Une attaque de phishing la semaine dernière a permis aux attaquants d’accéder aux e-mails et aux fichiers au Bureau du contrôleur de l’État de Californie (SCO), une agence chargée de gérer plus de 100 milliards de dollars de fonds publics chaque année. Les hameçonneurs ont eu accès pendant plus de 24 heures, et des sources disent à BreachTrace que les intrus ont utilisé ce temps pour voler des numéros de sécurité sociale et des fichiers sensibles sur des milliers d’employés de l’État, et pour envoyer des messages d’hameçonnage ciblés à au moins 9 000 autres employés et leurs contacts.
Un avis de violation publié par le bureau du contrôleur de l’État de Californie.
Dans un « Avis de violation de données” message publié le samedi 20 mars, le bureau du contrôleur a déclaré que pendant plus de 24 heures à compter de l’après-midi du 18 mars, les attaquants avaient accès aux enregistrements de courrier électronique d’un employé de sa division des biens non réclamés après que l’employé avait cliqué sur un lien de phishing et puis entré son identifiant de messagerie et son mot de passe.
« Le SCO a des raisons de croire que le compte de messagerie compromis contenait des informations d’identification personnelle contenues dans les rapports sur les propriétaires de biens non réclamés », a déclaré l’agence, exhortant les employés de l’État contactés par l’agence à placer des alertes de fraude sur leurs dossiers de crédit auprès des principaux bureaux de consommation. « L’utilisateur non autorisé a également envoyé des e-mails potentiellement malveillants à certains des contacts de l’employé de SCO. »
Le SCO a répondu dans un e-mail qu’aucune donnée d’employé de l’État n’avait été compromise.
« Un seul compte de messagerie d’employé a été brièvement compromis par une attaque de harponnage et rapidement désactivé », porte-parole de SCO Jennifer Hanson mentionné. « SCO a informé les contacts de l’employé qui ont peut-être reçu un e-mail potentiellement malveillant de la part de l’utilisateur non autorisé. Les membres de l’équipe SCO ont identifié toutes les informations personnelles incluses dans le compte de messagerie compromis et ont commencé le processus de notification des parties concernées. Le contrôleur va au-delà des exigences légales en matière de notification en fournissant à la fois une notification par courrier réel et une notification de remplacement dans le but d’assurer la notification la plus large possible. »
Une source d’une agence d’État californienne adjacente qui a suivi l’incident en interne avec d’autres employés a déclaré que le SCO avait oublié de mentionner que les intrus avaient également accès aux informations de l’employé hameçonné. Fichiers Microsoft Office 365 – et potentiellement tous les fichiers partagés avec ce compte sur le réseau de l’État.
« Ce n’est même pas toute l’étendue de la violation », a déclaré l’employé de l’État de Californie, qui s’est exprimé sous couvert d’anonymat.
La source affirme que les intrus ont volé plusieurs documents contenant des données personnelles et financières sur des milliers d’employés de l’État, puis ont utilisé la boîte de réception de l’employé hameçonné pour envoyer des e-mails de phishing ciblés à au moins 9 000 employés de l’État californien et à leurs contacts. Dans une réponse de suivi à ces réclamations, le SCO a déclaré que son « personnel de sécurité informatique a pu déterminer – sur la base des mêmes journaux qui ont identifié l’intrusion – qu’aucun accès n’a été fait à des fichiers Office 365 autres que la boîte aux lettres de l’employé ».
Le State Controller est le Chief Fiscal Officer de la Californie, la sixième plus grande économie du monde. Source : sco.ca.gov.
De nombreux attaquants peuvent faire beaucoup de dégâts avec 24 heures d’accès au compte d’un utilisateur. Et harponner d’autres personnes qui interagissent fréquemment avec le SCO par e-mail pourrait donner aux méchants encore plus d’accès aux systèmes de l’État. Le SCO détient une énorme quantité d’informations personnelles et financières sur des millions de personnes et d’entreprises qui font des affaires avec ou dans l’État.
Les organisations qui espèrent améliorer la sécurité interne se tournent souvent vers des entreprises qui aident les employés à apprendre à détecter et à esquiver les attaques de phishing par e-mail – en leur envoyant des e-mails de phishing simulés, puis en notant les employés sur leurs réponses. L’employé a déclaré que jusqu’à très récemment, la Californie utilisait une de ces entreprises pour les aider à organiser régulièrement des formations sur le phishing.
Puis en octobre 2020, le Département de technologie de Californie (CDT) émis un nouvel ensemble de lignes directrices qui exigent effectivement que tous les cadres, gestionnaires et superviseurs connaissent tous les détails d’un exercice d’hameçonnage avant qu’il ne se produise. Ce qui suggère que de nombreuses personnes qui devraient absolument se faire tester contre le phishing avec tout le monde ne recevront pas la même formation continue.
« Cela signifie que ces personnes ne seront plus jamais testées », a déclaré la source de l’agence d’État. « C’est complètement absurde et personne chez CDT ne s’approprie ce gâchis. La norme a également été rédigée de manière à interdire efficacement les tests dynamiques comme vous le voyez dans KnowBe4, où même un administrateur ne saura pas quel modèle de phishing il pourrait recevoir. [Full disclosure: KnowBe4 is an advertiser on this site].
Le CDT a publié la déclaration suivante en réponse : « SCO a informé le CDT qu’il avait contenu l’attaque de phishing. La caractérisation du CDT norme d’exercice d’hameçonnage est incorrect. Avant d’effectuer des tests de phishing dans une agence d’État, il est conseillé aux unités commerciales internes de se coordonner pour éviter toute interruption ou tout impact opérationnel sur les services publics. Les superviseurs et les responsables sont régulièrement testés sans préavis pour s’assurer que les employés à tous les niveaux sont conscients des risques de sécurité et peuvent apprendre à les éviter.
Mise à jour, 15 h 44 HE : Ajout d’un commentaire et d’une réponse du SCO de Californie.
Mise à jour, 17h38 HE : Ajout d’un commentaire supplémentaire de SCO sur l’accès au cloud.
Mise à jour, 18 h 58 HE : Ajout de la réponse du CDT.