La Commission européenne subit une cyberattaque contre l’infrastructure cloud d’Europa.eu

Ce qui s’est passé

La Commission européenne a signalé une cyberattaque contre une infrastructure cloud hébergeant la plateforme web Europa.eu. Les premières conclusions faisaient état d’une extraction de données des sites touchés, sans compromission des systèmes internes de la Commission, selon Reuters.

L’attaque s’est limitée à l’infrastructure hébergeant le site web public, ce qui laisse penser que la séparation entre ces services et les réseaux internes de l’institution a bien joué son rôle en limitant la portée de l’incident.

Ce que cela signifie pour une entreprise de taille moyenne

De nombreuses organisations hébergent leur site web institutionnel, leurs formulaires ou leurs portails clients dans le même environnement que leur réseau interne, ou utilisent les mêmes identifiants pour y accéder. Ce cas montre l’intérêt de maintenir cette séparation: une attaque contre un service accessible au public ne compromet pas nécessairement les systèmes critiques si ceux-ci sont correctement isolés.

Il illustre également un principe de conception: tout service exposé à internet doit être considéré comme susceptible d’être compromis à un moment donné, et l’architecture doit limiter les ressources auxquelles cette compromission permettrait d’accéder.

Les points à vérifier

Mesures permettant de limiter le périmètre d’impact d’une attaque contre des services accessibles au public:

• Si le site web institutionnel et les portails publics sont isolés du réseau interne et des systèmes de gestion par une segmentation réseau.
• S’ils utilisent des identifiants et des identités indépendants des comptes d’administration internes.
• Si l’hébergement cloud de ces services dispose de sauvegardes et d’un plan de restauration testé.
• Si un plan de communication est prévu en cas d’incident touchant un service accessible au public et destiné aux clients.

Questions fréquentes

¿Les systèmes internes de la Commission ont-ils été touchés?

Selon les premières conclusions citées par Reuters, non; l’incident s’est limité à l’infrastructure cloud qui hébergeait la plateforme web Europa.

¿Quels types de données ont été touchés?

Les premières conclusions faisaient état d’une extraction de données depuis les sites touchés, sans autre détail public disponible sur son ampleur.

¿Quel enseignement peut en tirer une entreprise qui n’est pas une institution publique?

Séparer les services accessibles au public des réseaux internes et utiliser des identités indépendantes permet de limiter l’impact en cas de compromission de l’un de ces services.