Le coffre-fort de mots de passe d'IHG était ouvert à 200 000 employés derrière un mot de passe faible — des pirates ont effacé des données

Un lundi de septembre 2022, des clients d'IHG, propriétaire d'Holiday Inn, Crowne Plaza et Regent avec environ 6 000 hôtels dans le monde, ont signalé des problèmes généralisés de réservation et d'enregistrement. Pendant 24 heures, l'entreprise a répondu aux plaintes sur les réseaux sociaux en invoquant une « maintenance système ». Le mardi après-midi, elle a informé la Bourse de Londres qu'elle avait été piratée et que les canaux de réservation et d'autres applications avaient été considérablement perturbés.

Les attaquants, qui se faisaient appeler TeaPea et se présentaient comme un couple au Vietnam, ont déclaré à la BBC qu'ils avaient d'abord prévu une attaque par rançongiciel, mais que l'équipe informatique d'IHG n'arrêtait pas d'isoler des serveurs avant qu'ils puissent la déployer, de sorte qu'ils ont mené une attaque par effaceur (wiper) qui détruit irréversiblement les données. Ils ont affirmé être entrés en amenant un employé à ouvrir une pièce jointe malveillante et en contournant une demande d'authentification à deux facteurs, puis avoir trouvé les identifiants de connexion du coffre-fort de mots de passe interne d'IHG. La BBC a rapporté que, selon leur récit, les identifiants du coffre-fort étaient visibles par l'ensemble des 200 000 employés et que le mot de passe était « Qwerty1234 ».

IHG a confirmé que les captures d'écran fournies par les pirates étaient authentiques. Elle a contesté que les informations du coffre-fort fussent peu sûres, affirmant que l'attaquant avait dû contourner « plusieurs couches de sécurité » et qu'elle applique une approche de défense en profondeur.

Canaux de réservation et autres applications « considérablement perturbés » pendant plusieurs jours ; IHG a informé les investisseurs qu'elle avait été piratée ; aucun chiffre de coût communiqué

Selon les pirates, le nom d'utilisateur et le mot de passe du coffre-fort étaient accessibles à l'ensemble des 200 000 employés, de sorte qu'un seul compte compromis ouvrait les systèmes les plus sensibles.

Les pirates ont déclaré que le mot de passe du coffre-fort était Qwerty1234, un mot de passe couramment utilisé suivant un schéma de clavier.

Une pièce jointe malveillante et une demande de second facteur contournée auraient donné le premier point d'ancrage sur l'appareil d'un employé.

L'expert en sécurité Rik Ferguson a déclaré à la BBC que les données sensibles ne devraient être accessibles qu'à ceux qui en ont besoin, et qu'un mot de passe complexe est aussi peu sûr qu'un mot de passe simple s'il est laissé exposé.

Un périmètre solide échoue si le coffre-fort qui se trouve derrière est lisible par tous et protégé par un mot de passe suivant un schéma de clavier. L'accès devrait être limité à ceux qui en ont besoin, quel que soit le mot de passe.

IHG a indiqué que les systèmes destinés aux clients revenaient à la normale, mais que les services pourraient rester intermittents. Les pirates ont affirmé qu'aucune donnée client n'avait été dérobée, mais qu'ils détenaient certaines données d'entreprise, notamment des enregistrements de courriels. IHG n'a pas accepté la description de sa sécurité par les pirates, et l'article de la BBC ne donne aucun chiffre sur le coût financier.