7,000 mots de passe volés chez LVM

Le 22 juin, l’entreprise forestière publique lettone LVM a coupé toute son infrastructure informatique pour contenir une attaque. Les livraisons ont repris en quatre jours, mais 44 Go de données internes ont déjà été publiés et environ 7 000 mots de passe auraient été compromis.

Dans une cyberattaque, la vitesse de reprise ne dit pas tout. LVM, qui gère les forêts publiques lettones, a remis en route l’essentiel de ses systèmes internes au 29 juin, après avoir interrompu toute son infrastructure informatique le 22 juin pour empêcher l’assaillant de copier davantage de fichiers. Les livraisons de bois à la plupart des acheteurs ont repris en moins de quatre jours : pour un opérateur public dépendant de contrats, de transporteurs et de consignes de chantier, c’est un délai court.

Cette continuité a tenu à un élément décisif : les sauvegardes. LVM affirme qu’elles étaient fonctionnelles et qu’aucune demande de rançon ne lui est parvenue. L’autorité lettone de cybersécurité, CERT.LV, a confirmé que ces sauvegardes pouvaient être restaurées, contredisant les premiers récits selon lesquels elles auraient été détruites. L’entreprise a donc continué à fonctionner. Le vrai dommage se situe ailleurs : dans ce qui avait déjà quitté le réseau avant la fermeture des accès, soit environ 44 Go de données internes publiées en ligne, avec un volume total potentiellement supérieur.

Un vieux serveur, deux semaines d’accès

Un rançongiciel moderne ne se limite plus à bloquer des ordinateurs. Il fonctionne comme une intrusion méthodique : trouver une entrée faible, progresser dans le réseau, récupérer des identifiants, copier des fichiers, puis chiffrer ou menacer de publier. Le guide de la CISA, l’agence américaine de cybersécurité, décrit cette séquence devenue classique : accès initial, déplacement latéral, vol d’identifiants, exfiltration, chiffrement.

Selon l’expert en cybersécurité Elvis Strazdiņš, cité par des médias lettons, l’attaquant serait resté près de deux semaines dans les systèmes de LVM après être entré par un serveur utilisant un logiciel obsolète. Il aurait eu accès à environ 7 000 mots de passe d’employés et installé un logiciel malveillant. Ces éléments relèvent de récits d’experts et de presse, non de conclusions médico-légales officielles. Ils pointent toutefois une faiblesse bien connue : un seul serveur non corrigé peut suffire à ouvrir un réseau par ailleurs à jour.

Strazdiņš dit aussi avoir contacté le pirate, qui lui aurait indiqué un prix de déchiffrement d’environ 618 600 euros, soit 0,1 % du chiffre d’affaires de LVM. LVM maintient qu’aucune demande de rançon ne lui est parvenue. La directrice de CERT.LV, Baiba Kaškina, a décrit un attaquant davantage en quête de notoriété que d’argent, en relevant que le groupe avait ciblé des organisations dans plusieurs pays. Rien, à ce stade, n’étaye sérieusement l’hypothèse d’un parrainage étatique : le mode opératoire ressemble plutôt à une extorsion commerciale accompagnée d’une recherche de visibilité.

Serrures changées, documents photographiés

Les sauvegardes ont sauvé les opérations de LVM, mais elles ne règlent qu’une partie du problème. Elles permettent de récupérer des systèmes chiffrés ; elles ne permettent pas de faire disparaître des fichiers déjà copiés. Mots de passe, certificats de sécurité, documents internes : une fois sortis du réseau, ils restent exploitables même si les originaux sont restaurés.

Un certificat de sécurité est une identité numérique : il sert à prouver qu’un serveur est bien celui qu’il prétend être. S’il est compromis, le risque ne concerne donc pas seulement LVM, mais aussi les tiers connectés à ses systèmes. CERT.LV a averti que les mots de passe, certificats et clés numériques compromis devaient être remplacés. C’est l’équivalent informatique d’un changement de serrures après un cambriolage, sans possibilité de récupérer les documents que l’intrus aurait photographiés avant de partir.

Quand la préparation devient une obligation juridique

L’écart entre « systèmes restaurés » et « données protégées » est précisément au cœur de la directive européenne NIS2, qui couvre 18 secteurs critiques. Son changement central est de déplacer la responsabilité vers l’amont : les dirigeants doivent démontrer qu’ils avaient organisé la gestion du risque avant l’attaque, et pas seulement qu’ils ont su redémarrer après coup. La directive rend les organes de direction directement responsables de la gestion des risques et du signalement des incidents.

Le cas de LVM dépendra de la manière dont la Lettonie classe l’entreprise dans son droit national. Les calendriers de conformité complets s’étirent, selon les États membres, jusqu’en 2027 et au-delà. Beaucoup d’opérateurs publics européens construisent donc encore les défenses qu’ils devront bientôt être capables de prouver.

LVM illustre les deux faces de cette transition. Ce qui avait été préparé, les sauvegardes, la restauration progressive et la continuité d’activité, a permis de reprendre les livraisons en quelques jours. Ce qui ne l’était pas assez, le maintien à jour de tous les serveurs et la détection précoce d’un intrus, a laissé des milliers d’identifiants et des gigaoctets de fichiers exposés. Baiba Kaškina a résumé l’asymétrie : les défenseurs doivent tout sécuriser, l’attaquant n’a besoin que d’un point faible. C’est désormais le test permanent de tout opérateur européen de service public, qu’il gère des forêts, des hôpitaux ou des chaînes d’approvisionnement.