De quel ordre est l'ampleur de cette violation ? La violation de MOVEit est en passe d'être la plus importante depuis des années.

Les violations de données importantes entraînent des coûts élevés. Vous le savez probablement déjà, mais connaissez-vous vraiment les chiffres ? Depuis le 25 août 2023, le coût moyen d'une violation de données pour l'année était de 4,45 millions de dollars. Cela représente une hausse de 15 % par rapport à 2020.

Mais n'oubliez pas que c'est une moyenne. Si une grande entreprise perd 50 millions de dossiers ou plus, le coût peut atteindre 300 millions de dollars. Il n'est pas surprenant que la même étude d'IBM révèle que 51 % des organisations prévoient une hausse de leurs investissements dans la cybersécurité.

La violation de MOVEit

Lorsqu'un groupe de ransomware russe appelé Cl0p a exploité une vulnérabilité dans l'utilitaire de transfert de fichiers d'entreprise MOVEit de Progress Software, en mai 2023, il a été en mesure de voler et de faire main basse sur de vastes quantités de données. L'attaque est toujours d'actualité, Cl0p annonçant fréquemment de nouvelles victimes, mais cet incident est déjà en passe de devenir la violation de données la plus désastreuse et la plus coûteuse de ces dernières années.

Victimes de la violation de MOVEit

Jusqu'à présent, plus de 2 500 organisations ont déclaré avoir été attaquées, ce qui a affecté les données de plus de 67 millions de personnes.

• BORN Ontario, un registre des nourrissons et des personnes à la recherche de soins prénatals et postnatals, a perdu les données de 3,4 millions de personnes, y compris des dossiers de 2010 à 2023.
  
• Maximus, un important prestataire de services du gouvernement américain, a perdu les données personnelles de 8 à 11 millions de personnes, y compris des numéros de sécurité sociale et des données médicales.
• Pôle Emploi, l'agence gouvernementale française pour l'emploi, a perdu les données de 10 millions de personnes.
• Le ministère américain de la justice et le Pentagone ont été victimes d'une violation impliquant 632 000 comptes e-mail.

Ce ne sont là que quelques-unes des principales victimes qui ont été identifiées jusqu'à présent. Plusieurs millions d'autres dossiers individuels ont également été volés suite à cette violation.

Le bilan de cette violation

Comme d'autres violations récentes à grande échelle, celle-ci implique la compromission d'un logiciel couramment utilisé, auquel personne ne prête attention. Il s'agit simplement d'un élément constitutif du système qui permet de déplacer des fichiers protégés de manière sûre et fiable, en fonction des besoins.

L'utilisation de MOVEit étant très répandue, une seule attaque a pu affecter un très grand nombre d'organisations cibles.

Qu'il s'agisse d'agences fédérales ou d'État, de fonds de pension, de DMV, de sociétés de services financiers, d'organisations à but non lucratif ou d'autres organisations, le volume total d'informations personnelles dérobées dans le cadre de cette violation est vertigineux.

Certaines victimes ont reçu des demandes de rançon pour que leurs données ne soient pas rendues publiques, et certaines ont payé. Il ne fait aucun doute que de nombreuses personnes sont en train de relire attentivement leurs polices d'assurance contre les risques cybernétiques.

Protection contre ces types d'attaques

Se défendre contre un exploit de type « zero-day » tel que la violation de MOVEit peut s'avérer difficile, mais vous pouvez réduire les risques en mettant en place une infrastructure de sécurité complète et intégrée. Une plateforme avancée de protection des applications web et des API (WAAP) comme Barracuda Application Protection peut aider à identifier et à minimiser certains risques provenant des chaînes d'approvisionnement en logiciels et des applications tierces.

La complexité des chaînes d'approvisionnement modernes en logiciels explique en partie l'ampleur de cette violation. Environ un tiers des victimes connues ont été exposées par l'intermédiaire de tiers ou de sous-traitants, d'entrepreneurs et de fournisseurs. L'étendue des conséquences n'est pas encore connue.

Repenser et restructurer les processus d'acquisition et de développement de logiciels pour optimiser la sécurité tout au long de la chaîne d'approvisionnement est un défi majeur, mais les avantages en termes d'exposition au risque cybernétique en valent la peine pour de nombreuses organisations.