Orange dans la tourmente après que deux cyberattaques en juillet ont fait fuiter des données

Fin juillet, alors qu'il avait signalé avoir été victime d'une cyberattaque, l'opérateur de télécommunications français Orange avait affirmé qu'à ce moment-là, "aucun élément ne laiss[ait] penser que des données de nos clients ou d'Orange auraient été exfiltrées". Une affirmation qui s'est révélée erronée, quelques semaines plus tard, puisque des données de clients ont bel et bien été collectées par un groupe cybercriminel et publiées sur Internet, comme l'a rapporté l'agence de presse américaine Bloomberg, vendredi 22 août.

Un gang spécialiste du rançongiciel

D'après ses informations, 4 gigabytes de données ont ainsi été publiées à la mi-août sur le dark web par un jeune gang baptisé Warlock. Orange a confirmé à Bloomberg que ces informations avaient bien été mises en ligne ce mois-ci mais n'a pas souhaité commenter l'implication du groupe cybercriminel et de son rançongiciel, qu'il loue à d'autres acteurs malveillants afin que ces derniers verrouillent les ordinateurs de leurs victimes, exigeant ensuite le paiement d'une rançon.

"L'auteur de la menace n'avait qu'un accès limité à nos systèmes et n'a pu exfiltrer que des données obsolètes ou peu sensibles", a toutefois fait savoir un porte-parole de l'entreprise, qui assure être en étroite collaboration avec les autorités françaises dans cette affaire. Après avoir connu des perturbations sur certains de ses services, au moment de l'attaque fin juillet, Orange avait en effet déposé une plainte en France pour "atteinte à un de ses systèmes d'information".

Une autre attaque en Belgique

Mais cet incident n'est pas le seul à être déploré par l'opérateur de télécommunications. Toujours à la fin du mois de juillet, l'une de ses filiales, Orange Belgique (ou Orange Belgium), a également "détecté une cyberattaque sur l’un de ses systèmes informatiques, ayant permis l’accès non autorisé à certaines données de 850 000 de ses comptes clients".C'est ce qu'a reconnu l'entreprise dans un communiqué officiel, publié en ligne le 20 août.

L'opérateur a affirmé qu'aucune donnée critique n'avait été compromise (mot de passe, adresse e-mail, coordonnées bancaires...), mais que des informations personnelles de clients, tels que leurs noms et prénoms, leurs numéros de téléphone, leurs numéros de cartes SIM et leurs codes PUK avaient en revanche pu être collectés. En réponse, Orange a alerté les autorités belges et ses abonnés concernés, déposé une plainte et "renforcé [ses] mesures de sécurité".