La « fuite catastrophique » d'Ubiquiti était le complot d'extorsion de 50 bitcoins de son propre ingénieur

Les 10 et 11 janvier 2021, Ubiquiti a informé ses clients par courriel qu'une partie non autorisée avait accédé à des « systèmes informatiques hébergés par un fournisseur de services cloud tiers » et qu'elle ne pouvait pas être certaine que les données des clients — noms, courriels, mots de passe chiffrés à sens unique, adresses et numéros de téléphone — n'avaient pas été exposées. Le courriel contenait des fautes de frappe, si bien que de nombreux destinataires ont cru à un hameçonnage, et l'entreprise a dû confirmer son authenticité sur son forum communautaire. L'action a chuté, et le BSI allemand a conseillé aux utilisateurs de changer leurs identifiants.

Le 30 mars 2021, Ubiquiti a apporté des précisions : l'attaquant avait accédé à ses serveurs hébergés sur AWS contenant du code source et des identifiants informatiques, bien que les données des clients « n'aient pas été la cible » ; tous les utilisateurs étaient invités à réinitialiser leurs mots de passe et à activer l'authentification à deux facteurs. La même semaine, un « lanceur d'alerte » anonyme a déclaré à des journalistes spécialisés en sécurité que la fuite était catastrophique et faisait l'objet d'une dissimulation. L'action d'Ubiquiti est passée de 376,78 $ à 298,30 $ — environ 20 % — en deux jours.

Le complot s'est effondré le 1er décembre 2021, lorsque des procureurs fédéraux de Manhattan ont inculpé Nickolas Sharp, un ingénieur d'Ubiquiti. Après avoir postulé à un autre emploi en décembre 2020, il aurait utilisé ses propres identifiants VPN d'administrateur pour télécharger des gigaoctets depuis les comptes AWS et GitHub de l'entreprise, appliqué des politiques AWS pour limiter la journalisation et supprimé l'historique de sa session VPN — mais une brève coupure de connexion a révélé son adresse IP domestique. C'est lui qui était le « pirate » anonyme ayant exigé 50 bitcoins avant le 10 janvier 2021 et qui, après refus, a divulgué des données et s'est fait passer pour le lanceur d'alerte.

L'action est passée de 377 $ à 298 $ en deux jours ; le BSI allemand a conseillé aux clients de changer leurs mots de passe ; une plainte en diffamation et une rétractation de la presse ont suivi.

Les identifiants d'administrateur légitimes d'un seul ingénieur donnaient accès à tout — code source, espaces de stockage cloud et paramètres de sécurité — sans aucune protection interne entre un employé et les joyaux de la couronne.

La journalisation n'était pas immuable : Sharp l'a limitée au moyen de politiques AWS et a effacé son historique VPN, si bien que l'entreprise n'a pas pu établir ce qui s'était réellement passé.

L'entreprise a communiqué avant de pouvoir caractériser l'incident, et son courriel truffé de fautes disant « may have been accessed » (un accès possible) ressemblait à un hameçonnage — ce vide a laissé le champ libre au récit de l'attaquant.

Un initié disposant d'identifiants d'administrateur constitue une menace plus grande que n'importe quel pirate. Rendez les journaux immuables, cloisonnez l'accès administrateur et établissez les faits avant de communiquer — un vide est comblé par celui qui ment le plus fort.

Sharp a été arrêté le 1er décembre 2021, accusé d'avoir volé des données et extorqué son propre employeur ; selon les procureurs, sa manipulation de la couverture médiatique avait effacé des milliards de la valeur boursière de l'entreprise. En août 2022, le blogueur spécialisé en sécurité Brian Krebs a publié une rétractation et présenté ses excuses — sa source « lanceur d'alerte » était l'auteur des faits — et la plainte en diffamation d'Ubiquiti contre lui a été réglée à l'amiable ce septembre-là. L'épisode est devenu une référence classique pour deux contrôles qu'aucun programme de sécurité ne devrait négliger : la journalisation d'audit immuable et la limitation des accès privilégiés pour les initiés.