointes des messages faisant référence à une violation ou à une menace. Rendez-vous directement sur le site officiel.
  6. Passez en revue les anciens comptes. Supprimez les comptes que vous n'utilisez plus afin que moins d'organisations détiennent vos informations.

La Corée du Sud a également vu des outils de sécurité devenir une surface d'attaque, comme dans le cas du zero-day AnySign4PC impliquant un outil bancaire coréen. Maintenir les logiciels à jour est une autre habitude à conserver.

À retenir

Le chiffre de 226 $ fait une bonne histoire, mais ce n'est pas une raison pour se relâcher. Les pirates sud-coréens spécialisés dans l'extorsion de données n'ont pas beaucoup profité dans ce cas, mais 90 victimes ont tout de même vu leurs données volées. Sécurisez vos comptes, utilisez des mots de passe uniques avec authentification multifacteur et partagez le moins d'informations personnelles possible. Pour un contexte plus large, lisez notre couverture du modèle économique des rançongiciels et de l'extorsion et nos reportages sur d'autres violations sud-coréennes.