Vendredi 11 octobre, Casio a signalé être victime d'une attaque par ransomware qui « a entraîné la fuite d'informations personnelles et d'informations internes confidentielles détenues par l'entreprise et ses sociétés affiliées ».
Selon l'entreprise, la fuite concerne des données personnelles de plusieurs catégories de personnes :
- des salariés, y compris sur des contrats courts
- des salariés d'entreprises affiliées à Casio
- de partenaires économiques et d'entreprises qui leurs sont affiliées
- de certains clients qui utilisent les services fournis par l'entreprise et certaines de ses sociétés affiliées (les informations relatives aux cartes de crédit ne sont pas incluses)
L'entreprise ne communique pour autant pas sur le type exact de données personnelles qui font partie de cette fuite. Elle précise, par contre, en gros caractères que « les systèmes CASIO ID et ClassPad.net utilisés pour nos applications et services fonctionnent sur un serveur différent de celui qui a été affecté par cet accès non autorisé et ne sont pas concernés par cet incident » et que « les services de vente en ligne fournis par la société et ses sociétés affiliées ne conservent pas les informations relatives aux cartes de crédit des clients ».
Elle détaille aussi d'autres données qui sont concernées :
- Informations relatives aux contrats, factures, ventes, etc. avec les partenaires commerciaux actuels et passés de l'entreprise et de certaines de ses sociétés affiliées.
- Documents internes contenant des informations juridiques, financières, de planification des ressources humaines, d'audit, de vente et techniques de l'entreprise et de ses sociétés affiliées.
Casio précise avoir consulté la police le 6 octobre dernier et la commission de la protection des données personnelles le 7 octobre. Elle avait publié un premier communiqué le 8 octobre sans pour autant indiquer, à cette date, qu'il s'agissait d'une attaque par ransomware.
Bleeping Computer expliquait jeudi 10 octobre que le groupe de pirate Underground avait revendiqué l'attaque.
Commentaires (6)
#1
#2
#2.1
Du coup, l'exfiltration de données, ça permet de dire "Si vous payez pas, on divulgue les données".
#2.2
La société a sa sauvegarde, le risque n'est pas de ne plus accéder aux données, mais de les voir divulguées.
#2.3
Car il ne faut pas se leurrer non plus. Payer pour que les données ne soient pas divulguées, c'est jouer à pile ou face. Ou bien le pirate "joue le jeu" et ne divulgue pas les données une fois la rançon payée, ou bien il veut encore plus de thunes et vend les données sur le darknet.
Du coup, le combo des deux (chiffrement + divulgation) est plutôt efficace dans un grand nombre de cas.
Qui plus est, le fait de chiffrer les données, c'est une preuve que le système a été infectée. L'exfiltration de données est alors tout à fait plausible.
#3
Après quelques exemples, l'hygiène informatique pourrais devenir l'affaire de tous.