La société de billetterie en ligne "See" piratée pendant 2.5 ans par des attaquants

See Tickets est un acteur mondial majeur dans le domaine de la billetterie événementielle en ligne : ils vous vendront des billets pour des festivals, des spectacles de théâtre, des concerts, des clubs, des concerts et bien plus encore.

La société vient d'admettre une violation majeure de données qui partage au moins une caractéristique avec les amplificateurs préférés des artistes rock notoires Spinal Tap: "les chiffres vont tous à 11, dans tous les domaines."

D'après le modèle d'e-mail utilisé par See Tickets pour générer le mailing destiné aux clients (grâce à Phil Muncaster d'Infosecurity Magazine pour un lien vers le Site Web du ministère de la Justice du Montana pour une copie officielle), la brèche, sa découverte, son enquête et sa remédiation (qui ne sont toujours pas terminées, donc celle-ci pourrait encore aller jusqu'au 12) se sont déroulées comme suit :

• 2019-06-25. À cette date au plus tard, les cybercriminels avaient apparemment implanté des logiciels malveillants voleurs de données sur les pages de paiement des événements gérées par l'entreprise. (Données à risque incluses : nom, adresse, code postal, numéro de carte de paiement, date d'expiration de la carte et numéro CVV.)
• 2021-04. Voir les billets "a été alerté d'une activité indiquant un accès non autorisé potentiel".
• 2021-04. Enquête lancée, impliquant une société de cybercriminalité.
• 2022-01-08. L'activité non autorisée est finalement arrêtée.
• 2022-09-12. See Tickets conclut enfin cette attaque "peut avoir entraîné un accès non autorisé" aux informations de carte de paiement.
• 2022-10. (Enquête en cours.) Voir les billets dit "nous ne sommes pas certains que vos informations ont été affectées", mais informe les clients.

En termes simples, la violation a duré plus de deux ans et demi avant d'être repérée, mais pas par See Tickets lui-même.

La violation s'est ensuite poursuivie pendant neuf mois supplémentaires avant d'être correctement détectée et corrigée, et les attaquants ont été expulsés.

L'entreprise a ensuite attendu encore huit mois avant d'accepter que des données "pourraient" avoir été volées.

See Tickets a attendu un mois de plus avant d'informer les clients, admettant qu'il ne savait toujours pas combien de clients avaient perdu des données dans la violation.

Même maintenant, bien plus de trois ans après la première date à laquelle les attaquants sont connus pour avoir été dans les systèmes de See Ticket (bien que les bases de l'attaque aient pu être antérieures à cela, pour autant que nous sachions), la société n'a toujours pas conclu son enquête, il se peut donc qu'il y ait encore d'autres mauvaises nouvelles à venir.

Et ensuite?

L'e-mail de notification See Tickets comprend quelques conseils, mais il vise principalement à vous dire ce que vous pouvez faire par vous-même pour améliorer votre cybersécurité en général.

Pour ce qui est de vous dire ce que l'entreprise elle-même a fait pour compenser cette violation de longue date de la confiance et des données des clients, tout ce qu'elle a dit est, "Nous avons pris des mesures pour déployer des protections supplémentaires sur nos systèmes, notamment en renforçant davantage notre surveillance de la sécurité, notre authentification et notre codage."

Étant donné que See Tickets a été alerté de la violation par quelqu'un d'autre en premier lieu, après ne l'avoir pas remarqué pendant deux ans et demi, vous ne pouvez pas imaginer qu'il faudrait beaucoup de temps à l'entreprise pour être en mesure de poser prétendent «renforcer» sa surveillance de la sécurité, mais apparemment c'est le cas.

Quant aux conseils que See Tickets prodigue à ses clients, ils se résument à deux choses : vérifier régulièrement vos états financiers et faire attention aux e-mails de phishing qui tentent de vous inciter à communiquer des informations personnelles.

Ce sont de bonnes suggestions, bien sûr, mais vous protéger contre le phishing n'aurait fait aucune différence dans ce cas, étant donné que toutes les données personnelles volées ont été prises directement à partir de pages Web légitimes que des clients prudents se seraient assurés de visiter en premier lieu.

Que faire?

Ne soyez pas un ralentisseur en matière de cybersécurité : assurez-vous que vos propres procédures de détection et de réponse aux menaces suivent le rythme des TTP (outils, techniques et procédures) du cybermonde souterrain.

Les escrocs font continuellement évoluer les astuces qu'ils utilisent, qui vont bien au-delà de la technique à l'ancienne consistant simplement à écrire de nouveaux logiciels malveillants.

En effet, de nos jours, de nombreux compromis utilisent à peine (ou pas du tout) de logiciels malveillants, étant ce que l'on appelle attaques menées par l'homme dans lequel les criminels tentent de s'appuyer autant qu'ils le peuvent sur les outils d'administration système déjà disponibles sur votre réseau.

Les escrocs ont un large gamme de TTP non seulement pour exécuter du code malveillant, mais aussi pour :

• Effraction commencer avec.
• Faire le tour du réseau sur la pointe des pieds une fois qu'ils sont dedans.
• Passer inaperçu aussi longtemps que possible.
• Cartographier votre réseau et vos conventions de nommage aussi bien que vous les connaissez vous-même.
• Mettre en place des moyens sournois comme ils peuvent pour revenir plus tard si vous les expulsez.

Ce type d'attaquant est généralement connu sous le nom de adversaire actif, ce qui signifie qu'ils sont souvent aussi pratiques que vos propres administrateurs système et capables de se fondre autant que possible dans les opérations légitimes :

Il ne suffit pas de supprimer tout logiciel malveillant que les escrocs ont pu implanter.

Vous devez également examiner toute configuration ou modification opérationnelle qu'ils ont pu apporter, au cas où ils auraient ouvert une porte dérobée cachée par laquelle eux (ou tout autre escroc à qui ils vendent leurs connaissances plus tard) pourraient être en mesure de revenir en arrière. plus tard à leur guise.

Rappelez-vous, comme nous aimons le dire sur le Podcast sur la sécurité nue, même si nous savons que c'est un cliché, que la cybersécurité est un voyage, pas une destination.

Si vous n'avez pas assez de temps ou d'expertise pour poursuivre ce voyage par vous-même, n'ayez pas peur de demander de l'aide avec ce qu'on appelle le MDR (détection et réponse gérées), où vous faites équipe avec un groupe de confiance d'experts en cybersécurité pour aider à garder vos propres cadrans de violation de données bien en dessous d'un "11" semblable à Spinal Tap.

---