Le Federal Bureau of Investigation américain a écarté lundi un sous-traitant travaillant pour Accenture, après qu’un examen interne a conclu que son échec à appliquer une mise à jour de sécurité avait provoqué une fuite de données personnelles sensibles concernant des milliers d’employés du bureau. Les données comprenaient des détails précis sur des missions de contre-espionnage menées par des employés identifiés nommément, ainsi que les adresses personnelles d’agents du renseignement humain et les dossiers médicaux et psychologiques du personnel.
Le bureau évalue les dommages de la fuite et écarte le sous-traitant
Le bureau continue d’évaluer les conséquences de la fuite et l’ampleur des dommages qu’elle a causés, tandis que d’anciens responsables l’ont décrite comme un coup sévère porté à sa sécurité opérationnelle. Un haut responsable du bureau a confirmé que le sous-traitant, dont l’identité n’a pas été révélée, n’avait pas mis à jour le système dont il avait la charge de la manière requise.
Brett Leatherman, chef de la cybersécurité au Federal Bureau of Investigation, a déclaré que l’examen avait conclu que l’incident résultait d’une faille de sécurité dans une plateforme gérée par un tiers, après qu’un sous-traitant n’avait pas installé une mise à jour de sécurité spécialement publiée pour protéger la plateforme. Il a ajouté que le bureau avait écarté le sous-traitant et pris toutes les mesures nécessaires pour limiter tout risque supplémentaire et protéger ses employés.
La plateforme PeopleSoft et le rôle d’Accenture identifiés
Le bureau n’a pas nommé la plateforme ni le tiers concerné, mais deux sources au fait du dossier ont déclaré que le système ciblé était la plateforme de ressources humaines PeopleSoft d’Oracle et que le tiers était Accenture. Le groupe de pirates ShinyHunters avait affirmé avoir exploité la plateforme pour pirater le portail de recrutement du bureau en septembre dernier.
Accenture a déclaré dans un communiqué qu’elle était « fière de soutenir la mission du Federal Bureau of Investigation et qu’elle continuerait à le faire ». L’entreprise n’a pas répondu aux questions concernant le sous-traitant en question ni aux accusations relatives à son échec dans l’application du correctif de sécurité requis, tandis que son identité et sa situation professionnelle actuelle demeuraient inconnues.
Google et Oracle avaient alerté d’une faille de PeopleSoft
Google avait auparavant lancé, en juin, une alerte concernant une campagne de piratage et d’extorsion liée au groupe ShinyHunters et visant les organisations utilisant les logiciels PeopleSoft. Le même jour, Oracle avait publié une alerte de sécurité annonçant la découverte d’une faille dans ces logiciels et fourni des correctifs pour y remédier.
Google et Oracle ont exhorté les organisations utilisant les logiciels ciblés à appliquer sans délai toutes les mises à jour critiques de correction, les mises à jour critiques de sécurité et les alertes de sécurité. L’installation rapide des mises à jour sur les logiciels vulnérables constitue l’une des mesures essentielles pour protéger les réseaux et les appareils contre les pirates, mais le processus peut être complexe et exigeant, notamment dans les systèmes des grandes organisations qui servent un nombre considérable d’utilisateurs.
L’exclusion du sous-traitant est intervenue après que la Jordanie a placé en détention, la semaine dernière, une personne soupçonnée d’appartenir au groupe ShinyHunters. Des sources au fait du dossier ont déclaré que le suspect « coopérait », ce qui pourrait aider le Federal Bureau of Investigation à déterminer l’ampleur de la fuite et à comprendre l’étendue des dommages qui y sont liés.
Le groupe avait annoncé en septembre avoir piraté le portail de recrutement du bureau, affirmant avoir obtenu les noms d’anciens agents et de personnes ayant postulé à des emplois, ainsi que des adresses personnelles, des numéros de téléphone, les noms de conjoints, certaines informations médicales et d’autres données.
Le groupe avait adressé un message au directeur du Federal Bureau of Investigation, Kash Patel, et au responsable de la cybersécurité du bureau, affirmant détenir « presque » les données de « tous » les employés et candidats.
