Equifax : pris au piège entre lenteurs internes et difficultés techniques

Un système vulnérable… passé inaperçu

Mais selon le témoignage de Richard Smith, ce n’est pas en raison de mauvaise volonté : personne, chez Equifax, ne semble avoir identifié d’installation vulnérable. Les équipes de sécurité ont bien lancé des analyses automatisées le 15 mars pour à la recherche de systèmes vulnérables, mais ceux-ci n’ont rien révélé… Et c’est peut-être une première erreur. Pour Kevin Beaumont, « le scanner ne détecte que s’il est bien configuré, c’est-à-dire pointé sur une application Struts ». 

The scanner would only detect it if configured correctly, i.e. pointed at a Struts webapp.

— Kevin Beaumont 🙃 (@GossiTheDog) October 2, 2017

Mais cela ne s’arrête pas là. Utiliser un outil d’analyse automatique, mais « travailler avec les développeurs », c’est mieux. Et justement, le fait que personne n’ait identifié de déploiement Struts vulnérable chez Equifax interroge sur les pratiques de suivi des configurations et de gestion du changement. Mais aussi sur les efforts réellement fournis pour identifier les versions de Struts utilisées : la façon de procéder pour cela est largement détaillée en ligne, et un outil automatisé est même disponible sur GitHub.

Selon les éléments d’enquête dont dispose Richard Smith, les cyber-délinquants ont profité de la vulnérabilité Struts pour accéder à des données personnelles à partir du 13 mai. Ce n’est que qu’après plus de deux mois, le 29 juillet, que la sécurité informatique d’Equifax a identifié du trafic réseau suspect sur son site Web de contestation. Ce trafic « a été immédiatement bloqué » mais des activités suspectes ont toutefois été observées le lendemain. Le site Web en question a alors été fermé.

Un long travail d’enquête

C’est le lendemain que l’ancien Pdg d’Equifax a été informé. Dans sa déposition, celui-ci assure qu’il ne savait alors pas que des informations personnelles avaient été dérobées ni n’avait « la moindre indication de l’étendue de cette attaque ». Le deux août, Mandiant a été sollicité pour enquêter.

Après neuf jours d’investigation, les premières conclusions tombaient : « en plus de documents de contestation sur le portail Web en ligne, les pirates auraient accédé à une table de base de données contenant une grande quantité d’informations personnelles de consommateurs, et potentiellement à d’autres tables ». C’est le 15 août que Richard Smith avoir été informé du vol de données personnelles.

Il aura toutefois fallu attendre le 4 septembre pour qu’une liste à peu près complète des consommateurs concernés par la brèche soit dressée. Pourquoi attendre le 7 septembre pour procéder à l’annonce publique ? Pour être prêt pour proposer des mesures d’accompagnement, d’une part, mais aussi pour faire face à d’éventuelles nouvelles attaques, inspirées par les révélations, explique Richard Smith. Sans compter le volume de sollicitations sur les centres d’appels d’Equifax.

Des mesures… qui auraient déjà dû être en place ?

Dans sa déposition, l’ancien Pdg assure que les équipes internes de l’entreprise et leurs partenaires externes ont travaillé sans relâche à l’améliorer des mesures de sécurité. Et cela vaut aussi pour « les processus et procédures de recherche de vulnérabilité et de gestion des correctifs » ou encore pour les contrôles et restrictions d’accès aux « données stockées au sein de nos bases de données critiques ». Au passage, « la segmentation réseau a été augmentée pour restreindre l’accès des systèmes exposés sur Internet aux bases et entrepôts de données de backend ».

Mais l’inventaire de nouvelles mesures de sécurité est long. Et interroge, une fois de plus, sur la situation préalable. Richard Smith évoque ainsi le déploiement de nouveaux pare-feu applicatifs (WAF), avec des signatures d’activités malicieuses affinées, ou encore celui, accéléré, de « technologies de surveillance de l’intégrité de fichiers sur les serveurs Web et d’applications ». Sans compter la collecte et la supervision de nouveaux journaux d’activité « du réseau, des applications, des bases de données, et des systèmes ».

Selon Richard Smith, tout cela ne constitue que « quelques-unes des étapes franchies par Equifax au cours des récentes semaines pour renforcer ses protocoles de sécurité ». Mais pour certains, cela pourrait être interprété comme l’aveu d’une situation passée loin d’être à l’état de l’art.