Un incident de cybersécurité touchant les systèmes du Bankruptcy Noticing Center de BAE Systems a interrompu un service utilisé pour distribuer les notifications des tribunaux fédéraux américains des faillites.
L’incident a perturbé le Bankruptcy Noticing Center (BNC), exploité par BAE Systems pour le compte de la justice fédérale afin de produire et de distribuer les notifications de faillite dans tout le pays.
Selon Reuters, la panne a également mis hors ligne des sites associés, interrompant un service sur lequel les tribunaux s’appuient pour informer les parties de l’évolution des procédures de faillite.
Les conséquences vont au-delà de l’inaccessibilité des sites. Le retard des notifications et des ordonnances pourrait compliquer le suivi des procédures judiciaires par les créanciers, les débiteurs et les avocats, tandis que la panne a également empêché les utilisateurs de générer et d’imprimer des listes de créanciers via le système de dépôt électronique des tribunaux.
Ce que nous savons à ce stade de l’incident
Selon SecurityWeek, la perturbation a été révélée le 9 octobre, lorsque BAE Systems a informé l’Administrative Office of the US Courts d’une interruption de service touchant les systèmes utilisés pour traiter les notifications de faillite.
La justice américaine a révélé publiquement l’incident de cybersécurité le 15 octobre, confirmant qu’il avait perturbé le Bankruptcy Noticing Center (BNC).
Dans son annonce du 15 octobre, la justice américaine a déclaré que les systèmes du BNC et les sites associés étaient indisponibles, et que la production et la distribution des notifications de faillite par le centre avaient cessé.
Les services touchés comprennent bnc.uscourts.gov, bankruptcynotices.uscourts.gov, notices.uscourts.gov, ainsi que le National Creditor Registration Service, qui permet d’accéder aux listes d’adresses des créanciers. Le district Est du Texas a déclaré que la perturbation avait interrompu les processus de sondage et de certification des tribunaux nécessaires à la distribution électronique et papier des notifications.
Les déclarations publiques examinées n’identifient pas la cause de l’incident et n’établissent pas si des données ont été consultées ou dérobées.
BAE Systems a déclaré à BleepingComputer que l’incident de sécurité était limité au système BNC et que l’entreprise avait pris des mesures immédiates pour y remédier. La société enquête sur l’incident et se coordonne avec la justice américaine, mais les articles cités n’ont pas annoncé de calendrier confirmé pour le rétablissement du service.
La panne ne touche pas tous les canaux de notification des tribunaux. Le tribunal américain des faillites du district intermédiaire de l’Alabama a indiqué que les notifications de dépôt électronique continuaient normalement via CM/ECF, tandis que le tribunal étudiait d’autres moyens de transmettre les documents émis par la justice.
Quand des dépendances à des prestataires deviennent des points critiques de défaillance
Les entreprises ne peuvent pas toujours concevoir et gérer en interne tous les systèmes dont elles dépendent.
L’externalisation de services peut contribuer à réduire les coûts et à limiter les charges administratives. En contrepartie, une partie de leurs activités dépend désormais de risques liés à la chaîne d’approvisionnement qu’elles ne connaissent ni ne contrôlent entièrement.
Comme l’explique John Strand, propriétaire de Black Hills Information Security, à eSecurityPlanet, « Beaucoup de gens pensent encore à la sécurité informatique en termes de DMZ. Il y a un réseau interne à protéger et un monde extérieur contre lequel le protéger. »
Les organisations modernes s’appuient toutefois sur de multiples plateformes de logiciel en tant que service (SaaS), des intégrations tierces et des données qui transitent par des systèmes externes. « Ce périmètre est bien plus désordonné que les gens ne veulent le croire », déclare Strand.
C’est le risque lié à la chaîne d’approvisionnement au cœur de cet incident : une organisation peut sécuriser son propre réseau tout en subissant une perturbation lorsqu’un prestataire dont elle dépend est victime d’un incident de sécurité.
Pour les équipes de sécurité, ces dépendances font de la disponibilité un élément de la gestion des risques liés aux prestataires : la panne d’un fournisseur peut interrompre des activités essentielles même lorsque le propre réseau du client reste disponible.
L’incident touchant BAE Systems montre à quel point ces dépendances peuvent devenir graves lorsqu’elles sous-tendent une fonction publique critique.
Jacob Krell, directeur principal des solutions d’IA sécurisée et de la cybersécurité chez Suzu Labs, décrit les notifications de faillite comme « le mécanisme d’une procédure régulière » et affirme que la justice a confié à un seul prestataire la responsabilité d’un service dont les tribunaux dépendent pour faire avancer les procédures de faillite.
Comme le dit Krell, « La panne n’a jamais touché une salle d’audience, et pourtant elle a réécrit le calendrier de chaque procédure de faillite du pays. »
Sa préoccupation dépasse la panne immédiate et porte sur l’absence de solution de repli si le prestataire ne peut pas fournir le service ; il demande pourquoi « l’architecture de notification ne dispose d’aucune voie alternative ».
C’est la leçon plus générale pour les organisations : les prestataires tiers sont souvent nécessaires, mais les services qu’ils fournissent peuvent devenir si essentiels que leur défaillance perturbe des activités bien au-delà du seul fournisseur.
Pour les services essentiels externalisés, les organisations devraient déterminer combien de temps elles peuvent tolérer une panne et tester une procédure de remplacement. Selon le service, cela peut impliquer un prestataire secondaire, un processus manuel ou une capacité interne.
Ce que les équipes de défense peuvent faire
Les équipes chargées de la défense en cybersécurité ne peuvent pas empêcher toutes les attaques, mais elles peuvent réduire le délai entre la survenue d’une attaque et la durée de l’interruption.
Les organisations devraient disposer de plans de réponse aux incidents testés et de plans de reprise après sinistre définissant la manière dont elles isoleront les systèmes touchés, enquêteront sur l’incident, rétabliront des opérations propres et fiables, et maintiendront les services essentiels en fonctionnement dès que possible.
L’incident souligne également la nécessité de prendre en compte les dépendances à des prestataires tiers dans la planification de la reprise. Les équipes de sécurité et les équipes métier devraient déterminer quels flux de travail dépendent de chaque prestataire critique, fixer des durées d’interruption acceptables et désigner les responsables de l’activation d’une procédure alternative.
Les exercices de reprise devraient vérifier que cette solution de remplacement fonctionne sans accès aux systèmes du prestataire touché. Les équipes devraient également définir comment elles communiqueront les retards, suivront le travail accompli pendant la panne et résorberont l’arriéré après le rétablissement du service.
Pour les équipes de défense, l’objectif n’est pas seulement de tenir les attaquants à l’écart ; il consiste aussi à garantir qu’en cas d’intrusion, les activités essentielles puissent reprendre rapidement.
Pour en savoir plus : La faille de sécurité de Frontline Education montre pourquoi les évaluations des risques liés aux prestataires doivent également examiner les logiciels dont dépendent ces fournisseurs.