22 900 bases de données laissées sans protection ont été rasées depuis le 30 juin. Lorsque leurs propriétaires regarderont de plus près ce qu’il s’est passé, ils trouveront une note de rançon, rapporte ZDNet.
Le hacker à l’origine du script destructeur exige un paiement de 0,015 bitcoin, soit environ 120 euros. En échange, il prétend qu’il restaurera les données, qu’il a pris le soin de sauvegarder avant la suppression. Il donne 48 heures aux victimes pour s’exécuter, et il ajoute une menace aussi maladroite qu’originale :
« Dans le cas où vous refusez de payer, nous contacterons le Règlement général sur la protection des données (RGPD) et les préviendront que vous stockez des données dans une forme ouverte qui n’est pas sécurisée. Selon les règles de la loi, vous devrez régler une amende lourde ou vous serez arrêtés et vos données seront supprimées de nos serveurs », écrit-il dans la note de rançon.
Le script du hacker laisse une demande de rançon sur chaque serveur touché. // Source : Louise Audry pour Numerama
Un hacker difficile à prendre au sérieux
Si le RGPD encadre effectivement les fuites de données, les amendes sont loin d’être aussi systématiques que l’espère le cybercriminel. Par exemple, en France, la Cnil précise : « Si l’incident constitue un risque au regard de la vie privée des personnes concernées, vous devrez notifier l’incident à la CNIL. En cas de risque élevé, vous devez également notifier les personnes concernées. » La Cnil peut imposer à l’entreprise concernée d’informer les personnes touchées par la suite, mais elle sanctionne bien plus rarement.
Ensuite, difficile d’imaginer que les autorités des données entrent dans le jeu d’un cybercriminel qui œuvre dans l’anonymat et qui a commis une infraction en volant les données. Ce n’est pas tout : si le hacker veut dénoncer une entreprise, il doit réussir à l’identifier à partir des données qu’il a volées. Ce travail d’attribution de la base de données n’est pas si évident qu’il y paraît, et même s’il aboutissait, il faudrait que les données tombent sous la juridiction européenne. Pour finir, sur les milliers de serveurs touchés, seule une partie contiendra des données personnelles, tandis que d’autres ne contiendront que des données de test sans valeur.
Le script du rançonneur ne fonctionne pas comme prévu
Si la menace du hacker est fantaisiste, ses compétences en informatiques ne semblent pas non plus au niveau. Le chercheur Victor Gevers, de la GDI Foundation, a relevé que dans un premier temps (entre mai et juin), le script de rançonnage ne faisait que se connecter encore et encore aux mêmes bases de données, sans les supprimer, et en laissant à chaque fois la même note de rançon… Le rançonneur en herbe a depuis corrigé le tir, et son script efface les données depuis le 30 juin, comme c’était prévu.
« N’importe quel adolescent pourrait lancer ce genre d’attaque »
Le cybercriminel s’en prend spécifiquement aux bases MongoDB, une technologie qui permet de stocker et d’organiser de gigantesques volumes de données. Les opérations de suppression de bases de données de ce genre sont régulières : concrètement il suffit de l’adresse du serveur, et n’importe qui pourra accéder aux données sans mot de passe. Ce défaut de sécurité apparaît lorsque les administrateurs ne suivent pas correctement les tutoriels de configuration, ou changent involontairement les paramètres de protection. Malgré plusieurs campagnes de prévention et une configuration sécurisée par défaut, les cas de bases ouvertes restent récurrents.ZDNet rappelle qu’environ chaque année, des dizaines de milliers de serveurs MongoDB sont rasés.
Et ce n’est pas la seule technologie concernée. L’Elastic Search — qui permet également d’organiser ses données — a le même genre de problème chronique. Des bases ouvertes sont attaquées par des scripts automatiques qui laissent des demandes de rançon. « Ce genre d’attaque est très courante et facile à mettre en place. N’importe quel adolescent pourrait la lancer en suivant des tutoriels ou en achetant des kits à bas prix », expliquait à Numerama John Wethington, le cofondateur de Condition Black. Il ajoutait « ces campagnes ne sont pas très efficaces, les victimes n’ont le plus souvent qu’à rétablir leurs sauvegardes. »
+ rapide, + pratique, + exclusif
Zéro publicité, fonctions avancées de lecture, articles résumés par l'I.A, contenus exclusifs et plus encore.
Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.
