Schneider Electric touché par le ransomware Cactus, plusieurs téraoctets de données volés

Schneider Electric, fleuron national des solutions numériques d’énergie et d’automatisation industrielle, a confirmé avoir été touché mercredi 17 janvier par un ransomware, après des révélations du média BleepingComputer. La cyberattaque a notamment perturbé une partie de la plateforme cloud Resource Advisor, dont le fonctionnement n’est pas encore totalement rétabli.

DHL, PepsiCo et Walmart parmi les clients de la division touchée

Les pirates, qui appartiennent au gang Cactus, ont revendiqué l’opération. Ils auraient dérobé plusieurs téraoctets de données d’entreprise, et menacent désormais de faire fuiter les données volées en cas de non-paiement d’une rançon. Le vol de données se limite toutefois à la division “Sustainability Business” de la multinationale, qui conseille les entreprises sur des solutions concernant les énergies renouvelables et leur fournit une aide juridique. Le gang de ransomware pourrait ainsi détenir des informations sensibles sur les systèmes de contrôle et d’automatisation utilisés par les clients, leur utilisation d’énergie ou leur respect des réglementations sur l’environnement.

Bien que les données volées n’aient pas été dévoilées, la division “Sustainability Business” compte de gros poids lourds parmi ses clients : le leader mondial de la logistique DHL, la société américaine d’impression Lexmark, le géant de l’agroalimentaire PepsiCo ou encore le spécialiste de la grande distribution Walmart. “Les équipes testent les capacités opérationnelles des systèmes touchés, en espérant que l’accès sera rétabli dans les deux prochains jours ouvrables”, a expliqué Schneider Electric dans un communiqué adresse à BleepingComputer. Elle affirme également que la division touchée est une “entité autonome exploitant une infrastructure réseau isolée”.

Les systèmes utilisant des VPN particulièrement vulnérables

Le ransomware Cactus a été identifié en mars 2023. Il agit en s’introduisant dans un système VPN, via l’utilisation d’un compte de service. Une fois déployé sur un réseau, il recherche des fichiers et lance une opération de chiffrement tout en volant les données. En se chiffrant lui-même, le rançongiciel parvient ainsi à ne pas être repéré par les antivirus. Odalys, l’un des leaders de l’hébergement touristique en France, a par exemple été visée par le ransomware Cactus le 29 novembre dernier.

En juin 2023, Schneider Electric avait déjà été ciblée dans l’attaque du groupe de hackers russes Clop contre le logiciel de transfert de fichiers MOVEit. Une cyberattaque ayant impacté 2 700 entreprises et près de 85 millions de personnes.