Les piratages Snowflake : 165 organisations exposées par de vieux mots de passe volés

En 2024, des attaquants ont accédé aux données d’entreprises comme Ticketmaster et Santander stockées sur Snowflake, une plateforme cloud. Snowflake lui-même n’a pas été piraté : les attaquants ont utilisé des identifiants volés sur des comptes sans double authentification.

Au printemps 2024, un groupe criminel a mis en vente des données de Ticketmaster et de Santander, en affirmant qu’elles venaient de Snowflake, une plateforme de données cloud utilisée par des milliers d’entreprises. L’enquête, menée par Mandiant et Snowflake, a révélé une histoire plus simple.

Ce qui s’est passé

• Le groupe, suivi sous le nom UNC5537, a utilisé de vrais identifiants et mots de passe volés à des employés des clients.
• Ces identifiants avaient été collectés par des logiciels espions sur des ordinateurs extérieurs à Snowflake, certaines infections remontant à 2020.
• Environ 165 organisations ont été prévenues qu’elles étaient potentiellement touchées, dont Ticketmaster, Santander, Advance Auto Parts et le district scolaire de Los Angeles.
• Selon les enquêteurs, la plateforme de Snowflake elle-même n’a pas été compromise.

Trois faiblesses évitables

• Les comptes touchés n’avaient pas de double authentification.
• Des mots de passe volés des années plus tôt n’avaient jamais été changés.
• Les accès n’étaient pas limités à des réseaux ou des lieux de confiance.

Pourquoi cela concerne toutes les entreprises

Le même schéma s’applique à une messagerie, à un panneau d’hébergement ou à l’administration d’un site. Un mot de passe volé sur un ordinateur personnel peut ouvrir un compte professionnel des années plus tard si rien d’autre ne le protège.

Ce qu’il faut faire

• Activer la double authentification sur chaque service cloud, en commençant par ceux qui contiennent des données clients.
• Changer régulièrement les mots de passe des comptes critiques, et immédiatement après une infection suspectée.
• Limiter les accès d’administration par lieu ou par réseau quand le service le permet.
• Supprimer les comptes des personnes qui ne travaillent plus avec vous.

Un vieux mot de passe volé reste une clé valide tant que l’on n’a pas changé la serrure.

Sources : Mandiant, Dark Reading, Cybersecurity Dive, juin 2024.

Vous voulez une administration de site protégée par double authentification ? Décrivez votre projet dans notre formulaire d’estimation : nous vous répondons avec une estimation adaptée et les prochaines étapes.