Les clients de Framework ont reçu l'email en premier
Le 7 août, Framework, le fabricant d'ordinateurs portables réparables et modulaires, a écrit à l'ensemble de sa clientèle pour annoncer que ses données avaient été exposées. L'entreprise avait appris la veille, le 6 août, qu'un attaquant s'était introduit dans son instance Metabase le 3 août et en avait extrait des fiches clients. Framework a confirmé que des noms, adresses email, numéros de téléphone et adresses de facturation et de livraison avaient été pris. Les informations de paiement étaient explicitement exclues, une distinction que Framework a clairement établie dans son avis.
Framework elle-même n'a pas été piratée au sens direct du terme. Aucune ligne de code défaillante dans son propre système n'en est la cause. L'entreprise était cliente de Metabase, la plateforme de business intelligence que de nombreuses sociétés utilisent pour interroger leurs propres données opérationnelles et commerciales, et l'attaquant est entré par Metabase, pas par Framework.
La faille se trouvait chez Metabase, pas chez ses clients
Metabase a divulgué une faille critique zero-day d'injection SQL non authentifiée dans le point d'accès API de réinitialisation de mot de passe. Un attaquant sans aucun identifiant pouvait injecter du SQL arbitraire dans la base de données de l'application sous-jacente, ce qui suffisait à lui accorder directement un accès administrateur à une instance Metabase. Metabase a déclaré que la faille touchait également son produit Cloud SaaS et a confirmé une exploitation active avant de publier un correctif. Les versions corrigées commencent à 0.58.24 et vont jusqu'à 0.63.5 et au-delà, couvrant toutes les lignes de version prises en charge.
C'est le détail que les dirigeants ont tendance à négliger : la vulnérabilité résidait dans le code même de Metabase, pas dans la manière dont Framework, Tally ou LexisNexis avaient configuré leurs comptes. Chaque client dont l'instance concernée n'était pas corrigée a été exposé de la même façon, sans faute de sa part.
Trois entreprises, un fournisseur, un seul après-midi
Framework n'était pas seule. Tally, un produit de formulaires, et LexisNexis, la société de données et de recherche juridique, ont également été touchées par la même faille Metabase. Trois entreprises sans rien en commun sur le plan opérationnel, servant des marchés différents avec des produits différents, se sont retrouvées à informer leurs clients de la même cause profonde à quelques jours d'intervalle. Aucune ne partageait avec les autres une base de code, une équipe de sécurité ou une relation avec le même fournisseur. Elles partageaient un outil de business intelligence.
C'est ce schéma qui mérite qu'on s'y arrête. Une seule faille dans une plateforme SaaS largement utilisée ne produit pas une seule violation. Elle produit autant de violations que cette plateforme compte de clients ayant des données exploitables en son sein, toutes à la fois, toutes traçables à un fournisseur dont les propres clients des entreprises touchées n'avaient jamais entendu parler.
Ce qui a été pris, et ce que l'avis exclut explicitement
L'avis de Framework est un modèle utile pour lire toute notification de violation. Il cite quatre catégories prises : noms, adresses email, numéros de téléphone et adresses de facturation ou de livraison. Il cite une catégorie explicitement exclue : les données de paiement. Cette exclusion compte, mais elle ne donne pas le tableau complet. Noms, emails, téléphones et adresses physiques constituent exactement la matière première pour du phishing ciblé, des tentatives de SIM-swap et des prises de contrôle de comptes ailleurs, même sans le moindre numéro de carte en jeu.
Lisez chaque avis de violation en cherchant les deux listes, ce qui est confirmé comme pris et ce qui est confirmé comme non pris, et traitez ce qui n'est pas mentionné comme inconnu, pas comme sûr. Un avis qui vous rassure sur les données de paiement ne vous a rien dit sur votre numéro de téléphone.
La question que tout dirigeant devrait se poser cette semaine
La plupart des entreprises peuvent nommer leur banque et leur assureur sans hésiter. Beaucoup moins peuvent nommer chaque outil SaaS et de business intelligence qui détient une copie vivante des données de leurs clients, ou dire avec assurance à quoi ressemble la posture de sécurité de ce fournisseur. Metabase, Salesforce, HubSpot, un tableau de bord analytique, une plateforme d'assistance : chacun est une porte vers votre liste de clients que vous ne contrôlez pas et auditez rarement. En France, cela signifie aussi respecter les délais de notification à la CNIL en cas de violation touchant des données personnelles, quel que soit l'endroit où la faille d'origine se trouvait.
La démarche pratique n'est pas d'abandonner les outils SaaS de business intelligence. C'est de dresser une courte liste de chaque fournisseur ayant un accès en écriture ou en lecture aux données personnelles des clients, de vérifier lesquels ont une authentification multifacteur active et corrigent rapidement, et de demander directement à chacun quel est son délai de notification en cas d'incident. Les clients de Framework l'ont appris au quatrième jour. Prévoyez que votre propre avis arrive dans un délai tout aussi court et décidez dès maintenant, pas après la réception de l'email, ce que vous direz à vos propres clients.
À lire ensuite: L'interrupteur off de Rovo n'éteint rien du tout | Vos serveurs héritent d'un bug Linux vieux de 18 ans
