L'entreprise française indique, lundi, ne pas avoir constaté de fuite de données, après l'attaque au rançongiciel subie la semaine dernière.
Après une première sortie sur la réserve mercredi dernier, Sopra Steria a de nouveau communiqué, ce lundi 26 octobre, en apportant ses propres éléments sur l'attaque au ransomware dont l'entreprise aux 45 000 salariés a été victime il y a quelques jours. Elle confirme avoir bien identifié le virus et il s'agit du rançongiciel Ryuk, apparu sous une nouvelle version depuis plusieurs semaines.
Une faille à la criticité maximale
Ryuk a donc bien frappé. Le rançongiciel, apparu en 2018 puis presque disparu jusqu'à son retour en force en septembre dernier, a notamment pris pour cible Sopra Steria, dans une nouvelle version, « jusque-là inconnue des éditeurs d'antivirus et des agences de sécurité », explique l'entreprise. Un signe supplémentaire de la sophistication des cyberattaques.
Comme nous vous l'avions indiqué en fin de semaine dernière, Ryuk a exploité la nouvelle vulnérabilité Zerologon, qui a permis aux attaquants de compromettre tous les services d'identité Active Directory, l'annuaire de Microsoft. Cette faille « permet de pénétrer en vertical dans une organisation, et les attaquants n'ont plus qu'à finir le travail », nous expliquait l'ancien hacker Jérôme Thémée.
Toucher l'annuaire Active Directory est un coup de maître des pirates. Et une atteinte grave subie par l'entreprise. « Zerologon a été notée 10 sur 10 par le Common Vulnerability Scoring System ou CVSS », nous rapportait le consultant en cybersécurité Frédéric Gouth, évoquant une attaque à la criticité maximale. En faisant preuve d'agilité, Sopra Steria a pu rapidement communiquer la signature de la nouvelle version de Ryuk « à tous les éditeurs d'antivirus pour une mise à jour de leurs antivirus ».
Un retour à la normale prévu « dans les prochaines semaines »
Sopra Steria, qui a rendu publique l'attaque le 21 octobre après l'avoir découverte la veille, indique ce lundi que la cyberattaque avait été lancée quelques jours avant sa détection. De quoi faire suffisamment de dégâts ? Pas nécessairement, si l'on en croit l'entreprise : « Les mesures de sécurité immédiatement mises en œuvre ont ainsi permis de contenir la propagation du virus à une partie limitée des installations du groupe et de préserver ses clients et ses partenaires ».
Pour le moment, Sopra Steria indique ne pas avoir « constaté de fuite de données ou de dommages causés aux systèmes d'information de ses clients ». Une bonne nouvelle, même si généralement, les données éventuellement captées par les hackers via un ransomware sont chiffrées et masquées au moins durant un temps.
Le spécialiste de la transformation digitale indique avoir redémarré de façon progressive et sécurisée, lundi, le système d'information et les opérations du groupe. Et Sopra Steria de prévoir un retour à la normale dans les prochaines semaines.
