Mi-septembre, SonicWall a signalé un incident de sécurité dans son service de sauvegarde cloud. Il est désormais clair que tous les clients sont concernés.
Le 17 septembre, le fournisseur de sécurité SonicWall a annoncé que des cybercriminels avaient volé des fichiers de sauvegarde configurés pour la sauvegarde dans le cloud. À l’époque, l’entreprise affirmait que l’incident était limité à « moins de cinq pour cent » de ses clients. Désormais, le fournisseur de pare-feu a admis que « tous les clients » utilisant la fonction de sauvegarde cloud MySonicWall étaient concernés.
Conséquences de l’attaque
Selon l’entreprise, les fichiers volés contiennent des informations d’identification et des données de configuration cryptées. « (B) tant que le cryptage reste en place, la possession de ces fichiers pourrait augmenter le risque d’attaques ciblées », prévient SonicWall dans son communiqué de presse.
Le spécialiste de la sécurité Arctic Wolf met également en garde contre les conséquences de l’incident. « Les fichiers de configuration du pare-feu stockent des informations sensibles qui peuvent être exploitées par les acteurs malveillants pour exploiter et accéder au réseau d’une organisation », explique Stefan Hostetler, chercheur en renseignement sur les menaces chez Arctic Wolf.
« Ces fichiers peuvent fournir aux auteurs de menaces des informations critiques telles que les paramètres des utilisateurs, des groupes et des domaines, les paramètres DNS et de journalisation, ainsi que les certificats », ajoute-t-il. Arctic Wolf a déjà observé des acteurs malveillants, notamment des groupes d’États-nations et de ransomware, exfiltrer des fichiers de configuration de pare-feu pour les utiliser lors de futures attaques.
Mesures de sécurité requises
SonicWall exhorte actuellement tous les clients et partenaires à vérifier régulièrement les mises à jour de leurs appareils. La société a publié une liste des appareils concernés sur son portail client sous « Gestion des produits > Liste des problèmes ».
Les appareils sont classés selon l’urgence :
- « Actif – Haute priorité » pour les appareils exposés à Internet
- « Actif – Priorité inférieure » pour les appareils sans accès à Internet
- « Inactif » pour les appareils qui n’ont pas établi de contact depuis 90 jours
Il existe également un playbook détaillé que les administrateurs peuvent utiliser comme guide.
