Un ancien analyste condamné pour l’extorsion de Brightly Software

Deux ans de prison pour une campagne d’extorsion

Cameron Curry, 27 ans, ressortissant de Caroline du Nord connu en ligne sous le pseudonyme « Loot », a été condamné à deux ans d’emprisonnement pour avoir extorqué Brightly Software, une entreprise SaaS acquise par Siemens.

La condamnation a été annoncée le 14 août 2026. Curry avait été reconnu coupable en mars, à l’issue d’une enquête menée par le FBI et le Department of Justice.

L’affaire concerne une attaque interne menée par un ancien collaborateur disposant d’un accès légitime aux informations de l’entreprise. Curry travaillait pour Brightly en tant qu’analyste de données contractuel. Sa mission, d’une durée de six mois, n’aurait pas été renouvelée.

Après la fin de son contrat, le 10 décembre, il aurait commencé à utiliser des données obtenues dans le cadre de son activité professionnelle pour faire pression sur l’entreprise.

Des e-mails signés « Loot » et une demande de 2,5 millions de dollars

Entre le 11 décembre 2023 et le 24 janvier 2024, Curry aurait envoyé de nombreux e-mails à des employés de Brightly. Il utilisait le pseudonyme « Loot » et l’adresse [email protected].

Le message était une demande de rançon de 2,5 millions de dollars en cryptomonnaie. En échange, l’auteur menaçait de ne pas publier les documents dérobés à l’entreprise ni les informations personnelles des employés.

Les menaces prévoyaient une divulgation progressive. Curry affirmait qu’il commencerait à rendre publiques les données salariales à partir du 1er janvier 2024, avant d’augmenter progressivement le volume d’informations diffusées.

Le chantage comprenait également une pénalité : le montant demandé devait augmenter de 100 000 dollars pour chaque mois de retard. Curry affirmait aussi avoir identifié des écarts comptables supérieurs à 16 millions de dollars et menaçait de signaler Brightly à la U.S. Securities and Exchange Commission pour ne pas avoir déclaré la violation présumée.

Les e-mails contenaient des captures d’écran présentant des informations permettant d’identifier des personnes. Ces données comprenaient notamment des noms, des dates de naissance, des adresses personnelles et des informations salariales.

Brightly a finalement transféré 7 540 dollars en bitcoins vers un portefeuille contrôlé par Curry. Ce paiement ne correspondait pas à la demande initiale, nettement plus élevée, mais constitue néanmoins un transfert de fonds au bénéfice de l’extorqueur.

On ignore si les données ont effectivement été publiées, ainsi que la quantité de documents dérobés ou consultés.

Le risque pour les employés et l’entreprise

L’incident combine trois éléments distincts : l’abus d’accès légitimes, le vol de documents sensibles et l’extorsion fondée sur la menace de divulgation.

Pour les employés, l’exposition potentielle concerne les données d’identité, de résidence et d’emploi. Les informations salariales peuvent également faciliter des fraudes ciblées, des campagnes de phishing ou des tentatives d’usurpation visant le personnel.

Pour Brightly, les dommages potentiels ne se limitent pas à la protection de la vie privée. Les menaces pouvaient entraîner des conséquences réputationnelles, des litiges et l’attention des autorités de régulation. Les anomalies comptables présumées, supérieures à 16 millions de dollars, constituaient un facteur de pression supplémentaire, même si la procédure judiciaire porte sur l’extorsion et le vol de données.

Cette affaire illustre également une caractéristique typique des menaces internes : l’attaquant n’a pas nécessairement besoin de contourner un système d’authentification ou d’exploiter une vulnérabilité logicielle. Il peut utiliser des autorisations accordées dans le cadre de son travail, recueillir des informations pendant la relation professionnelle et les conserver après la fin de sa mission.

Le risque augmente lorsque l’accès aux données de paie n’est pas limité aux activités strictement nécessaires ou lorsque la révocation des comptes et le contrôle des copies locales ne sont pas effectués rapidement.

La perquisition et le rôle des autorités

Après le signalement, le FBI a perquisitionné le domicile de Curry le 24 janvier et saisi plusieurs appareils électroniques. Ceux-ci contenaient des éléments le reliant à la campagne d’extorsion.

La saisie et l’analyse forensique ont fourni aux enquêteurs des éléments numériques utiles pour reconstituer les communications, l’utilisation de l’identité « Loot » et la possession des documents de l’entreprise.

Brightly a déclaré avoir pleinement coopéré avec le FBI et le Department of Justice. Les informations rendues publiques indiquent comme mesures documentées le signalement des faits, la coopération avec les enquêteurs et l’analyse forensique des appareils.

En revanche, les autres contre-mesures techniques prises par l’entreprise dans ce cas précis ne sont pas connues. Aucun détail public ne semble avoir été fourni concernant la révocation des identifiants, la rotation des secrets, la segmentation des accès, la conservation des journaux ou la surveillance dédiée des comptes utilisés par l’ancien collaborateur.

Pour les organisations, la réponse à un incident similaire devrait inclure au minimum la préservation des preuves, l’analyse des accès effectués, la vérification des données copiées et l’évaluation des obligations de notification. Ces actions ne sont toutefois pas publiquement attribuées à Brightly au-delà de sa coopération avec les autorités.

Un incident distinct de la violation de SchoolDude

Brightly Software fournit des outils de gestion et de maintenance des actifs à plus de 12 000 clients dans le monde et compte plus de 700 employés. L’entreprise s’appelait auparavant SchoolDude et a été acquise par Siemens en août 2022.

L’affaire Curry n’est pas liée à la violation rendue publique par Brightly en mai 2023. Lors de cet incident, des attaquants non identifiés avaient dérobé des identifiants et des données personnelles dans la base de données de la plateforme en ligne SchoolDude.

Les informations concernées comprenaient des noms, des adresses e-mail, des mots de passe de comptes et des numéros de téléphone. L’incident avait touché près de 3 millions de clients et d’utilisateurs.

Les deux événements sont de nature différente. La violation de SchoolDude concernait une attaque menée par des individus non identifiés contre une base de données en ligne. L’enquête visant Curry concerne en revanche un ancien collaborateur identifié, l’utilisation d’accès obtenus dans le cadre de son emploi et une demande d’extorsion ultérieure.

Pour les organisations qui gèrent des données sensibles, cet précédent renforce une conclusion pratique : protéger le périmètre externe ne suffit pas. Il faut également contrôler qui peut consulter, exporter et conserver les informations internes, en particulier dans les systèmes traitant les données de paie et les informations personnelles.