Deux grandes entreprises japonaises indemnisent leurs clients après des cyberattaques ayant exposé des informations sensibles et, dans un cas, étant liées à des transactions financières non autorisées. GMO Internet rembourse les pertes liées aux transactions confirmées, tandis que l'opérateur d'autopartage Park24 prévoit de dépenser des milliards de yens pour réagir à une fuite de données distincte.
Ces dispositifs d'indemnisation interviennent alors que GMO fait face à une tentative d'extorsion qui s'intensifie et qui porte sur des données de clients apparemment dérobées. L'entreprise a refusé les exigences des attaquants et annoncé des versements supplémentaires pour les clients dont les informations sont confirmées dans les éléments publiés.
GMO propose le remboursement des pertes liées aux transactions et des versements supplémentaires
L'attaque a ciblé Onamae.com Desktop Cloud, un service de bureau à distance exploité par GMO Internet. Certains clients utilisent ce service pour accéder à des plateformes de trading financier.
Dans une annonce du 24 octobre, GMO a confirmé un accès non autorisé, le vol d'informations sur ses clients et des signalements de transactions que ceux-ci ne reconnaissaient pas.
Son dispositif d'indemnisation initial comprend :
- 5 000 yens pour chaque client actuel du service, qu'il ait ou non subi des pertes financières.
- Le remboursement des pertes liées à des transactions non autorisées vérifiées, notamment les pertes réalisées et les frais associés, lorsque l'enquête de GMO établit un lien avec l'attaque.
- Six mois d'accès à un service cloud alternatif pour les clients concernés.
Le remboursement ne couvre pas les pertes dues aux fluctuations ordinaires du marché, les gains d'investissement manqués ni les autres dommages indirects.
GMO a commencé son enquête le 19 octobre après avoir reçu des demandes de clients. L'entreprise a détecté un logiciel malveillant le lendemain et commencé à arrêter les serveurs du service le 21 octobre afin de contenir l'incident.
Les attaquants ont ensuite exigé environ 8 milliards de yens, soit près de 50 millions de dollars US, et menacé de publier les informations dérobées.
Le 27 octobre, GMO a confirmé qu'une partie considérée comme responsable avait publié des informations qu'elle affirmait appartenir à l'entreprise et à ses clients. L'entreprise vérifiait encore leur contenu.
GMO a ensuite étendu son dispositif d'indemnisation pour les clients dont les informations sont confirmées dans la publication :
- ¥10,000 pour les informations de base, comme les noms et les coordonnées.
- ¥15,000 pour les informations financières ou d'authentification, notamment les identifiants des comptes de trading.
- ¥25,000 pour les informations personnelles hautement sensibles.
Les versements sont calculés selon la catégorie d'informations confirmée et sont distincts du versement initial de 5 000 yens et du remboursement des pertes liées aux transactions non autorisées. GMO a également annoncé une récompense totale d'un million de dollars US pour toute information permettant d'identifier les auteurs ou de clarifier l'incident.
Dans sa mise à jour du 28 octobre, GMO a indiqué que le domaine hébergeant les éléments publiés par les attaquants avait été suspendu. L'entreprise a averti que des sites miroirs pourraient apparaître et demandé à ses clients de ne pas accéder aux informations dérobées ni de les partager.
Fait essentiel, GMO a indiqué ne pas avoir confirmé le déploiement d'un ransomware à 13 h 55, heure du Japon, le 27 octobre. Le vol de données, l'extorsion et les transactions non autorisées ne doivent pas être décrits comme la preuve qu'un ransomware a été exécuté.
Park24 provisionne 5,5 milliards de yens après la fuite de Times Car
Park24, qui exploite le service d'autopartage Times Car par l'intermédiaire de sa filiale Times Mobility, a annoncé une approche différente en matière d'indemnisation.
L'entreprise a déclaré que les attaquants avaient exploité une vulnérabilité de son système web, exposant les informations personnelles associées à environ 6,62 millions de comptes.
Parmi eux, environ 1,46 million de comptes contenaient des images chiffrées de pièces d'identité, notamment des permis de conduire, qui montraient des indices d'accès et de transmission vers l'extérieur.
Park24 propose aux clients éligibles 3 000 yens en espèces ou en cartes-cadeaux.
L'entreprise prévoit d'enregistrer une perte exceptionnelle de 5,5 milliards de yens, couvrant les indemnisations et les autres coûts de réponse à l'incident, selon sa communication financière du 23 octobre.
Ce montant correspond à la charge totale attendue liée à l'incident, et non à la somme exclusivement consacrée aux versements aux clients.
Park24 prévoit également de cesser de conserver les images des pièces d'identité une fois la vérification terminée, afin de réduire le volume d'informations sensibles conservées et susceptibles d'être visées par de futures attaques.
Contrairement à GMO, Park24 n'a pas fait état de transactions financières non autorisées liées à son incident. Son dispositif d'indemnisation vise principalement l'exposition d'informations personnelles.
Un expert en sécurité met en garde contre la fraude financière et l'extorsion
L'incident touchant GMO soulève des questions sur la capacité des attaquants à progresser après avoir accédé à un service distant, en particulier lorsque les clients utilisent ce service pour des activités financières sensibles.
Phillip Wylie, responsable de la sensibilisation à la sécurité chez Suzu Labs, a livré l'analyse suivante :
« Ce qui ressort de l'incident touchant GMO Internet, c'est que les attaquants seraient allés au-delà du simple vol d'informations sur les clients et auraient accédé à des comptes de trading, permettant des transactions financières non autorisées. Cela montre comment une vulnérabilité dans un service d'accès à distance peut avoir des conséquences qui dépassent largement le système compromis.
« Les attaquants n'ont pas nécessairement besoin de déployer un ransomware pour causer des dommages importants. S'ils peuvent voler des informations sensibles, compromettre des comptes et menacer de publier les données, ils disposent déjà de plusieurs moyens de faire pression sur une organisation.
« La demande de rançon de 50 millions de dollars US qui aurait été formulée montre également comment les tactiques d'extorsion continuent d'évoluer. Les organisations doivent se préparer à autre chose qu'aux attaques traditionnelles par ransomware impliquant le chiffrement de fichiers. Le vol de données, la fraude financière et les menaces de divulgation publique peuvent être tout aussi perturbateurs.
« Du point de vue de la sécurité offensive, c'est pourquoi il est si important de tester les systèmes en adoptant le point de vue d'un attaquant. Les organisations doivent comprendre non seulement si une vulnérabilité existe, mais aussi ce qu'un attaquant pourrait accomplir en l'exploitant. Les services d'accès à distance sont des cibles particulièrement intéressantes, car ils peuvent fournir une voie d'accès vers des systèmes sensibles et les environnements des clients.
« Les organisations devraient donner la priorité à la sécurisation de leur infrastructure d'accès à distance, mettre en place l'authentification multifacteur, surveiller les activités suspectes sur les comptes et réaliser régulièrement des tests d'intrusion évaluant les chemins d'attaque potentiels.
« La principale leçon à retenir est qu'il est important d'empêcher la compromission initiale, mais qu'il est tout aussi essentiel de limiter ce que les attaquants peuvent faire une fois qu'ils ont obtenu un accès.
« Une distinction importante : la mise à jour de GMO du 27 octobre n'avait pas confirmé le déploiement d'un ransomware à 13 h 55, heure du Japon. La publication de données signalée et les transactions non autorisées sont des évolutions graves, mais elles ne doivent pas être présentées comme la confirmation qu'un ransomware a été exécuté. »
La distinction entre le vol de données et les ransomwares est pertinente pour d'autres incidents récents. Au Japon, Burger King a révélé une fuite touchant environ 11,18 millions de dossiers clients, tandis que Good Smile Company a signalé un accès non autorisé aux informations sur les clients et les achats.
Les conséquences financières peuvent également dépasser le simple vol direct. Les attaquants ont utilisé des escroqueries téléphoniques pour cibler des établissements financiers, en combinant compromission de comptes et informations dérobées avec des tentatives d'extorsion.
Le Japon soumis à une pression croissante pour contenir les cyberattaques
La réponse de GMO a notamment compris des demandes d'aide gouvernementale dans le cadre du dispositif japonais de cyberdéfense active, parallèlement à sa propre enquête et à sa coopération avec la police.
L'entreprise a également demandé à ses clients d'analyser leurs appareils, de sauvegarder leurs données et de suivre ses consignes de sécurité officielles. Ses derniers avis mettent en garde contre les messages d'hameçonnage et les offres frauduleuses de récupération des fonds dérobés.
Les deux dispositifs d'indemnisation reflètent des types d'exposition différents : GMO fait face au vol de données clients et à des transactions non autorisées signalées, tandis que Park24 réagit à la divulgation de pièces d'identité et d'autres informations personnelles.
Pour les clients concernés, les prochaines questions sont de savoir si leurs informations ont été confirmées comme exposées, à quelle indemnisation ils peuvent prétendre et si d'autres utilisations abusives apparaissent.
Pour les entreprises, les enquêtes doivent encore établir l'ampleur totale des dommages et déterminer si les changements de sécurité mis en place après les incidents suffiront à empêcher une nouvelle compromission.
À lire aussi : la faille du réseau gouvernemental japonais a mis en danger les informations associées à environ 246 000 agents après que des attaquants ont exploité des équipements réseau vulnérables.