MOVEit (campagne de 2023)

À la fin du mois de mai 2023, le groupe criminel Cl0p a exploité une vulnérabilité jusque-là inconnue du logiciel de transfert de fichiers MOVEit Transfer, largement employé par des administrations, des banques, des assureurs, des universités et des prestataires de paie pour échanger des fichiers volumineux. En quelques jours, il a extrait les données de milliers d'organisations, directement ou par l'intermédiaire de leurs prestataires, puis les a menacées de publication, sans chiffrer aucun système. L'affaire est devenue un cas d'école pour la souscription cyber. Elle montre qu'un seul logiciel, peu visible, peut créer un cumul transversal à tous les secteurs et à toutes les tailles d'entreprise. Elle montre que l'extorsion par le vol de données suffit, sans chiffrement, à produire des coûts massifs de notification, d'investigation et de responsabilité, alors que la perte d'exploitation reste faible. Et elle illustre le cumul par la chaîne des prestataires, puisque beaucoup de victimes n'utilisaient pas elles-mêmes le logiciel mais confiaient leurs données à un tiers qui l'utilisait. Pour le souscripteur, la leçon porte sur l'inventaire des dépendances logicielles de ses assurés, qu'il ne connaît presque jamais.