Une cyberattaque contre un service japonais d'envoi d'e-mails pourrait avoir exposé environ 77 millions d'adresses e-mail, tandis que les attaquants auraient utilisé la plateforme compromise pour distribuer des millions de messages suspects.
Paycloud Holdings, la société mère d'Arara, a révélé l'incident le 2 novembre, indiquant qu'un accès non autorisé à l'infrastructure prenant en charge son service Arara Message pourrait avoir affecté 97 serveurs et environ 380 entreprises clientes.
Les attaquants auraient également envoyé jusqu'à 7,13 millions d'e-mails suspects entre le 28 et le 30 octobre, en usurpant l'identité de sociétés émettrices de cartes bancaires et en tentant de tromper les destinataires.
Paycloud a souligné que le chiffre de 77 millions correspond au nombre d'adresses e-mail, et non à celui des utilisateurs individuels. Certaines personnes peuvent avoir plusieurs adresses, et l'entreprise cherche toujours à déterminer quelle quantité d'informations a effectivement été extraite.
L'incident ne se limite pas à la dernière divulgation. Une faille signalée précédemment, qui concernait un environnement partagé, a affecté 61 entreprises et exposé 3 386 187 adresses e-mail. Cinq entreprises ont également vu jusqu'à 411 827 dossiers clients contenant des informations personnelles supplémentaires être extraits.
Les attaquants ont également utilisé le service pour envoyer des e-mails d'hameçonnage
Les attaquants ne se sont pas limités au vol d'informations. Ils ont également exploité Arara Message pour distribuer jusqu'à 7,13 millions d'e-mails suspects entre le 28 et le 30 octobre.
Les messages usurpaient l'identité de sociétés émettrices de cartes bancaires et provenaient de l'adresse d'expéditeur news@arara.com. Leurs objets contenaient notamment des demandes invitant les destinataires à confirmer l'utilisation de leur compte et leurs relevés de facturation.
Arara a bloqué les communications provenant des environnements affectés, invalidé les identifiants compromis et confirmé qu'aucun nouvel e-mail suspect n'avait été envoyé après le 30 octobre.
L'entreprise a fermé l'intégralité du service Arara Message le 31 octobre. Elle n'a pas annoncé de date de réouverture.
Les infrastructures e-mail partagées posent un problème de sécurité plus vaste
L'incident met en évidence les risques liés à la manière dont les entreprises utilisent les services d'e-mail tiers. Les entreprises peuvent gérer leurs propres bases de données clients et leurs contrôles de sécurité, mais elles dépendent souvent de plateformes externes pour communiquer à grande échelle avec leurs clients.
Cette dépendance crée un risque de concentration. Une intrusion réussie chez un prestataire de services peut exposer les informations appartenant à des centaines d'entreprises par ailleurs sans lien entre elles.
Pour les organisations, les conséquences pourraient aller au-delà des obligations de notification. Des adresses e-mail volées associées à des noms, des numéros de téléphone et des informations d'adhésion fournissent aux attaquants davantage de matière pour mener des campagnes d'hameçonnage.
Arara a également révisé ses explications concernant l'incident, indiquant que l'intrusion impliquait des problèmes dans son environnement système, ainsi qu'une vulnérabilité d'un serveur web. Cela laisse penser que la correction d'un seul composant vulnérable pourrait ne pas suffire à rétablir la confiance dans la plateforme.
Pour les organisations utilisant des plateformes de communication partagées, l'incident souligne l'importance de comprendre comment les fournisseurs protègent les informations clients, gèrent les accès et réagissent lorsque leurs systèmes sont compromis.
Ce que les utilisateurs concernés doivent surveiller
Les personnes qui reçoivent des e-mails marketing, des informations sur leur adhésion ou d'autres communications par l'intermédiaire d'entreprises utilisant Arara Message doivent se méfier des messages et appels téléphoniques inattendus. La campagne d'hameçonnage confirmée rend cette précaution particulièrement importante. Les attaquants pourraient exploiter la familiarité avec des entreprises légitimes pour faire paraître authentiques des demandes frauduleuses.
Les utilisateurs doivent éviter de cliquer sur des liens inattendus de paiement ou de vérification de compte, de communiquer leurs mots de passe ou de divulguer des informations personnelles lors d'appels non sollicités. Ils doivent plutôt contacter les entreprises par l'intermédiaire de sites web vérifiés indépendamment ou de leurs canaux d'assistance client.
Les entreprises utilisant Arara Message doivent également agir sans attendre. Elles doivent déterminer si leurs dossiers clients ont été affectés, évaluer leur exposition potentielle et avertir leurs clients si nécessaire. Arara prévoit d'obliger les entreprises clientes à réinitialiser les mots de passe administratifs, les clés API et les autres identifiants avant la reprise du service.
L'entreprise a informé les autorités japonaises, notamment la Commission de protection des informations personnelles, et signalé l'incident à la police. Son impact financier fait encore l'objet d'un examen.
Pour les entreprises qui dépendent de plateformes de communication tierces, la faille d'Arara montre comment une défaillance de sécurité chez un fournisseur peut exposer des informations clients, perturber des services essentiels et créer des risques d'hameçonnage pour des centaines d'organisations.
Dans l'actualité de la cybersécurité, Google a démantelé le botnet XCPE, qui a compromis plus de 1,3 million d'appareils Android, après avoir affirmé que le fabricant Videostrong Technology avait intégré une porte dérobée au niveau du micrologiciel, permettant à des criminels de détourner les appareils pour des services de proxy résidentiel, la fraude publicitaire et la diffusion de logiciels malveillants.