NETIM : un rançongiciel revendique une compromission

Une revendication visant un registrar français

Le 24 août, FrenchBreaches a publié une alerte attribuant à DYSPHOR1A une revendication contre NETIM COMPANY. Le groupe affirme avoir obtenu un accès étendu à l'infrastructure de l'entreprise. Cyberattaque.org rapporte la même revendication et évoque un compte à rebours affiché par les attaquants avant une possible publication de données.

NETIM se présente sur son site comme un bureau d'enregistrement de noms de domaine. Son espace Netim Direct sert à gérer des domaines, des hébergements e-mail et des adresses e-mail. L'entreprise indique aussi proposer des services à des particuliers, agences web, PME, cabinets juridiques, grands groupes et revendeurs. La nature de cette activité explique pourquoi une compromission, si elle était confirmée, demanderait une attention particulière.

Ce que DYSPHOR1A affirme détenir

Selon FrenchBreaches, les attaquants revendiquent du code source, des adresses IP internes, des configurations de serveurs et d'autres informations d'infrastructure. Ils disent également disposer de données personnelles de clients, d'informations de facturation, de métadonnées de comptes et d'éléments relatifs aux paiements. PayPal, Stripe et les paiements par carte sont cités dans la revendication.

Ces affirmations ne prouvent pas que toutes ces catégories ont été exfiltrées, ni que des données de carte directement exploitables sont concernées. Cyberattaque.org mentionne pour sa part des exemples présentés comme des historiques de transactions, avec montants, devises, statuts et références. Cela reste une description de ce que les pirates ou les sites qui relaient leur publication avancent.

Le risque immédiat : des messages très crédibles

Dans une telle affaire, les données de contact et de facturation revendiquées peuvent servir à imiter un interlocuteur connu. Un faux e-mail ou un faux conseiller peut citer le nom de domaine d'un client, son offre ou une référence de paiement pour lui demander de se connecter, de régler une somme ou de communiquer un code. La connaissance de détails vrais rend cette arnaque plus convaincante, mais ne la rend pas légitime.

Les éléments techniques revendiqués posent un autre problème potentiel. Des configurations, des adresses internes ou du code peuvent aider un attaquant à comprendre l'environnement d'une entreprise. Cela ne permet pas d'affirmer que les services de NETIM sont compromis aujourd'hui. C'est en revanche une raison de suivre les communications officielles plutôt que des captures ou messages non vérifiables.

Les réflexes utiles pour les clients NETIM

Ne cliquez pas sur un lien reçu par e-mail ou SMS au prétexte d'une vérification urgente liée à cette affaire. Ouvrez directement le site de NETIM dans votre navigateur puis accédez à votre espace client par vos habitudes habituelles. N'indiquez jamais un code reçu par SMS ou par application d'authentification à une personne qui vous appelle : ce code sert précisément à valider une connexion ou une action.

NETIM indique proposer une vérification en deux étapes et des alertes de connexion dans son espace client. Si vous utilisez ce service, vérifiez ces réglages depuis l'interface officielle et examinez les opérations ou modifications de domaines que vous ne reconnaissez pas. Ce conseil vise à protéger l'accès au compte. Il ne signifie pas que des identifiants ont fuité : les sources lues ne l'établissent pas.

Une affaire de double extorsion possible

La présentation décrite par Cyberattaque.org correspond à une méthode souvent appelée double extorsion : un groupe affirme avoir volé des données et menace de les publier afin de faire pression sur sa cible. Cela ne permet pas de conclure que les systèmes ont été chiffrés, qu'une rançon a été demandée ou qu'une négociation existe. Aucune de ces informations n'est confirmée dans les sources consultées.

Pour les personnes concernées, l'information la plus importante à ce stade est le statut de l'alerte. Il ne s'agit pas d'une notification officielle de NETIM à ses clients. Il s'agit d'une revendication relayée par deux sites spécialisés, qui doit encore être corroborée par l'entreprise ou par des éléments indépendants.

Ce que nous ne pouvons pas vérifier

Nous n'avons pas trouvé de confirmation publique de NETIM concernant cette intrusion. Nous ne pouvons donc pas vérifier la date d'un éventuel accès, son vecteur, les systèmes touchés, le volume de données emportées, le nombre de clients concernés, ni l'existence de données de paiement directement exploitables.

Nous ne pouvons pas non plus confirmer l'authenticité des échantillons évoqués, l'existence d'un chiffrement des systèmes, le montant d'une éventuelle rançon ou la date effective d'une éventuelle publication. Si NETIM publie une information officielle, cette page devra être mise à jour pour distinguer ce qui sera alors confirmé de ce qui demeure seulement revendiqué.

Sources : Cyberattaque.org ↗ · NETIM ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.