Cyberattaque : bientôt un retour à la normale pour Aerticket ?

Les cyberattaquants profitent des tensions du monde, pour déverser leurs virus et venger telle ou telle décision politique.

Alors que X (ex-Twitter) a été attaqué en début de semaine, plantant le réseau social un peu partout dans le monde, des sites et établissements institutionnels français ont connu la même mésaventure.

Le début de l'année démarre (malheureusement) sur les chapeaux de roue.

Le mois de janvier 2025 est le pire mois depuis une année, au regard du nombre d'attaques signalées sur le site cybermalveillance du gouvernement français, avec 229 signalements, contre 169 en décembre 2024, le record de l'année passée.

Dans ce flot continu, nous retrouvons un nom bien connu du secteur du tourisme.

Depuis dimanche dernier, le système de réservation Cockpit d'Aerticket est affecté par une cyberattaque. Les pirates dénommés Qilin n'ont pas encore publiquement revendiqué l'action, mais ils auraient réclamé une rançon.

La plateforme est inaccessible aussi bien pour les agents de voyages, que pour les salariés de l'entreprise.

Nous parlons d'un géant allemand du tourisme qui compte 1 200 collaborateurs, présents dans 40 pays à travers le monde, pour un chiffre d'affaires de plus de 3 milliards d'euros.

Sans son portail, depuis maintenant quelques jours, les conséquences seront énormes pour une entreprise qui émet 7 millions de billets par an.

Ainsi, dans la nuit de samedi à dimanche dernier, les systèmes d'un sous-traitant d'Aerticket ont été attaqués et cryptés par un groupe appelé Qilin. Le système de sauvegarde a été supprimé au même moment.

Les salariés n'ont donc plus accès à la base de données clients Cockpit.

Pour l'heure, l'étendue des dégâts n'est pas connue, mais des data seraient affectées par l'évènement, dont certaines, provenant des salariés et des clients. Par chance, aucune information de paiement n'a été subtilisée.

L'attaque semble avoir été détectée rapidement. Il n'y a pas eu de fuite de données, donc il n'existe pas de risque élevé pour les droits et libertés des personnes concernées.

Une enquête approfondie est en cours, pour déterminer l'ampleur de l'attaque et les causes. Le sous-traitant d'Aerticket a immédiatement mis en place des restrictions supplémentaires.

Une surveillance est menée sur le dark web. Pour l'heure, selon nos informations, aucune donnée ne se trouve sur cet internet alternatif.

Aerticket s'attend à un retour à la normale, ce mercredi 12 mars 2025.

Malheureusement, nul acteur n'est à l'abri de ce genre d'épreuve.

Il n'existe pas de mur de la honte, il est indispensable que tous les acteurs du tourisme aient conscience de l'importance de la situation et du risque. Le digital n'est pas neutre, surtout dans cette industrie.

"La cybersécurité concerne tout le monde, les grands comme les petits.

Il y a une sorte de tabou, de honte et de gêne sur la cybersécurité, dont profitent les pirates. Plus de 90 %, des 406 000 cyberattaques qui ont été menées en 2023, ont concerné des TPE et PME, ce sont des cibles prioritaires," nous expliquait Marc-Elie Caspar, le directeur général France et Benelux de Convera.

Et la situation ne devrait pas s'arranger dans les années à venir. Si l'IA est un outil pour les agents de voyages et des milliers de travailleurs à travers le monde, il l'est aussi pour les hackers.

Les moins aguerris peuvent devenir de redoutables attaquants, en l'espace de quelques heures seulement.

En attendant que tout rentre dans l'ordre, attardons-nous un peu plus sur les pirates de Qilin. Le nom est apparu pour la première fois en juillet 2022 sous le nom Agenda.

C'est un ransomware-as-a-service (RaaS). Les pirates affiliés mènent des attaques en échange de 15 à 20% des bénéfices, selon le site du gouvernement français Cyberveille eSanté.

Ce groupe se serait pour la première fois éloigné de son cœur de cible qui est habituellement les secteurs de l’industrie, des finances, juridiques et de la santé.

A lire sur le sujet : Phishing : ceci n'est pas un site Air France ou Sabre !

Les pirates sont de nationalité russe.

"La Russie est une menace particulière dans le cyberespace, et se distingue d’abord par son écosystème riche.

Il combine des acteurs étatiques – les services de renseignement (le GRU, le FSB et le SVR) – et des groupes du crime organisé, notamment du rançongiciel dont plusieurs s’en sont pris ces dernières années à des hôpitaux français.

Ces derniers ne sont sans doute pas aux ordres des autorités, mais sont souvent russophones et localisés en Russie et, pour certains, mélangent les genres entre le rançongiciel et l’espionnage.

On peut donc s’interroger sur leur cohabitation avec le pouvoir russe," a récemment confié Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d'information (ANSSI), à nos confrères du Monde.

Pour propager leurs logiciels au sein de l'entreprise dont ils souhaitent soutirer de l'argent, le subterfuge n'est pas nécessairement innovant, ils reposent sur l’hameçonnage.

La technique repose sur l'envoi de mails, avec une pièce jointe ou un lien malveillant. La victime télécharge alors le virus. Le groupe exploiterait aussi des failles de sécurité touchant des services de Citrix.

La meilleure façon de ne pas figurer dans la liste des entreprises piratées est de rester très prudent et continuellement former ses équipes sur le sujet.