Odalys : RIB, adresses postales... publiés sur le dark web

L'année 2023 a été particulière pour le tourisme au niveau des hackings.

Voyageurs du Monde, Corsica Ferries, Boeing et bien d'autres ont vu leurs serveurs infiltrés par des pirates. A cette liste non exhaustive, nous pouvons rajouter Odalys.

Le spécialiste de l’hébergement touristique a subi une attaque informatique dévastatrice, puisque le groupe revendiquant le piratage a subtilisé 548 go de données, dont certaines sensibles.

Nous étions courant novembre 2023.

"En début de semaine, de nombreux échantillons ont été mis en ligne dans le darkweb par ces maîtres chanteurs, déjà croisés dans une soixantaine de cyberattaques : assureurs, industriels, bâtiments, etc," expliquait le site Zataz, spécialisé dans la cybersécurité.

Retrouvez le droit de réponse d'Odalys cliquez ici

Identifié pour la première fois, en mars 2023, le ransomware est particulièrement sophistiqué. Une fois infiltré, il attend sournoisement sans se faire remarquer, pour alors piquer au meilleur moment.

Le point de départ pour son infiltration reste toujours le même d'après socradar, en exploitant la vulnérabilité des logiciels de VPN.

Revenons maintenant à Odalys.

L'entreprise qui emploie plus de 1300 personnes a donc vu de très nombreuses données divulguées sur le dark web. La société française a bien tenté de minimiser l'ampleur des dégâts.

"Ces intrusions ont permis l’accès à un nombre restreint de données internes et sans pour autant relever de trace avérée de fuite de données vers l’externe," a expliqué dans un premier temps, le service communication.

Sauf que les données présentes sur le dark web ne sont pas peu nombreuses.

En tout, 548 go de données ont été volées parmi lesquelles figurent des documents de comptabilité aux données personnelles aussi bien des clients, que des employés.

"L’une des preuves les plus alarmantes de la cyberattaque subie par Odalys Vacances est la publication d’un volume considérable de données sur le site du groupe Cactus, spécialisé dans le piratage informatique.

Il comprend divers types de documents, allant des archives internes, des bilans financiers, des données de comptabilité, jusqu’aux informations personnelles des clients et des employés.

Le contenu mis en ligne inclut des dossiers tels qu’ARCHIVES SERVICES FINANCES, ASSURANCE HABITATION, des fichiers comme des bilans annuels (de 2017 à 2023), des archives internes bancaires, et des documents relatifs à la comptabilité sociale et aux comptes bancaires," précise la plateforme DPO Partage.

Ces derniers jours, les clients de l'entreprise française ont reçu un mail pour les informer de la situation.

Tout d'abord, le message tient à rappeler, que le contexte de cyber-risque est particulièrement exacerbé et que les sociétés sont exposées à un nombre croissant d'attaques informatiques de plus en plus élaborées.

Alors que le département informatique a procédé aux notifications auprès de la CNIL et qu'une plainte a été déposée au Procureur de la République, les victimes sont informées individuellement.

A lire : Cybersécurité : La France parmi les pays les plus piratés au monde !

"Certaines de vos données ont été exposées : votre état civil, coordonnées postales, numéro de téléphone, adresse mail, numéro de client et, pour très peu d'entre vous, le RIB.

Cependant aucune information sensible au titre de la RGPD n'est concernée par cette violation," tient à préciser Odalys.

Il faut dire qu'il aurait été très gênant que le spécialiste de la location de vacances détienne des données de ce genre.

La CNIL rappelle que les informations sensibles sont des informations qui révèlent "la prétendue origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données relatives à la vie sexuelle ou à l'orientation sexuelle d'une personne physique."

Comme quoi le degré de sensibilité dépend donc de chacun...

Pourquoi ce laps de temps entre l’incident et l’information client ?

Dès que nous avons eu connaissance de l’incident, notre Groupe a activé un protocole d’urgence incluant la mise à jour des pare-feux, la sauvegarde des données hors site et le changement forcé de tous les mots de passe utilisé en interne avec l'appui de spécialistes en cybersécurité pour garantir la protection de vos données.

→ Dès que nous avons eu connaissance de l’incident, nous avons agi dans les délais requis notifié à la CNIL et avons en parallèle poursuivi nos investigations pour comprendre la nature de l’incident et sécuriser les données.

→ Ce n’est qu’une fois l’analyse des données exfiltrées terminée que nous avons eu une meilleure connaissance de la nature et du volume des données touchées qui, initialement, semblaient limitées à des données internes au Groupe. Tel n’était pas le cas et certaines données clients ont malheureusement également été touchées. Ce que nous avons appris récemment. La nature des données touchées a été détaillée dans le mail d’information adressé à nos clients.

La RGPD définissant ce qu’est une donnée sensible, nous avons tenu à informer nos clients que les données exposées n’étaient pas des données sensibles au titre de la RGPD.

→ Concernant les données clients touchées, ce sont des données relatives à l’état civil, la dénomination sociale, les coordonnées postales, numéros de téléphone et dans de très rares cas, le RIB.

Qu’avons-nous engagé pour sécuriser les données et quel est l’état de la compromission aujourd’hui ?

→ La compromission est close et les données sont sécurisées.

→ Nous avons mis en place des mesures de sécurisation dès connaissance de cette intrusion, notamment la reconstruction de serveurs, le renforcement des politiques de mots de passe, et la mise en place de double authentification, ainsi que la mise en place de mécanismes de détection des activités malveillante