LexisNexis dans l'œil de l'ouragan par filtration qui expose les données historiques et les pannes de nuages

La société américaine LexisNexis Legal & Professional - connue pour fournir des informations, des outils de recherche et d'analyse aux bureaux, entreprises, gouvernements et universités du monde entier - a confirmé l'accès non autorisé à une partie de ses serveurs, selon un journaliste spécialisé. L'incident est apparu après qu'un acteur appelé FulcrumSec a publié un renversement d'environ 2 Go dans les forums et les sites du réseau souterrain, attribué à l'exfiltration de données hébergées dans l'infrastructure de l'entreprise.

L'entreprise reconnaît l'intrusion, mais s'assure que les informations qu'elle contient correspondent principalement à des données héritées et non à des données actives sensibles. La communication LexisNexis fournie aux médias indique que les fichiers touchés contenaient des dossiers et des fichiers pré-2020, avec des éléments tels que les noms des clients, les identifiants d'utilisateur, les contacts commerciaux, les sondages et les tickets d'assistance. Selon l'entreprise, il n'y a pas d'enregistrement de l'engagement des numéros de sécurité sociale, des données financières, des mots de passe actifs, des recherches auprès des clients ou des dossiers ou contrats existants.

D'autre part, le groupe FulcrumSec a publié des détails techniques sur l'opération et l'ampleur de ce qu'il prétend avoir été obtenu. Dans leur annonce, ils mentionnent avoir exfiltré "2.04 Go" de données structurées et décrire l'accès aux instances de Redshift, de nombreuses tables de base de données VPC, les secrets de AWS Secrets Manager en texte plat, des millions d'enregistrements et des dizaines de milliers de comptes clients, ainsi que des cartes d'infrastructure cloud et des hachages de mots de passe employés. Ils affirment également que parmi les profils qui ont été supprimés, il y avait plus d'une centaine d'adresses de domaine .gov, y compris des comptes liés à des employés fédéraux, des membres de la magistrature et du personnel d'organismes comme le ministère de la Justice et la SEC.

Selon le compte de l'attaquant, l'écart est dû à l'exploitation d'une vulnérabilité dans une application frontale basée sur React qui n'avait pas été corrigée, ce qui aurait permis d'accéder à une tâche de conteneur avec la permission d'interagir avec l'infrastructure AWS. Cette description met en évidence une chaîne d'échecs : de l'absence de mise à jour logicielle à un rôle de nuage excessif permet, ce qui peut transformer une vulnérabilité apparemment « côté client » en un chemin d'entrée vers des données organisationnelles critiques.

L'architecture cloud nécessite des contrôles de sécurité rigides et le principe du privilège minimum. Lorsqu'une tâche de conteneur (le rôle de tâche ECS dans AWS) dispose d'autorisations étendues pour lire des secrets ou gérer des bases de données, une opération d'une application déployée peut rapidement atteindre des engagements plus profonds. Le SSFE fournit de la documentation sur les pratiques exemplaires en matière de rôles des tâches et de gestion secrète qui aident à atténuer ces risques; il est utile de l'examiner pour comprendre les mesures de réduction d'impact dans des environnements semblables ( les rôles des tâches dans le SCE, AWS Secrets Manager, Amazon Redshift).

LexisNexis a informé les forces de sécurité, engagé des experts externes en cybersécurité pour la recherche et le confinement, et a signalé la situation aux clients actuels et anciens. Dans sa réponse publique, l'entreprise souligne que, selon ses enquêtes, l'intrusion a été contenue et qu'il n'y a eu aucune incidence sur les produits et services utilisés. Pendant ce temps, le groupe qui a publié les données a spécifiquement critiqué les pratiques d'accès et permis dans le compte AWS qui, selon sa version, a permis la lecture de secrets critiques à partir d'une seule tâche dans les conteneurs.

Pour les individus et les organisations qui peuvent être impliqués, la première recommandation est d'agir avec prudence : bien que LexisNexis affirme que les éléments sensibles n'ont pas été affectés, la présence d'adresses .gov et de données de contact implique un risque de réputation et opérationnel. Il convient de renforcer la surveillance des tentatives d'hameçonnage ciblées, de surveiller l'accès inhabituel aux comptes connexes et, le cas échéant, de forcer la restauration des anciennes références, d'activer l'authentification multifactorielle et de revoir les autorisations et les alertes dans les services cloud.

Cet épisode illustre également une leçon plus large sur les fournisseurs de données et les modèles de confiance. Les entreprises qui ajoutent des informations et les mettent à la disposition de tiers deviennent des cibles attrayantes pour les agresseurs: une fuite peut affecter les clients, les employés et les tiers liés par une chaîne d'utilisation. C'est pourquoi il est essentiel pour les fournisseurs de mettre en œuvre des politiques de sécurité à cycle complet: les applications basées sur le Web augmentent, mises à jour urgentes des vulnérabilités, segmentation du réseau, rotation et chiffrement strict des secrets, et des audits réguliers des autorisations de cloud. Les organismes publics de cybersécurité rappellent l'importance de ces mesures et offrent des guides et des ressources pour la gestion des risques dans des environnements connectés ( CISA).

L'incident ne vient pas dans le vide pour LexisNexis: l'année précédente, la société a signalé une autre intrusion qui a affecté des centaines de milliers de clients. Pour ses utilisateurs et pour toute organisation dépendante de fournisseurs extérieurs, l'accumulation d'épisodes similaires souligne la nécessité d'exiger la transparence, des contrôles de sécurité contractuels et des tests de résilience réguliers. Les fournisseurs devraient être en mesure de démontrer non seulement qu'ils détectent les incidents et y réagissent, mais aussi qu'ils réduisent au minimum la possibilité qu'une défaillance d'une composante permette de compromettre les données essentielles.

Pour ceux qui veulent approfondir la couverture journalistique de cet événement, les premiers rapports qui ont suivi l'histoire et qui reflètent à la fois la confirmation de LexisNexis et la publication du groupe qui a reçu l'intrusion se trouvent dans les médias spécialisés de sécurité, comme Calculateur. De plus, l'examen de la documentation technique des fournisseurs de cloud peut aider à comprendre les vecteurs qui facilitent souvent de tels incidents et les mesures spécifiques pour les atténuer.

En bref, bien que l'entreprise tente de se rassurer que les données engagées sont pour la plupart historiques et ne contiennent pas d'informations financières ou de mots de passe actifs, la publication des documents par des tiers et les allégations concernant la portée et les profils concernés exigent que l'attention soit maintenue. Dans le domaine de la cybersécurité, la prudence et l'action proactive restent les meilleures défenses pour la possibilité que des données apparemment « sans danger » deviennent des leviers pour des attaques plus sophistiquées.