Le 20 octobre, NEC a révélé qu’un sous-traitant chargé de développer et maintenir des systèmes avait été attaqué fin septembre. Des identifiants de comptes légitimes volés lors de cette attaque ont ensuite servi à accéder aux environnements de plusieurs clients depuis les terminaux du prestataire. NEC confirme que des fichiers sur des serveurs clients ont été chiffrés, rendant certains systèmes indisponibles, et que des fichiers stockés dans un espace cloud de partage ont fuité.
L’entreprise n’a pas nommé le sous-traitant ni les clients touchés. Elle n’a pas encore précisé les données personnelles concernées ou le nombre de personnes exposées. Ce que l’avis établit déjà est important pour toute organisation qui confie des opérations de maintenance à un tiers : l’accès de ce tiers peut relier son propre environnement à ceux de ses clients.
Ce que NEC a confirmé
L’attaque initiale a visé une entreprise qui réalisait des travaux de développement et de maintenance pour NEC. Selon le communiqué, des identifiants de comptes légitimes ont été dérobés, puis utilisés depuis les terminaux du prestataire pour se connecter aux systèmes de plusieurs clients de NEC.
Dans ces environnements clients, des fichiers présents sur les serveurs ont été chiffrés et divers systèmes sont devenus inutilisables. NEC a également confirmé la fuite de fichiers dans un espace cloud utilisé pour partager des informations entre NEC, ses clients, le sous-traitant et d’autres parties. Ces fichiers contenaient des informations personnelles détenues par des clients ainsi que des données relatives aux systèmes.
Ce qui reste inconnu
NEC indique avoir déjà contacté plusieurs clients touchés, mais n’a pas rendu publics leurs noms ni leur nombre. L’entreprise n’a pas détaillé la nature des données personnelles, le nombre de personnes concernées, l’étendue des systèmes indisponibles ou leur état de rétablissement.
Le communiqué ne précise pas non plus quels comptes ou quels mécanismes de connexion ont été utilisés, ni quelles permissions ils détenaient. Il ne permet donc pas d’affirmer que des mots de passe clients ont fuité ou que tous les systèmes confiés au prestataire ont été consultés. NEC dit poursuivre l’analyse et prévoit de transmettre aux clients les détails connus sur leurs données.
Pourquoi les accès de maintenance comptent
Un compte fourni à un prestataire peut accéder à plusieurs environnements pour des opérations légitimes. Si ce compte est compromis, le risque dépend des systèmes accessibles, des droits accordés et des traces conservées. Dans le cas de NEC, le communiqué établit qu’un accès obtenu depuis des terminaux du sous-traitant a servi à atteindre des environnements clients, mais ne décrit pas les protections ou les droits techniques en place.
CISA recommande aux organisations clientes de vérifier les pratiques de sécurité de leurs prestataires et de limiter leurs accès aux ressources nécessaires à leurs missions. L’agence conseille aussi de formaliser les exigences de sécurité dans les contrats et de surveiller les accès distants. Ces pratiques sont des mesures de réduction du risque, pas la preuve qu’elles auraient empêché cet incident précis.
Les vérifications utiles pour une entreprise
Établissez la liste des prestataires capables de se connecter à vos systèmes, des comptes qu’ils utilisent et des applications auxquelles ces comptes donnent accès. Vérifiez que chaque accès correspond encore à un besoin précis, qu’il est limité aux ressources nécessaires et qu’une authentification multifacteur est activée lorsqu’elle est disponible.
Assurez-vous que les connexions distantes et les changements d’autorisations sont consignés et que les journaux peuvent être consultés en cas d’alerte. Prévoyez dans vos procédures qui peut suspendre l’accès d’un fournisseur, comment préserver les journaux et qui doit être informé. Si vous êtes client de NEC et avez reçu une notification, demandez à l’interlocuteur désigné quels systèmes et quelles données sont concernés dans votre cas; les informations publiées à ce jour ne permettent pas de déterminer votre exposition individuelle.
Le lien avec Soclyde
Les comptes et secrets partagés avec des prestataires doivent être identifiables, uniques et accessibles seulement aux personnes qui en ont besoin. Soclyde aide une équipe à conserver des identifiants professionnels dans un coffre chiffré et à partager les accès nécessaires avec les bonnes personnes.
Soclyde ne contrôle pas les terminaux d’un prestataire, ne limite pas ses permissions dans les systèmes clients et ne détecte pas une connexion non autorisée. Ces contrôles doivent être configurés dans les services concernés et suivis par l’organisation et ses fournisseurs.
À retenir
L’incident annoncé par NEC montre le chemin possible entre un compte de maintenance compromis chez un sous-traitant et les systèmes de plusieurs clients. Le détail des victimes et des données exposées reste à confirmer. Pour votre organisation, la première étape est de connaître les accès tiers actifs, leurs permissions et les journaux disponibles. Notre guide pour partager des mots de passe en équipe complète cette revue pour les identifiants gérés par votre équipe.
