Violation du Crown Office écossais : les données d’environ 300 employés exposées

L’incident trouve son origine chez un fournisseur externe

Le Crown Office and Procurator Fiscal Service (COPFS), le service écossais chargé des poursuites pénales et des enquêtes sur les décès, a signalé le 13 août une possible violation de données personnelles.

L’incident n’aurait pas touché directement les systèmes du COPFS. Le point d’entrée serait plutôt un fournisseur externe chargé de gérer une évaluation en ligne de la maturité des données, réalisée dans le cadre d’un programme de formation destiné à plusieurs administrations publiques.

L’organisation ayant émis le questionnaire a détecté une activité suspecte le 5 août. Les événements semblaient affecter le réseau interne du fournisseur et ont entraîné la perte d’informations concernant des employés du secteur public.

Le COPFS estime qu’environ 300 personnes seraient concernées. Le périmètre pourrait toutefois être plus large : l’évaluation faisait partie du Data Maturity Programme du gouvernement écossais, lancé en 2021 et ouvert chaque année à des groupes d’organisations publiques.

On ignore si le COPFS est le seul organisme écossais concerné. Il reste également à déterminer si le même fournisseur a perdu des données appartenant à d’autres clients.

Quelles informations ont été exposées

Les informations potentiellement compromises concernent des éléments d’identification et d’organisation du personnel :

• nom ;
• fonction ;
• adresse e-mail professionnelle.

Les adresses IP ne feraient pas partie des données dérobées. Le COPFS a également précisé que l’incident n’avait pas concerné les informations relatives aux procédures judiciaires, aux victimes ou aux témoins.

Rien n’indique donc, au vu des éléments disponibles, que les dossiers judiciaires ou les données opérationnelles gérées par le service aient été consultés. Le risque concerne principalement la possibilité d’identifier les employés, de connaître leur fonction et de les contacter par les canaux institutionnels.

Même un ensemble limité de données peut avoir de la valeur pour un attaquant. Une fonction professionnelle associée à une adresse gouvernementale permet de concevoir des messages plus crédibles qu’une campagne de phishing générique. Un e-mail adressé à une personne réelle et adapté à ses responsabilités peut augmenter la probabilité qu’un lien soit ouvert ou qu’une demande soit jugée légitime.

Le fournisseur n’a pas été officiellement identifié

Le COPFS n’a pas rendu public le nom de l’entreprise responsable de l’évaluation. Data Orchard, une société de recherche basée au Royaume-Uni, a été identifiée comme un possible administrateur du programme.

Sur son site, Data Orchard décrit sa participation à une cinquième cohorte d’organisations publiques engagées dans un parcours d’évaluation de la maturité des données. Cet élément ne confirme toutefois pas officiellement que l’entreprise soit le fournisseur impliqué dans la violation.

La société aurait également travaillé avec de grandes organisations, dont le World Wildlife Fund et le gouvernement gallois. On ignore si les données de ces entités ont été concernées par l’incident.

D’autres questions restent sans réponse : quels systèmes ont été compromis, combien de temps l’attaquant a eu accès au réseau et si des données appartenant à des organisations autres que le COPFS ont été copiées. Aucune technique d’attaque précise n’a été communiquée et aucun niveau formel de gravité n’a été attribué.

Pourquoi les noms et les fonctions peuvent devenir un risque opérationnel

L’association d’un nom, d’une fonction et d’une adresse e-mail professionnelle fournit des informations utiles aux activités de reconnaissance. Un attaquant peut s’en servir pour usurper l’identité d’un collègue, d’un service interne, d’un fournisseur ou d’un partenaire institutionnel.

Le risque augmente lorsque le message redirige le destinataire vers un faux portail de connexion, lui demande de vérifier un document ou l’incite à agir dans l’urgence. Dans ces scénarios, l’objectif n’est pas nécessairement l’employé lui-même : son compte peut devenir le premier point d’accès à des ressources plus étendues.

La violation ne prouve pas qu’un compte du COPFS ait été compromis. Toutefois, les données exposées peuvent faciliter des attaques ultérieures contre le personnel concerné, notamment si les adresses sont combinées à des informations publiques sur les responsabilités et la structure de l’administration.

Le nombre de personnes concernées ne suffit donc pas à mesurer l’impact. Trois cents identités professionnelles correctement profilées peuvent constituer une surface exploitable pour des campagnes ciblées, même sans mots de passe, données financières ou dossiers judiciaires.

Le problème des fournisseurs « périphériques »

Cette affaire met en évidence un risque fréquent dans les programmes de gestion des fournisseurs tiers. Les organisations concentrent généralement leurs contrôles sur les fournisseurs stratégiques et les services utilisés en permanence, tandis que les plateformes destinées aux questionnaires, à la formation ou aux évaluations peuvent faire l’objet d’une surveillance moindre.

Selon Cory Kennedy, chercheur en threat intelligence chez SecurityScorecard, de nombreuses entreprises s’appuient encore sur des contrôles initiaux, des questionnaires et des certifications SOC 2 ou ISO 27001. Après l’intégration du fournisseur, cependant, la surveillance peut fortement diminuer, voire s’arrêter.

Une certification ou une évaluation positive décrit une situation observée à un moment donné. Elle ne garantit pas que le fournisseur restera protégé plusieurs mois plus tard, ni que toutes ses dépendances conserveront le même niveau de sécurité.

Kennedy préconise à la place une surveillance externe et continue de la surface d’attaque réelle, y compris des dépendances des fournisseurs directs. NIS2 et DORA contribuent à faire évoluer le cadre européen vers une gestion plus dynamique du risque lié aux tiers, mais leur application ne comble pas automatiquement les lacunes des processus internes.

Boris Cipot, principal security engineer chez Black Duck, souligne que le fait de réussir les contrôles de conformité initiaux n’empêche pas un fournisseur d’être compromis ultérieurement. La vérification effectuée avant la signature du contrat ne peut donc pas être considérée comme une garantie permanente.

Ce que doivent faire le COPFS et les personnes concernées

Aucun correctif, révocation d’identifiants, blocage technique ou autre mesure de confinement déjà appliquée par le COPFS ou le fournisseur n’a été communiqué. Le périmètre définitif de l’incident reste à établir.

Dans l’intervalle, les organisations concernées devraient :

• informer le personnel concerné du risque d’utilisation frauduleuse de ces informations ;
• renforcer la surveillance des e-mails adressés aux employés exposés ;
• vérifier les contrôles d’authentification et les protections des comptes ;
• mettre en place des contrôles supplémentaires contre les accès anormaux et les tentatives de collecte d’identifiants ;
• réévaluer les fournisseurs occasionnels, et pas uniquement ceux considérés comme stratégiques ;
• étendre l’analyse aux dépendances techniques des fournisseurs directs ;
• effectuer des contrôles réguliers, et pas seulement lors de l’intégration du fournisseur.

Les employés doivent se méfier des demandes inattendues concernant des mots de passe, des documents, des paiements ou l’accès à des portails internes, même lorsque l’expéditeur semble appartenir à un service connu. En cas de doute, la demande doit être vérifiée par un canal indépendant.

La priorité reste de déterminer si l’incident a concerné d’autres entités participant au Data Maturity Programme et quelles données ont réellement été copiées. D’ici là, le chiffre d’environ 300 employés constitue une estimation des dommages connus, et non nécessairement la limite maximale de la violation.