Un gang d'extorsion vient d'en dévaliser un autre, et les reçus servent de rançon
Les visiteurs du site de fuites de Clop sur le dark web ont trouvé ce week-end une bannière annonçant "DOMAIN SEIZED BY SHINYHUNTERS". Pas par une police. Par un rival.
ShinyHunters est entré vendredi par une faille d'envoi de fichiers sans authentification dans Grav, le système de gestion de contenu sur lequel tournait le site de Clop, et affirme être reparti avec les clés privées. "On les possède, en gros", a déclaré le groupe à la presse. Une demande de rançon a été publiée le 19 septembre, réclamant une somme à huit chiffres et des excuses publiques, et dès dimanche elle était relevée toutes les 24 heures. La rancune, selon ShinyHunters, tient au fait qu'ils auraient trouvé les premiers la faille zero day d'Oracle E-Business Suite et que Clop aurait repris l'exploit pour en faire une campagne d'extorsion de masse.
Voici ce qui compte au-delà du feuilleton. ShinyHunters menace de publier la liste des entreprises qui ont payé Clop pour faire taire leurs violations de données, avec les montants et les adresses Bitcoin. Ces paiements ont été faits en supposant que personne ne le saurait jamais. Chaque organisation figurant sur cette liste va apprendre ce que les spécialistes répètent depuis des années : payer un criminel achète la promesse d'un criminel, et cette promesse ne vaut plus rien dès que quelqu'un d'autre met la main sur les papiers. Pendant ce temps, les données volées aux victimes de Clop, dont Shell, Philips et Fiserv, dorment dans une archive désormais contrôlée par un autre gang, aux motivations différentes.
Rien de tout cela n'est directement de votre ressort, et c'est précisément le problème. Les informations que vous confiez à une entreprise deviennent sa charge à protéger, puis l'actif de quelqu'un d'autre. Ce que vous contrôlez encore, c'est de savoir si un seul mot de passe fuité ouvre plusieurs portes : utilisez-en un différent partout et activez la validation en deux étapes dès qu'elle est proposée. La vérification vie privée et comptes de Tendvane permet de voir rapidement comment sont réglés les comptes et les options de connexion sur votre propre PC.