Les failles Exchange corrigées il y a quelques mois par Microsoft n’en finissent plus de faire parler d’elles. En Belgique, elles ont permis de découvrir un piratage qui durait depuis deux ans. 

• Exchange Server : Microsoft corrige en urgence des failles 0-day critiques
• Plus de dix groupes d'espionnage APT exploitent les failles Exchange Server

C’est un immense signal d’alarme que vient de lancer le ministère fédéral de l’Intérieur, aussi bien pour l’ensemble des administrations du pays qu’à l’échelle internationale. Il était le principal visé par la vaste opération de piratage. Seules les données les plus sensibles ont été épargnées, notamment le parquet fédéral chargé du terrorisme et de la grande criminalité.

Le pot aux roses a été découvert en mars, quand les informations techniques et les correctifs ont été diffusés par Microsoft. Ces publications ont mené les services concernés à analyser toutes leurs infrastructures. C'est là que le voile aurait été levé, et les failles Exchange n'étant a priori pas exploitées.

Le point d'entrée n'est pas connu, mais le CCB (Center for Cybersecurity Belgium) a évoqué une attaque très ciblée, synonyme de volonté d'espionnage. Une enquête est en cours par les services de renseignement intérieur et militaire, ainsi que le centre national de crise.

Tous les regards sont tournés vers la Chine. La Belgique n’a lancé aucune accusation, mais l’avis des experts va dans ce sens. Il pourrait s’agir à nouveau d’Hafnium, présenté depuis le début comme le groupe chinois ayant découvert les failles Exchange, accusé par Microsoft de les exploiter et a priori impliqué dans les attaques aux États-Unis de nombreuses structures (ONG, universités, défense…).

Il s’agit d’un mois de mai intense pour la Belgique, la découverte faisant suite à une autre, au début du mois : une réunion sur le sort des Ouïghours avait été bloquée par une attaque DDoS de grande ampleur contre Belnet, fournisseur d’accès des universités, grandes écoles, centres de recherches et services publics belges. La Chine avait été pointée du doigt.