Attaque par rançongiciel contre Bank Syariah Indonesia (BSI)

Le 8 mai 2023, Bank Syariah Indonesia (BSI) — la plus grande banque conforme à la charia du pays, née de la fusion en 2021 de trois banques islamiques publiques — a subi une panne de plusieurs jours de ses distributeurs, de sa banque mobile et de ses services d'agence. Le gang de rançongiciel LockBit a revendiqué par la suite l'attaque et divulgué 1,5 To de données volées après que BSI a refusé de payer une rançon de 20 millions de dollars américains.

Ce qui s'est passé

Partout en Indonésie, des clients ont trouvé les distributeurs, l'application BSI Mobile et les systèmes de transaction en agence indisponibles à partir du 8 mai. La banque a d'abord attribué la perturbation à une maintenance des systèmes, mais la panne s'est étendue sur plusieurs jours, alimentant les soupçons d'une cyberattaque.

Le 13 mai 2023, l'opération de rançongiciel LockBit a publié BSI sur son site de fuite du dark web, affirmant avoir exfiltré 1,5 téraoctet de données réparties sur neuf bases. LockBit a déclaré que le lot couvrait environ 15 millions de clients et d'employés, incluant noms, numéros de téléphone, adresses, numéros de compte et de carte, historiques de transactions et documents internes. Le gang a fixé un délai de 72 heures et exigé 20 millions de dollars américains.

Impact

• Les services bancaires centraux de BSI ont été dégradés ou hors ligne pendant plusieurs jours, affectant des millions de clients durant la période chevauchant l'après-fête de l'Aïd.
• LockBit a revendiqué 1,5 To de données sur environ 15 millions de clients et d'employés.
• Les négociations ayant échoué, LockBit a publié l'intégralité du jeu de données le 15 mai 2023, faisant passer l'incident de l'extorsion à une fuite massive de données confirmée.

Réponse

BSI a publiquement confirmé une cyberattaque le 16 mai, tout en soutenant que les fonds des clients étaient en sécurité et que les services avaient été rétablis. L'Autorité des services financiers indonésienne (OJK) et l'Agence nationale de cybersécurité et de cryptographie (BSSN) se sont saisies de l'incident. La banque n'a pas payé la rançon.

Pourquoi c'est important

La fuite de BSI a marqué un tournant pour la résilience du secteur financier en Indonésie : une banque d'importance systémique a subi à la fois une perturbation prolongée de ses services et une fuite complète des données de ses clients, ébranlant la confiance durant une période sensible de la banque religieuse. Elle a préfiguré l'attaque du Centre national de données de 2024 par le même écosystème dérivé de LockBit, renforçant les inquiétudes quant à l'exposition de l'Indonésie aux opérateurs de rançongiciel utilisant la boîte à outils LockBit 3.0 et au recours limité dont disposent les victimes dans le cadre du dispositif naissant de protection des données du pays.