Cyberattaques : série noire chez les hébergeurs

L’hôte cloud danois CloudNordic a déclaré avoir subi une attaque de ransomware le 18 août qui a entraîné la perte, pour la majorité de ses clients, de toutes les données hébergées.

CloudNordic a annoncé l’incident via la page d’accueil de son site Web, expliquant que l’attaque l’a « complètement paralysé » et que les assaillants – non identifiés à ce jour – ont arrêté tous les systèmes, y compris les sites Web de l’hébergeur, les systèmes de messagerie, les serveurs, les systèmes des clients, les sites Web des clients et plus encore.

« Comme nous ne pouvons pas et ne voulons pas répondre aux demandes financières des pirates criminels en matière de rançon, l’équipe informatique de CloudNordic et les experts externes ont travaillé dur pour obtenir un aperçu des dommages et de ce qui était possible à recréer », peut-on lire sur la page d’accueil, traduite automatique du danois vers l’anglais. « Malheureusement, il s’est avéré impossible de recréer plus de données, et la majorité de nos clients ont donc perdu toutes les données chez nous. Cela s’applique à toutes les personnes que nous n’avons pas contactées pour le moment ».

L’hébergeur cloud frère de CloudNordic, AzeroCloud – tous deux appartiennent à la même société mère –, a également été touché. La notification sur son site Web est identique.

L’attaque s’est produite, estime CloudNordic, lorsque les serveurs étaient migrés entre centres de calcul et que les systèmes déjà infectés étaient câblés pour accéder au réseau interne de l’entreprise pendant cette période. Ce qui a accordé aux attaquants l’accès aux systèmes centraux d’administration ainsi qu’aux sauvegardes.

Trois jours plus tard, au petit matin, c’était au tour du Suisse Hosteur de faire l’amère expérience d’une cyberattaque. Tout de suite, il s’est attelé à communiquer avec ses clients sur les réseaux sociaux, évoquant rapidement une « attaque cryptolocker ». 

Mais Hosteur connaît une situation plus favorable. Une semaine après, l’essentiel de ses services apparaît rétabli, à l’exception, certes notable, de son service de sauvegarde à distance Veeam. Bonne nouvelle pour son environnement de PaaS, FlexOne : « nous pouvons garantir que les données clients […] sont saines et complètes ». En fait, indiquait Hosteur le 24 août, « seule la plateforme d’hébergement a été touchée par l’attaque et nos équipes sont en train d’essayer de la remettre en fonction ». Ce lundi 28 août, l’hébergeur faisait encore une fois le point de la situation : « nous sommes en train de finaliser la restauration et de rétablir les derniers services annexes et les dernières VM ».

Hosteur compte de nombreux clients de France, qui ont été, de toute évidence, affectés par l’incident. Certains services numériques de la ville de Saint-Raphaël semblent ainsi avoir été concernés. 

Le 22 août, c’était au tour de Leaseweb de « détecter une activité inhabituelle dans certaines zones de nos environnements Cloud ». En réponse, l’hébergeur a « temporairement désactivé certains systèmes critiques ». Il s’agissait bien d’un incident de sécurité, qui a motivé la sollicitation d’une entreprise « respectée de cybersécurité et de forensique ».

« Notre enquête est en cours, mais nous avons réussi à contenir l’incident, à améliorer nos mesures de sécurité et nous n’avons pas constaté d’autres activités non autorisées », précisait alors Leaseweb. Dernière communication sur le sujet, en date du 23 août : « notre équipe d’ingénieurs nous a informés que le portail client a été réactivé et qu’il est pleinement opérationnel. Si vous avez des questions, n’hésitez pas à nous contacter en créant un ticket via le portail client ».