Une campagne d'extorsion de données par attaque de la chaîne d'approvisionnement n'a pas besoin de toucher votre appareil pour mettre vos informations en danger. Il suffit qu'elle compromette un outil auquel votre fournisseur fait déjà confiance. C'est le tableau qui émerge de l'affaire TeamPCP, où les autorités américaines ont annoncé une mise en accusation et une arrestation en Australie en août.

Les détails disponibles sont limités, donc cet article s'en tient à ce qui a été rapporté. La couverture source, de Virtual Routes, décrit comment le FBI note explicitement que certains de ces cas impliquent un vol de données et une extorsion sans chiffrement par rançongiciel, et elle pointe vers les entrées TeamPCP comme une autre voie vers l'extorsion.

Comment TeamPCP a transformé des logiciels de confiance en voie de vol de données

Selon les reportages, un avis de juillet décrivait des compromissions d'outils logiciels de confiance et le vol d'informations sensibles. Le schéma mérite d'être compris car il diffère de l'histoire classique du rançongiciel. Il n'y a pas d'écran verrouillé ni de fichiers chiffrés. Au lieu de cela, les attaquants compromettent des logiciels sur lesquels les organisations s'appuient déjà, utilisent cet accès pour prendre des données, puis exigent un paiement.

En août, les autorités américaines ont annoncé une mise en accusation et une arrestation en Australie. Les allégations décrivent des logiciels compromis permettant le vol de données chez les clients en aval, suivi de demandes de rançon. En termes simples, les victimes n'étaient pas seulement l'entreprise dont l'outil a été compromis, mais aussi les clients qui l'utilisaient.

C'est ce qui rend ce type de campagne d'extorsion de données par attaque de la chaîne d'approvisionnement efficace pour les criminels. Un seul point de compromission peut ouvrir la porte à de nombreuses organisations à la fois, et chacune d'elles peut ensuite être pressurisée séparément.

Ce que la mise en accusation et l'arrestation australienne changent et ne changent pas

Une mise en accusation et une arrestation sont des étapes significatives. Elles montrent que la coopération transfrontalière entre les autorités américaines et australiennes peut produire des résultats, et elles envoient un signal à d'autres personnes menant des stratagèmes similaires.

Mais ce ne sont que des allégations à ce stade, et le titre de l'article source cadre le problème plus large : le chemin vers la responsabilisation des criminels du rançongiciel est long. Les affaires judiciaires prennent du temps, tandis que le vol de données se produit rapidement. Une fois les informations prises, une arrestation ne garantit pas qu'elles puissent être récupérées ni que des copies ne circulent pas.

Il y a aussi un point plus large. L'application de la loi a tendance à suivre les dommages plutôt qu'à les prévenir. Les lecteurs doivent considérer les arrestations comme une bonne nouvelle pour la dissuasion, et non comme une raison de relâcher leurs propres protections.

Pourquoi les clients en aval portent le risque

Les clients en aval sont souvent la partie la moins visible dans ces incidents. Ils peuvent ne pas savoir quels outils leurs fournisseurs utilisent, quel accès ces outils ont, ou quelle quantité de leurs données se trouve dans des systèmes tiers. Lorsqu'un outil de confiance est compromis, les données qui fuient peuvent inclure tout ce que le fournisseur ou ses clients y ont stocké.

Cela peut inclure des informations personnelles ordinaires. Une couverture connexe montre comment les violations motivées par l'extorsion se répercutent sur les individus. Les rapports sur les violations de Novo Nordisk et OnePoint exposant 800 000 dossiers de patients illustrent à quel point les données de santé exposées peuvent l'être, et une récente revendication de 2 à 3 To de données sur des agents du FBI montre que même les organisations jouissant d'une solide réputation en matière de sécurité subissent la pression des extorqueurs.

Le fil conducteur est que les personnes dont les données sont volées ont rarement eu leur mot à dire dans les choix de sécurité qui les ont exposées.

Ce que cela signifie pour vous

Vous ne pouvez pas auditer chaque fournisseur qui détient vos données, et vous ne pouvez pas empêcher un fournisseur d'être compromis. Ce que vous pouvez contrôler, c'est la quantité de données à voler et l'ampleur des dommages que les données volées peuvent causer.

Moins vous partagez, moins une équipe d'extorsion peut utiliser. Et parce que l'extorsion repose sur le levier, les données volées sont souvent monétisées de plusieurs façons. L'analyse d'une fuite suspectée d'un groupe d'extorsion, couverte dans notre article sur Chainalysis reliant les portefeuilles crypto aux paiements de rançon, donne un aperçu du fonctionnement de ces flux de paiement.

Moyens pratiques de limiter votre exposition

  • Partagez moins avec les fournisseurs. Ne fournissez que les informations dont un service a réellement besoin. Ignorez les champs facultatifs et supprimez les comptes que vous n'utilisez plus.
  • Activez l'authentification multifacteur. Si des identifiants sont exposés lors d'une violation, l'AMF les rend bien plus difficiles à utiliser. Préférez les méthodes basées sur une application ou matérielles au SMS lorsque c'est possible.
  • Utilisez des mots de passe uniques. Un gestionnaire de mots de passe rend cela pratique, afin qu'une fuite ne déverrouille pas d'autres comptes.
  • Lisez les notifications de violation. N'ignorez pas les e-mails ou les lettres concernant des incidents chez des entreprises avec lesquelles vous traitez. Ils incluent souvent des étapes et des délais, comme des offres de surveillance du crédit.
  • Soyez sceptique face aux messages d'extorsion. Si quelqu'un vous contacte en prétendant détenir vos données, vérifiez par les canaux officiels avant de répondre ou de payer.
  • Surveillez vos comptes. Surveillez les relevés financiers et envisagez un gel du crédit si des identifiants sensibles ont été exposés.

À retenir

L'affaire TeamPCP rappelle qu'une campagne d'extorsion de données par attaque de la chaîne d'approvisionnement peut atteindre des clients ordinaires par le biais d'outils qu'ils n'ont jamais choisis. La mise en accusation d'août et l'arrestation en Australie sont encourageantes, mais la responsabilisation avance plus lentement que le préjudice. Limitez ce que vous transmettez, activez l'AMF et prêtez attention aux avis de violation. Pour en savoir plus sur l'utilisation des données volées, consultez notre récapitulatif hebdomadaire sur la violation de McKesson et l'affaire de rançongiciel de Berlin.