L'Autorité bancaire européenne (ABE) a indiqué lundi avoir été la cible d'une cyber-attaque exploitant les failles du logiciel de serveur de messagerie Microsoft. tout en assurant qu'aucune donnée n'avait été affectée.
Le régulateur détient en effet des données sensibles sur les établissements bancaires de l'Union européenne et leurs niveaux d'encours de crédit.
À la suite de cette attaque qui a touché un grand nombre d’autres organisations dans le monde, l’autorité a lancé « une enquête approfondie » et a décidé, par mesure de précaution, de désactiver son système de messagerie "dans la mesure où la vulnérabilité est liée aux serveurs de messagerie de l’Autorité bancaire européenne."
Aucune compromission à ce jour
L'autorité a cependant confirmé en date du 9 mars 2021 que le périmètre de vulnérabilité était très limité et que les systèmes et données de l’ABE n’avaient pas été compromis. Ce travail d’analyse a pu être réalisé grâce au concours du CERT-EU, des fournisseurs IT de l'ABE et d'un équipe d’experts forensic.
L'ABE fait ainsi partie de plusieurs milliers d'organisations en Asie et en Europe, qui ont été les cibles d'attaques et qui, selon Microsoft, utilisent des failles dans différentes versions de son logiciel de serveur de messagerie. Déjà en décembre 2020, une partie du code source (Exchange et Azure) avait été téléchargé permettant au hackers de rechercher de nouvelles failles, voire de créer des copies de ces programmes avec des portes dérobées.
Plus de 5000 serveurs Exchange déjà pris d'assaut
ESET Research a découvert que plus de dix différents groupes de cyber criminels exploitent les récentes vulnérabilités de Microsoft Exchange: 5000 serveurs de messageries seraient touchés par ces activités malveillantes. Au début du mois de mars, Microsoft a publié des correctifs pour les serveurs Exchange 2013, 2016 et 2019, qui adressent une série de vulnérabilités de pré-authentification par exécution de code à distance (RCE).
Ces vulnérabilités permettent à un pirate de s’emparer de n’importe quel serveur Exchange accessible, sans avoir besoin de connaître les identifiants d’un compte valide, ce qui rend les serveurs Exchange connectés à Internet particulièrement vulnérables.
Les chercheurs d’ESET ont remarqué que certains groupes de pirates exploitaient les vulnérabilités avant même la publication des correctifs. Cela exclut donc la création de vulnérabilité par rétro-ingénierie à partir des mises à jour de Microsoft.
Malgré des correctifs d'urgence fournis par Microsoft, les attaques informatiques se poursuivent donc et le groupe américain a fait savoir qu'il travaillait avec les agences gouvernementales et les sociétés de sécurité pour accompagner ses clients.
Ces incidents nous rappellent cependant que des applications complexes telles que Microsoft Exchange ou SharePoint ne doivent pas être ouvertes directement sur Internet
A propos de l'ABE
La principale tâche de l'ABE est de contribuer, par l'adoption de normes techniques contraignantes et d'orientations, à la création d'un recueil réglementaire unique dans le secteur bancaire. Ce recueil réglementaire unique a pour but de fournir un ensemble unique de règles prudentielles harmonisées destinées aux établissements financiers dans toute l'UE, qui contribuera à créer des conditions de concurrence équitables et qui offrira une protection élevée aux déposants, aux investisseurs et aux consommateurs.
L'Autorité joue également un rôle important dans la promotion de la convergence des pratiques de surveillance, afin de garantir une application harmonisée des règles prudentielles. L'ABE est également chargée d'évaluer les risques et vulnérabilités dans le secteur bancaire européen, notamment à l'aide de rapports d'évaluation des risques réguliers et de simulations de crises paneuropéennes.