Une fuite de données ne se résume pas aux informations qui ont été exposées. Pour évaluer réellement le risque, il est essentiel de comprendre à quoi ces données peuvent donner accès et quelles conséquences leur compromission peut entraîner pour l’organisation et son écosystème.

Une compromission par infostealer

L’analyse d’une fuite peut parfois révéler les traces laissées par un infostealer, un logiciel malveillant conçu pour collecter et exfiltrer les données présentes sur un poste de travail.

Dans le cas présenté dans cette investigation, plusieurs éléments sensibles ont été retrouvés sur le poste compromis :

• un répertoire contenant des mots de passe donnant accès à des applications et outils internes ;
• des accès actifs à des services cloud au moyen de jetons d’authentification ;
• des exports structurés d’une base clients contenant plusieurs informations nominatives ;
• des documents personnels conservés sur le même poste.

Ces différents éléments montrent qu’une compromission peut exposer bien davantage qu’une simple donnée d’identification.

L’OSINT permet de révéler la portée de la fuite

Les recherches en sources ouvertes (OSINT) ont permis de compléter l’analyse en identifiant la plateforme associée aux données exfiltrées.

Il s’agissait d’un service de mise en relation entre commerçants et clients déployé à l’échelle d’un territoire. Les investigations ont également permis de déterminer le niveau de privilège associé au compte compromis.

À partir de ces éléments, l’analyse change de dimension : le risque ne concerne plus uniquement le poste ou l’utilisateur initialement compromis, mais potentiellement l’ensemble des acteurs utilisant ou dépendant de cette plateforme.

Une fuite peut être le point de départ d’autres compromissions

Une donnée exposée peut constituer un point d’entrée vers d’autres ressources.

Dans le cas étudié, la compromission pouvait notamment ouvrir la voie à :

• des campagnes de phishing ciblées ;
• la compromission de comptes disposant de privilèges élevés ;
• l’accès à des services cloud sensibles ;
• des rebonds vers d’autres environnements techniques.

Cette situation illustre l’importance de ne pas évaluer une fuite uniquement en fonction de la nature des données exposées.

La question essentielle : « À quoi cette information donne-t-elle accès ? »

Une adresse électronique peut, prise isolément, sembler présenter un risque limité. Mais lorsqu’elle est croisée avec les données issues d’une compromission et enrichie par des recherches OSINT, elle peut révéler des informations beaucoup plus importantes sur l’environnement de l’organisation.

Ces recoupements peuvent notamment permettre de mettre en évidence :

• des accès à des infrastructures ;
• l’exposition de données clients ;
• des risques de compromission chez des partenaires ;
• une exposition de services critiques.

L’enjeu est donc de comprendre ce que la donnée exposée permet potentiellement de faire, plutôt que de considérer uniquement la donnée elle-même.

Au-delà du risque technique : l’enjeu de la confiance

Une compromission de ce type peut également avoir des conséquences sur la relation entre l’organisation et son écosystème.

Partenaires, clients, utilisateurs ou collectivités associées peuvent légitimement s’interroger sur la sécurité des informations qui leur sont confiées, mais aussi sur la gouvernance et la capacité de l’organisation à maîtriser ses risques cyber.

La sécurité ne se limite donc pas à la protection des systèmes : elle participe également à la confiance accordée à l’organisation et à ses services.

OSINT et CTI : aller au-delà du constat de fuite

L’association de l’OSINT et de la Cyber Threat Intelligence (CTI) permet d’aller plus loin que le simple constat d’une fuite.

Elle permet de mieux comprendre ce que révèle une compromission, de qualifier les risques pour l’organisation et son écosystème et, surtout, d’anticiper les conséquences potentielles avant qu’elles ne se traduisent par une perte de confiance ou une atteinte à la réputation.