Tout au long de son histoire, le secteur automobile s'est révélé être une industrie majeure et en constante expansion, mobilisant des sommes d'argent toujours plus importantes. Cette dimension économique, conjuguée à l'application des innovations technologiques (véhicules connectés, véhicules autonomes, entre autres), expose les entreprises et les organismes du secteur aux attaques de cybercriminels.
S21sec a mené une analyse détaillée de la cyberactivité du secteur automobile en 2022, révélant une augmentation considérable des incidents de nature diverse. La plupart des cyberattaques détectées provenaient de l'exploitation de vulnérabilités dans l'infrastructure des entreprises, mais des attaques par rançongiciel, des ventes d'accès, des ventes de bases de données et des violations de données ont également été constatées.
À ce sujet, les experts préviennent que la criminalité visant les entreprises de ce secteur va s'intensifier dans les prochains mois. « L'industrie automobile met constamment en œuvre les technologies les plus avancées, dans le but d'automatiser et de rationaliser tous les processus industriels et d'intégrer les dernières fonctionnalités à ses produits. Cependant, l'automatisation engendre également de nouveaux risques en matière de cybersécurité, que ces entreprises doivent prendre en compte tant au niveau informatique qu'opérationnel », explique Hugo Nunes, responsable de l'équipe Renseignement chez S21sec au Portugal.
Les rançongiciels, une menace imminente.
Les rançongiciels, un type d'attaque visant à accéder à un ou plusieurs ordinateurs pour chiffrer les informations d'une cible (utilisateur ou organisation) et exiger une rançon en échange de leur restitution, constituent l'une des principales menaces pour l'industrie automobile. Jusqu'en septembre de cette année, 41 attaques de ce type ont été recensées contre des organisations de ce secteur, le mois de mars se distinguant par un nombre particulièrement élevé d'incidents.
Les groupes de ransomware ayant le plus ciblé ce secteur étaient Lockbit, avec 10 attaques contre des entreprises automobiles, et Conti, avec potp. Quel que soit le secteur, ces deux groupes ont figuré parmi les plus actifs en 2022, même si cette tendance pourrait évoluer dans les prochains mois, le groupe Conti ayant cessé ses activités après la publication de son code source.
Ce type d'attaque a évolué vers des techniques d'extorsion double et triple. Lors d'une extorsion double, les cybercriminels, outre le chiffrement des données, menacent la victime de publier ou de vendre les informations chiffrées. Dans le cas d'une extorsion triple, en plus de menacer la victime de publier les données volées, l'attaquant exerce une pression sur son infrastructure technologique par le biais d'attaques DDoS.
Vente d'informations sensibles sur le Dark Web
S21sec a également constaté une augmentation de la vente d'identifiants d'accès initial sur les forums du Dark Web par des courtiers en accès initial (IAB). Ces derniers obtiennent différents types d'accès aux organisations (identifiants d'accès aux équipements, VPN ou RDP, par exemple) grâce à diverses tactiques et techniques, qu'ils revendent ensuite sur différents forums clandestins ou à des affiliés de groupes de ransomware. Au cours de la période analysée, 24 ventes d'identifiants d'accès initial à des entreprises du secteur automobile ont été recensées sur différents forums tels qu'Exploit, RAMP et XSS.
De plus, il a été vérifié que plusieurs bases de données appartenant à des entreprises du secteur automobile avaient été compromises. Ces informations confidentielles constituent l'un des piliers fondamentaux du modèle économique de ces organisations, car elles sont liées à leurs produits et services et leur permettent de se différencier de la concurrence en stockant des informations confidentielles sur leurs projets futurs, leurs clients, leurs employés, leurs fournisseurs, etc. Cette année, S21sec a déjà identifié huit ventes de bases de données internes de différentes entreprises du secteur automobile sur des forums et des places de marché du Dark Web, comme Exchange Market.
« Le vol de données et l'acquisition subséquente d'informations confidentielles par des tiers extérieurs à l'entreprise peuvent engendrer une crise grave, voire conduire à sa faillite. La plupart de ces ventes se produisent lorsque des cybercriminels accèdent à l'infrastructure de l'entreprise, soit par des attaques d'ingénierie sociale, soit par l'exploitation de vulnérabilités, soit encore grâce à des agents infiltrés – des employés de l'entreprise qui fournissent des informations aux attaquants en échange d'une récompense, généralement financière, bien qu'ils puissent également être victimes d'extorsion », explique Hugo Nunes.
