Cyberattaque au ministère des Sciences, de l'Innovation et des Universités Fermeture temporaire de son siège électronique et fuite éventuelle de données

Le ministère des Sciences, de l'Innovation et des Universités a partiellement fermé son siège à la suite d'un « incident technique » qui maintient un certain nombre de services pour les citoyens, les universités et les chercheurs inopérants. Dans une déclaration publiée sur son propre site Web, le ministère explique que les procédures administratives en cours ont été suspendues et que des mesures seront prises pour protéger les droits des personnes concernées, sans prévoir les détails actuels sur la nature du problème. L'avis officiel peut être lu sur la page du ministère: http: / / www.ciencia.gob.es / fr / InfoGénéralPortal / Avis / fermeture _ temporaire _ siège social _ electronica.html.

Alors que les explications publiques restent effrayantes, une revendication de responsabilité a été faite dans les forums clandestins du réseau à un acteur qui signe comme "GordonFreeman", alias pris du célèbre jeu vidéo Half-Life. Selon cette publication, l'agresseur aurait exploité une vulnérabilité IDOR (Insecure Direct Object Reference) qui lui aurait permis d'obtenir des titres de compétence avec des privilèges administratifs et des renseignements sur les exfiltres. Le matériel filtré lui-même - des échantillons de dossiers personnels, d'adresses postales, de demandes d'enregistrement et de captures de documents officiels - a été montré comme «proof» dans ces espaces, bien que le forum où la publication est apparue ne soit plus accessible et, pour l'instant, les données n'ont pas été diffusées sur d'autres plateformes.

En ce qui concerne la véracité du matériel diffusé, les images et les documents visibles dans la publication ont une fin qui semble légitime, mais les médias et analystes indépendants soulignent que cette apparence seule ne prouve pas l'authenticité totale de l'intrusion. Les médias spécialisés dans la cybersécurité et la presse technologique ont recueilli les informations et continuent d'essayer de confirmer les faits avec des sources officielles et avec des sociétés de renseignement de sécurité enquêtant sur l'apparence du matériel. Parmi les signatures qui ont surveillé la publication de l'allégation de fuite figurent: KELA alors que les portails technologiques ont signalé le cas, mais pas confirmé toutes les fins.

La fermeture temporaire du siège électronique a également des effets administratifs spécifiques: le Ministère a annoncé que les délais de la procédure concernée en vertu de l'article 32 de la loi 39/2015 sur la procédure administrative commune seront prorogés. Le texte intégral de cette règle est disponible au Journal officiel de l'État pour toute personne souhaitant vérifier comment ces prorogations et autres garanties procédurales sont réglementées: https: / / www.boe.es / search / act.php? id = BOE-A-2015-10565.

Du point de vue technique, la référence à une vulnérabilité IDOR mérite une explication : ce sont des erreurs dans la validation des paramètres qui permettent à un attaquant d'accéder à d'autres ressources simplement en manipulant des identifiants dans une URL ou dans des requêtes internes. C'est un problème classique de contrôle d'accès qui, s'il est combiné à une configuration de privilège faible, peut entraîner un accès administratif. C'est pourquoi la défense contre ce type de menace passe par des contrôles d'accès robustes, une validation stricte dans le moteur, la segmentation des privilèges, des dossiers d'audit et des tests réguliers (tests) qui permettent de déceler et de corriger ces défaillances avant qu'elles ne soient exploitées.

L'impact possible de la base de données du ministère des Sciences a une dimension sensible: les systèmes gérés par ce département contiennent des informations personnelles et académiques de chercheurs, d'étudiants et d'universités, ainsi que des procédures administratives qui peuvent inclure dans certains cas des données spécialement protégées. Si l'intrusion est confirmée, les obligations en matière de déclaration et d'atténuation seront activées qui touchent à la fois le ministère lui-même et ceux dont les données pourraient avoir été compromises. En Espagne, l'Agence espagnole de protection des données est compétente pour surveiller ces incidents et pour guider les mesures à prendre; son site Web peut être consulté sur: https: / / www.aepd.es /.

Les autorités nationales de cybersécurité fournissent des ressources et des recommandations pour les incidents touchant les services publics. Des organismes tels que l'Institut national de la cybersécurité (INCIBE) et le Centre national de cryptologie (CCN-CERT) fournissent des guides pour la gestion technique des incidents et la protection des utilisateurs; leurs pages contiennent des conseils pratiques sur les contre-mesures et la communication en cas de fuite de données : https: / / www.incibe.es / et https: / / www.ccn-cert.cni.es /.

Bien que la portée réelle de l'incident soit clarifiée, il convient de maintenir la prudence : les autorités n'ont pas encore publié de rapport complet et n'ont pas confirmé publiquement tous les détails qu'elles diffusent sur le réseau. Certains médias espagnols ont déjà recueilli des déclarations liant la fermeture du siège électronique à une cyberattaque, mais les enquêtes internes et médico-légales prennent souvent du temps pour produire des conclusions finales. Un exemple de couverture d'information a récemment été publié par les médias nationaux : OKDiario qui inclut la version des sources ministérielles.

Pour les personnes et les organisations qui pourraient avoir été touchées, les recommandations pratiques immédiates sont simples et bien connues : examiner les communications officielles du Ministère, modifier les mots de passe qui peuvent être liés aux services publics, activer l'authentification de multiples facteurs dans la mesure du possible et étendre la mise en garde aux messages suspects qui tentent de tirer parti de la confusion pour commettre des fraudes (phishing). En outre, les entités publiques et privées devraient utiliser ces incidents pour examiner leurs inventaires d'exposition, leurs politiques d'accès, leurs plans de secours et d'intervention en cas d'incident.

C'est une tendance plus large: ces dernières années, nous avons assisté à des attaques contre des entreprises énergétiques, des administrations publiques et des plates-formes privées qui ont entraîné des fuites et des extorsions impliquant des risques de réputation et des coûts opérationnels et punitifs. Cette dynamique nécessite d'accélérer les investissements dans la cybersécurité dans le secteur public, en combinant les contrôles techniques avec la formation et les exercices et en établissant des processus de transparence et de communication pour protéger les citoyens sans créer d'alarme inutile.

Dans un tel cas, l'information officielle et vérifiée sera déterminante. À mesure que les enquêtes avancent, il est chargé de suivre les mises à jour publiées par le Ministère de la science lui-même et les communications des organismes de réglementation compétents. Nous surveillerons l'évolution de l'incident et toute notification confirmant l'étendue de l'intrusion, les mesures prises et les recommandations spécifiques pour les personnes touchées.