Un hacker présumé aurait piraté 60 organisations sud-coréennes en seulement 44 jours après avoir adopté des outils de piratage assistés par l'IA, dans le cadre d'une campagne plus vaste ayant compromis plus de 8,2 millions de dossiers contenant des informations personnelles.
La police de Séoul a annoncé l'arrestation de sept suspects le 26 octobre après avoir enquêté sur des intrusions visant des entreprises, des hôpitaux et des établissements d'enseignement. Les enquêteurs accusent le groupe d'avoir menacé de divulguer les informations volées si les victimes ne payaient pas.
Cette affaire montre comment les outils assistés par l'IA peuvent accélérer les cyberattaques, tout en laissant les organisations gérer les conséquences durables du vol d'informations personnelles.
Les outils d'IA ont accéléré la campagne d'un seul hacker
Entre le 31 août et le 13 octobre, le hacker présumé a piraté 60 organisations à l'aide de méthodes assistées par l'IA, selon la police de Séoul qui l'a rapporté. Plus tôt dans la campagne, il exploitait manuellement des scanners de vulnérabilités de sites web avant d'adopter un assistant de programmation basé sur l'IA et un système autonome de tests d'intrusion.
La police a identifié le suspect comme un homme de 32 ans qui s'était formé seul au piratage grâce à des ressources en ligne et avait travaillé dans les tests d'intrusion au sein d'une entreprise de sécurité de 2019 à 2022. Les enquêteurs ont également identifié ARTEX parmi les outils utilisés.
À partir d'une cible et d'un objectif, ce système open source peut examiner les services exposés et choisir les méthodes de test à appliquer ensuite en fonction de ses constatations.
Lors de tests contrôlés, des chercheurs d'AhnLab ont observé ARTEX exploiter une fonctionnalité vulnérable de téléversement de fichiers. Une autre expérience a démontré sa capacité à exécuter des commandes sur quatre machines internes après avoir compromis un serveur exposé.
Ces expériences démontrent les capacités de l'outil, mais elles ne permettent pas d'établir que le suspect a utilisé les mêmes techniques lors des intrusions en Corée du Sud.
Les fichiers personnels volés ont servi de moyen de pression pour extorquer les victimes
Les informations compromises comprenaient des numéros d'enregistrement de résident sud-coréens et des coordonnées, ainsi que des dossiers d'employés et des documents internes d'entreprise. Certains fichiers d'établissements scolaires contenaient des informations sur des mineurs, tandis que les données hospitalières incluaient des détails sur les consultations de patients. Une entreprise de services funéraires a, à elle seule, perdu environ 1,22 million de dossiers.
Des courriels d'extorsion ont ciblé 38 organisations, les suspects exigeant au total 360 millions de wons (environ 271 000 dollars US). Les messages avertissaient qu'une divulgation pourrait nuire à la réputation des victimes et entraîner des sanctions réglementaires ou des poursuites de clients. Une seule organisation aurait payé, en transférant 300 000 wons (environ 226 dollars US).
Lorsque les destinataires ne se pliaient pas à leurs exigences, des complices contactaient les dirigeants et les employés par téléphone et par SMS. Plutôt que d'exiger un paiement pour déverrouiller des systèmes chiffrés, le groupe a utilisé le vol de données et l'extorsion pour faire pression sur ses cibles en les menaçant d'une divulgation publique.
Les enquêteurs ont ouvert le dossier après une plainte déposée en juin et ont retrouvé la trace du hacker présumé grâce aux journaux d'accès aux serveurs, avant de l'arrêter le 15 octobre. Il a été déféré au parquet et placé en détention le 23 octobre, tandis que six autres suspects restent visés par l'enquête sans être détenus.
Seules 15 organisations victimes avaient déposé plainte, laissant à la police le soin d'enquêter sur les autres affaires et de déterminer si les informations avaient été diffusées plus largement.
Les dossiers volés compliquent la réponse à l'incident
Pour les organisations ciblées par une extorsion fondée sur le vol de données, il est important de déterminer l'ampleur de la perte. Une base de données volée peut contenir plusieurs dossiers appartenant à une même personne ; les équipes de sécurité doivent donc établir combien de personnes sont concernées et quels types d'informations ont été compromis.
De telles constatations permettent de déterminer l'ampleur des notifications à adresser aux clients et les protections dont les victimes pourraient avoir besoin.
Lorsque des criminels fournissent des échantillons d'informations volées, les enquêteurs doivent conserver les preuves sans supposer qu'elles représentent la totalité des données dérobées. La comparaison de ces échantillons avec les dossiers internes et les journaux d'accès peut aider à établir l'étendue des accès non autorisés.
Les équipes juridiques et chargées de la confidentialité doivent évaluer les obligations de notification, tandis que les administrateurs sécurisent les systèmes concernés.
L'extorsion sans chiffrement modifie également le processus de récupération. Restaurer les systèmes ne permet pas de récupérer les informations personnelles copiées, et payer les criminels ne garantit aucunement la suppression des dossiers volés. Un plan de réponse aux incidents doit donc traiter l'exposition des données et les utilisations abusives ultérieures, et pas seulement la restauration des services concernés.
Autres actualités de la cybersécurité : des chercheurs alertent que des iPhone vulnérables peuvent être infectés par des logiciels espions via des publicités malveillantes et des sites web compromis, même sans que les utilisateurs cliquent sur quoi que ce soit.