Un client de l’ESN Cognizant l’accuse d’avoir ouvert la voie à une cyberattaque

Les propos sont accusateurs et fermes : « Cognizant a à plusieurs reprises donné à un cybercriminel l’accès au réseau de Clorox en lui fournissant des identifiants sans les authentifier correctement ni suivre la procédure de Clorox ».

Le producteur de produits d’entretien est un client de longue date de la vraie-fausse ESN américaine. Laquelle s’était dite victime de Maze au printemps 2020. Mais Clorox impute ouvertement à son partenaire la responsabilité de la cyberattaque dont il a été victime en août 2023.

Selon la plainte déposée par Clorox contre son prestataire, « Cognizant fournissait un service d’assistance (“Service Desk”) auquel les employés de Clorox pouvaient s’adresser lorsqu’ils avaient besoin d’aide pour récupérer ou réinitialiser leur mot de passe. Le fonctionnement du Service Desk de Cognizant était soumis à une exigence simple et logique : ne jamais réinitialiser les identifiants d’un utilisateur sans l’avoir préalablement authentifié. Clorox a facilité la tâche de Cognizant en lui fournissant des procédures simples à suivre pour toute demande de récupération ou de réinitialisation d’identifiants ».

Mais voilà, le 11 août 2023, l’ESN aurait « fait la démonstration » de ne pas suivre ces procédures.

Selon la plainte, « Cognizant n’a pas été victime d’une ruse élaborée ni de techniques de piratage sophistiquées. Le cybercriminel a simplement appelé le service d’assistance de Cognizant, demandé les identifiants pour accéder au réseau de Clorox, et Cognizant les lui a fournis sans hésiter ».

Toujours selon Clorox, « le cybercriminel a ensuite utilisé ces identifiants, ainsi que d’autres, obtenus le même jour grâce à des appels similaires au service d’assistance, pour attaquer Clorox ».

Et la victime de décrire une cyberattaque « dévastatrice » : « elle a paralysé le réseau d’entreprise de Clorox et ses activités commerciales. Pour aggraver les choses, lorsque Clorox a fait appel à Cognizant pour fournir des services d’intervention en cas d’incident et de reprise après sinistre, Cognizant a bâclé sa réponse et aggravé les dommages qu’il avait déjà causés ».

Selon l’industriel, « la cause profonde de la cyberattaque était le mépris flagrant de Cognizant pour les politiques et procédures de Clorox en matière de gestion des identifiants, les normes du secteur et les termes du contrat de services informatiques conclu entre les parties ».

Les procédures de cette nature contre les ESN ne sont pas monnaie courante. C’est presque une surprise compte tenu de l’étendue de l’impact des cyberattaques conduites contre celles-ci, sur leurs clients et leurs activités.