Attaque Kaseya : Leçons du plus grand incident de ransomware de 2021

L’attaque de ransomware contre Kaseya en juillet 2021 a touché plus de 1 500 entreprises dans le monde – via une seule vulnérabilité logicielle. L’incident montre à quel point les chaînes d’approvisionnement mondiales sont vulnérables et pourquoi la sécurité de la chaîne d’approvisionnement doit devenir une priorité.

L’essentiel

• Attaque de la chaîne d’approvisionnement : REvil a exploité une faille de type zero-day dans Kaseya VSA pour infecter plus de 1 500 clients finaux via des MSP.
• 70 millions USD de rançon : la somme la plus élevée jamais demandée pour une seule attaque de ransomware.
• Effet domino : un fournisseur de logiciels compromis → des centaines de fournisseurs de services gérés → des milliers de clients finaux.
• Correctif disponible : Kaseya travaillait déjà sur un correctif lorsque REvil a frappé.
• Clé tardive : Kaseya a reçu la clé de déchiffrement trois semaines après l’attaque.

Anatomie de l’attaque

Le 2 juillet 2021 – à point nommé pour le week-end de la fête de l’Indépendance américaine – le groupe REvil a frappé. Les attaquants ont exploité une vulnérabilité de type zero-day dans Kaseya VSA, un logiciel de gestion à distance principalement utilisé par les fournisseurs de services gérés (MSP). Par le biais des instances MSP compromises, le ransomware a été automatiquement distribué aux systèmes des clients finaux.

Le choix du moment n’était pas fortuit : les équipes informatiques sont sous-effectifs les jours fériés, ce qui rallonge le temps de réaction. En quelques heures, des entreprises dans 17 pays étaient touchées, dont la chaîne de supermarchés suédoise Coop, qui a dû fermer 800 magasins.

Pourquoi les attaques de la chaîne d’approvisionnement sont-elles si efficaces

L’incident Kaseya illustre le principe multiplicateur des attaques de la chaîne d’approvisionnement. Plutôt que d’attaquer des milliers d’entreprises individuellement, un seul point d’entrée dans la chaîne d’approvisionnement suffit. La relation de confiance entre le fournisseur de logiciels et le client se transforme en arme : les mises à jour et les accès à distance ne sont pas remis en question, car ils font partie du fonctionnement normal.

Après SolarWinds fin 2020, Kaseya était la deuxième attaque massive de la chaîne d’approvisionnement en quelques mois. Le schéma se poursuivra – les attaquants ont compris que le levier sur les fournisseurs est bien plus grand que l’attaque directe.

Leçons pour les entreprises

Les entreprises doivent évaluer systématiquement leurs dépendances vis-à-vis des tiers. Un Software Bill of Materials (SBOM) pour tous les outils utilisés, des principes de confiance zéro même pour les fournisseurs de confiance, la segmentation du réseau pour limiter les dommages et des plans de réponse aux incidents testés avec des voies d’escalade définies sont les exigences minimales. L’affaire Kaseya montre également : les sauvegardes hors ligne sont le dernier recours.

Key Facts en un coup d’œil

Date de l’attaque : 2 juillet 2021 (week-end de la fête de l’Indépendance américaine)

Attaquants : REvil (groupe de ransomware russe)

Victimes : 1 500+ entreprises dans 17 pays

Demande de rançon : 70 millions USD (la somme la plus élevée jamais demandée)

Vecteur d’attaque : Zero-day dans Kaseya VSA (CVE-2021-30116)

Source : Avis de la CISA, rapport d’incident de Kaseya, juillet 2021

Fait : 77 % des victimes de ransomware qui ont payé la rançon ont été à nouveau attaquées, selon Cybereason.

Fait : Selon le baromètre des risques Allianz 2025, les cyberattaques sont le plus grand risque commercial au monde.

Questions fréquentes

Chaque question est verrouillée. Un clic déverrouille la réponse.

Qu’est-ce qu’une attaque de la chaîne d’approvisionnement exactement ?

Lors d’une attaque de la chaîne d’approvisionnement, les attaquants ne compromettent pas directement la cible elle-même, mais un fournisseur ou un fournisseur de logiciels dans la chaîne d’approvisionnement. Par le biais de la connexion de confiance (par exemple, les mises à jour logicielles), un logiciel malveillant est ensuite distribué à tous les clients. L’affaire Kaseya a touché plus de 1 500 entreprises via un seul point d’entrée.

Pourquoi les pirates attaquent-ils les jours fériés ?

Les jours fériés et les week-ends, les équipes informatiques sont sous-effectifs, la surveillance est moins fréquente et les temps de réaction sont plus longs. REvil a délibérément choisi le week-end de la fête de l’Indépendance américaine. Le FBI et la CISA avertissent régulièrement d’un risque accru d’attaques les jours fériés.

Comment se protéger contre les attaques de la chaîne d’approvisionnement ?

Une protection complète est difficile, mais les entreprises peuvent réduire le risque grâce à la segmentation du réseau, à une architecture de confiance zéro même pour les fournisseurs de confiance, à des audits de sécurité réguliers chez les fournisseurs, à un Software Bill of Materials (SBOM) et à des sauvegardes hors ligne comme dernière ligne de défense.

Que s’est-il passé avec REvil ?

Le groupe REvil a disparu temporairement du radar en juillet 2021, est réapparu en septembre et a finalement été démantelé par le FSB russe en janvier 2022 – sous la pression des États-Unis. Plusieurs membres ont été arrêtés. Cependant, l’infrastructure a été reprise par des groupes successeurs.

Qu’est-ce qu’un Software Bill of Materials (SBOM) ?

Un SBOM est un inventaire complet de toutes les composants logiciels, bibliothèques et dépendances dans un produit. Il permet aux entreprises de vérifier immédiatement si elles sont concernées lorsqu’une vulnérabilité est découverte. Après l’incident Kaseya et la crise Log4j, les régulateurs exigent de plus en plus de SBOM.

Lectures complémentaires dans le réseau

Risques de la chaîne d’approvisionnement dans le monde du cloud sur cloudmagazin : cloudmagazin.com

Stratégies de sécurité informatique pour les PME sur mybusinessfuture : mybusinessfuture.com

Comment les DSI gèrent les risques de la chaîne d’approvisionnement, sur Digital Chiefs : digital-chiefs.de

Articles connexes

• SOC assisté par l’IA : comment les opérations de sécurité automatisées résolvent la pénurie de main-d’œuvre
• ChatGPT et la cybersécurité : pourquoi l’IA transforme l’attaque et la défense
• Directive NIS2 adoptée : ce qui attend maintenant les entreprises

Source de l’image : Pexels / Brett Sayles