Microsoft reconnaît avoir été piratée

L’entreprise confirme que le gang Lapsus$ a récemment pu lui voler du code-source. Les criminels se seraient introduits via le compte d’un développeur.

Plus tôt cette semaine, on a vu apparaître sur internet une archive de quelque 37 Go intégrant le code-source du moteur de recherche Bing de Microsoft et de l’assistant intelligent Cortana. En procédant de la sorte, le gang Lapsus$, qui avait déjà lancé des attaques contre Nvidia et Samsung, revendiquait le piratage de Microsoft.

Après enquête, Microsoft admet à présent qu’un compte de l’un de ses développeurs a été compromis. Du code-source a ainsi été dérobé, selon l’entreprise dans un communiqué posté sur son blog. Les données des clients n’auraient pas été touchées, et la fuite ne serait pas suffisamment importante que pour représenter une véritable menace. ‘Microsoft ne s’appuie pas sur le caractère secret de son code en tant que mesure de sécurité. Le fait de rendre le code-source public ne génère donc pas un accroissement des risques’, indique Microsoft.

Bande criminelle

Dans son communiqué, l’entreprise fournit aussi davantage d’informations à propos de son enquête sur Lapsus$. Microsoft déclare suivre de près depuis quelque temps déjà ce gang probablement d’origine sud-américaine, qui s’appelle lui-même DEV-0537. La bande s’était précédemment déjà fait remarquer par des piratages chez Samsung, Nvidia et a pas plus tard que cette semaine revendiqué une intrusion chez l’éditeur du logiciel d’authentification Okta. Ces piratages vont de pair avec l’apparition de captures d’écran sur Telegram et avec d’étranges demandes de rançon comme l’exigence que Nvidia réactive les crypto-fonctions de ses cartes graphiques.

Selon Microsoft, il s’agit de cybercriminels qui ne s’intéressent qu’à se remplir les poches et à semer la destruction. ‘DEV-0537 est connu pour exploiter un modèle d’escroquerie pure et de destruction, sans ransomware payloads’, comme le signale l’entreprise sur son blog. ‘On sait aussi que le gang prend le contrôle de comptes d’utilisateur individuels sur des crypto-plates-formes en vue de voler des crypto-espèces.’ Ses tactiques consistent à utiliser l’ingénierie sociale via le téléphone, à recourir au SIM-swapping, mais aussi simplement à soudoyer des collaborateurs ou des vendeurs d’une entreprise pour y avoir accès.