La base de données du site de rencontres en ligne Plentyoffish aurait (oui, aurait, car cela ne semble pas être prouvé) été piratée. Près de 30 millions d'utilisateurs sont concernés par le vol de données incluant nom d'utilisateur, mot de passe (en texte clair), nom réel, adresse email et numéro de téléphone.

Le mode opératoire des pirates reste particulièrement flou et semble s'échelonner sur plusieurs niveaux: Markus Frind (MF), CEO de Plentyoffish, vient tout juste de publier sur son blog un récit relatant les derniers développements de l'affaire.

Les détails techniques de l'attaque ne feront pas l'objet de la plus grande attention dans cet article mais plutôt la chronologie des événements, qui, vous le verrez, est particulièrement surprenante.

Chronologie des événements

1. Un pirate argentin répondant au nom de Chris Russo (CR) aurait découvert une brèche de sécurité dans le site de rencontres en ligne Plentyoffish. Cette faille lui aurait permis d'extraire les éléments de la base de données, contenant près de 30 millions d'utilisateurs.

2. Au stade actuel, le CEO affirme que la brèche de sécurité a été corrigée la semaine passée et que les mots de passes des comptes ont été réinitialisés.

3. La suite est anecdotique et devient quelque peu complexe à comprendre...

4. CR se serait rendu compte que son propre système a été compromis. Son investigation lui a permis d'établir qu'il s'agit d'un groupe de pirates organisé, basé cette fois en Russie. Ce groupe aurait à son tour entrepris l'extraction des données du site Plentyoffish tou en prenant directement contact avec CR afin de les menacer, CR et sa femme, de mort.

5. CR a alors pris contact par téléphone avec la femme de MF. Il aurait fourni les détails de la brèche de sécurité, qui a été immédiatement corrigée par MF.

6. Durant plus de 24 heures, MF et sa femme ont reçu de nombreux messages vocaux de CR, leur intimant de répondre à ses appels.

7. Brian Krebs (BK), ancien reporter au Washington Post et actuel auteur de nombreux articles sur le cybercrime, a également contacté MF. BK annonce à MF qu'un jeune homme répondant au nom de Chris Russo, en Argentine, l'a contacté en panique, lui annonçant qu'il est en danger et que le site Plentyoffish a été attaqué par une bande de pirates informatiques russes.

8. MF entre en contact avec CR. CR lui annonce que le groupe russe dispose d'un accès total non seulement sur les données des utilisateurs mais également sur les éléments d'authentification bancaires de la société. Il lui indique également que l'attaque fait partie d'une opération à plus grande échelle dans laquelle cinq à six autres sites de rencontre en ligne sont également visés et qu'une extorsion de plus de 30 millions de dollars a débuté.

9. MF demande à CR comment il sait tout ceci. CR répond que le groupe russe fait transiter son trafic réseau à travers celui de CR, ce qui lui permet de voir les attaques en cours.

10. Au cours de la nuit suivante, BK (reporter) prend à nouveau contact avec MF (CEO) pour lui annoncer que CR lui a prouvé en direct qu'il détenait le contrôle de la base de données. CR a en effet demandé à BK de créer un compte sur le site alors qu'ils discutaient au téléphone. CR a ensuite immédiatement pu révéler le mot de passe choisi par BK dans les secondes qui suivaient.

11. MF consulte la base de données et se rend compte que le compte de BK avait été créé trois heures avant que sa femme ne soit contactée. La chronologie ne correspond plus.

12. MF entame des recherches sur BK et CR dans les réseaux sociaux. Il découvre que les deux hommes sont "amis."

13. MF réussit à entrer à nouveau en contact avec CR. Il remarque cette fois que CR ne semble plus inquiété d'être en danger de mort. De plus, il apprend que CR aurait un partenaire d'affaires répondant au nom de "Luca", avec qui il dirige une société de conseil en sécurité.

14. Luca annonce à MF qu'un article relatant les détails du vol de données de Plentyoffish est en cours de préparation pour une publication dans le Washington Post.

15. Luca propose à MF d'entrer en affaires avec leurs deux sociétés respectives. En échange d'un accès complet aux données et au code source du service, ils lui garantissent qu'il ne sera plus attaqué et qu'ils procéderont à la suppression des données volées et enregistrées sur des serveurs en Russie.

16. L'opération devrait coûter à MF entre 100k et 500k dollars.

17. MF leur fait croire qu'il peut entrer en affaires avec eux uniquement s'ils lui remettent leur CV, c'est la loi au Canada. Luca et CR y croient, et lui remettent leur CV.

18. En lisant attentivement les CVs, MF réalise que leur expérience professionnelle ne fait que relater différents sites d'importance variable, qu'ils auraient extorqués via le même procédé.

19. Dans l'attente de déterminer comment présenter cela devant les autorités, MF annonce avoir pris contact avec...la mère de CR.

20. BK a aujourd'hui publié une prise de position, dans laquelle il est reproché à MF d'inclure "le messager" dans la liste de ceux qu'il estime impliqués dans la tentative d'extorsion.

Pour accéder au récit original: Plentyoffish hacked

NDR

Comme je l'ai précisé plus haut, il ne s'agit pas ici de s'intéresser aux détails techniques de l'attaque mais plutôt au mode opératoire s'il s'avère être confirmé.
Le mode opératoire se résume en 5 phases:

• I: Recherche de trous permettant l'accès au système d'information de l'entreprise, soit au travers de vulnérabilités présentes au sein de l'infrastructure réseau ou dans les applications web exposées au public.
• II: Intrusion dans le système et extraction des données de valeur
• III: Première prise de contact par les pirates sous la forme d'une alerte, résultant en une situation de crise guidée par la panique (similaire à une prise d'otage)
• IV: Seconde prise de contact (par les mêmes personnes ou un autre groupe), se présentant cette fois-ci sous la forme d'une "solution". Les pirates sont cette fois des "sauveurs" capables de sortir l'entreprise du pétrin dans lequel elle se trouve contre une "compensation" pour les "frais occasionnés."
• V: La prise d'otage se transforme en un "partenariat commercial" entre les deux sociétés. Une relation similaire à "tant que vous êtes avec nous, il ne vous arrivera rien."

Cette forme de menace n'est pas nouvelle, au contraire. Plusieurs cabinets d'analyse ont en effet très clairement annoncé les extorsions dans leur liste de menaces principales pour l'année 2011! Nous ne sommes que le 31 janvier et, si les propos du CEO de Plentyoffish s'avèrent être fondés, plusieurs entreprises en ligne particulièrement importantes subissent déjà une extorsion en cet instant-même.

La situation n'est pas prête de s'améliorer, au contraire! Trois raisons m'invitent à raisonner de cette manière.


La valeur accordée aux données est encore largement sous-estimée par leurs propriétaires

De nombreux directeurs d'entreprises ne réalisent pas encore l'importance que peuvent jouer certaines de leurs données accessibles en ligne (à compter qu'ils savent exactement ce qui est en ligne et ce qui ne l'est pas) ainsi que les menaces typiques qui s'y appliquent.

Le vol d'une base de données à travers Internet prend généralement deux formes distinctes:

• Le vol "virtuel": dans ce cas, les données sont copiées à l'extérieur. La menace se situe alors dans le risque d'une divulgation à large échelle des informations, au public et à la concurrence. L'extorsion consiste ici à "acheter un silence."
• Le vol "matériel": généralement au moyen d'un chiffrement massif de données. Dans ce cas, les données ne sont plus accessibles à l'entreprise et la menace se situe essentiellement dans le risque de ne pas pouvoir récupérer l'information vitale à la continuité des opérations. L'extorsion consiste ici à "acheter l'accès à son propre système."

Dans certains cas, ces menaces sont particulièrement sous-estimées:

• Au sein des entreprises modestes: la Direction croit que les données ne sont pas dignes d'intérêt pour un éventuel concurrent, une affaire en cours, ou tout simplement une autre activité économique sans lien direct mais pour qui les données ont de la valeur.
• Au sein des grandes entreprises: la Direction est convaincue que des groupes organisés n'oseront pas s'attaquer à leurs systèmes en raison des moyens juridiques qu'elles peuvent rapidement déployer. Cette dissuasion n'a pourtant du poids qu'à l'échelle nationale...

A titre d'exemple, le FBI a averti les études d'avocats d'un risque élevé de campagnes d'intrusion dirigées pour la seconde fois en juin dernier.

En effet, une analyse d'impact effectuée sur les différents types de données disponibles au sein des études d'avocats peut rapidement révéler la présence de trésors pour plusieurs acteurs du marché:

• Accès en primeur aux éléments essentiels sur lesquels la défense d'un cas est construite
• Accès aux historiques des échanges électroniques avec la clientèle de l'étude
• Accès aux pièces collectées, contenant des éléments de la personnalité relatifs aux affaires traitées
• Accès à des informations sur des personnalités (directeurs, politiques, autorités, etc.)
• Accès aux échanges personnels des avocats eux-mêmes, dans le cas d'une mesure de pression quelconque
• Accès à des informations sur des conflits n'ayant pas été portés devant les Tribunaux afin de protéger la réputation de personnes
• Etc.

Le piratage informatique s'est industrialisé

Les nombreux cas de piratage médiatisés au cours de l'année 2010 ont apporté deux nouveaux éléments essentiels à l'équation du risque:

• 1) Les analystes confirment une professionnalisation croissante des différentes activités nécessaires à la bonne conduite d'une opération de piratage (recherche de vulnérabilités, développement d'outils, exécution de l'attaque, ingénierie sociale, effacement des traces, montages financiers pour l'extraction de l'argent, etc.)
• 2) De plus en plus de monde commence à comprendre qu'il est possible de louer facilement des services ou des logiciels pour obtenir des données protégées.

L'offre en services et produits est complexe à déchiffrer

Troisième élément: l'offre en profils compétents et rapidement opérationnels est encore très limitée et nombreux sont les directeurs qui ne savent pas aujourd'hui sur quels critères évaluer ou sélectionner leurs partenaires ou futurs collaborateurs.

La gestion du risque d'intrusion au sein des systèmes d'information de l'entreprise exige en effet la collaboration transversale, verticale et continue entre de nombreuses compétences: sécurisation des réseaux, sécurisation des systèmes, sécurisation des services, sécurisation des applications développées ou acquises, classification des données, recensement et identification des ressources critiques ou de valeur, connaissance actualisée de la menace informatique et des modes opératoires des pirates, sensibilisation et formation du personnel, quantification des risques, détermination des risques acceptables, et la liste est encore longue.

Les environnements bancaires semblent pour la plupart disposer de ressources leur permettant de suivre le choc mais il en va probablement tout autrement lorsqu'il s'agit des autres secteurs, dans lesquels les budgets alloués à la sécurité ne sont pas alignés avec les impacts potentiels.

Conséquence: les Directeurs ayant réellement pris conscience des risques pesant sur l'activité de leur société restent quand même relativement démunis lorsqu'ils demandent de l'aide à l'extérieur.


Pour conclure

Ce cas est tout aussi intéressant de par l'approche choisie par le CEO pour communiquer: il a privilégié la divulgation de noms et la dénonciation d'actes criminels au travers d'un blog sur lequel il s'exprime personnellement. De plus, son compte-rendu des éléments précède une communication officielle au nom de la société. Invariablement, de nombreux articles ont immédiatement été publiés sur la base de ce compte-rendu dans les minutes qui ont suivi sa publication (celui-ci inclus), dont certains par des personnes directement visées par ses accusations.

D'autre part, il semblerait que CR (Chris Russo) ait également profité de l'occasion pour prendre publiquement position sur l'affaire. On y découvre une toute autre version des événements, diamétralement opposée aux faits énoncés dans l'article de MF (Markus Frind).



Le suivi de l'affaire présente indéniablement de nombreux points d'intérêts, qu'il s'agisse des aspects techniques, du mode opératoire des pirates ou encore de la stratégie de gestion de crise de la Direction de Plentyoffish.



Sur ces considérations on ne peut plus positives, le cas Plentyoffish n'est pas encore du tout résolu mais il indique que l'année 2011 sera très certainement intéressante/amusante/lucrative/désastreuse pour de nombreux acteurs mêlés, contre ou avec leur volonté, à la cybercriminalité!

<sup>Pour aller plus loin:
- Plentyoffish hacked (Markus Frind)
- Top 10 IT security threats for 2011
- FBI warns Law firms (abajournal.com)
- Plentyoffish hack: Chris Russo explains how he did it (Grumomedia.com)
- Plentyoffish.com hacked, CEO blames the messenger (Brian Krebs)
- Top 10 threats and trends 2011 (Gartner Blogs, Avivah Litan)
- Imperva's Top 10 security threats for 2011 (infosecisland.com)
- Si vous vous sentez un peu seul-e...</sup>