L'actualité de la semaine en matière de violations de données 1er octobre 2025

Les cybercriminels continuent de cibler les établissements scolaires aux États-Unis à un rythme alarmant. La dernière victime en date, le district scolaire communautaire de South Lyon, a été contrainte de fermer ses établissements à la suite d'une attaque par ransomware.

Découverte le 14 septembre, cette attaque s'est avérée être le résultat d'une infection par un rançongiciel perpétrée par un groupe bien connu, bien que les autorités n'en aient pas encore révélé le nom. Bien qu'il n'y ait aucune preuve que les données des étudiants ou du personnel enseignant aient été compromises, l'attaque a paralysé les systèmes téléphoniques et plusieurs sous-systèmes annexes, notamment ceux utilisés en cas d'urgence, comme les interventions en cas de tireur actif.

Cette attaque fait partie des nombreuses attaques qui perturbent le fonctionnement des établissements scolaires dans tout le pays. Il est alarmant de constater que, selon l'association à but non lucratif Center for Internet Security (CIS), 82 % des établissements scolaires de la maternelle à la terminale ont été victimes d'un incident cybernétique entre juillet 2023 et décembre 2024.

Harrods, le grand magasin de luxe londonien, a révélé que les données personnelles de 430 000 clients avaient été compromises à la suite d'une fuite de données. Dans un e-mail envoyé à ses clients le 26 septembre, l'entreprise a averti que des données personnelles avaient peut-être été volées après que l'un des systèmes de ses prestataires tiers eut été piraté.

Harrods a déclaré que l'impact était « limité » aux informations de base, notamment les noms, les coordonnées et les préférences marketing. L'entreprise a souligné que les mots de passe des comptes et les informations de paiement n'étaient pas concernés. Bien que les pirates aient tenté de contacter l'entreprise, Harrods a refusé d'entrer en contact ou de négocier avec le groupe de pirates.

L'entreprise a précisé qu'il s'agissait d'un « incident isolé » sans lien avec un autre incident survenu en mai, lors duquel elle avait restreint l'accès à Internet sur l'ensemble de ses sites à la suite d'une tentative d'accès non autorisé. Il s'agit néanmoins d'une nouvelle attaque s'inscrivant dans une vague de cyberincidents qui ont récemment visé des entreprises britanniques de premier plan.

L'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) a révélé la semaine dernière que des acteurs malveillants avaient piraté l'année dernière une agence fédérale civile relevant du pouvoir exécutif (FCEB), dont le nom n'a pas été divulgué, en exploitant une vulnérabilité critique dans son serveur de cartographie open source GeoServer.

Bien que l'attaque ait eu lieu sur l'un des serveurs de l'agence le 9 juillet 2024, l'outil de détection et de réponse aux incidents sur les terminaux (EDR) de l'agence n'a alerté son centre d'opérations de sécurité (SOC) que trois semaines plus tard. Pendant ce laps de temps, les cybercriminels ont utilisé des techniques de force brute pour voler des mots de passe, élever leurs privilèges et se déplacer latéralement afin de compromettre deux autres serveurs.

Cette vulnérabilité critique, qui permet l'exécution de code à distance (RCE), a été révélée le 30 juin 2024, avec un score CVSS de 9,8. Cette attaque s'est produite à peine deux semaines après cette révélation. À la suite de cette intrusion, la CISA a exhorté les équipes chargées de la sécurité au sein des différentes organisations à surveiller de près les alertes EDR signalant des activités suspectes et à renforcer leurs plans d'intervention en cas d'incident afin de contenir plus rapidement les intrusions.

Les agences de cybersécurité du monde entier, notamment la CISA et le Centre national de cybersécurité (NCSC) du Royaume-Uni, ont mis en garde contre un « acteur malveillant sophistiqué » qui cible activement les appareils équipés du logiciel pare-feu Adaptive Security Appliances (ASA) de Cisco.

Selon les agences, cette campagne « à grande échelle » exploite des vulnérabilités « zero-day » dans des équipements Cisco, permettant ainsi aux pirates d'exécuter du code malveillant et de déployer des logiciels malveillants. Parmi les équipements concernés figurent certains appareils de la série Cisco ASA 5500-X, qui font office de pare-feu protégeant les réseaux d'entreprise contre les intrusions.

Dans un communiqué, les analystes de Cisco ont déclaré avoir « une forte certitude » que cette campagne soit liée à ArcaneDoor, un acteur malveillant soutenu par un État que le fournisseur avait identifié pour la première fois en 2024. Dans une directive d'urgence publiée jeudi dernier, la CISA a ordonné aux équipes de cybersécurité du gouvernement de localiser tous les appareils concernés en un peu plus d'une journée, de les analyser à la recherche d'activités malveillantes et d'appliquer les mises à jour de sécurité destinées à corriger ces vulnérabilités.

Volvo Amérique du Nord a révélé une fuite de données concernant les informations personnelles de ses employés, suite à une attaque par ransomware qui a touché son fournisseur tiers, Miljödata.

L'attaque par ransomware, survenue le 20 août, a touché au moins 25 organisations, dont Volvo North America, la compagnie aérienne scandinave SAS et plus de 200 communes suédoises. L'attaque visait les systèmes utilisés pour la gestion des certificats médicaux, des dossiers de rééducation et des accidents du travail. Les données exposées comprenaient les noms des employés, leurs numéros de Sécurité sociale, leurs adresses e-mail, leurs adresses postales, leurs numéros de téléphone, leurs numéros d'identité nationaux, leurs dates de naissance et leur sexe.

Un groupe de ransomware baptisé DataCarry a revendiqué l'attaque contre Miljödata et aurait déjà publié les données volées sur son site de divulgation accessible via Tor.

Dans le cadre d'une nouvelle fuite de données impliquant un tiers, la société brésilienne de technologies de la santé Maida.health aurait exposé plus de 2 To de données sensibles liées à la police militaire du pays.

Cette entreprise, qui gère des logiciels de facturation, de gestion des demandes de remboursement d'assurance et de téléconsultation pour les prestataires de soins de santé, dont la police militaire brésilienne, aurait subi une fuite de données touchant 2,3 To d'informations. Les informations exposées comprendraient notamment des diagnostics médicaux, des numéros d'identification et des données personnelles de membres de la police militaire, ce qui soulève de sérieuses inquiétudes quant à la sécurité des informations liées à la défense du pays. Plus alarmant encore, les données volées ont été mises en vente sur un forum clandestin.