Orvis a admis avoir découvert des mots de passe internes qui auraient pu révéler la sécurité de la société

Fondée dans les années 1850, Orvis est considérée comme l'une des premières entreprises de vente par correspondance aux États-Unis. A ses débuts en tant que détaillant spécialisé dans les accessoires de pêche à la mouche, il vend maintenant toutes sortes de vêtements et d’articles de sport. Il emploie environ 1 700 personnes dans près de 100 sites. C'est un nom bien connu dans certaines régions d'Amérique et de Grande-Bretagne. Maintenant, il est également célèbre pour avoir exposé une quantité énorme d'informations internes sensibles sur Pastebin.

Brian Krebs, le journaliste en matière de cybersécurité qui a rapporté l'incident pour la première fois, a décrit la fuite comme "de loin l'exemple le plus extrême" de la divulgation de données qu'il ait jamais vue. Mais qui est responsable de la brèche? Et comment est-ce arrivé?

Quelqu'un a laissé par inadvertance des tonnes de noms d'utilisateur et de mots de passe Orvis au monde entier

Comme vous pouvez le constater, Orvis est une organisation relativement grande et vous ne pouvez imaginer combien de services tiers différents elle exploite. De toute évidence, pour exécuter ces services tiers, les employés d’Orvis ont besoin d’identifiants de connexion. Pour une raison quelconque, une seule personne avait accès à tous ces noms d’utilisateur et mots de passe. Ladite personne a ensuite commis la terrible erreur de les télécharger toutes sur Pastebin, où elles étaient accessibles à toute personne disposant d’une connexion Internet.

La nature des données exposées est si diverse qu'elle peut vous faire tourner la tête. Le nom du fichier comprenait des noms d’utilisateur et des mots de passe en texte clair susceptibles de mettre la sécurité physique et en ligne d’Orvis sous une pression sérieuse s’ils tombaient entre de mauvaises mains.

Des identifiants de connexion étaient disponibles pour tous les systèmes, depuis les réseaux Wi-Fi aux serveurs dorsaux, aux produits antivirus et pare-feu, aux contrôles DNS, aux comptes FTP, Microsoft 365 et Active Directory, aux systèmes de paiement mobiles. Il y avait aussi des mots de passe pour les caméras de sécurité, les systèmes de batterie de secours, les contrôleurs de porte, ainsi que les codes de porte et d'alarme. Il y avait même une combinaison de coffre-fort dans l'une des salles de serveurs du détaillant.

Le fichier a été découvert pour la première fois par une équipe d'experts travaillant pour Hold Security et 4iQ, qui pensaient que la fuite de données résultait très probablement d'une erreur honnête. Qui a fait la dite erreur, cependant, et pourquoi ils ont eu accès à toute cette information reste inconnue. Une mention "Services techniques VT" peut être trouvée au début du fichier, mais à ce stade, sa signification reste inconnue.

Orvis dit que les choses ne sont pas aussi mauvaises qu'elles en ont l'air

Sans surprise, dès que Brian Krebs a eu vent de la fuite, il a appelé Orvis et lui a demandé de commenter. Un porte-parole n'a pas tardé à faire remarquer que le fichier accidentellement divulgué contenait plusieurs anciens mots de passe qui n'étaient plus actifs. Les informations d'identification les plus récentes ont déjà été invalidées et, selon le détaillant, le fichier exposé a été retiré quelques heures seulement après sa mise en ligne.

Les chercheurs en sécurité qui ont découvert la fuite ne sont pas du même avis. Ils disent que le fichier de mots de passe a été publié sur Pastebin non pas une fois mais deux fois, le 4 octobre et le 22 octobre.

Lorsque Brian Krebs a demandé à Orvis de confirmer ou d'infirmer ces résultats, le détaillant a bloqué ses courriels. Même si les responsables de la sécurité et des relations publiques de la boutique en ligne sont convaincus que les chercheurs ont tort et que le fichier était accessible pendant une période limitée, il ne s'agit pas de la réponse parfaite au lendemain d'un incident lié à l'exposition aux données des conséquences absolument dévastatrices pour les affaires d'Orvis.