Vous êtes victime d’un incident de sécurité ? Contactez notre CERT

22/12/2022

Cybersecurity Insights

Medibank, attaque et vol de données

L’Australie a été marquée en cette fin d’année par une succession de violations de données massives suite à des cyber attaques. Une violation de données consiste en la copie, la transmission, l’accès intentionnel, le vol de données sensibles par une personne non autorisée.

+ de 13,7 millions
de clients impactés

3 victimes entre septembre
et octobre 2022 :
Optus, Telstra, Medibank

un total de $11 millions
demandés (rançons)

Après les attaques sur les deux plus importants opérateurs de télécommunications australiens Telstra et Optus, ce sont les données de millions de clients du plus large fonds d’assurance australien, Medibank, qui ont été mises en ligne.

Doit-on en conclure une augmentation du niveau de menace pesant sur l’Australie ?

Cette attaque remet aussi sur le devant de la scène à la fois le sujet du paiement des rançons mais aussi la question du niveau de protection global des sociétés critiques en matière de sécurité de l’Information, en particulier des données de santé.

L’analyse des incidents a pour objectif de sensibiliser la communauté sur les conséquences directes et indirectes de ce type d’attaque. Dans le cas de Medibank, les répercussions financières sont déjà très importantes et il est aujourd’hui difficile d’estimer le montant de la facture totale.

L’équipe CTI et le SOC/CERT, en collaboration avec les experts April et Vering proposent au travers de ce rapport de répondre à toutes ces questions avec :

  • Une synthèse de la chronologie de l’attaque ;
  • Une première analyse de l’impact financier à date ;
  • Un éclairage sur le groupe d’attaque présumé responsable ;
  • Une focus sur l’état de la menace en Australie et les conséquences sur les décisions institutionnelles.

Medibank, chronologie de l’attaque

Cette chronologie est une synthèse des événements marquants. L’intégralité des données est disponible sur le site de Medibank.

12/10/22
12/10/2022

Détection d’une activité inhabituelle.

Isolement immédiat d’une partie du SI et blocage des accès publics aux systèmes.

14/10/22
14/10/2022

Cellule de crise déclenchée, première communication et rétablissement des accès initialement bloqués.

19/10/22
19/10/2022

Demande de rançon par le groupe d’attaquants (BlogXX). Analyse de la véracité des données exfiltrées.

Absence de chiffrement des systèmes.

20/10/22
20/10/2022

Participation de la Police Fédérale Australienne à l’enquête.

Échantillons d’informations exfiltrées envoyés à Medibank par BlogXX.

25/10/22
25/10/2022

Confirmation de la fuite de données par Medibank et mise en place d’un programme de soutien pour les clients concernés.

26/10/22
26/10/2022

Medibank confirme que le groupe a eu accès à 200 Go de données.

07/11/22
07/11/2022

Annonce de refus de paiement de la rançon par Medibank qui s’élevait à environ 10 millions de dollars (US) (9,6 millions d’euros).

08/11/22
08/11/2022

Le groupe de cybercriminels déclare que des données seront publiées dans les 24h si la rançon n’est pas payée.

09/11/22
09/11/2022
Le groupe de cybercriminels commence à publier des données sur le dark web.
11/11/22
11/11/2022

La Police Fédérale Australienne (AFP) déclare que les responsables de cette attaque sont localisés en Russie.

01/12/22
01/12/2022

Publication sur le dark web du reste des données collectées par les attaquants, « dossier clos » pour BlogXX.

Medibank, fiche société

Sources : Les informations proviennent des sites officiels de Medibank et de l’ASX

IDENTITE

Medibank
Ahm
Amplar Health

CHIFFRE D’AFFAIRES

$393,9M
27,45% du marché
Assurance maladie

STRATEGIE

Améliorer le
secteur médical

SECTEUR

Assurance Maladie
Fonds privés depuis 2014

TAILLE

3,9 millions
de clients

ENVIRONNEMENT CONCURRENTIEL

Bupa, Transamerica,
Talanx, AIA Group

Répercussions financières déjà perceptibles 

Si la première annonce de Medibank avait déjà causé une baisse du prix de l’action le 13 octobre, c’est la demande de rançon qui cause la chute la plus significative.

Entre le 19 et le 28 octobre, l’action perd une valeur de 0,71$, et atteint son niveau le plus bas depuis mars 2021. Cela représente une perte de 20% en capital, c’est-à-dire près de 2Md$.

Le 26 octobre, dans un communiqué à ses actionnaires, Medibank estimait déjà que cette attaque aurait à date un impact de 25 et 35M$ sur les bénéfices du S1 2023. La facture risque de s’alourdir en incluant les couts de remédiation, de litiges et des pénalités réglementaires.

Impact de l’attaque sur le cours de l’action de Medibank Private Ltd. sur 2022.

Évaluer les impacts des fuites de données de santé

Laurent GERARDIN, RSSI du groupe APRIL, leader du courtage grossiste en assurance en France, nous alerte sur les conséquences d’un vol de données de santé :

« Les violations de données accroissent le risque de phishing ciblé. La mise à disposition des données de santé sur le marché noir et leur achat potentiel peut engendrer des discriminations pour l’assuré s’il est face à une société détenant ces informations (ex : discrimination à l’embauche, refus de prêt, etc.). Il s’agit de conséquences directes pour le client.

Pour les entreprises ayant subi un vol de données, les conséquences indirectes sont multiples et importantes à considérer : impact réputationnel, risque de perte de confiance durable de leur clientèle, impact financier, actions judiciaires à mettre en place, etc. L’entreprise est exposée au risque d’actions collectives qui peuvent engendrer des frais conséquents en défense et/ou réparation. »

Medibank, zoom sur REvil

REvil est un groupe de cybercriminel actif

Cette attaque remet aussi sur le devant de la scène à la fois le sujet du paiement des rançons mais aussi la question du niveau de protection global des sociétés critiques en matière de sécurité de l’Information, en particulier des données de santé.

L’analyse des incidents a pour objectif de sensibiliser la communauté sur les conséquences directes et indirectes de ce type d’attaque. Dans le cas de Medibank, les répercussions financières sont déjà très importantes et il est aujourd’hui difficile d’estimer le montant de la facture totale.

L’équipe CTI et le SOC/CERT, en collaboration avec les experts April et Vering proposent au travers de ce rapport de répondre à toutes ces questions avec :

  • Une synthèse de la chronologie de l’attaque ;
  • Une première analyse de l’impact financier à date ;
  • Un éclairage sur le groupe d’attaque présumé responsable ;
  • Une focus sur l’état de la menace en Australie et les conséquences sur les décisions institutionnelles.

Nom (supposé)

BlogXX

Lien (probable)

REvil

Objectif

Financier

Stratégie

Vol et diffusion des données de santé

Pays

Russie

REvil est un groupe cybercriminel ayant pratiqué des attaques par rançongiciel entre 2019 et 2021 à l’encontre de plus de 100 sociétés disséminées à travers le monde. Début 2022, le service fédéral de sécurité russe déclare avoir démantelé REvil et inculpé ses membres.

Cependant, quelques mois plus tard, le site web du groupe nommé « Happy Blog » est remis en ligne et de nouvelles données volées sont publiées.

REvil pratique la double extorsion :

  • Chiffrement des données et dépôt de rançon
  • Exfiltration des données dans l’objectif de les revendre

Il est intéressant de noter que contrairement aux dernières observations et habitudes du groupe REvil, il n’y a pas eu de chiffrement.

En effet, aucun chiffrement des données n’a été constaté.

index

Mode opératoire de REvil (ransomware-as-a-service)

Si la première annonce de Medibank avait déjà causé une baisse du prix de l’action le 13 octobre, c’est la demande de rançon qui cause la chute la plus significative.

Entre le 19 et le 28 octobre, l’action perd une valeur de 0,71$, et atteint son niveau le plus bas depuis mars 2021. Cela représente une perte de 20% en capital, c’est-à-dire près de 2Md$.

Le 26 octobre, dans un communiqué à ses actionnaires, Medibank estimait déjà que cette attaque aurait à date un impact de 25 et 35M$ sur les bénéfices du S1 2023. La facture risque de s’alourdir en incluant les couts de remédiation, de litiges et des pénalités réglementaires.

Compromission initiale (Mitre ATT&CK : Reconnaissance, Ressource Development, Initial Access, Execution) :

  • Accès via la compromission de pages internet sur lequel navigue un utilisateur
  • Envoi de phishing ciblé avec pièce jointe vérolée

Les vecteurs sont variables car ils sont distribués par différents affiliés.

Exploitation et installation (Mitre ATT&CK : Persistence, Privilege Escalation, Defense Evasion, Credential Access, Lateral Movement) :

  • Exploitation de vulnérabilités afin de gagner des privilèges
  • Contournement des contrôles d’accès en modifiant les tokens d’authentification
  • Manipulation des données de fichiers. Obfuscation de fichiers
  • Modification du Registre Windows pour cacher ou supprimer des informations de configuration

Command & Control (Mitre ATT&CK : Command & Control) :

  • Utilisation de protocoles spécifiques afin d’éviter la détection et le filtrage réseau
  • Utilisation d’un algorithme de chiffrement afin de dissimuler les traces de ses actions

Collecte de données et réalisation de l’objectif (Mitre ATT&CK : Discovery, Collection, Exfiltration, Impact) :

  • Arrêt des services du système pour les rendre indisponibles aux utilisateurs
  • Exfiltration des données en utilisant différents protocoles (HTTP Post)
  • Suppression de données pour bloquer la disponibilité

Ransomware-as-a-Service (RaaS) : modèle commercial se basant sur un abonnement auquel des clients (affiliés) peuvent souscrire et obtenir des offres plus ou moins sophistiquées de la part des créateurs (assistance client, tableaux de bord, etc.)

Medibank, zoom sur l'Australie

Une cible de l’Asie-Pacifique

L’Australie est le 8ème pays le plus ciblé

L’Australie, en tant que puissance majeure de l’Asie-Pacifique, est une cible stratégique pour des attaques opportunistes ou ciblées.

A l’instar de Medibank, les investissements dans la sécurité de l’information ne sont à date pas suffisants dans de nombreux cas.
Conséquence : des violations de données massives de plus en plus courantes.

graph

Violations de données majeures en Australie

Février
2019
fev 19

Melbourne Heart Group
Violation de données
15K patients

Mai
2019
mai19

Canva
Violation de données
137M clients

Avril
2020
avr20

Service NSW
Violation de données
104K clients

Mars
2021
mars20

Eastern Health
Violation de données
4 hôpitaux

Septembre
2022
sept22

Optus
Violation de données
9,8M clients

Octobre
2022
oct 22

Telstra : 30K employés
Medibank : 3,9M clients
EnergyAustralia : 323 clients

Pourcentage de cybercrimes par secteurs

L’Australie n’est pas épargnée par l’augmentation constante de la cybercriminalité.

76 000 cybercrimes ont été rapportés à l’Australian Cyber Security Centre entre Juin 2021 et Novembre 2022 dont 447 ransomwares.

Sur les 10 secteurs les plus touchés, les entreprises de la Santé (4%) sont des cibles privilégiées, après les institutions étatiques.

index2

La réaction australienne : vers une adaptation de la législation

La réaction australienne s’observe à plusieurs niveaux : de nombreux acteurs prennent à présent conscience de l’importance de la sensibilisation aux enjeux cyber. Ces violations de données, qui sont fortement médiatisées, ont notamment incité le gouvernement australien à modifier ses lois en matière de protection des données.

Elles prévoient désormais des sanctions pécuniaires contre les entreprises pour violation de données pouvant aller jusqu’à 50 millions de dollars australiens (32,5 millions d’euros), le plafond actuel étant de 2,2 millions de dollars australiens (1,4 millions d’euros).

Les dernières grandes attaques contre Medibank ou encore Optus ont relancé le débat en Australie et certaines voix s’élèvent pour la pénalisation du paiement de la rançon, cela dans un but dissuasif et avec l’espoir de retirer l’Australie de la liste des cibles privilégiées par les attaquants. Cette mesure risque néanmoins d’avoir pour effet de voir des entreprises soucieuses de récupérer leurs données payer la rançon sans déclarer l’attaque. Un autre point de vue plus nuancé propose d’interdire non pas le paiement de la rançon mais plutôt le remboursement du paiement par les cyberassurances, cette mesure aurait un effet dissuasif en limitant les répercussions négatives.

Aujourd’hui, les entreprises ne sont pas légalement tenues de choisir une position spécifique. Néanmoins, la recommandation systématique des professionnels de la cybersécurité est de ne pas payer. Cependant, les orientations de la majorité des gouvernements ne vont pas vers la pénalisation du paiement. En France par exemple, le projet de loi d’orientation et de programmation du ministère de l’intérieur (LOPMI) sur la lutte contre la cybercriminalité a été adopté définitivement le 14 décembre 2022. Un des articles de la loi permet l’indemnisation des pertes et dommages des assurés, s’ils portent plainte maximum 72 heures après la découverte de la compromission.

7 septembre
2022
7 septembre 2022

Dépôt au conseil des ministres

18 octobre
2022
18 octobre 2022

Adoption par le Sénat en première lecture

7 décembre
2022
7 décembre 2022

Adoption par l’Assemblée nationale

14 décembre
2022
14 décembre 2022

Examen et adoption définitive

promulgation

Promulgation

Et en Europe

Christophe DIBON, expert risque cyber au sein de la société VRS Vering nous propose un point d’attention sur l’évolution de la directive NIS :

« Le 28/11/2022, la version 2 de la directive européenne Network and Information Security (NIS) a été adoptée.

L’évolution principale est l’extension du périmètre d’application aux secteurs suivants : la poste, le spatial, les administrations publiques et l’industrie pharmaceutique. L’objectif est d’améliorer la résilience des entreprises.

En effet, la majorité des vecteurs d’intrusion nous montrent une faiblesse des niveaux de protection alloués par les entreprises sur leur système d’information. Dans ce cadre elle impose de mettre en place des formations à la cyber-hygiène ainsi qu’à l’utilisation de la cryptographie et au contrôle des accès, sous peine de voir leur responsabilité engagée et de subir des amendes comprises entre 1,4% à 2% de leur chiffre d’affaires en cas de non-respect.

Les États membres auront 21 mois pour la transposer en droit national, la NIS 2 entrera donc en vigueur en 2024.

index3

Références

Chronologie de l’attaque

https://www.medibank.com.au/health-insurance/info/cyber-security/timeline/ 

https://thehackernews.com/2022/10/australian-health-insurer-medibank.html 

https://www.databreachtoday.com/blogs/who-extorting-australian-health-insurer-medibank-p-3310 

https://www.news.com.au/technology/online/hacking/fresh-wave-of-medibank-data-released-on-dark-web/news-story/1d230b8f46b8ede550a0283bfda9dbbe 

Medibank hackers announce ‘case closed’ and dump huge data file on dark web | Medibank | The Guardian

Mathias GARCIAU

Manager SOC CERT Almond CWATCH

Ophélie WEBER

Consultante Governance, Risks & Compliance

Alia SAADI

Consultante Governance, Risks & Compliance

Chloé GREDOIRE

Consultante Governance, Risks & Compliance

Albane GIROLLET

Consultante Governance, Risks & Compliance

Voir les derniers Cybersecurity Insights

13 November 2023
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Nous vous proposons ici quelques clés de lecture associées aux changements fondamentaux apportés par le CSCF v2023
11 October 2023
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Nous vous proposons ici quelques clés de lecture associées aux changements fondamentaux apportés par le CSCF v2023
5 October 2023
Nouvelles menaces cyber, nouvelles solutions : téléchargez le Threat Landscape 2022-2023 Almond !
16 June 2023
Le SASE en 7 min chrono : décrypter le SASE, sa fonction et ses usages. Pour y voir plus clair, nous vous proposons d’entrer en immersion dans les plateformes SASE des experts du secteur. Découvrons ensemble, la solution SASE proposée par Cato Networks. Joseph Fernando, SE Manager South EMEA, chez Cato Networks réalise une démonstration technique de la solution Cato SASE Cloud, au côté de Benoit Vérove, Partner et Lead Security Integration chez Almond.
12 June 2023
Comme chaque année, SWIFT met à jour son standard CSCF et apporte son lot de nouveautés. Nous vous proposons ici quelques clés de lecture associées aux changements fondamentaux apportés par le CSCF v2023
5 June 2023
Depuis 2021, tous les clients SWIFT se trouvent dans l’obligation de réaliser une évaluation de conformité dans le cadre du Customer Security Program (CSP) de SWIFT.
2 June 2023
Décryptez la technologie SASE, au travers d'une démonstration technique de la solution Harmony Connect proposée par Check Point.
2 June 2023
Le 24 mai 2023, le gouvernement Américain a publiquement attribué à la Chine une série d’attaques ciblant des infrastructures critiques situées aux États-Unis ainsi que sur l’île de Guam.
26 May 2023
La Chine étant devenue un acteur incontournable du cyberespace, elle s’implique également dans l’élaboration d’un régime de protection des données.
4 May 2023
Après quelques rappels de la Directive NIS 1, l'article présentera les évolutions attendues avec l'adoption de la Directive NIS 2 et sa date d'entrée en vigueur.

Jour 4 : Quel type d'attaque peut être qualifié de "triple extorsion" ?

  • Réponse 1 : Une attaque par ransomware
  • Réponse 2 : Une attaque par hameçonnage
  • Réponse 3 : Une attaque par déni de service
  • Réponse 4 : Une attaque par empoisonnement du cache DNS

Pour y répondre, rendez-vous sur notre page Linkedin ! A vos votes !

Jour 3 : Parmi ces quatre choix, lequel définit le mieux ce qu’est l’ISO 27001 ?

  • Réponse 1 : Un standard listant un ensemble d’exigences relatives à la sécurité des systèmes informatiques d’une entreprise
  • Réponse 2 : Une norme listant un ensemble de bonnes pratiques permettant d’optimiser la cybersécurité au sein d’une l’entreprise
  • Réponse 3 : Une norme listant un ensemble d’exigences relatives à la sécurité des informations nécessaires à une entreprise
  • Réponse 4 : Un standard listant un ensemble de méthodes pour optimiser les pratiques relatives à la sécurité des informations utilisées par une entreprise

Laïus explicatif : L’ISO 27001 est une norme internationale, dont les entreprises peuvent se prévaloir en se faisant certifier par un organisme indépendant ; elle contient un ensemble d’exigences que chaque entreprise, quels que soient sa taille et son domaine d’activité, doit impérativement appliquer pour obtenir sa certification ; ses exigences constituent donc le référentiel des audits de certification. A ne pas confondre avec la norme ISO 27002 qui est constituée de recommandations, basées sur les bonnes pratiques internationales, permettant d’aider une entreprise à appliquer les exigences de la norme ISO 27001 (donc norme qui ne donne pas lieu à une certification).

Les exigences de la norme ISO 27001 portent sur les informations nécessaires à une entreprise, recueillies et/ou traitées, quel que soit son support, électronique, papier et oral.

Les trois critères de sécurité retenus par la norme ISO 27001 sont la confidentialité, l’intégrité et la disponibilité des informations. Tout événement, qu’il soit d’origine environnementale ou humaine, intentionnelle ou involontaire, impactant un de ces trois critères, relève de cette norme.

Jour 2 : Qu'est-ce qu'une attaque DDoS?

  • Réponse 1 : Un logiciel espion qui enregistre ce qu’écrit un utilisateur
  • Réponse 2 : Un procédé visant à perturber l’accès à un site ou une application
  • Réponse 3 : Un virus informatique qui chiffre l’OS de votre ordinateur en échange d’une rançon
  • Réponse 4 : Une attaque Informatique visant à détermine votre mot de passe en testant un grand nombre de possibilité

Laïus explicatif : Une attaque DDoS ou “Distributed Denial of Service” est une attaque visant à rendre indisponible un site en le submergeant de requêtes provenant de multiples sources. Dans le cas où toutes les requêtes proviennent de la même source, on parle simplement d’attaque DoS (« Denial of Service »), ou « par déni de service ».

Jour 1 : Qu'est-ce que DORA?

  • Réponse 1 : Une jeune exploratrice bilingue
  • Réponse 2 : Un protocole de communication décrit dans le RFC 9364
  • Réponse 3 : Une organisation internationale de régulation de la cybersécurité
  • Réponse 4 : Un règlement qui s’applique aux entités financières et aux tiers prestataires de services informatiques

Laïus explicatif : DORA ou Digital Operational Resilience Act est un règlement européen publié en 2022 et en vigueur depuis janvier 2023. Le règlement traite de la résilience opérationnelle numérique du secteur financier. Il est applicable aux entités financières comme les banques, assurances, entreprises d’investissement, les établissements de paiement, etc. mais également aux tiers prestataires de services informatiques. Les entreprises concernées ont deux ans pour se mettre en conformité. Ils devront donc l’être en 2025 !

Le pilier relatif à la gestion des risques liés aux prestataires tiers de services TIC apparait comme l’un des plus difficile à mettre en place et à maintenir dans le temps pour les entreprises concernées. En quelques mots, les entreprises devront considérer ces risques comme faisant partie intégrante du risque lié aux technologies de l’information et de la communication (TIC) et notamment le risque de concentration, au niveau de l’entreprise mais également au niveau de l’ensemble du secteur financier européen. En effet, les autorités devront analyser ce risque en analysant les registres tenus et communiqués par les entreprises concernées par DORA et qui recense notamment la liste des tiers prestataires de services TIC avec lesquelles les entités financières conclues des contrats.

Pour plus d’informations, consultez notre avis d’expert sur le sujet : https://almond.eu/cybersecurity-insights/explorons-dora/