Un pirate a effacé les données de près de la moitié de toutes les bases de données MongoDB et les notes de rançon gauche derrière

Selon un rapport de ZDNet, si les propriétaires d'environ 23 000 bases de données MongoDB tentent d'accéder aux informations qu'ils contiennent, ils ne les trouveront pas. Au lieu de cela, tout ce qu'ils verront, c'est une note de rançon remplie, à première vue, au moins, de menaces assez graves.

L'attaque a été découverte par un chercheur de la Fondation GDI, Victor Gevers, et initialement, elle était beaucoup plus petite. Apparemment, dans un premier temps, le pirate informatique en charge a ciblé une seule installation MongoDB mal configurée. Ils entreraient et, sans toucher réellement aux données, laisseraient une note, affirmant que les informations ont été "sauvegardées" et que pour éviter qu'elles ne fuient dans le monde entier, le propriétaire doit payer 0,015 BTC ( environ 136 $) de rançon. C'était probablement la phase de test de l'attaque.

Un script automatisé a effacé les données de 47% de toutes les bases de données MongoDB

Victor Gevers a déclaré à ZDNet que le 30 juin, le même pirate a lancé un script automatisé qui a identifié 23 000 bases de données MongoDB vulnérables, les a compromises et a effacé les informations qu'elles contenaient. Le pirate a laissé une note de rançon qui exigeait la même rançon de 0,015 BTC pour la restauration des données.

L'attaque n'était pas particulièrement sophistiquée, mais son ampleur est certainement remarquable. Selon ZDNet, les 23 000 bases de données représentent 47% de tous les serveurs MongoDB dans le monde. Sur Twitter, un collectif de professionnels de la sécurité appelé Shadowserver a déclaré que 23 000 personnes étaient également assez proches du nombre de bases de données MongoDB accessibles sans aucune forme d'authentification.

Comme l'a souligné ZDNet, au moins certaines des bases de données effacées font partie d'environnements de test, mais il est sûr de supposer que beaucoup de données de production ont également été perdues, et ses propriétaires sont probablement assez désespérés pour les récupérer. Ceux qui, pour une raison ou une autre, n'ont pas de sauvegarde pourraient être tentés de payer la rançon. Après tout, compte tenu de la quantité d'informations précieuses pouvant être en jeu, 136 $ ne semble pas être une somme si énorme, et les dépenses serviront de rappel de l'importance de la protection par mot de passe. Avant de prendre leur chéquier, cependant, ils doivent garder à l'esprit qu'ils ne peuvent avoir aucune garantie qu'ils récupéreront leurs données. En général, les escrocs ne sont pas fiables, et nous ne devons pas oublier à quel point la quantité de données affectées pourrait être énorme. Il est peu probable que le pirate en ait une copie, donc avant de payer la rançon, les propriétaires de bases de données affectées qui n'ont pas de sauvegarde fonctionnelle devraient probablement y réfléchir à deux fois. Ceux qui ont des sauvegardes sont également confrontés à un certain dilemme.

L'attaquant menace de signaler aux autorités les violations des droits de l'homme commises par le RGPD

Si l'on en croit la note de rançon, les victimes n'ont pas beaucoup de temps pour réfléchir. L'attaquant dit que s'ils ne paient pas dans les 48 heures, toutes les données compromises seront divulguées pour que le monde puisse les voir. Ce n'est pas vraiment une tactique terriblement innovante. Habituellement, les cybercriminels utilisent des délais et des menaces pour amener leurs victimes à répondre aux demandes, et au cours des derniers mois, avertir les victimes de ransomwares que leurs données pourraient être vendues ou divulguées a été particulièrement populaire.

L'attaquant qui a effacé la moitié des bases de données MongoDB du monde l'a cependant poussé d'un cran. Selon la note de rançon, si la victime ne satisfait pas aux exigences, l'agresseur contactera les autorités chargées de faire respecter le règlement général de l'UE sur la protection des données (RGPD) et signalera les bases de données qui fuient. Un certain nombre de choses pourraient suggérer qu'il s'agit d'une menace creuse.

D'une part, comme nous l'avons déjà mentionné, il n'est pas clair si le pirate a une copie des données compromises, et même s'ils le font, s'ils veulent alerter les autorités, ils devront admettre qu'ils ont commis un crime, ce qu'ils ne veulent probablement pas faire. Dans l'ensemble, bien qu'ils devraient être tenus pour responsables de la mauvaise gestion des données des personnes, les victimes de cette attaque sont peu susceptibles d'être persécutées par l'UE.

J'espère qu'ils apprendront également leur leçon parce que l'incident est un rappel assez sombre de la quantité d'informations personnelles stockées de manière incorrecte. C'est aussi une illustration très réelle de la gravité des conséquences de tout cela.