Début du contenu principal.
Après l’exploitation d’une faille de sécurité attribuée à des groupes chinois, un logiciel du mastodonte américain Microsoft se trouve au cœur de vives inquiétudes, alors que plusieurs centaines d’organisations pourraient avoir été ciblées.
Si ce type d’incident n’est pas une première pour le groupe, l’ampleur des potentielles cibles et la vitesse d’exploitation des failles sont largement commentées.
Samedi, l’entreprise néerlandaise Eye Security a publiquement fait état de plusieurs attaques menées grâce à une faille de sécurité sur le logiciel de partage de fichiers Sharepoint, entrainant une réaction du groupe américain qui a officialisé l’existence de la brèche le même jour.
Les vulnérabilités, qui ouvrent la possibilité à des tiers de récupérer, sans autorisation, des identifiants pour ensuite accéder aux serveurs Sharepoint, « affectent uniquement les serveurs SharePoint locaux », a précisé Microsoft, par opposition à l’utilisation de Sharepoint sur le cloud.
D’après Eye Security, « plus de 400 systèmes activement compromis lors de quatre vagues d’attaques confirmées » ont été découverts.
Selon Bloomberg, plusieurs organisations étatiques en Europe, au Moyen-Orient, et aux Etats-Unis, dont l’agence fédérale américaine chargée du nucléaire (NNSA), ont été ciblées.
« Les serveurs SharePoint locaux — en particulier au sein des gouvernements, des écoles, du secteur de la santé (y compris les hôpitaux) et des grandes entreprises — sont exposés à un risque immédiat », met en garde l’équipe de recherche de l’entreprise américaine Palo Alto Networks, dans une note publié en ligne.
Microsoft n’a quant à lui pas communiqué sur le nombre de victimes des attaques. Selon les derniers chiffres publiés par Microsoft, en 2020, SharePoint avait plus de 200 millions d’utilisateurs actifs.
Trois groupes ont été désignés par Microsoft dès mardi comme responsables d’attaques organisées.
Les deux premiers, baptisés Linen Typhoon et Violet Typhoon, sont qualifiés d’acteurs étatiques chinois, tandis qu’un troisième, Storm-2603, « est considéré avec une confiance modérée comme étant un acteur menaçant basé en Chine. »
À VOIR AUSSI | 25 ans après le «bogue de l’an 2000», où en est-on côté cybersécurité?
Selon le groupe, les deux premiers acteurs, qui opèrent respectivement depuis 2012 et 2015, sont connus pour « du vol de propriété intellectuel », et de l’espionnage. S’agissant du troisième, l’entreprise indique ne pas être en mesure de déterminer avec certitude ses motivations.
« Les enquêtes sur d’autres acteurs utilisant également ces exploits sont toujours en cours », a précisé Microsoft, qui a souligné un risque élevé que d’autres acteurs malveillants exploitent la faille sur des serveurs non mis à jour.
Sur son blog Zataz, l’expert en cybersécurité Damien Bancal a ainsi relevé mercredi la publication sur un site très connu d’« un code d’exploitation (de la faille) prêt à l’emploi ».
« Ce nouvel incident s’inscrit dans la continuité d’une série d’attaques sophistiquées menées par des groupes étatiques contre l’écosystème Microsoft », a aussi souligné Damien Bancal.
En 2021, une campagne d’attaques menée par le groupe chinois Silk Typhoon avait compromis des « dizaines de milliers de serveurs » de messagerie Exchange.
Avec des logiciels utilisés dans le monde entier, et par des organisations critiques, la firme de Redmond (Etat de Washington), est une cible de choix pour les acteurs malveillants.
D’autant que ces logiciels utilisés quotidiennement « peuvent abriter des propriétés intellectuelles sensibles, des documents de planification stratégique et des communications internes », souligne Shane Barney, responsable de la sécurité des systèmes d’information de l’entreprise américaine Keeper.
« Ce n’est pas Microsoft qui est visé, ce sont ses clients, le logiciel Microsoft n’est qu’un moyen, et demain cela pourrait toucher un logiciel d’une autre entreprise », insiste auprès de l’AFP Rodrigue Le Bayon, à la tête du centre d’alerte et de réaction aux attaques informatiques (CERT) d’Orange Cyberdefense.
Ce type de cyberattaques « n’est pas propre à la Chine », remarque Rodrigue Le Bayon, qui pointe l’importance croissante des moyens d’attaques informatiques dans le monde.
La Chine est néanmoins désignée de manière récurrente par de nombreuses entreprises, notamment américaines, mais également par des États.
En 2024, plusieurs pays occidentaux avaient déjà accusé des groupes de hackeurs présentés comme soutenus par l’Etat chinois de mener une campagne mondiale de cyberespionnage contre des personnalités critiques de Pékin, des institutions démocratiques et des entreprises de divers secteurs sensibles.