iRhythm victime d’extorsion après une attaque par ingénierie sociale visant des applications tierces

Ce qui s’est passé

iRhythm a indiqué qu’un acteur malveillant avait accédé par ingénierie sociale à des applications métier hébergées par des tiers et obtenu des informations potentiellement sensibles. Après cet accès, l’entreprise a reçu une demande de paiement, selon les informations rapportées par Reuters dans son panorama des attaques récentes contre des entreprises américaines.

L’attaque n’a pas compromis l’infrastructure interne de iRhythm, mais des applications cloud gérées par des prestataires externes auxquels l’entreprise confiait une partie de ses données.

Les enseignements pour les entreprises qui dépendent d’applications tierces

De plus en plus de fonctions critiques reposent sur des applications hébergées en dehors de l’organisation: gestion, ressources humaines, service client. La sécurité de ces données dépend autant du prestataire que de la manière dont l’entreprise gère ses propres accès à ces outils.

Le fait que l’extorsion soit intervenue après l’accès confirme un schéma courant: les attaquants obtiennent d’abord les informations puis exercent une pression financière sur la victime en menaçant de les divulguer.

Les points à vérifier

Contrôles pertinents pour les applications tierces contenant des données sensibles:

• Inventaire des applications cloud utilisées et des types de données qu’elles traitent.
• Authentification à deux facteurs et vérification renforcée lors de l’accès à ces applications, notamment si elles traitent des données de santé.
• Clauses contractuelles avec le prestataire concernant la notification des incidents et la réponse à y apporter.
• Plan d’action convenu à l’avance en cas de tentative d’extorsion, sans décisions improvisées.

Questions fréquentes

¿Comment les attaquants ont-ils obtenu cet accès?

Par ingénierie sociale ciblant des applications métier hébergées par des tiers, selon iRhythm.

¿Que s’est-il passé après cet accès?

L’entreprise a reçu une demande de paiement de la part des attaquants.

¿Le risque est-il différent si les données sont hébergées dans le cloud d’un prestataire?

Le risque change de forme, pas de fond: le contrôle des accès, la surveillance et un plan de réponse convenu avec le prestataire restent nécessaires.