Previous Story
Fuites de données pour l’Agglomération de Montbéliard
Double découverte pirate concernant l’Agglomération de Montbéliard : une fuite tirée du site web de l’institution territoriale et un problème concernant des dizaines d’employés.
Alors que s’approche la remise des 21e prix « Label National Territoires, Villes et Villages Internet 2020 » de l’association Ville Internet (le 4 décembre 2020), voici une nouvelle fuite de données concernant une institution territoriale Française. Aujourd’hui, il s’agit de l’Agglomération de Montbéliard. Une agglo de 72 communes et 142 000 habitants.
Lors d’une veille du Service Veille ZATAZ a été découvert la vente de données appartenant à plus de 150 sites et blogs Français. Des pirates Russes derrière ce comptoir numérique malveillant.
J’ai réussi à mettre la main sur les informations qu’ont volé ces black hats. Quatre fichiers textes proposant des adresses électroniques et des mots de passe.
Ces commerçants ont divisé les documents pour une raison très simple : un fichier propose les mots de passe hashés (comprenez chiffrés, illisible en l’état) ;
Le second fichier affiche des comptes dont les mots de passe ont pu être déhashés (mots de passe lisibles et utilisables) ;
Un troisième propose les comptes dont les accès ne sont plus disponibles.
Le dernier document organise les comptes piratés toujours accessibles.
Selon les informations de ZATAZ, un piratage qui aurait eu lieu en 2019, (février ?).
Bref, preuve une fois de plus que s’inscrire sur un site doit se faire avec réflexion. Un mot de passe, un mail uniques et dédiés. L’utilisation d’un VPN est plus qu’indispensable. Ne JAMAIS réutiliser le mot de passe sur d’autres supports.
Seconde fuite
Lors de cette découverte, j’ai tenté de savoir qui avait pu acheter ce « black produit« . Dans quel but ? Dans ma veille j’ai donc recherché des informations concernant l’Agglomération de Montbéliard dans les 7 000 lieux malveillants sous surveillance.
Si les données vendues citées dans la première partie de cet article ne sont apparues que dans l’espace pirate Russe, des centaines d’informations d’employés de l’Agglomération de Montbéliard ont été décelées lors de mon enquête. Des mails professionnels, internes, exploités dans d’autres sites web. Des espaces Internet piratés. Bilan, les informations proposées par les employés se sont retrouvées dans des mains malveillantes.
Dans mon enquête, des dizaines de comptes @agglo-montbeliard.fr sont apparus dans des black markets.
En plus de permettre de connaitre les identités des propriétaires des adresses mails, ce type de fuite offre aussi la possibilité de connaitre les modes de consommations des employés. Par exemples, certains d’entre eux semblent apprécier les sites pour adultes. Voilà une excellente idée de discrétion que celle d’employer son mail professionnel pour s’inscrire sur du porno !
Autre donnée très intéressante pour les pirates : le mot de passe. Entre les dates de naissance, le nom du chien ou du petit dernier. Parfait pour tester le sésame sur d’autres sites et Webmail.
Bref, les fuites de données sont avant tout l’affaire de l’internautes et de ce qu’il fournit aux Internets. Il est indispensable de créer une adresse mail et un mot de passe dédiés au site web exploité. Ils permettront de repérer l’utilisateur non autorisé (spam, phishing, …) et être alerté, dans le pire des cas, d’un piratage.
Utilisation Malveillante ?
Dans le premier cas, selon les informations de ZATAZ, les pirates semblent avoir visité des comptes. C’est du moins ce que semblent démontrer les quelques captures écrans qu’ils ont diffusé dans leur cercle restreint. Les fichiers vendus comportent plus de 4 000 identités, mails et mots de passe.
Dans le cas de la seconde fuite, impossible de savoir si les informations des employés ont été exploitées. Cependant, je doute qu’elles soient restées dans un coin, à prendre la poussière !
Un courriel a été envoyé, via le formulaire proposé sur le site web, à la direction de la Communauté d’Agglomération du Pays de Montbéliard. « Une réponse vous sera apportée dans les plus brefs délais. » précise la page. Une semaine plus tard, toujours rien.
Mise à jour : L’ANSSI a contacté ZATAZ afin d’en savoir plus sur cette fuite. Nous leur avons communiqué le fichier constitué par les pirates.
Mise à jour : Pour la décharge de l’Agglomération, mon courriel communiqué via la page contact du site ne semble pas être passé. J’aurai du recevoir un accusé de réception automatique. L’équipe informatique a pris contact rapidement avec ZATAZ. Les mots de passe ont tous été changés.
