Le rcent piratage de Free, gant franais des tlcommunications, marque un nouveau chapitre inquitant dans l’escalade des cyberattaques : le pirate aurait rclam via Telegram 10 millions deuros de ranon Free. Free s’est saisi du Tribunal Judiciaire de Paris pour contraindre la plateforme de messagerie lui communiquer toutes les informations dont elle dispose sur l’individu qui s’en est servi pour faire chanter loprateur… ce que le Tribunal a accord.
La demande de ranon astronomique de 10 millions d’euros en cryptomonnaie, accompagne de menaces de divulgation de donnes sensibles, met en lumire la vulnrabilit des grandes entreprises face aux hackers. Mais ce qui attire galement l’attention, c’est l’implication de Telegram dans l’affaire, une plateforme souvent critique pour son rle ambigu dans la cyberscurit et la protection des donnes.
Rappel des faits
Le 22 octobre, un utilisateur d’un forum bien connu des cybercriminels, annonait disposer de donnes personnelles de millions de clients de loprateur Free. Il disait chercher les vendre au plus offrant. Le vol de donnes a t confirm quelques jours plus tard par Free. Le fournisseur d’accs Internet a confirm qu’il avait t pirat aprs qu’un cybercriminel se faisant appeler drussellx a mis aux enchres les donnes de ses clients sur ledit forum.
Les noms, prnoms, adresses e-mail et postale, dates et lieux de naissance, numros de tlphone, identifiants abonn et donnes contractuelles de dizaines de milliers de clients ont ainsi t drobs, comme lindiquait Free dans un e-mail transmis ses souscripteurs concerns.
Seulement, selon lingnieur en cyberscurit Clment Domingo, les IBAN (pour International Bank Account Number ), code qui permet didentifier un compte en banque, ont galement t drobs lors de cette attaque.
Le vol de ces IBAN a t confirm par Free, dimanche, dans un courriel envoy certains de ses clients.
Drussellx a affirm avoir acquis les informations de 19,2 millions d’abonns, dont cinq millions accompagns des IBAN (pour des abonns Freebox uniquement), le 17 octobre 2024. La violation affecte tous les clients FREE Mobile et Freebox, et comprend les IBAN des 5,11 millions d’abonns Freebox , a crit drussellx.
En reconnaissant la faille, FREE a indiqu que l’attaquant avait cibl un outil de gestion qui lui permettait d’accder aux donnes des abonns, mais pas aux mots de passe, aux informations des cartes bancaires ou au contenu des communications. La socit, qui est une filiale du groupe Iliad, a ensuite dpos une plainte pnale et a notifi l’incident la CNIL et l’ANSSI.
Deux priorits diffrentes quant l’usage des donnes
Plus tt ce mois-ci, drussellx a indiqu mettre aux enchres un fichier contenant pas moins de 100 000 lignes, avec des donnes personnelles de clients, dont les IBAN correspondants videmment : Si l’entreprise ne participe pas cette unique vente aux enchres dans les prochains jours, cette copie sera vendue, ce qui entranera de graves consquences pour les clients, et sera probablement divulgue publiquement sur les forums dans un avenir proche , affirmait-il.
Quelques jours plus tard, un autre message est apparu. Celui-ci affirmait que les donnes avaient t vendues aux enchres pour 175 000 dollars. Free thought the DB was free, ils n’ont rien compris , pouvait-on lire.
Le 3 novembre, l’histoire a pris une tournure surprenante. DataBreaches a t contact par quelqu’un qui s’est identifi comme YuroSh . Il a affirm tre le pirate responsable de la fuite sur free.fr. Je comprends que cette base de donnes a t prsente la tlvision franaise pendant des semaines, et j’aimerais clarifier quelques dtails , a-t-il dclar, fournissant DataBreaches ce qui semble tre les informations personnelles de Xavier Niel (PDG de FREE) comme preuve prliminaire de son implication.
Interrog, YuroSh a dclar que son rle avait t d’aider exploiter la vulnrabilit. DataBreaches lui a demand de demander drussellx d’envoyer un message priv DataBreaches via BreachForums pour confirmer son implication. drussellx a ensuite envoy DataBreaches un message priv indiquant que YuroSh tait responsable du piratage.
Apparemment, YuroSh et drussellx avaient des priorits diffrentes quant l’usage qu’ils feraient des donnes, mais aucun d’entre eux ne voulait vraiment vendre les donnes des gens ou les divulguer. Drussellx aurait voulu extorquer FREE et aurait utilis l’annonce de la mise aux enchres et l’annonce de la vente pour essayer de faire pression sur Free afin qu’il paie l’extorsion. YuroSh, quant lui, semblait plus motiv par l’hacktivisme, dclarant DataBreaches : Je ne suis pas un saint, mais j’espre que l’incident free.fr rveillera enfin les Franais sur la ralit de la surveillance de masse et qu’ils lutteront contre elle. La protection de la vie prive en France a t rode un point tel qu’elle est pratiquement inexistante .
Le pirate demandait 10 millions d’euros : Telegram condamne communiquer ses donnes Free
Dans une dcision du 12 novembre du Tribunal Judiciaire de Paris, publie par la Cour de cassation, il a t ordonn la socit Telegram messenger inc de communiquer Free tous les lments permettant didentifier la personne (ou les personnes) : Qui a cr le compte de la messagerie qui a permis denvoyer le message litigieux M. [J] .
Cela concerne le ou les numros de tlphone, ladresse IP attribue, lidentifiant utilis, ladresse IP attribue la source de la connexion et le port associs et le numro de tlphone lorigine de la communication recueillies lors de la cration du compte Telegram et de lenvoi du message et finalement toutes informations utiles lidentification de la personne recherche .
lappui de leurs demandes, les socits Free et Free mobile exposent que le pirate informatique, qui est parvenu dtourner des donnes personnelles et bancaires des abonns Free et Free mobile, aurait mis en vente les fichiers des donnes dtournes sur le dark web et tente den ngocier la restitution moyennant le versement dune ranon.
Elles prcisent quun certain [Z] [L] a adress trois messages identiques le 21 octobre 2024 sur la plateforme DOP, qui est une plateforme ddie lchange avec les abonns pour leurs donnes personnelles, dans lesquels il menace dutiliser frauduleusement les donnes pirates si une somme de 10 millions deuros ne lui est pas paye en cryptomonnaie, ces messages nayant toutefois pas laiss de traces informatiques.
Elles ajoutent que le pirate a, encore sous le nom de [Z] [L] , adress un message M. [J], qui est lanimateur historique du groupe Iliad-Free, sur son tlphone personnel par lintermdiaire de la messagerie lectronique Telegram[…].
En lespce, il ressort des pices produites et des dbats que les socits Free et Free mobile ont t victimes dun piratage ayant permis au pirate de rcuprer des donnes personnelles et bancaires de certains de leurs abonns et que le prsident du groupe Iliad, M. [J], a reu un message dun certain [Z] [L] par lintermdiaire de la messagerie lectronique Telegram dans lequel il laisse la possibilit free dacheter sa propre base .
Lidentit de monsieur [J] et de la personne [Z] [L] ne sont pas prcises mais comme la dcision parle de prsident du groupe Iliad pour monsieur [J], il s’agit visiblement de Xavier Niel.
Depuis larrestation de Pavel Durov, Telegram sest engag mieux collaborer avec la justice sur ses demandes didentification dutilisateurs
Telegram tait un gros sujet controverse en raison d’une quasi-inexistence de modration sur l’application. Selon un rcent rapport sur le sujet, cela a favoris l’mergence de milliers de chanes Telegram qui vendent des identits voles, des drogues illicites et du matriel pdopornographique (CSAM), faisant de la plateforme un nouveau type de darknet pour les criminels. Cependant, les choses ont commenc changer avec l’arrestation en France du PDG Pavel Durov. Les premiers changements introduits par Telegram suite cette arrestation suggraient que l’application veut se dbarrasser de sa rputation de paradis pour les criminels.
Telegram, qui ignorait largement les rquisitions judiciaires, serait dsormais pleinement dispos collaborer avec la justice et les forces de l’ordre. La porte souvre vraiment , a confirm Libration Johanna Brousse, cheffe de la section J3 de la juridiction nationale de lutte contre la criminalit organise (Junalco) du parquet de Paris. La section J3 est ddie la cybercriminalit. L’entreprise aurait mme dj collabor sur certains cas pour montrer sa bonne foi.
Si Telegram reoit un ordre valide des autorits judiciaires comptentes confirmant que vous tes un suspect dans une affaire impliquant des activits criminelles qui violent les conditions d’utilisation de Telegram, nous effectuerons une analyse juridique de la demande et pourrons divulguer votre adresse IP et votre numro de tlphone aux autorits comptentes , lit-on dans la nouvelle mise jour.
Dans une publication sur Telegram, Pavel Durov explique que l’entreprise apporte ces modifications afin de dissuader les criminels d’abuser de la fonction de recherche de l’application. La fonction de recherche de Telegram permet aux utilisateurs de rechercher des canaux publics et des bots, mais Pavel Durov affirme qu’elle a t utilise de manire abusive par des personnes pour vendre des produits illgaux .
Nous avons clairement indiqu que les adresses IP et les numros de tlphone de ceux qui enfreignent nos rgles peuvent tre divulgus aux autorits comptentes en rponse des demandes lgales valables , crit Pavel Durov dans un message publi sur son canal Telegram. Nous ne laisserons pas de mauvais acteurs mettre en pril l’intgrit de notre plateforme pour prs d’un milliard d’utilisateurs.
Source : dcision du Tribunal Judiciaire de Paris
Et vous ?
Quels standards minimums de scurit devraient tre imposs aux entreprises pour protger les donnes des utilisateurs ?
Free est-il un cas isol ou reflte-t-il une tendance plus large de sous-investissement dans la cyberscurit ?
Les entreprises victimes de cyberattaques devraient-elles tre obliges de publier un rapport dtaill sur leurs failles ?
Telegram doit-il cder aux pressions des autorits et transmettre les donnes demandes, mme si cela va l’encontre de sa politique de confidentialit ?
Comment trouver un quilibre entre la protection de la vie prive des utilisateurs et la lutte contre la cybercriminalit ?
Les plateformes de communication devraient-elles tre tenues lgalement responsables si elles refusent de cooprer avec les autorits dans des affaires criminelles ?