Naval Group face à un vol de données massif

Hier Mercredi, le chercheur en sécurité Clément Domingo indiquait dans un post qu’un téraoctet de données appartenant à Naval Group avait fuité sur le darkweb. Contactée par la rédaction, une porte-parole de la société nous a confirmé qu'une enquête est en cours : “Nous sommes en train d’investiguer avec nos équipes techniques et celles des services de l’Etat sur un potentiel incident de cybersécurité, mais tant que ces investigations là ne sont pas terminées nous ne sommes pas en mesure de dire s’il y a du vrai ou du faux sur tout ce qui circule sur les réseaux”, nous a indiqué ce jeudi notre source. “Je ne pourrais pas donner de détail sur la nature des investigations qui sont menées et à ce stade nous n’en dirons pas plus sur les actions qui sont ou vont être menées.”

Naval Group indique, dans une déclaration séparée, prendre “très au sérieux” cette alerte cybersécurité et avoir immédiatement mobilisé une équipe d’experts sans toutefois, à date, confirmer ou infirmer, les rumeurs qui circulent. S’il s’avère fondé, cet incident de cybersécurité pourrait être d’une très grande gravité, non seulement par sa volumétrie (1 To), mais également par la nature des données concernées. Selon le chercheur en sécurité Clément Domingo, de nombreux documents mais aussi environnements techniques et opérationnels ont été aspirés. A savoir un CMS “top secret” pour sous-marins et frégates disponible avec code source et guide d'utilisation pour le déploiement de l'infrastructure, des documents techniques de la DCN, de la DCNS et de Naval Group avec différents types de classification comme « Diffusion restreinte », « Spécial France » de 2006 à 2024, des machines virtuelles des développeurs intégrant différents simulateurs de la marine française, ainsi que des échanges confidentiels interceptés via leur messagerie interne (Notes HCL).

Un piratage revendiqué depuis le 7 juillet par NoName 057(16)

L’attribution de ce vol potentiel massif de données est compliquée. Le groupe de cybercriminels pro-russes NoName 057(16), en revendique toutefois la paternité et, ce, depuis le 7 juillet dernier. “Récemment avec l’appui de volontaires, nous avons infiltré le périmètre interne de la société de la défense française Naval Group. En dépit du fait que cette entreprise est le plus grand groupe de construction de bateaux militaires en Europe et l’un des plus grands exportateurs d’équipements navals, son niveau de cybersécurité s’avère être assez discutable. Nous sommes en mesure d’obtenir un grand nombre de données intéressantes que nous avons déjà remis aux parties concernées”, indiquait le cybergang. Entre cette communication et le 23 juillet - date de mise en ligne des données (avec demande de paiement de rançon en échange de non divulgation des données volées) - le groupe avait cependant été démantelé, ce qui n’a manifestement pas suffi à le faire tomber entièrement. Une situation en fait loin d’être inédite : “On est plutôt là dans un scénario classique où malheureusement les forces de sécurité et de police n’ont pas réussi à aller suffisamment profondément dans le curetage et la décapitation de l’hydre que représentent ces groupes. Il suffit d’un petit germe à côté pour que leur activité redémarre. Mais on peut également être dans la communication et la désinformation la plus complète”, nous a expliqué Loïc Guézo, vice-président du Clusif en charge du Panocrim. “On est dans une situation qui est devenue assez habituelle avec beaucoup de communication de la part des attaquants potentiels autour de cette possible exfiltration, surtout dans un contexte géopolitique autour de la guerre en Ukraine”.

Le recours possible à un insider

Dans sa première communication, Noname05716 a évoqué des “volontaires” ; un terme derrière lequel pourrait en fait se cacher des espions capables d’infiltrer des groupes, récupérer des dossiers, les photographier, voire les exfiltrer. “Aujourd’hui il se passe la même chose avec des insiders dans le monde numérique”, explique Loïc Guézo. “C’est à dire de demander à quelqu’un de partager son accès login/mot de passe ou d’introduire une clef USB sur le système d’information de la cible. C’est très dommageable car on se retrouve avec un accès opérationnel à un SI complet compromis par un utilisateur légitime, mais avec une volonté malveillante pour extraire des données pouvant dans ce cas être extrêmement volumineuses et très sensibles.”

La nature des fichiers déclarés comme étant compromis tout comme leur volume interroge : 1 To. Une telle masse d’informations, comprenant autre chose que d’habituelles documentations techniques, contrats... mais bien des systèmes, voire des environnements de tests et de développements complets. “Dans le cas de Thales, la fuite de données était beaucoup moins stratégique et sensible que ce qui pourrait arriver à Naval Group”, analyse Loïc Guézo. Parmi les scénarios possibles de vecteurs de leak : le recours à un insider, mais aussi une attaque de type supply chain, sur un des partenaires du fabricant français, consistant par exemple à compromettre un compte à privilèges et à détourner des accès légitimes puis d'effectuer des mouvements latéraux. Deux hypothèses bien plus probables que celle d’une attaque directe qui aurait nécessité d’importants moyens ou l’exploitation d’une faille alors que Naval Group ne manque pas de moyens de défense cyber. “Ils ont tout un ensemble de dispositifs périmétriques qui repoussent évidemment les attaquants frontalement”, indique Loïc Guézo. “Sur les infrastructures, ils ont des systèmes de sécurité pour faire de la supervision de tout ce qui pourrait être révélateur d’un signal faible d’une intrusion informatique, et ils ont des CERT au-dessus pour tout surveiller.”

Cependant, quel que soit le scénario et le vecteur d'attaque, l'horloge tourne : les cyberpirates ont laissé 72h à Naval Group pour répondre à leur demande de rançon, menaçant de publier la totalité de leur butin en accès libre à tous les cybercriminels de la planète.