La ville de Columbus, dans l’Ohio, a intenté une action en justice contre le chercheur en sécurité David Leroy Ross, alias Connor Goodwolf, l’accusant d’avoir téléchargé et diffusé illégalement des données volées sur le réseau informatique de la ville et divulguées par le gang de rançongiciels Rhysida.
Columbus, la capitale et la ville la plus peuplée (2 140 000 habitants) de l’Ohio, a subi une attaque de ransomware le 18 juillet 2024, qui a provoqué diverses pannes de service et l’indisponibilité de la messagerie électronique et de la connectivité informatique entre les agences publiques.
Fin juillet, l’administration de la Ville a annoncé qu’aucun système n’avait été crypté, mais qu’elle étudiait la possibilité que des données sensibles aient pu être volées lors de l’attaque.
Le même jour, Rhysida ransomware a revendiqué la responsabilité de l’attaque, alléguant avoir volé 6,5 To de bases de données, y compris les informations d’identification des employés, les vidages de serveur, les flux de caméras vidéo de la ville et d’autres informations sensibles.
Le 8 août, après avoir échoué à extorquer la Ville, les acteurs de la menace ont publié 45% des données volées comprenant 260 000 fichiers (3,1 To), exposant une grande partie de ce qu’ils prétendaient détenir auparavant.
Selon la plainte de la Ville, l’ensemble de données exposé comprend deux bases de données de sauvegarde contenant de grandes quantités de données recueillies par les procureurs locaux et les forces de police, datant d’au moins 2015, contenant, entre autres, les informations personnelles des agents d’infiltration.
Le jour de la fuite de données sur le portail d’extorsion de Rhysida sur le dark Web, le maire de Columbus, Andrew Ginther, a déclaré dans les médias locaux que les informations divulguées n’étaient ni précieuses ni utilisables et que l’attaque avait été contrecarrée avec succès.
Quelques heures plus tard, Goodwolf a contesté l’affirmation du maire selon laquelle aucune donnée sensible ou précieuse n’avait été exposée en partageant des informations avec les médias sur ce que comprenait l’ensemble de données divulgué.
En réponse à cela, le 12 août, le maire Ginther a affirmé que les données exposées étaient « cryptées ou corrompues », de sorte que la fuite est inutilisable et ne devrait pas inquiéter le public.
Cependant, Goodwolf a contesté ces affirmations, partageant des échantillons des données avec les médias pour illustrer qu’elles contenaient des données personnelles non cryptées de personnes à Columbus.
« Parmi les détails mis à nu figuraient des noms de cas de violence domestique et des numéros de sécurité sociale pour les policiers et les victimes de crimes. Le dépotoir a non seulement un impact sur les employés de la ville, mais a également révélé des informations personnelles sur les résidents et les visiteurs remontant à des années », a rapporté NBC4.
Faire taire le chercheur
La poursuite déposée par Columbus allègue que la conduite de Goodwolf consistant à diffuser des données volées était à la fois négligente et illégale, ce qui a suscité de vives inquiétudes dans la communauté.
De plus, la Ville allègue que les données divulguées ne sont accessibles à personne, comme l’a déclaré Goodwolf, car elles ont été publiées sur une plate-forme à accès limité, nécessitant des connaissances pour être localisées.
« Les actions du défendeur consistant à télécharger à partir du Dark Web et à diffuser ces informations volées et sensibles au niveau local ont suscité une inquiétude généralisée dans toute la région du centre de l’Ohio », lit-on dans la plainte.
« Seules les personnes désireuses de naviguer et d’interagir avec l’élément criminel sur le dark Web, qui possèdent également l’expertise informatique et les outils nécessaires pour télécharger des données à partir du dark Web, seraient en mesure de le faire. »
La plainte note que le partage par Goodwolf des données des forces de l’ordre et les projets présumés de création d’un site Web permettant aux gens de voir si leurs données ont été exposées interfèrent avec les enquêtes policières.
La Ville demande une ordonnance d’interdiction temporaire, une injonction préliminaire et une injonction permanente contre Goodwolf pour empêcher la diffusion ultérieure de données volées. De plus, la Ville réclame des dommages-intérêts supérieurs à 25 000$.
Lors d’une conférence de presse sur le procès, illustrée ci-dessous, l’avocat de la ville, Zach Klein, a déclaré que le procès ne visait pas à supprimer la liberté d’expression, car Goodwolf peut toujours parler de la fuite, mais visait à l’empêcher de télécharger et de diffuser les informations volées.