BigCloud conteste l'ampleur d'un piratage revendiqué à 2 téraoctets de données

Deux téraoctets d'un côté. Cent quatre-vingt-cinq gigaoctets de l'autre. L'écart entre ce que revendiquent les attaquants et ce que reconnaît BigCloud illustre un phénomène classique, mais rarement documenté aussi clairement: la confrontation directe entre le récit du pirate et celui de la victime.

Les auteurs de l'attaque affirment avoir compromis 159 environnements clients hébergés par le fournisseur et exfiltré deux téraoctets de données. BigCloud, de son côté, ne reconnaît que treize instances touchées, avec treize entreprises clientes ayant confirmé une fuite les concernant, pour un volume cumulé de 185 gigaoctets, soit un peu plus de neuf pour cent du chiffre annoncé par les attaquants.

Cet écart n'est pas nécessairement une preuve de mauvaise foi de l'une ou l'autre des parties. Les groupes d'extorsion ont un intérêt évident à gonfler leurs revendications, cela renforce la pression sur la victime et améliore la valeur perçue des données sur les places de marché clandestines. À l'inverse, une entreprise cloud a un intérêt tout aussi évident à minimiser publiquement l'ampleur d'un incident tant que l'enquête forensique n'est pas achevée, ne serait-ce que pour éviter une communication qu'elle devrait ensuite corriger.

Ce qui distingue ce dossier d'une fuite classique, c'est sa nature d'attaque de la chaîne d'approvisionnement. Un fournisseur cloud compromis n'expose pas seulement ses propres données, il expose potentiellement celles de tous ses clients hébergés sur l'infrastructure touchée. Treize entreprises ont déjà confirmé être concernées, ce qui signifie que l'incident BigCloud génère, en réalité, treize incidents distincts pour treize organisations différentes, chacune avec ses propres obligations de notification.

Pour les clients de BigCloud n'ayant pas encore reçu de notification, la prudence recommande de ne pas se fier uniquement à l'absence de communication du fournisseur. Une vérification directe auprès du support, avec demande explicite d'un état des lieux sur l'environnement concerné, reste la seule manière fiable d'obtenir une réponse individualisée plutôt qu'un communiqué général.

L'écart entre les deux chiffres devrait, dans les prochaines semaines, se resserrer à mesure que l'enquête technique progresse. Il est rare, dans ce type de dossier, que la vérité se situe exactement du côté de l'un ou de l'autre; elle finit généralement quelque part entre les deux estimations initiales.

Les entreprises françaises qui hébergent des données sensibles chez un prestataire cloud tiers ont, en théorie, l'obligation contractuelle d'être informées rapidement en cas d'incident touchant leur environnement, une clause devenue quasi systématique depuis l'entrée en application du règlement européen DORA pour le secteur financier, et de plus en plus reprise dans les contrats hors de ce périmètre réglementaire strict. Un fournisseur qui tarde à notifier s'expose, au-delà du risque réputationnel, à un risque contractuel bien réel vis-à-vis de ses plus gros clients.

D’après Le Temps.