Intrusion chez Equifax : les enseignements d’un fiasco

Des vulnérabilités non corrigées

Ainsi, selon Equifax, des tiers ont commencé à chercher dès le 10 mars 2017 la présence de vulnérabilités dans ses déploiements Apache Struts. De quoi souligner la réactivité des attaquants : ces vulnérabilités avaient été rendues publiques deux jours plus tôt. Mais ce n’est que le 15 mars que les équipes de sécurité de l’entreprise ont cherché à leur tour leur présence dans l’infrastructure. Pour ne rien trouver.

Les pirates, eux, ont eu plus de chance. Mais selon Equifax, ce n’est que le 13 mai 2017, « dans un incident distinct faisant suite à l’accès non autorisé initial », que des attaquants ont commencé à accéder aux données et à chercher à dissimuler leurs activités, notamment « en tirant profit de canaux de communication chiffrés existants connectés au portail de contestation en ligne ».

Un défaut de gestions des certificats

Passer ainsi inaperçu a été rendu possible par un défaut de configuration d’un système de sécurité réseau : « Equifax avait installé un équipement pour inspecter le trafic réseau à la recherche d’indices d’activités suspectes, mais un défaut de configuration a permis au trafic chiffré de passer au travers du réseau sans inspection », écrit le GAO. La raison ? L’utilisation d’un certificat numérique arrivé à expiration rien moins que 10 mois avant l’intrusion.

Et c’est la découverte de ce défaut de configuration, le 29 juillet 2017, qui a donc conduit, le même jour, à celle de l’intrusion. Le tout à l’occasion d’une inspection de routine visant à vérifier « l’état opérationnel et la configuration des systèmes IT ».

Mais la prise de contrôle du portail, à très bas niveau, a permis aux attaquants d’accéder à d’autres entrepôts de données d’Equifax, notamment en profitant d’identifiants de comptes stockés en clair. Plus de 50 bases de données ont ainsi été compromises, dont seulement trois étaient liées directement au portail de contestation.

Une approche périmétrique de la sécurité

Les responsables d’Equifax le reconnaissent d’ailleurs aujourd’hui bien volontiers : le travail des pirates a été grandement simplifié par « l’absence de segmentation » de l’infrastructure. Mais cela vaut aussi pour une « gouvernance des données » manifestement défaillante en matière de protection des données sensibles : les fameux identifiants de comptes qui étaient accessibles en clair. Sur Twitter, Matthieu Garin, de Wavestone, résume l’ensemble : « triste à dire… mais classique ! »

Dans son malheur, Equifax a eu une certaine chance : l’enquête, conduite entre le 2 août et le 2 octobre 2017, a ainsi été « facilitée » par le fait que les journaux d’activité des systèmes concernés « n’avaient pas été endommagés ou effacés par les attaquants ». Toutes les entreprises n’ont pas cette chance.

Equifax a évoqué publiquement les multiples mesures qu’il a prises pour éviter qu’un tel incident ne se produise à nouveau. Mais le GAO précise qu’il n’a pas « examiné indépendamment » les efforts consentis « pour traiter les facteurs identifiés ».