💻 Boeing, l’exemple à suivre… enfin presque

Dans le newsletter d’aujourd’hui:

Pour les abonnés gratuits :

• L’édito: La réponse de Boeing à l’attaque Lockbit : un exemple à suivre ?

Pour les abonnés payants :

• Chiffres et études: Les attaques cyber en hausse chez les retailers français

• La Tribune: Les 4 leviers à actionner dans votre entreprise pour un meilleur alignement cyber

• A ne pas manquer sur le web: Retrouvez la « nuit de la cyber », 2 heures de débat et de témoignage sur Tech&Co

Nouvelle affaire cyber chez Boeing. 4 ans après Wannacry, ce sont plus de 50 Go de données qui viennent d’être rendues publiques sous la forme d’archives compressées et de fichiers de sauvegarde. Le vol de données daterait du mois d’octobre et a fait l’objet de pressions de la part du gang d’origine russe Lockbit. Ce dernier a exigé une rançon. « Aucune donnée volée ne porte atteinte à l’intégrité des avions, ni à leur sécurité en vol », affirme Boeing qui a fini par admettre le piratage, à se raisonner et à refuser de payer. Un geste salué par toute la profession.—Frédéric Simottel

Ne surtout pas payer de rançon ! Tel est le conseil donné et rabâché par tous les experts en cybersécurité dès qu’il s’agit d’une affaire de ransomware. Exemple avec Boeing empêtré en octobre dernier dans une cyberattaque. L’industriel a tenu bon… Enfin presque. S’il s’est drapé dans son costume de victime incorruptible, refusant de payer une rançon pour récupérer ses données, et bravant de fait la divulgation publique de certaines de ses données confidentielles, le constructeur n’a toutefois pas toujours tenu le même discours au cours de cette affaire.

Des négociations avec les pirates auraient été entamées

Tout a démarré fin octobre lorsque des experts cyber ont repéré des fichiers liés à Boeing annotés sur le dark web, dans la bibliothèque du gang de pirates Lockbit. L’affaire ne suscite alors aucun commentaire de la part de Boeing. Ces mêmes fichiers ont ensuite disparu du site le 28 octobre pour au final réapparaître le 2 novembre. Ce jour-là, ce sont 50 Go d’informations, sous la forme de fichiers compressés, qui ont été rendus publics par les pirates ; Boeing confirmant l’attaque dans la foulée. Pour les spécialistes, cela ne fait aucun doute, cette disparition puis réapparition des fichiers sur le dark net est bien le signe qu’une négociation aurait été entamée entre les deux parties. La publication des fichiers prouve ensuite que la transaction a bel et bien échoué. Boeing s’est refusé à tout commentaire.

Une partie de poker menteur

Ce qui est intéressant dans cette affaire est d’essayer de comprendre le déroulé des opérations et de voir la partie de poker menteur qui s’est joué. Dès les premières annotations des fichiers volés dans la bibliothèque de Lockbit, Boeing a du se rendre compte que cela ne portait pas sur des informations critiques tels que des brevets de propriété intellectuelle, d’éventuels secrets industriels ou commerciaux, des informations financières sensibles ou pire des données sur le fiasco du modèle 737 Max. Or, quand ils volent des données pour réclamer une rançon et qu’ils abattent leurs premières cartes, les pirates préfèrent souvent jouer la qualité plutôt que la quantité. S’ils avaient fait remonter ne serait-ce que 5 Mo de données critiques, l’affaire aurait sans doute pris un autre tournant. C’est à partir de ce constat que Boeing a décidé de jouer la montre.

Déjà atteint par le virus Wannacry en 2019, Boeing n’en est pas à sa première déconvenue cyber. L’industriel figure parmi les cibles privilégiées des hackers du monde entier et sa division sécurité est sans doute l’une des toutes meilleures au monde. Chiffrage de données, outils de détections, de réponses aux incidents en tout genre sont déployés au niveau des infrastructures les plus critiques tant pour Boeing que pour les connexions avec ses sous-traitants. Côté humain, les droits d’accès de chacun font l’objet d’enquêtes rigoureuses. Et si un vol d’envergure arrivait, ce serait sans doute davantage dû à une « malveillance » interne que le fruit d’une cyberattaque ultrasophistiquée. Mais comme le risque zéo n’existe pas, les limiers de Boeing se sont donné 4 jours pour mener leur enquête.

Aucune menace sur l’intégrité des avions ou la sécurité en vol

Au niveau technique, des captures d'écran montrant des logs Citrix, ont conduit à des spéculations selon lesquelles LockBit aurait exploité Citrix Bleed pour s'introduire dans les systèmes de Boeing. Ce dernier s’est pour le moment refusé de commenter sur ce point.

Concernant le contenu volé, Boeing a toutefois confirmé  que « ni l’intégrité des avions, ni leur sécurité en vol ne sont menacées ». Ce que confirment les analyses des premiers fichiers dévoilés parmi lesquels figurent des informations financières, marketing et des données techniques peu critiques, des bribes de contrats de sous-traitances et des échanges de mails au sein de l’activité pièces et distributions. Autant d’informations sans doute inutiles : des copies infinies d'e-mails sans signification, des plans périmés ou erronés et des sauvegardes logicielles sans fin et sans signification, dont certaines stockées pour des raisons légales. Et à supposer que des données plus intéressantes puissent être cachées dans ses fichiers, le temps de les déchiffrer, elles seront obsolètes. On le répète, ce genre de violations est le plus souvent plus quantitatif que qualitatif. Ce n'est pas comme cambrioler une maison où le voleur peut rapidement évaluer les objets pour déterminer ce qui est précieux et ce qui ne l'est pas.

Pour la suite, il reste toutefois à rebalayer l’ensemble des SI de Boeing pour nettoyer toute trace suspecte et surtout à bien étudier le mode opératoire des hackers pour être certain qu’ils n’agiront pas par rebond chez l’un des partenaires.

Pour info, en 2023, Lockbit a été repéré dans plus de 800 entreprises, tout récemment encore, ils ont pénétré le système de l’ICBC (Industrial and Commercial Bank of China) grande institution financière chinoise. Entre janvier et juin 2023, le gang aurait récolté plus de 91 millions de dollars de rançons.

Payer sans être certain de retrouver ses données

Et rappelons-le, plus que jamais, l’attitude à avoir dans ce type d’attaque est de ne pas payer. Premièrement : parce que la victime n’est jamais certaine de retrouver ses données. Deuxièmement : en payant, on devient quelque part complice du financement d’une activité criminelle ; on dévoile son point faible si une nouvelle attaque se présente et on incite presque les pirates à recommencer. Troisièmement, l’argent ainsi mal dépensé serait mieux investi dans le déploiement d’une nouvelle architecture plus résiliente. Je sais, facile à dire, car sur le terrain la réalité est souvent difficile à vivre, mis sous pression par les pirates, inquiets du devenir de l’entreprise, etc… il n’empêche.

A chaque attaque par ransomware, l’attitude doit bel et bien être ferme : ne rien verser ; et cela, même si l’entreprise a souscrit une police d’assurance à cet effet. Il est fini le temps où les assureurs jouaient un rôle ambigu, s’engageant à rembourser les frais engagés pour payer la rançon, voire pour réparer une partie des dégâts.

...