En bref

• 1,2 million de dossiers de donateurs volés, incluant des données personnelles et financières
• Les attaquants ont accédé au système via les identifiants compromis d’un membre du personnel
• Les hackers ont envoyé un email offensant de masse à 700 000 destinataires
• L’université collabore avec le FBI et CrowdStrike pour l’enquête
• La faille de données est liée à des tactiques d’ingénierie sociale

La faille : un braquage numérique dans les couloirs de l’Ivy League

À la veille d’Halloween, alors que les feuilles d’automne tourbillonnaient autour des tours gothiques de l’Université de Pennsylvanie, un tout autre spectre s’est glissé par les portes numériques de l’institution. Armés non pas de force brute, mais d’une imitation convaincante, des hackers ont infiltré les systèmes de développement et d’anciens élèves de Penn, repartant avec une mine de données confidentielles. L’université, réputée pour son excellence académique et ses donateurs fortunés, s’est retrouvée dernière victime d’une vague de cyberattaques visant la face cachée lucrative de l’enseignement supérieur.

Déroulement de l’attaque : l’ingénierie sociale frappe encore

Ce n’était pas un simple casse. Les attaquants ont utilisé « l’ingénierie sociale » - l’équivalent numérique de l’art de baratiner pour passer la sécurité. En piégeant un employé afin qu’il révèle ses identifiants, les hackers ont accédé au système PennKey SSO. Avec ces clés, ils ont parcouru la base de données Salesforce de Penn, les plateformes d’analytique et le stockage cloud, récoltant 1,71 gigaoctet de documents, feuilles de calcul, dossiers financiers et, surtout, une base marketing contenant 1,2 million de profils de donateurs.

Parmi les données volées : noms, adresses, dates de naissance, numéros de téléphone, adresses email, informations professionnelles et historiques détaillés de dons. Autant d’informations susceptibles d’alimenter de futures arnaques, des vols d’identité, voire des attaques de ransomware ciblées.

L’enseignement supérieur sous pression : une tendance en hausse

Les universités sont depuis longtemps des cibles de choix pour les cybercriminels. Ces dernières années, des institutions prestigieuses comme Stanford et Michigan State ont subi des failles similaires, les attaquants recherchant souvent des bases de données de donateurs et des recherches sensibles. Ces répertoires sont de véritables mines d’or - non seulement pour leur valeur financière, mais aussi pour les liens personnels qu’ils cartographient. Selon un rapport 2023 du Centre de cybersécurité de l’éducation, les failles de données dans l’enseignement supérieur ont augmenté de 44 % en deux ans, l’ingénierie sociale étant l’une des principales causes.

Ce qui distingue ce cas, ce sont les provocations des attaquants après leur forfait. Une fois leur accès coupé, ils ont détourné le système d’email marketing de Penn pour envoyer un message provocateur à 700 000 destinataires, critiquant les politiques de l’université. Bien que les hackers affirment être motivés par le profit et non par la politique, leurs déclarations en ligne brouillent la frontière entre criminalité et activisme - une tendance observée dans les récentes campagnes « hacktivistes » à travers le monde.

Conséquences et leçons à tirer

L’Université de Pennsylvanie a informé le FBI et fait appel aux experts en cybersécurité de CrowdStrike. Bien que les attaquants affirment ne pas avoir encore divulgué les données volées, la menace plane. Penn a promis de prévenir les personnes concernées et renforce la formation de son personnel pour éviter de futures attaques d’ingénierie sociale. Pour les étudiants et anciens élèves, l’avertissement de l’université est clair : méfiez-vous des appels et emails suspects, car les attaquants pourraient tenter d’exploiter les informations dérobées.

Cette faille rappelle crûment que même les institutions les plus prestigieuses ne sont aussi solides que leur mot de passe le plus faible. À une époque où la donnée est une monnaie, la tour d’ivoire doit renforcer ses portes numériques - ou risquer de voir ses secrets vendus au plus offrant.

WIKICROOK

• Ingénierie sociale : L’ingénierie sociale est l’utilisation de la tromperie par les hackers pour amener des personnes à révéler des informations confidentielles ou à fournir un accès non autorisé à un système.
• Authentification unique : L’authentification unique (SSO) permet aux utilisateurs d’accéder à plusieurs services avec un seul identifiant, ce qui simplifie l’accès mais augmente le risque en cas de compromission des identifiants.
• Salesforce : Salesforce est une plateforme CRM leader basée sur le cloud pour la gestion des données clients, ce qui en fait une cible fréquente des cyberattaques en raison de la valeur de ses informations.
• Informations personnelles identifiables (PII) : Les informations personnelles identifiables (PII) sont des données, comme les noms ou adresses, permettant d’identifier un individu spécifique.
• Hameçonnage : L’hameçonnage est un cybercrime où les attaquants envoient de faux messages pour inciter les utilisateurs à révéler des données sensibles ou à cliquer sur des liens malveillants.