Campagne MOVEit de Cl0p : toutes ces victimes pour des clopinettes ?

De nombreuses victimes indirectes

Mais outre les victimes revendiquées par Cl0p, de nombreuses organisations ont été affectées par sa campagne de cyberattaques contre les instances MOVEit, indirectement. 

Outre-Manche, de nombreuses organisations clientes de Zellis ont reconnues avoir été touchées, à l’instar de British Airways, la BBC, Boots, Aer Lingus, ou encore la régie Transport for London (TfL).

En France, Cegedim a notamment informé ses clients concernés dans un courriel daté du 10 juin. Le 23 juin, Cl0p diffusait plus de 1,5 To de données attribuées à l’ESN. Les Hospices Civils de Lyon et la SNCF ont été confrontés à une situation comparable : c’est l’instance MOVEit d’un tiers partenaire qui a été attaquée.

Outre-Rhin, ce sont notamment des clients d’une autre ESN, Majorel, qui ont été affectés : Deutsche Bank, Postbank, Comdirect, ou encore ING et Saarland Versicherungen.

Sur son site vitrine, Cl0p a également revendiqué le cabinet EY, menaçant de divulguer 3 To de données se rapportant à « beaucoup d’entreprises ». 

L’analyste Brett Callow, chez Emsisoft, a, à l’heure où sont écrites ces lignes, comptabilisé près de 290 organisations directement ou indirectement affectées par cette dernière campagne de Cl0p à travers le monde. Il estime à plus de 18 millions le nombre de personnes dont des données personnelles sont susceptibles d’avoir été compromises à cette occasion.

Un inventaire des données disponibles en sources ouvertes sur la campagne MOVEit de Cl0p est régulièrement tenu à jour par le collectif Curated Intel. 

Mais un bide sur le plan financier ?

Mike Stokkel, analyste des menaces chez Fox-IT, filiale du groupe NCC, rappelle qu'au moment où il a été confirmé que MOVEit Transfer contenait une vulnérabilité inédite critique, « environ 2 500 instances MOVEitétaient accessibles sur internet et, par conséquent, vulnérables ».

Pour lui, « si toutes ces instances ont été compromises et que toutes les données stockées sur ces systèmes ont été volées, je m'attends à ce que cela prenne encore quelques semaines avant que toutes les victimes soient révélées ». Et cela d’autant plus que « passer au crible des pétaoctets de données volées utilisées pour l'extorsion et mener des négociations prendrait un certain temps ».

Pour Bill Siegel, co-fondateur et PDG de Coveware, une entreprise spécialisée dans la réponse aux incidents liés aux ransomwares, « très peu, voire aucune » des victimes de l'attaque n'ont payé, en se basant sur le suivi de la campagne effectué par l'entreprise.

D’ailleurs, selon les observations, seule une poignée d’entreprises épinglées initialement sur le site vitrine de Cl0p, dans le cadre de cette campagne, en a disparu. 

Pour Bill Siegel, « en termes de succès, la première campagne de Cl0p contre Accellion en 2021 a probablement été la plus rentable financièrement ». Mais, « depuis lors, l'industrie de la réponse aux incidents (IR) et les victimes ont beaucoup appris sur la valeur à payer des rançons pour des attaques d'extorsion uniquement basées sur le vol de données, où un peu de mauvaise publicité est vraiment la seule préoccupation. Les victimes de ces attaques ne sont pas exemptées de leurs obligations réglementaires si elles paient une rançon, et il n'y a aucun moyen de vérifier ou de prouver que les acteurs de la menace suppriment les données volées ou ne les utiliseront pas pour une future extorsion si elles sont payées ». 

Il n’en reste pas moins, pour Bill Siegel que la campagne MOVEit de Cl0p constitue « l'une des campagnes d'exploitation de masse les plus sophistiquées qu'un groupe de ransomware ait menées ».