Exposition aux eaux SpyCloud : 1 787 organisations, 167 locataires

Si vous voulez une histoire moderne et déprimante sur les services publics, commencez par un gestionnaire de mots de passe dans un navigateur et terminez par un compteur d’eau. Le nouveau point faible n’est pas toujours un contrôleur de pompe qui luit de façon inquiétante dans une pièce verrouillée. Parfois, c’est un identifiant enregistré sur un appareil infecté, qui devient discrètement le rapport d’incident de demain, avec un meilleur éclairage.

Selon CyberScoop, SpyCloud a trouvé une exposition de données d’identité liée à 1 787 des quelque 10 000 organisations américaines de l’eau et des eaux usées. Le détail cauchemardesque qui ressort, parce que la sécurité avait apparemment besoin d’un travail de groupe, était un appareil infecté qui avait enregistré des identifiants pour 167 locataires de services de comptage. Ce n’est pas une panne confirmée, mais c’est un rappel très bruyant que les identifiants ne respectent pas les organigrammes.

Ce qui s’est passé, selon CyberScoop

CyberScoop a rapporté que près de deux organisations américaines de l’eau et des eaux usées sur 10 avaient des données d’identité activement exposées par des infostealers récoltant des identifiants. L’article attribue la recherche à SpyCloud, une entreprise spécialisée dans les risques liés à l’identité, et note qu’elle arrive après des mois de rapports sur des attaques visant le secteur. La partie importante, c’est la forme de l’exposition : il ne s’agit pas seulement d’un service public avec un poste de travail malchanceux. C’est un problème d’hygiène des identifiants à l’échelle du secteur, avec un parfum de chaîne d’approvisionnement, le genre de parfum que personne n’a commandé.

@title De l’infostealer au risque pour les locataires
@source CyberScoop
@source Data Types & Breach Categories

  Infostealer device
        │
        ▼
  Credentials cookies logs
        │
        ▼
  Saved logins
        │
        ▼
  167 metering tenants

@caption Un appareil infecté peut exposer de nombreux locataires de services de comptage.

L’appareil avec les identifiants de 167 locataires est important parce que les plateformes de comptage se trouvent dans la couche de services partagés sur laquelle beaucoup de petites organisations s’appuient. Une seule machine infectée peut devenir une petite décharge d’identifiants, sauf que cette décharge contient les clés de nombreux portails. Si ces clés incluent des portails fournisseurs, des tableaux de bord de locataires ou des panneaux d’administration, le rayon d’impact commence à ressembler moins au nettoyage d’un poste de travail qu’à un exercice de chaîne d’approvisionnement.

Ce que les infostealers prennent réellement, selon la documentation de SpyCloud

La documentation de SpyCloud classe les données de logiciels malveillants comme des informations récoltées sur des machines infectées par des infostealers, notamment des identifiants, des empreintes de navigateur, des cookies de session et des journaux de comportement web. Cette liste explique pourquoi les défenseurs deviennent si nerveux à propos des infostealers. Les mots de passe sont le butin évident, mais les cookies et les empreintes de navigateur peuvent préserver l’apparence d’une session de confiance, ce qui signifie qu’une simple réinitialisation du mot de passe peut être l’équivalent, en sécurité, de changer la serrure tout en laissant la fenêtre ouverte.

C’est là que la motivation des acteurs malveillants devient douloureusement pratique. Les équipes d’infostealers n’ont pas besoin d’un monologue cinématographique dans une salle de contrôle quand elles peuvent collecter du matériel d’identité réutilisable et le vendre en aval. CSO Online, citant une recherche de SpyCloud, a rapporté que 61 % de toutes les violations de données de l’année passée étaient liées à des logiciels malveillants, les infostealers étant responsables du vol de 343,78 millions d’identifiants. Les identifiants ne sont pas le final ; ce sont le générique d’ouverture.

Pourquoi les services de l’eau héritent du risque, selon SpyCloud et CSO Online

Le secteur de l’eau et des eaux usées compte beaucoup de petites organisations, de fournisseurs partagés et de systèmes opérationnels qui n’ont pas été conçus pour l’économie des identifiants dans laquelle nous vivons maintenant. Le rapport de CyberScoop sur les conclusions de SpyCloud montre pourquoi c’est important : 1 787 organisations exposées, c’est déjà un chiffre assez élevé, mais l’exemple des 167 locataires transforme la compromission d’un appareil individuel en risque partagé pour tout un écosystème. L’attaquant n’a pas besoin de comprendre dès le premier jour le processus opérationnel de chaque service public. Il lui faut seulement assez d’accès pour apprendre, pivoter et monétiser.

Le communiqué GlobeNewswire de SpyCloud sur une recherche plus large concernant les infostealers a révélé qu’une personne sur cinq a été victime d’une infection par infostealer, et que chaque infection expose en moyenne 10 à 25 éléments. Ajoutez cela aux informations de CSO Online sur des centaines de millions d’identifiants volés, et le schéma n’a rien de subtil. Les infostealers sont une récolte industrialisée d’identités, et les équipes d’infrastructures critiques vivent désormais avec les habitudes des appareils grand public, la prolifération des accès fournisseurs et les mots de passe enregistrés, le tout dans le même panier de risques.

Ce que les défenseurs devraient faire ensuite, selon les preuves

La réponse pratique consiste à traiter l’exposition aux infostealers comme une réponse à incident d’identité, pas seulement comme un nettoyage de logiciel malveillant. Comme la documentation de SpyCloud indique que ces infections peuvent exposer des identifiants, des cookies de session, des empreintes de navigateur et des journaux de comportement web, les défenseurs devraient supposer que le problème peut survivre à l’analyse de l’appareil. Faites tourner les mots de passe exposés, révoquez les sessions actives, inspectez les comptes à privilèges et recherchez les accès enregistrés à des plateformes fournisseurs partagées ou à des environnements de locataires.

L’exemple des 167 locataires rapporté par CyberScoop devrait aussi changer la conversation lors de l’évaluation des fournisseurs. Demandez aux fournisseurs comment ils détectent les identifiants de locataires exposés, comment ils invalident les sessions après une exposition et à quelle vitesse ils préviennent les clients quand l’appareil d’un utilisateur crée un risque pour de nombreuses organisations. Les petits services publics ne devraient pas avoir à devenir des services de renseignement sur les menaces à temps plein pour apprendre que l’ordinateur portable infecté de quelqu’un d’autre transporte leurs clés.

Ce que cela signifie réellement pour vous

Pour les exploitants de services publics, cela ne signifie pas que chaque identifiant exposé équivaut à une compromission opérationnelle. Cela signifie que les données d’identité font désormais partie de la défense des infrastructures critiques, et qu’elles méritent le même sérieux que l’application de correctifs aux systèmes exposés à Internet. La prochaine action utile est ennuyeuse de la meilleure façon possible : faire l’inventaire de qui peut accéder à quoi, supprimer les identifiants enregistrés lorsque c’est possible, imposer l’authentification multifacteur et surveiller les expositions liées aux infostealers avant qu’elles ne deviennent le prochain communiqué rédigé dans un beige corporate très soigneux.

Pour les habitants, la conclusion n’est pas la panique. C’est la pression en faveur de meilleures bases dans des systèmes dont tout le monde dépend, surtout là où fournisseurs et petites organisations partagent des plateformes. Observez si le secteur commence à traiter l’exposition des identités comme un signal d’alerte précoce, car le combat le moins coûteux se mène toujours avant que des identifiants volés ne deviennent l’urgence du week-end de quelqu’un d’autre.