La mairie de Toronto confirme un piratage de données par un gang russe

Le groupe d’origine russe Clop a revendiqué l’attaque contre GoAnywhere sur son site internet accessible sur le web clandestin. Depuis quelques semaines, il distille par grappe les noms des entreprises touchées. Le nom de la mairie de Toronto a été publié ce jeudi avec 38 autres compagnies. Le fonds d’investissements torontois Onex fait lui aussi partie de la liste.

Dans une réponse transmise à CBC Toronto, la mairie confirme un accès non autorisé aux données de la ville par l’intermédiaire d’un fournisseur tiers, ajoutant que l'accès est limité aux fichiers qui n'ont pas pu être traités par le système de transfert de fichiers sécurisé de la tierce partie.

Pour Jacques Sauvé, spécialiste en cybersécurité pour la firme Trilogiam, même si la mairie maintient que les données des habitants n’ont pas été exposées, une entité comme la ville de Toronto doit faire transiter des milliers de données, ça peut être des plans d’urbanisme, des documents financiers, toutes sortes de choses confidentielles.

GoAnywhere, propriété de l’entreprise Fortra, est un outil particulièrement populaire chez les grandes entreprises qui l’utilisent pour transférer des fichiers volumineux ou des ensembles de données à des entités externes.

Plutôt que de passer par leurs courriels, plus vulnérables, les entreprises utilisent ce genre de solution, réputée plus sécurisée, pour transférer des données, surtout les plus sensibles.

« C’est comme sortir le matin, barrer sa porte puis laisser les clés sur la poignée »

C’est la deuxième fois que la mairie de Toronto connaît un problème de ce type avec une plateforme de transfert de données. C’était il y a deux ans, et déjà, c’était le gang Clop qui en était à l’origine.

Pour Jacques Sauvé, la mairie aurait dû en tirer les bonnes conclusions et changer de système. Selon lui, le principal problème de ce type d’outil est que l’interface de gestion d’administration est exposée sur internet, ce qui crée une vulnérabilité, là où pour lui, elle doit être gérée en interne. Ce n’est pas la bonne pratique, c’est même la pire chose à faire, dit-il.

La vulnérabilité, désormais répertoriée sous le nom de CVE-2023-0669, a d’abord été repérée et mise à jour le 7 février. Fortra avait assuré y avoir remédié et demandé à ses clients de procéder à la mise à jour. Mais la mairie de Toronto l’a-t-elle fait à temps? Jacques Sauvé n’en est pas si sûr, parce que les entités de cette taille ont la réputation de tarder à réagir alors que c’est la solution numéro un pour mitiger ce type d’attaque.

Plusieurs grands groupes touchés

Community Health System (CHS) l’un des plus grands gestionnaires d’hôpitaux des États-Unis a confirmé auprès des autorités de régulations américaines avoir lui aussi été victime de l’attaque. Il estime qu’environ un million de personnes ont pu être affectées. Dans une communication officielle, il affirme que les informations médicales protégées et les informations personnelles de certains patients des sociétés affiliées à CHS ont été exposées.

La société d'État Investissement Québec a confirmé officiellement à plusieurs médias être elle aussi parmi les victimes de l’attaque.

Hitachi a lui aussi confirmé avoir été touché. Dans un communiqué sur son site internet, le géant japonais de l’électronique annonce avoir lancé une enquête interne pour déterminer la nature et l’étendue de l’attaque. Les opérations de notre réseau ou la sécurité des données de nos clients n'ont pas été compromises, conclut-il.