L'Anssi alerte sur les exfiltrations de données dans le secteur des télécommunications

Le Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques (CERT-FR), un organisme porté par la sous-direction des opérations de l'Agence nationale de la sécurité des systèmes d'information (Anssi), a publié le 18 décembre un document sur l'état de la menace dans le secteur des télécommunications. En l'espace de trois ans, il rapporte avoir été informé de plus de 150 événements de sécurité, dont près de 50 ont été traités par ses soins. Les deux tiers ont touché des entreprises stratégiques du secteur, dont une très grande part d'opérateurs régulés. 

Comme l'explique l'autorité française, "la préoccupation majeure [de ce secteur] est la disponibilité de leurs services, parfois au détriment de la confidentialité des données et de l'intégrité des systèmes d'information". Or, les cybercriminels ont une appétence particulière pour les données transitant par le secteur des télécommunications, allant des opérateurs de communications électroniques (OCE) aux équipementiers passant par les hébergeurs web ou les points d'interconnexion Internet. En effet, ces données peuvent contenir des informations particulièrement intéressantes pour être revendues ultérieurement à des fins lucratives mais également d'espionnage.

L'espionnage, la menace la plus préoccupante

L'attaque à finalité d'espionnage est d'ailleurs "la menace la plus préoccupante", juge l'agence. Ces opérations, ajoute-t-elle, portent d'abord sur l'exfiltration de données, "traitées en masse par les entités du secteur". Il s'agit de données de clients des services de télécommunications ou des données internes des opérateurs. Ces attaques sont liées "aux intérêts stratégiques chinois et iraniens" même si les analyses montrent que le secteur fait régulièrement l'objet de ciblage "par des acteurs stratégiques plus divers". 

Le document rapporte également des attaques menées à des fins lucratives. Dans ce cas, les criminels ont comme objectif de revendre les données des clients ; les opérateurs de téléphonie fixe et mobile traitant une grande quantité de données financières et personnelles de leurs clients. "Ces données peuvent servir à pratiquer de l'hameçonnage ciblé ou des anarques de tous types", détaille l'Anssi. Elle alerte en particulier sur le SIM Swapping, pratique visant à usurper l'identité des clients via la portabilité des numéros mobiles et contourner l'authentification à double facteur lors d'achats. Considérées comme particulièrement graves, ces exfiltrations de données ont obligé les opérateurs dans certains cas à remplacer l'ensemble des cartes SIM de leurs clients, relève l'autorité cyber. 

Attention aux employés de filiales et prestataires

Le document cite aussi les données dont ont accès les employés des opérateurs de télécommunications. Ce qui peut représenter "une menace interne en cas d'utilisation malveillante de celles-ci ou de leurs accès techniques au sein d'une entreprise". C'est également "le cas des employés de filiales ou prestataires de ces opérateurs qui peuvent avoir des accès privilégiés aux systèmes d'information des opérateurs". 

Autre menace, celle de la déstabilisation. Comme l'explique l'Anssi, le besoin de disponibilité constante des réseaux de télécommunications entraîne "une vulnérabilité particulière du secteur de ces attaques". Certaines attaques peuvent entraîner la publication de données. Ce fut notamment le cas de l'opérateur britannique Lycamobile qui en novembre 2019 a été ciblé par la branche italienne "des hacktivistes d’Anonymous et de LulzSecITA". Ils ont exfiltré et publié des données d'identité, de téléphonie et de cartes de crédit "dans le but affiché de dénoncer le manque de transparence de l'entreprise". 

Une liste de recommandations

Compte tenu de ces menaces, l'Anssi propose une liste de recommandations afin de "bâtir une défense et se prémunir des menaces". Ainsi, elle recommande de communiquer de manière régulière avec les administrateurs, les exploitants, les prestataires et les collaborateurs traitant des données clients. Aussi, il est préconisé de mettre en place des exercices adaptés pour accroître la vigilance des utilisateurs, des administrateurs et des exploitants. Côté technique, l'Anssi recommande de déployer une passerelle Internet sécurisée ainsi que de segmenter et filtrer le système d'information en "plusieurs zones de sécurité homogènes".