Leçons tirées des 5 pires incidents de cybersécurité impliquant des tiers en 2023

En ce qui concerne les incidents de cybersécurité, l'année 2023 a été, eh bien, intéressante. Si nous avons observé certaines des tendances auxquelles nous nous attendions - comme les ransomwares, les logiciels malveillants plus sophistiqués et le piratage piloté par les États-nations ou la politique - nous avons également été témoins d'un nombre incroyable de brèches tierces fascinantes et très impactantes. Dans ce billet, j'examinerai les 5 pires incidents de cybersécurité de tiers de 2023 et je passerai en revue les leçons que nous pouvons en tirer.

#1 MOVEit

L'impact généralisé de la vulnérabilité MOVEit a été l'équivalent, en matière de cybersécurité, d'un accident de train se produisant lentement en 2023. En mai, un gang de ransomware appelé Cl0p a commencé à exploiter une faille de type "zero-day" dans la solution de transfert de fichiers d'entreprise MOVEit Transfer de Progress Software. Progress Software a publié de nombreux correctifs, mais à ce jour, plus de 2 000 organisations ont déclaré avoir été attaquées.

À première vue, cet incident n'est pas particulièrement unique. Les attaques de type "jour zéro" sont fréquentes. Les organisations victimes publient des annonces et des notifications de vulnérabilité "réflexes". Mais dans le cas présent, ces annonces n'ont cessé de se succéder. De nombreuses organisations dépendent d'un fournisseur de logiciels qui, l'un après l'autre, se retrouve dans l'embarras en raison de failles critiques régulièrement exploitées dans la nature. Cela a conduit à l'exposition de données, à la compromission de systèmes internes, etc.

Cette attaque de la chaîne d'approvisionnement en logiciels illustre parfaitement la raison pour laquelle il est essentiel d'avoir le plus de visibilité possible sur votre chaîne d'approvisionnement en logiciels, afin de pouvoir identifier plus facilement une vulnérabilité potentielle, d'évaluer les pratiques du fournisseur en conséquence et d'anticiper les problèmes potentiels. Commencez par dresser une liste des services et des logiciels utilisés.

Déterminez ce que vous savez du cycle de développement logiciel (SDLC) du fournisseur et des composants de sa solution. Veillez à demander des preuves de la sécurité du développement, de l'emballage et de l'expédition des logiciels, souvent disponibles dans une nomenclature des logiciels (SBOM). En l'absence de processus d'assurance qualité (AQ) appropriés, votre fournisseur de logiciels pourrait être sujet à des exploits - ce qui signifie que votre organisation est sujette à des exploits.

#2 Casino Breaches

Bien que les attaques par ransomware ne soient pas intrinsèquement nouvelles (j'hésite à dire qu'elles sont "anciennes" à ce stade, car elles ont toujours un impact énorme), il y a toujours des angles nouveaux et intéressants pour leurs causes profondes. Dans les attaques de ransomware très médiatisées dont ont été victimes MGM Resorts et Caesars Entertainment, ces angles nouveaux et intéressants incluaient décidément des vulnérabilités tierces. Une partie de l'incident était le résultat d'une ingénierie sociale axée sur des tiers disposant d'un accès à distance aux environnements des casinos, de la même manière que les attaquants ont ciblé un fournisseur tiers de systèmes de chauffage, de ventilation et de climatisation lors de la fameuse violation de Target en 2013.

À l'heure où nous écrivons ces lignes, Caesars a payé 15 millions de dollars et MGM a potentiellement perdu 100 millions de dollars dans cet incident perpétré par les acteurs ALPHV et Scattered Spider. Les données compromises comprenaient des noms, des numéros de permis de conduire, des dates de naissance et certains numéros de sécurité sociale et de passeport. Certaines données relatives aux employés ont également été violées.

Cet incident illustre l'un des principes fondamentaux d'un programme de sécurité informatique : la formation - en particulier la formation du service d'assistance. Il devrait également servir à rappeler l'importance de l'authentification multifactorielle (MFA) et de politiques d'authentification fortes, de contrôles et de validation pour les utilisateurs privilégiés.

#3 Okta

L'une des plus grandes histoires de cybersécurité de l'année concerne Okta. En plus des nombreuses failles majeures et des annonces d'exposition, la société a récemment révélé qu'un fournisseur de soins de santé avait exposé les informations de 5 000 employés d'Okta. Dans le premier incident, les attaquants ont volé des informations d'identification pour accéder à son système de gestion des cas d'assistance et ont volé des jetons de session téléchargés par les clients. Cet incident a affecté tous les clients d'Okta. Il fait suite à une attaque similaire survenue en 2022, au cours de laquelle Okta a reconnu que des pirates avaient volé le code source lié à l'intrusion d'un tiers dans son réseau.

Les incidents de ce type mettent en évidence la vulnérabilité des points de défaillance uniques pour les organisations. Dans ce cas, les solutions de gestion des identités et des accès (IAM) sont au cœur de la plupart des interactions entre les employés et les systèmes, et servent de passerelles vers les systèmes et les données les plus sensibles. Comme dans le cas des violations de Casino mentionnées ci-dessus, les organisations devraient examiner de manière concertée leurs autorisations de tiers et leurs niveaux d'accès privilégiés.