L'étrange affaire du piratage de Superdrug

En début de semaine, Superdrug, le revendeur britannique de produits de beauté, qui compte 900 boutiques au Royaume-Uni, a été contacté par un pirate informatique isolé prétendant qu'il avait volé les données personnelles de 20 000 clients comprenant le nom, l'adresse et d'autres détails personnels, mais aucune information sur les paiements ou les cartes de crédit. « Lundi soir, nous avons été contactés par une personne qui prétendait détenir un certain nombre d'informations sur les achats en ligne de nos clients et elle a exigé une rançon », a déclaré un porte-parole de Superdrug. En guise de preuves de ce piratage, le personnel informatique de l’entreprise a reçu les données prétendument extraites de 386 comptes. Cependant, après une première enquête, il semblerait que celles-ci n’ont pas été volées au détaillant, mais qu’elles ont été récupérées lors d’un autre piratage. Aucune rançon n'a été payée par le revendeur.

Une technique de « credential stuffing »

La technique, connue sous le nom de « credential stuffing », consiste à tester des logins et des mots de passe volés sur un site web pour accéder à des comptes utilisateurs d’un autre site web et extorquer de l'argent à l’entreprise. L’opération peut-être réalisée à l’aide d’un outil d'automatisation standard comme Selenium, CURL ou PhantomJS. « Le pirate commence par acheter un lot de données volées contenant les identifiants de milliers de personnes. Il teste ensuite ces identifiants sur des milliers de sites jusqu'à ce qu'ils trouvent ceux qui fonctionnent », a expliqué Bernd Koenig, directeur des produits de sécurité chez Akamai. « Quand le nombre de connexions réussies devient significatif, il fait croire par d’autres techniques à l’entreprise qu’il a réussi à s’introduire dans ses systèmes pour la pousser à payer une rançon ».

Trop souvent, les utilisateurs utilisent les mêmes mots de passe pour se connecter à plusieurs sites web et services, et ce genre d’attaque essaye typiquement de profiter de ce défaut de sécurité. Par exemple, il est possible que les logins et les mots de passe d’utilisateurs volés lors du hack de Carphone Warehouse aient été revendus à d’autres pirates qui les testent dans une attaque de credential stuffing sur un autre site de vente en ligne.

Recourir à l'IA pour se protéger

Bernd Koenig, dont l’entreprise fournit un produit de bot-management, connaît bien cette question de sécurité et comment prévenir ce genre d’attaques. « Pour se protéger, les entreprises devraient utiliser des outils capables de détecter avec précision si la tentative de connexion est le fait d’un humain ou d’un robot, en analysant par exemple la rapidité avec laquelle les informations d'identification sont entrées ou même savoir comment l’appareil est tenu », a-t-il déclaré. « Ce type d'attaque va devenir de plus en plus courant, les cybercriminels ayant facilement accès à des outils de plus en plus sophistiqués. Pour se protéger, il faut que les entreprises investissent dans de nouvelles technologies, y compris des solutions d’intelligence artificielle basées sur des algorithmes d'apprentissage machine ».

Superdrug a rapidement informé ses clients de cette tentative, et leur a demandé de modifier leur mot de passe. « Nous avons contacté la police et Action Fraud (l’organisme britannique de lutte contre la fraude et la cybercriminalité) et nous leur fournirons toutes les informations dont ils ont besoin pour leur enquête. De notre côté, nous assumons notre responsabilité de protéger les données de nos clients », a expliqué Superdrug. Ce message a également été suivi d'un tweet confirmant que le courriel envoyé était authentique et invitant les clients à suivre les étapes suggérées pour changer leur mot de passe.

Des données issues de piratages antérieurs

« Les consultants en sécurité informatique avec lesquels nous travaillons nous ont confirmé qu’aucun signe ne permettait de conclure que nos systèmes avaient été piratés (il n'y a eu aucun téléchargement ou extraction de données en masse de nos systèmes). Ils ont également confirmé que les 386 données de comptes présentées comme des preuves par le pirate provenaient de piratages antérieurs qui ne concernent pas Superdrug », a déclaré un porte-parole de l’enseigne.

Mais, pourquoi dans ce cas avertir les utilisateurs par courriel que leurs données personnelles étaient en danger, s'il n'y a aucune preuve de piratage ? « Les noms, adresses et, dans certains cas, la date de naissance, le numéro de téléphone et le solde de points des clients ont pu être consultés. Nous avons informé directement les clients concernés ». Quoi qu’il en soit, Superdrug a réagi à la situation de manière exemplaire : l’entreprise a refusé de payer la rançon, elle a fait analyser ses systèmes par des consultants indépendants, elle a informé les utilisateurs potentiellement affectés et elle a prévenu les autorités compétentes. Le revendeur a également indiqué que des enquêtes en interne étaient en cours.