Le 19 octobre, Arcadia a publié une chronologie détaillée d’une intrusion dans ses services d’alerte et de communication d’urgence, notamment SpeeCAN RAIDEN. Un article d’ITmedia publié le 20 octobre rapporte que l’activité malveillante a duré environ 105 heures entre le début de l’accès, le 11 octobre, et le rétablissement complet annoncé le 15 octobre. Arcadia estime que des coordonnées ont pu être exposées et indique qu’un programme malveillant a envoyé plus de 1,4 million d’e-mails.
SpeeCAN RAIDEN sert notamment à diffuser des informations municipales par e-mail, téléphone ou fax. Des collectivités ont suspendu ou signalé l’indisponibilité de certains canaux. L’incident est donc à la fois une question de données personnelles, d’accès techniques et de continuité des communications publiques.
Une intrusion amorcée par un serveur de fichiers
Selon la chronologie publiée par Arcadia et rapportée par ITmedia, l’activité a commencé le 11 octobre au matin. L’attaquant a exploré plusieurs fonctions d’un serveur utilisé pour publier des pièces jointes. Une faille de traversée de répertoires permettait d’accéder à une adresse interne et à des fichiers qui n’étaient pas destinés à être publiés.
Un fichier de configuration récupéré contenait une clé secrète utilisée pour les connexions entre services. L’attaquant s’en est servi pour poursuivre ses essais de connexion et consulter des informations internes. La chronologie décrit une vulnérabilité et un secret exposé dans un fichier; elle ne permet pas d’affirmer que les mots de passe des usagers ont été volés.
Détection tardive, puis envoi massif d’e-mails
Arcadia situe la première détection le 11 octobre à 23 h 40, environ 17 heures après les premières tentatives décrites. L’opérateur a bloqué la voie d’accès dans la nuit, mais une porte dérobée est restée présente. Le 13 octobre, un programme malveillant a commencé à envoyer des messages par vagues; Arcadia en compte 1 423 428.
La société soupçonne une campagne d’hameçonnage. Le volume observé est confirmé par le compte rendu de l’incident, mais les sources ne disent pas que chaque destinataire a été victime d’une fraude. Les messages frauduleux ne doivent pas être confondus avec les alertes d’urgence habituelles envoyées par les collectivités.
Des coordonnées potentiellement exposées
Arcadia estime que les données susceptibles d’être concernées dans SpeeCAN RAIDEN comprennent jusqu’à 3,136 millions d’adresses e-mail, 105 000 numéros de téléphone et 15 000 numéros de fax. L’entreprise signale aussi des données dans NET119 et 119RAIDEN, telles que des noms, dates de naissance, adresses, coordonnées et informations saisies lors de l’inscription. Ce sont des estimations de périmètre, pas la confirmation que chaque élément a été extrait.
Des collectivités ont prévenu leurs habitants et suspendu certains services le temps de vérifier la situation. La ville de Yokohama, par exemple, a indiqué que son système d’information d’urgence avait été arrêté. Les personnes inscrites à ces services doivent suivre les consignes de leur mairie et se méfier des messages inattendus utilisant des informations locales pour sembler crédibles.
Une indisponibilité qui touche aussi les communications locales
L’opérateur indique que l’ensemble des services a été rétabli le 15 octobre, environ 105 heures après le début de l’intrusion. La chronologie d’ITmedia précise que le changement de mot de passe d’une base de données a aussi causé des dysfonctionnements temporaires chez certains clients, notamment des échecs de relais d’informations incendie ou d’appels téléphoniques automatisés.
La reprise technique ne signifie pas que chaque collectivité a immédiatement repris tous ses usages. Les habitants doivent vérifier les avis publiés par leur municipalité et connaître les moyens alternatifs d’obtenir des alertes météo, d’évacuation ou de sécurité lorsque le canal habituel est suspendu.
Ce que les collectivités et opérateurs peuvent retenir
Arcadia indique avoir bloqué l’accès identifié, examiné ses services et prévu des diagnostics externes ainsi qu’une investigation spécialisée. Le compte rendu décrit également la réinitialisation de secrets et l’étude d’une authentification renforcée. Ces mesures sont propres à la réponse d’Arcadia; elles ne remplacent pas le contrôle des comptes et systèmes chez les collectivités clientes.
Pour les opérateurs de services publics, le cas souligne l’importance de protéger les fichiers de configuration, de séparer les secrets entre services et d’éviter qu’un serveur de pièces jointes puisse atteindre des ressources internes. Il faut aussi préparer des canaux de communication de secours et vérifier qu’un arrêt d’urgence ne bloque pas les informations essentielles aux habitants.
Le lien avec Soclyde
Soclyde aide une équipe à stocker et partager de manière chiffrée les secrets humains utilisés pour accéder à ses outils. Cela peut structurer les mots de passe d’une petite équipe, mais ne protège pas les clés de service intégrées à une application, ne corrige pas une faille de traversée de répertoires et ne garantit pas la disponibilité d’un système d’alerte.
Les secrets techniques doivent être gérés dans les environnements de développement et d’exploitation concernés, avec rotation et surveillance adaptées. Découvrez les fonctionnalités de Soclyde pour le périmètre de gestion des identifiants humains.
À retenir
L’incident Arcadia associe une faille sur un serveur de fichiers, une clé de service récupérée, des données potentiellement exposées et un envoi massif d’e-mails frauduleux. La société annonce le rétablissement des services, mais poursuit l’analyse des données concernées. Les abonnés doivent consulter les informations de leur collectivité et traiter avec prudence les messages inattendus.
Les organisations qui utilisent des prestataires devraient examiner les secrets, droits et procédures de secours liés à ces services. Pour les comptes d’équipe, notre guide de politique de mots de passe pour PME complète les mesures techniques à mener sur les plateformes concernées.
