Les étudiants et les employés de Vanderbilt University peuvent rallumer les appareils de l’université. Ce que les attaquants ont pu dérober reste à déterminer.
L’université de Nashville a révélé avoir subi une cyberattaque le 9 novembre. Le groupe de rançongiciels BYOD affirme avoir dérobé plus d’un million de numéros de sécurité sociale, ainsi que des données sur les étudiants, les employés et la recherche. Vanderbilt n’a pas confirmé publiquement le vol présumé, le chiffre avancé ni l’implication du groupe.
Le défi immédiat consiste à rétablir l’accès tout en enquêtant sur l’intrusion. Pour les personnes dont les informations pourraient être concernées, cette incertitude rend également essentiel de distinguer les consignes officielles des affirmations des attaquants.
L’accès au campus revient progressivement
Vanderbilt avait d’abord demandé à sa communauté d’éteindre les appareils de l’université et de se déconnecter du Wi-Fi du campus. Sa mise à jour du 10 novembre à 9 heures autorisait les étudiants, les enseignants et le personnel à recommencer à utiliser les appareils de l’université et indiquait que les services suivants étaient disponibles :
- Wi-Fi du campus.
- Authentification Okta, avec maintien de l’authentification multifacteur.
- Messagerie Vanderbilt via Outlook.
- Brightspace, Zoom et Your Enrollment Services.
Selon la mise à jour publiée par l’université dans la matinée du 10 novembre, tous les autres systèmes et applications de Vanderbilt restaient soumis à des restrictions, notamment CampusPrint. L’université a indiqué que son équipe informatique travaillait avec des organismes publics et d’autres partenaires.
Vanderbilt a déclaré que ses efforts de confinement et de réponse avaient également limité les communications habituelles.
Gary Barlet, directeur technique pour le secteur public chez Illumio, a déclaré que cette perturbation illustrait pourquoi la continuité opérationnelle devait faire partie de la planification de sécurité des universités.
« Les universités ne peuvent pas partir du principe qu’elles empêcheront chaque intrusion. Elles doivent s’assurer que lorsqu’un élément est compromis, elles peuvent l’isoler rapidement et maintenir le reste de l’établissement en fonctionnement », a déclaré Barlet.
Pour les équipes de sécurité, les avis de reprise doivent préciser quels services sont autorisés et quelles restrictions restent en vigueur. Une simple connexion Wi-Fi fonctionnelle ne permet pas de répondre à ces questions.
Le chiffre d’un million de numéros de sécurité sociale est une affirmation des attaquants
BleepingComputer a signalé que BYOD avait inscrit Vanderbilt sur son site de fuite de données, affirmant avoir chiffré des bases de données et obtenu des noms, des adresses e-mail, des numéros de téléphone, des numéros de sécurité sociale et des informations de recherche.
Le média a également reçu la photographie d’un ordinateur apparemment utilisé par Vanderbilt affichant une demande de rançon de BYOD, ainsi qu’une vidéo montrant une alerte audio sur les appareils touchés.
Ces éléments ne permettent pas d’établir quelle quantité de données a été dérobée. Vanderbilt n’a pas confirmé publiquement le chiffrement des bases de données ni l’accès revendiqué par BYOD au contrôleur de domaine de l’université. Le nombre présumé de numéros de sécurité sociale ne doit pas être considéré comme un chiffre vérifié du nombre de personnes concernées.
L’enquête doit répondre à des questions distinctes : à quels systèmes les attaquants ont accédé, si des informations ont quitté ces systèmes et à qui appartenaient les dossiers concernés.
Cette distinction compte également pendant la reprise après une attaque par rançongiciel. La restauration des applications rétablit leur disponibilité ; enquêter sur les accès non autorisés et les éventuels vols de données nécessite des éléments supplémentaires.
« Si des numéros de sécurité sociale ont été dérobés, restaurer les serveurs n’annulera pas cette exposition », a déclaré Darin Fredde, directeur principal et évangéliste de la sécurité offensive chez Ridge Security.
Ce que les utilisateurs du campus doivent faire maintenant
Les consignes de Vanderbilt présentent comme signaux d’alerte les demandes d’authentification inattendues, les invites inhabituelles et les modifications inexpliquées des fichiers ou des autorisations de stockage cloud. Toute personne constatant une activité suspecte doit immédiatement éteindre l’appareil concerné, éviter de cliquer sur les invites ou d’enquêter par elle-même, puis contacter le service informatique depuis un autre appareil ou par téléphone.
Les utilisateurs doivent également :
- Vérifier les consignes de récupération de manière indépendante. Ouvrir un site web universitaire connu ou utiliser un contact informatique établi avant de suivre une demande inattendue de réinitialisation des identifiants ou d’installation d’un logiciel.
- Refuser les demandes d’authentification inhabituelles. Signaler les invites que vous n’avez pas déclenchées. Les attaques qui ciblent les jetons de session et les flux d’authentification montrent pourquoi le fait qu’un service de connexion soit familier ne rend pas chaque demande digne de confiance.
- Envisager une protection de l’identité sans présumer d’une exposition. La Federal Trade Commission explique qu’un gel de crédit gratuit peut contribuer à empêcher l’usurpation d’identité lors de l’ouverture de nouveaux comptes, et qu’il n’est pas nécessaire d’attendre la confirmation d’une fuite pour en demander un. Contactez séparément Equifax, Experian et TransUnion.
Ce que les équipes de sécurité doivent vérifier avant d’élargir l’accès
Pour les autres établissements qui réexaminent leurs plans de réponse, la perturbation subie par Vanderbilt offre un exercice concret : le personnel pourrait-il trouver des consignes faisant autorité si ses outils de communication habituels étaient restreints ?
Les responsables de la sécurité devraient tester ce scénario parallèlement à la reprise technique. Établissez un canal de mise à jour accessible publiquement, déterminez qui autorise la restauration des services et expliquez comment les utilisateurs doivent signaler un comportement suspect sans dépendre d’un appareil touché.
Roy Katmor, cofondateur et directeur général d’Orchid Security, a souligné l’importance de comprendre ce à quoi une identité compromise pourrait donner accès.
« Nous ne savons pas encore comment les attaquants sont entrés, mais la question la plus importante est de savoir jusqu’où ils pouvaient aller », a déclaré Katmor. « Le véritable risque réside dans l’écart entre les accès qu’une personne devrait avoir et ce auxquels ses identités peuvent réellement accéder. »
Pour les établissements qui évaluent ce risque, examinez ce auxquels les comptes d’étudiants, d’employés, de services et d’administrateurs peuvent réellement accéder. Identifiez les privilèges excessifs et les dépendances qui pourraient permettre à un seul compte compromis d’exposer d’autres systèmes.
Les enquêteurs devraient également examiner les systèmes d’identité, les accès privilégiés, l’activité cloud et l’intégrité des sauvegardes en fonction des éléments disponibles. Séparément, les enquêtes sur les rançongiciels GlobalProtect ont montré que des attaquants pouvaient atteindre les infrastructures de virtualisation et de sauvegarde. C’est une raison de tester ces défenses, pas une preuve du point d’entrée de Vanderbilt.
Fredde a recommandé un cycle régulier de tests offensifs, de remédiation et de nouveaux tests afin de vérifier que les chemins d’attaque exploitables ont été fermés. Il a également averti que la reprise exige de rechercher les moyens par lesquels un attaquant pourrait revenir ; le chemin d’intrusion de Vanderbilt et les modalités de ses tests restent inconnus.
« Remettre les systèmes en ligne est un progrès. Établir que l’accès de l’attaquant a été supprimé est une autre partie du travail », a déclaré Fredde.
Pour la communauté de Vanderbilt, la prochaine mise à jour déterminante sera celle qui précisera l’ampleur des accès non autorisés et toute exposition confirmée de données. D’ici là, suivez les consignes en vigueur pour chaque service, signalez les activités inexpliquées et évaluez tout avis de fuite ultérieur au regard des informations qu’il indique effectivement comme concernées.
Pour aller plus loin : Comment les attaquants utilisent l’hameçonnage sur le thème des clés d’accès pour s’introduire dans les comptes Microsoft 365 explique pourquoi les demandes inattendues de mise à jour des paramètres d’authentification méritent un examen attentif pendant la reprise après incident.