Violation des droits de l'Organisation des Nations Unies (ONU)

Au printemps et à l'été 2021, des pirates informatiques se sont introduits furtivement dans Umoja , le logiciel de gestion de projets propriétaire des Nations Unies, accédant au réseau et dérobant des données critiques destinées à être utilisées lors d'attaques ultérieures. « Les données volées sur le réseau de l'ONU pourraient servir à cibler des agences onusiennes, et l'ont potentiellement déjà fait », a déclaré Stéphane Dujarric, porte-parole du Secrétaire général de l'ONU, comme le précise ce rapport.

Ce n'est pas la première fois que l'ONU est victime d'une intrusion. En janvier 2020, les auteurs du tristement célèbre logiciel malveillant Emotet ont ciblé l'ONU par le biais d'une campagne d'hameçonnage visant à dérober des identifiants et à installer le cheval de Troie TrickBot . Cette intrusion a finalement été attribuée à une faille de sécurité dans Microsoft SharePoint , entraînant le vol de 400 Go de données sensibles.

Possibilités d'amélioration à l'ONU

Absence d'authentification à deux facteurs

Lors de la dernière attaque, les identifiants volés appartenaient à un compte sur Umoja, le logiciel de gestion de projets exclusif des Nations Unies. L'utilisateur n'avait pas activé l'authentification à deux facteurs (2FA) , la norme de référence en matière d'authentification , ce qui a permis aux pirates d'utiliser ces identifiants pour accéder au logiciel et s'infiltrer plus profondément dans le réseau.

Mauvaise hygiène des mots de passe

Les pirates informatiques utilisent parfois la force brute pour accéder à un compte. Ce procédé consiste à tester des millions de combinaisons d'identifiants et de mots de passe différentes avec un logiciel malveillant ; il pourrait s'agir de la cause principale de la violation de données chez l'ONU. Une attaque par force brute prendrait des années aux pirates pour réussir à accéder à un compte respectant les normes de sécurité de CyberHoot et du NIST 2017, qui préconisent des mots de passe uniques d'au moins 14 caractères pour chaque compte. Il est probable que le compte utilisateur compromis présentait des faiblesses en matière de sécurité des mots de passe , ce qui a permis au pirate d'y accéder. Rien n'indique si l'ONU utilise un gestionnaire de mots de passe , pourtant essentiel pour une bonne gestion des mots de passe et systématiquement recommandé par CyberHoot à toutes les entreprises.

Privilèges administratifs 

Le rapport indique que les pirates informatiques sont restés infiltrés dans les systèmes pendant plusieurs mois (avril-août), ce qui leur a permis de se déplacer latéralement. Ces déplacements au sein des systèmes de l'ONU auraient pu être réduits, voire empêchés, par l'application du principe du moindre privilège . Ce principe aurait probablement empêché l'utilisation d'identifiants d'un seul utilisateur de l'ONU pour installer des logiciels de piratage supplémentaires et ainsi permettre des déplacements latéraux au sein du réseau onusien. Il est également possible qu'une fois infiltré, le pirate ait trouvé d'autres failles à exploiter, et que le principe du moindre privilège n'ait fait que ralentir sa progression. Quoi qu'il en soit, CyberHoot privilégie l'idée de ralentir les pirates informatiques et de leur compliquer la tâche.

Comment votre organisation peut-elle tirer des leçons de cet événement ?

Commencez par utiliser un gestionnaire de mots de passe (LastPass, 1Password) pour stocker vos mots de passe et phrases de passe . Il est essentiel d'adopter les normes NIST 2017 (mot de passe/phrase de passe unique, permanent et d'au moins 14 caractères) pour tous vos comptes. Utiliser un mot de passe obsolète de plus de 9 caractères vous expose à un risque important de compromission, similaire à celui rencontré par l'utilisateur de l'ONU.

Deuxièmement, il est crucial d' activer l'authentification à deux facteurs (2FA) sur tous vos comptes. Si un pirate parvient à contourner votre identifiant et votre mot de passe, la 2FA vous enverra un code par SMS ou via une application d'authentification (LastPass, Google, Microsoft). Bien que les pirates puissent forcer les mots de passe, ils ne peuvent pas accéder à votre téléphone (du moins pas facilement) pour obtenir le deuxième facteur d'authentification, protégeant ainsi vos comptes.

Troisièmement, limitez l'accès et l'utilisation des privilèges d'administrateur par les utilisateurs. Exigez que tous les utilisateurs utilisent leur environnement de bureau sans privilèges d'administrateur. Supprimer l'accès administrateur des utilisateurs finaux peut empêcher les sites web malveillants d'installer des logiciels avec des privilèges d'administrateur, empêcher les utilisateurs d'installer des logiciels potentiellement dangereux ou bogués, et garantir un fonctionnement plus fluide et efficace des systèmes.

Quatrièmement, ce principe limite l'accès des utilisateurs aux données nécessaires à leurs fonctions quotidiennes. Si l'ONU l'avait appliqué , elle aurait peut-être pu empêcher le vol de certaines données impliquées dans cette violation. Avec des contrôles basés sur le principe du moindre privilège, seul un petit nombre d'utilisateurs de haut niveau (cadres dirigeants, partenaires, etc.) a accès à la plupart des données de l'organisation. Cela réduit considérablement la surface d'attaque potentielle pour les pirates informatiques.

PROTECTIONS PME supplémentaires

En plus d'adopter les trois mesures ci-dessus, CyberHoot recommande les meilleures pratiques suivantes pour protéger les particuliers et les entreprises contre les cyberattaques en ligne et limiter les dommages causés par celles-ci :

• Former les employés pour repérer et éviter les e-mails phishing attaques
• Tester que les employés peut repérer et éviter les e-mails de phishing
• Sauvegarder les données à l'aide du Méthode 3-2-1
• Effectuer une évaluation des risques tous les deux à trois ans
• Assurez votre gestion des correctifs la solution fonctionne efficacement (lors de la précédente faille à l'ONU, un serveur Microsoft Sharepoint a été exploité alors qu'un correctif était disponible)
• Embaucher un responsable virtuel de la sécurité de l'information professionnel (vCISO) pour conseiller, guider et développer votre programme de cybersécurité à une fraction du coût de l'embauche d'un employé de cybersécurité à temps plein.

Source: 

Attaque par force brute – Cybrary Term

Statistiques sur le temps nécessaire pour déchiffrer un mot de passe

Article de ThreatPost sur la violation des droits de l'homme à l'ONU

Lectures complémentaires: 

L'ONU attaquée par des pirates informatiques plus tôt cette année – Bloomberg

L'ONU confirme que des pirates informatiques ont piraté des systèmes – CNN

Découvrez comment CyberHoot peut sécuriser votre entreprise.

Planifier démo