Atout France a été piratée...

La liste est longue et ne semble plus s’arrêter.

Après la vague historique de piratages ayant frappé le tourisme en mai dernier, révélant une vulnérabilité relativement basique chez plusieurs acteurs importants du secteur, les cyberattaques se poursuivent dans l’industrie touristique, sans jamais discontinuer.

Et cette fois-ci, c’est au tour d’un établissement public de voir ses failles dévoilées au grand jour.

Atout France a donc subi l’attaque d’une personne malveillante qui aurait pu extraire, selon ses dires, les données d’environ 400 000 comptes utilisateurs.

Des échantillons, en guise de bonne foi, comme il est de coutume sur le dark web, ont été partagés.

Le pirate informatique affirme avoir profité d'une faille de contrôle d'accès, donc une vulnérabilité de type IDOR (Insecure Direct Object Reference), selon frenchbreaches, comme ce fut le cas pour Belambra, Gîtes de France ou Maeva.

"En français, on pourrait traduire cela par avoir une référence directe à un objet non sécurisé.

C’est-à-dire que si un profil, un fichier ou une facture est stocké directement sur une application, le simple fait de saisir l’adresse directe peut permettre d’y accéder, même sans y être normalement autorisé.

Nous ne sommes pas face à un exploit technique extrêmement sophistiqué, mais plutôt face à une mauvaise compréhension de la sécurité à l’échelle humaine," nous confiait Christophe Mazzola, fondateur de la Cyber Academy, dans un précédent papier.

Sauf que derrière cette faiblesse, les conséquences peuvent être terribles pour des entreprises ou des particuliers.

Concernant Atout France, environ 400 000 comptes utilisateurs seraient donc compromis. Le ou les pirates auraient accès aux noms, prénoms, fonctions, e-mails, téléphones, adresses postales de facturation, organismes, numéros d’adhérent...

Une multitude d’informations qui pourrait alimenter, à l’avenir, des campagnes de phishing ou d’autres actions malveillantes particulièrement ciblées. Il va donc falloir redoubler de vigilance en cas de mail supposément envoyé par Atout France dans les jours et les mois à venir.

Il ne faut pas croire que, depuis la vague de piratages historique qu’a connue l’industrie touristique, les pirates se soient désintéressés du secteur, bien au contraire.

Profitant sans doute d’une faiblesse des acteurs sur le volet de la cybersécurité, les trophées ont été nombreux.

Il y a eu, fin juin, Pacha Tours. Les pirates ont alors revendiqué avoir extrait 2 Go de données grâce à "une technique d’injection de code utilisée pour modifier ou récupérer des données dans des bases de données SQL (des tableaux avec des lignes et des colonnes, ndlr)", selon Cloudflare.

Ainsi, aussi bien sur le site de Pacha Tours que sur son espace pro, les données compromises concerneraient 31 087 personnes uniques, 4 413 e-mails uniques, 3 705 téléphones uniques, 132 numéros de passeport en clair, 10 153 codes PNR et 1 096 accès B2B d’agences avec mots de passe en clair, selon les revendications des pirates.

Ce n’est pas tout, car Trenitalia France a aussi connu pareille mésaventure.

Les personnes malveillantes ont eu un accès non autorisé à certaines données personnelles de clients liées à l’achat de billets. Cette attaque a été confirmée par l’opérateur.

Une campagne de mails a été envoyée aux clients de la compagnie.

Elle révèle que les informations en possession des pirates sont les suivantes : données d’état civil et d’identification (nom et prénom de l’acheteur et du passager, date de naissance du passager) ; données de contact (adresse e-mail, numéro de téléphone) ; données de voyage (informations associées au titre de transport, telles que l’itinéraire, la date et l’heure du voyage, le numéro du titre de transport) ; type d’offre ou de service associé au titre de transport et données nécessaires pour bénéficier de ces offres.

De plus, des pirates revendiquent avoir pu extraire des données de comptes de 60 568 utilisateurs, mais aussi des métadonnées d’accords ou de documents d’e-signature de Smartbox.

"Il faut vraiment que l'on commence à se retrousser les manches et à travailler, car ce type de fuite de données, en Europe, nous sommes vraiment un des seuls à connaitre ce genre d'histoire.

Je travaille beaucoup au Royaume-Uni, en Allemagne, aux Pays-Bas, au Luxembourg, en Suisse et en Belgique, là bas, il n'y a pas tout ça. La France fait office de mauvais élève," nous expliquait Christophe Mazzola.