Polycorp en Péril : le ransomware Chaos menace de divulguer 400 Go de secrets d’entreprise

C’était un lundi ordinaire dans les couloirs industriels de l’Ontario lorsqu’un message glaçant s’est propagé dans les cercles souterrains de la cybersécurité : Polycorp, un acteur clé canadien spécialisé dans les pièces élastomères techniques, est devenue la dernière victime de haut niveau du groupe de ransomware « Chaos ». Les criminels affirment avoir exfiltré la somme vertigineuse de 400 Go de données sensibles de l’entreprise, imposant à Polycorp un ultimatum de 48 heures pour répondre - sous peine de voir ses secrets exposés publiquement en ligne.

La présence de Polycorp s’étend à travers des secteurs dépendant de matériaux techniques pour la résistance à la corrosion, à l’abrasion et aux chocs. Désormais, ses défenses numériques ont cédé sous le poids d’une cyberattaque sophistiquée. Selon les informations publiées sur des sites de suivi de ransomwares, la brèche pourrait avoir débuté par un malware infostealer - des programmes furtifs conçus pour récolter des identifiants - détecté chez au moins un employé de Polycorp et des milliers de comptes utilisateurs liés à l’entreprise. Cette infection aurait probablement ouvert la voie à Chaos pour élever ses privilèges, se déplacer latéralement dans les systèmes de Polycorp et siphonner d’immenses quantités de données.

Le message des attaquants est sans détour : payez (ou du moins, entamez des négociations), ou regardez 400 Go de plans propriétaires, de dossiers financiers, de contrats et peut-être de données sensibles sur les employés apparaître sur le dark web. Les détails techniques révélés après l’attaque montrent une large surface d’attaque externe, avec plus de 100 points d’entrée exposés et un réseau de services cloud - de Microsoft 365 à Atlassian, Box et Cisco - potentiellement impliqués dans la brèche.

Le mode opératoire de Chaos est d’une efficacité redoutable. En exploitant les infections par infostealer, ils contournent les défenses périmétriques traditionnelles, utilisant des identifiants volés pour se déplacer sans être détectés et frapper au cœur de leurs cibles. Les menaces du groupe ne sont pas vaines : des victimes précédentes ont vu leurs fichiers confidentiels, leur documentation technique, voire des données personnelles publiées en ligne lorsque les délais n’étaient pas respectés.

Pour Polycorp, les prochaines 48 heures pourraient être décisives. L’entreprise fait face à un choix difficile : négocier avec les criminels et risquer d’encourager de futures attaques, ou tenir bon et se préparer aux conséquences réputationnelles et opérationnelles d’une fuite de données catastrophique. Dans tous les cas, cette brèche rappelle brutalement les vulnérabilités qui guettent même les acteurs industriels les plus établis - et l’évolution des tactiques des groupes de ransomware, qui utilisent désormais les identifiants volés comme arme de prédilection.

Perspectives

Alors que Polycorp s’efforce d’évaluer l’ampleur de la brèche et de sécuriser ses frontières numériques, les experts en cybersécurité avertissent que les attaques par ransomware alimentées par des infostealers sont en hausse. Pour toutes les organisations, la leçon est claire : votre maillon le plus faible n’est peut-être pas votre pare-feu, mais un simple mot de passe compromis.

WIKICROOK

• Ransomware : Le ransomware est un logiciel malveillant qui chiffre ou verrouille des données, exigeant une rançon des victimes pour rétablir l’accès à leurs fichiers ou systèmes.
• Infostealer : Un infostealer est un malware conçu pour voler des données sensibles - comme des mots de passe, des cartes bancaires ou des documents - sur des ordinateurs infectés à l’insu de l’utilisateur.
• Exfiltration de données : L’exfiltration de données est le transfert non autorisé de données sensibles du système d’une victime vers le contrôle d’un attaquant, souvent à des fins malveillantes.
• Surface d’attaque externe : La surface d’attaque externe comprend tous les systèmes ou services accessibles depuis Internet que des attaquants pourraient cibler pour exploiter des vulnérabilités d’une organisation.
• Services cloud : Les services cloud sont des plateformes en ligne pour stocker et traiter des données, souvent ciblées par des attaquants cherchant à dissimuler leurs activités ou à voler des informations.