Fin juillet, Avid Life Media (ALM), propriétaire du site de rencontres en ligne Ashley Madison, a confirmé avoir été victime d’une fuite massive de données, susceptible d’avoir exposé les informations personnelles et l’identité de millions d’utilisateurs d’Ashley Madison.
Un mois plus tard, les craintes de l’entreprise (sans parler de celles de ses utilisateurs) se sont confirmées lorsque les pirates présumés responsables, connus sous le nom d’Impact Team, ont publié les noms, adresses, numéros de téléphone et informations relatives aux transactions par carte bancaire d’environ 32 millions de clients. Ces données ont été publiées sur le « Dark Web », une partie semi-anonymisée d’Internet accessible uniquement à l’aide d’un navigateur Tor et d’un routeur Onion spécifiques. Naturellement, des instructions permettant d’accéder aux données ont fait leur apparition, suivies d’une avalanche d’articles dans la presse à scandale sur des personnes ayant découvert les informations de leur conjoint. D’autres articles ont notamment relayé des accusations selon lesquelles la fuite était l’œuvre d’une personne en interne, ainsi que des réflexions sociétales plus approfondies sur la manière dont de nombreuses personnes utilisent réellement le site et les raisons qui les y poussent.
Le côté obscur
Du point de vue de la cybersécurité, Ashley Madison constitue toutefois l’exemple le plus médiatisé à ce jour d’une nouvelle phase, plus sombre, des cyberattaques. Plutôt que de chercher simplement à provoquer des perturbations et de l’embarras, ou à se faire un peu de publicité, les cybercriminels recourent de plus en plus au piratage pour obtenir une rançon. Début juillet, le service de streaming de films Plex a été piraté, l’attaquant tentant d’extorquer de l’argent au service. Un mois auparavant, la Bank of China et la Bank of East Asia avaient toutes deux été victimes d’une attaque DDoS, les pirates menaçant ces établissements de prolonger l’attaque s’ils ne versaient pas une somme considérable en bitcoins.
L’Impact Team a affirmé que l’attaque relevait presque d’une croisade morale contre l’entreprise à l’origine d’Ashley Madison. Selon les pirates, ALM a généré 1,7 million de dollars de chiffre d’affaires en 2014 grâce au service de suppression complète, qui permet aux utilisateurs d’effacer leur historique d’utilisation du site et leurs informations personnelles identifiables moyennant un paiement unique de 19 dollars. L’Impact Team affirme toutefois que ce n’est pas le cas, puisque les informations de paiement des utilisateurs restent accessibles.
Une question à 3,2 milliards de dollars ?
Cependant, une raison plus probable de ce piratage tient au caractère extrêmement sensible des informations dérobées et à leur valeur potentielle. Imaginez que les 32 millions de personnes dont les données ont été divulguées sur le dark web soient prêtes à payer 100 dollars pour les faire supprimer. Faites le calcul (ou, si vous n’en avez pas envie, sachez que les revenus tirés du chantage pourraient atteindre la somme colossale de 3,2 milliards de dollars) : on comprend aisément toute la puissance que représente une fuite de données comme celle d’Ashley Madison.
Alors, qu’est-ce que cela signifie pour les entreprises ? Tout simplement qu’elles doivent prendre la cybersécurité au sérieux, et vite. Quel que soit votre avis sur Ashley Madison et les services proposés, ce piratage illustre les défis omniprésents auxquels les entreprises sont confrontées pour protéger les données de leurs clients payants, avec également de probables répercussions sur leurs revenus futurs.
De nombreuses entreprises ne font tout simplement pas évoluer leurs politiques et leurs dispositifs de protection assez rapidement pour faire face à des menaces de sécurité en constante évolution. Si vous n’avez pas encore été pris pour cible, vous avez eu de la chance. Si les organisations n’agissent pas dès maintenant, les pirates continueront à trouver de nouveaux moyens de compromettre leurs systèmes et de voler des données.
Garder une longueur d’avance sur les pirates informatiques
Malheureusement, il n’existe pas de solution miracle pour se protéger des pirates informatiques. Les organisations devraient toutefois commencer par déterminer ce qu’elles cherchent à protéger et ce que les pirates pourraient tenter de compromettre. De plus en plus, ces attaques empruntent plusieurs vecteurs simultanément. Par exemple, une attaque DDoS en cours vise souvent à détourner l’attention des équipes de sécurité et informatiques pendant que les pirates ciblent précisément vos applications ailleurs afin d’accéder à vos données. Ces attaques ciblent généralement les applications, dont les pirates peuvent exploiter la logique, ou les personnes qui les utilisent.
Au-delà de tout débat moral autour d’Ashley Madison, il convient surtout de s’intéresser à la manière dont les pirates informatiques prennent de plus en plus souvent le dessus sur les entreprises, portant ainsi atteinte à la liberté individuelle ou au droit à l’anonymat. Pour éviter que ces attaques ne fassent la une chaque semaine, voire chaque jour, le secteur de la cybersécurité et les entreprises de tous les secteurs doivent unir leurs efforts afin de garder une longueur d’avance sur les pirates.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.