L'ICANN, l'entité chargée d'attribuer des noms de domaine, vient d'annoncer avoir été victime d'une cyberattaque. Des mots de passe ont été « exfiltrés » via phishing, tandis que certaines données personnelles ont été compromises, notamment concernant le service centralisé de données de zone (CZDS).
L'ICANN, ou société pour l'attribution des noms de domaine et des numéros sur Internet, est une société civile américaine à but non lucratif. Sur son site, elle définit ses missions de la manière suivante : « responsable de la sécurité, la stabilité et la coordination mondiale du système d'identificateurs uniques de l'Internet ». Comme nous l'avions détaillé lors de notre compte rendu de sa 51e réunion, elle souhaite néanmoins s'émanciper des États-Unis afin de passer à une gestion plus internationale.
L'ICANN victime d'une attaque par phishing, des mots de passe dérobés
Elle vient cependant d'indiquer qu'elle avait ouvert une « enquête sur une récente intrusion dans ses systèmes ». Elle précise que : « nous croyons qu'une « attaque d'hameçonnage ciblé » a été lancée fin novembre 2014. Elle a concerné l'envoi de courriels prétendant venir de notre propre domaine aux membres de notre personnel. L'attaque a compromis les mots de passe de messagerie de plusieurs membres du personnel de l'ICANN ».
Pour rappel, le phishing (ou hameçonnage) consister à monter un faux site Internet en faisant croire qu'il s'agit d'une version officielle, le but étant notamment de récupérer des identifiants et des mots de passe d'utilisateurs pensant se connecter à un site de confiance.
L'attaque a visiblement été un succès puisqu'il est précisé que « début décembre 2014, nous avons découvert que les mots de passe exfiltrés avaient été utilisés pour accéder à d'autres systèmes de l'ICANN en plus de la messagerie ». Ils sont au nombre de deux : le service centralisé de données de zone (CZDS) ainsi que le Wiki de l'ICANN sur le GAC.
Des données personnelles compromises
Dans le premier cas, « l'attaquant a obtenu l'accès avec droits d'administrateur à tous les fichiers du CZDS. Cela inclut des copies des fichiers de zone du système, ainsi que des informations saisies par les utilisateurs tels que leur nom, leur adresse postale, leur adresse de courrier électronique, leur numéro de téléphone ou de fax, leur nom d'utilisateur et leur mot de passe ». Concernant ces derniers, l'ICANN précise qu'ils étaient stockés avec « hachage et salage » et qu'ils ne devraient donc pas être aisé de remonter jusqu'aux originaux. Néanmoins, ils ont été désactivés, « par précaution ».
Concernant la page Wiki dédiée au GAC, l'étendue des dégâts est bien moins importante : « la page d'index réservée aux membres et une seule page de profil d'utilisateur ont été consultées. Aucun autre contenu non public n'a été consulté ». La société civile d'attribution des noms de domaine précise enfin que deux autres systèmes ont été touchés, mais cela n'aurait « pas eu d'impact » : le blog de l'ICANN (blog.icann.org) ainsi que le portail d'information sur le WHOIS de l'ICANN(whois.icann.org). Quoi qu'il en soit, « les recherches menées à ce jour montrent qu'aucun autre système n'a été compromis et nous avons confirmé que cette attaque n'a pas d'impact sur les systèmes liés à l'IANA ».
Une sécurité renforcée, mais quid des utilisateurs ?
L'ICANN rappelle qu'au début de l'année elle a renforcé la sécurité informatique de tous ses systèmes : « nous croyons que ces améliorations ont contribué à limiter l'accès non autorisé obtenu à partir de l'attaque. Depuis que l'attaque a été identifiée, nous avons mis en place des mesures de sécurité supplémentaires ». Néanmoins, le problème semble plus venir des utilisateurs qui se sont fait avoir par une attaque de phishing, que des systèmes informatiques en eux-mêmes. Il serait donc intéressant de voir quelles mesures ont été mises en place, si ce n'est une meilleure information auprès des utilisateurs, souvent le maillon faible d'un système.
« Nous mettons à disposition du public des informations sur cette attaque, non seulement pour honorer nos engagements en matière d'ouverture et de transparence, mais aussi parce que le partage d'informations relatives à la cybersécurité aide les parties concernées à évaluer les menaces qui pèsent sur leurs systèmes » précise enfin l'ICANN qui profite donc de sa cyberattaque pour faire une piqure de rappel sur la sécurité informatique.
Commentaires (20)
#1
Sans sensibilisation, la sécurité n’est rien. Pirelli.
#2
Au moins font ils preuve de transparence.
#3
Sauf erreur, c’est une obligation légale aux États-Unis.
#4
L’ICANN victime d’une attaque par phishing
Foutue interface chaise - clavier… " />
#5
" /> Aprés, ce n’est pas parceque c’est obligatoire que tout le monde le fait, non? " />
#6
C’est moche pour une société qui se veut “responsable de la sécurité, la stabilité et la coordination mondiale du système d’identificateurs uniques de l’Internet “… si même ses propres employés se font avoir par du phishing " />
#7
Vest peut etre d ailleurs un des rare avantages du français, car dans ces cas de phishing l orthographe et la grammaire pêchent toujours un peu. Après malheureusement des progrès ont ete fait…
#8
#9
#10
Rhoo, ça se vois qu’il a utilisé l’application mobile de nextInpact, ‘faut savoir être indulgent d’temps en temps.
#11
#12
Le SPF, les signatures électroniques ? Non mais c’est pas la société artisanale du coin qui découvre l’internet quand même " />
#13
Bah. Au moins cette fois on avait salt + hash.. Soyons optimistes.
#14
Si tu ne déclares pas que les données de tes clients ont été volés, c’est délit.
Pour éviter de se mettre hors la loi, les entreprises US font preuve de transparence sur ce sujet.
#15
Donc si je résume, ils se sont fait pirater à cause d’un faux mail envoyé sous leur nom de domaine, et un employé de chez eux s’est rendu sur un faux site rentrer son compte root avec le mot de passe associé.
Respect et robustesse " />
#16
#17
" />
#18
#19
Tiens tiens…
Donc aux USA si une banque est touchée par une faille, disons qui toucherait SSH au pif, qui doit informer ses utilisateurs dans un court délai?
#20
Je l’ignore je ne suis pas juriste.
Mais je crois que cette loi ne s’applique que si le malfrat a pu accéder aux donnés des clients. Bref, c’est pas le tout d’avoir une faille, il faut qu’elle soit exploité par des criminels.