TELUS Digital a confirmé hier avoir été victime d’un incident de cybersécurité après que le groupe de pirates ShinyHunters affirme avoir dérobé près d’un pétaoctet de données. L’entreprise canadienne, spécialisée dans les services numériques et l’impartition des processus d’affaires, indique avoir ouvert une enquête afin de déterminer l’ampleur réelle de l’intrusion et identifier les clients potentiellement touchés.

TELUS Digital est la division de services numériques et de BPO du groupe de télécommunications TELUS. L’entreprise fournit notamment des services de soutien à la clientèle, de modération de contenu, de gestion de données pour l’intelligence artificielle et d’opérations de centres d’appels pour des organisations partout dans le monde. Ce type de fournisseur constitue une cible de choix pour les cybercriminels, car il centralise souvent les données et les accès techniques de nombreux clients.

Dans un communiqué transmis aux médias spécialisés, TELUS Digital indique enquêter sur « un incident de cybersécurité impliquant un accès non autorisé à un nombre limité de systèmes ». L’entreprise affirme avoir pris immédiatement des mesures pour sécuriser son environnement informatique et prévenir toute intrusion supplémentaire. Elle précise également que ses activités commerciales continuent normalement et qu’aucune interruption de service pour les clients n’a été observée.

Le groupe ShinyHunters, actif depuis 2020 et connu pour plusieurs fuites de données importantes, affirme être à l’origine de l’attaque. Selon leurs déclarations, l’opération aurait permis de récupérer une quantité massive d’informations provenant à la fois de TELUS Digital et de plusieurs de ses clients qui utilisent ses services d’impartition. Les pirates évoquent un volume dépassant un pétaoctet de données. L’entreprise n’a pas confirmé ce chiffre lorsqu’elle a été interrogée.

Selon les informations publiées par le site spécialisé Bleeping Computer, les pirates auraient réussi à accéder aux systèmes en utilisant des identifiants liés à Google Cloud Platform découverts dans des données issues d’une précédente fuite touchant la plateforme Salesloft Drift. Dans cette fuite antérieure, des données de support client de centaines d’entreprises avaient été exposées, incluant parfois des identifiants ou des jetons d’authentification.

Les attaquants affirment avoir utilisé ces accès pour entrer dans l’environnement infonuagique de TELUS Digital, notamment dans une importante base de données BigQuery. Ils expliquent ensuite avoir analysé les données récupérées afin de trouver d’autres identifiants qui leur auraient permis d’accéder à d’autres systèmes internes et d’étendre progressivement leur présence.

Les données qui auraient été récupérées seraient très variées. Elles concerneraient notamment les services de soutien à la clientèle, les opérations de centres d’appels, les évaluations de performance des agents, les outils d’assistance client alimentés par l’intelligence artificielle, les solutions de détection de fraude et certaines opérations de modération de contenu.

Les pirates affirment également avoir obtenu d’autres informations sensibles, comme du code source, des données financières, des informations provenant de Salesforce, des vérifications d’antécédents et des enregistrements audio d’appels de soutien technique. Certaines données concerneraient aussi les services de télécommunications de TELUS, incluant des métadonnées d’appels détaillant l’heure, la durée, les numéros impliqués et des indicateurs de qualité des communications.

Le groupe ShinyHunters aurait tenté d’extorquer l’entreprise en février, réclamant environ 65 millions de dollars pour ne pas publier les données. Selon les informations rapportées par Bleeping Computer, TELUS n’aurait pas donné suite à ces demandes.

Pour plusieurs experts, ce type d’attaque reflète une évolution des méthodes utilisées par les cybercriminels. Fritz Jean-Louis, conseiller principal en cybersécurité chez Info-Tech Research Group, explique que l’incident ne ressemble pas à une intrusion classique exploitant une faille technique. Selon lui, les éléments publics de l’affaire suggèrent plutôt un scénario où les attaquants ont exploité des accès légitimes pour se fondre dans les systèmes. « Les cybercriminels n’ont plus nécessairement besoin de forcer l’entrée s’ils peuvent se faire passer pour des utilisateurs autorisés », explique-t-il.

Les caractéristiques observées dans cette attaque, notamment une présence prolongée dans les systèmes, le volume important de données récupérées et la détection tardive, correspondent selon lui à une nouvelle génération d’opérations de vol de données. Celles-ci reposent souvent sur plusieurs étapes : maintien discret d’un accès grâce à des identifiants valides, déplacement latéral entre les systèmes internes, préparation progressive des données et exfiltration dissimulée dans du trafic chiffré normal.

Pour Jean-Louis, l’attaque contre TELUS Digital ne relève pas d’un simple ransomware opportuniste. Il parle plutôt d’une opération « stratégique, disciplinée et optimisée pour maximiser l’effet de levier lors de l’extorsion ». Selon lui, ces attaques révèlent une faiblesse persistante dans de nombreuses organisations : elles détectent plus facilement les comportements clairement malveillants que les activités suspectes menées avec des accès légitimes.

L’expert souligne également plusieurs priorités pour les entreprises. Il recommande notamment de considérer l’identité numérique comme la nouvelle frontière de sécurité, de généraliser l’authentification multifactorielle, de surveiller étroitement les accès aux données sensibles et de mettre en place des alertes pour détecter les accès massifs ou inhabituels. Il insiste aussi sur l’importance de segmenter les environnements informatiques afin de limiter les déplacements latéraux des attaquants. Une fois qu’un pirate peut circuler librement entre les systèmes, l’ampleur des données accessibles peut rapidement devenir considérable.

Pour TELUS Digital, l’enquête se poursuit. L’entreprise indique collaborer avec des spécialistes en criminalistique informatique et avec les autorités afin de déterminer précisément ce qui a été compromis. Elle affirme également avoir renforcé ses mesures de sécurité et s’engage à informer les clients concernés si des données les impliquant ont été exposées. L’ampleur réelle de la fuite et la nature exacte des données compromises restent donc à confirmer à mesure que l’enquête progresse.

Source : Bleeping computer, CSO online

******

Du lundi au vendredi, Bruno Guglielminetti vous propose un regard sur l’essentiel de l’actualité numérique avec 120 secondes de Tech.

Ou encore…

Écoutez la plus récente édition de Mon Carnet,
le magazine hebdomadaire de l’actualité numérique.