Rançongiciel LockBit contre Boeing via Citrix Bleed (2023)

Fin octobre 2023, l'opération de rançongiciel LockBit a annoncé avoir volé « une quantité énorme » de données à Boeing et qu'elle les publierait sauf paiement par le géant de l'aérospatial avant le 2 novembre. Boeing a confirmé un incident affectant son activité de pièces détachées et de distribution le 2 novembre et a refusé de payer. Le 10 novembre, LockBit a publié environ 45 Go de données de Boeing au grand public. L'analyse de la fuite a indiqué que les attaquants avaient exploité la vulnérabilité Citrix Bleed (CVE-2023-4966) pour leur accès initial.

Ce qui s'est passé

L'activité de pièces détachées et de distribution de Boeing est l'infrastructure mondiale qui gère les commandes de pièces de rechange, la coordination avec les fournisseurs techniques et le flux commercial courant des composants aérospatiaux. Le 27 octobre 2023, LockBit a publié une revendication menaçant de publier les données volées de Boeing sauf paiement d'une rançon avant le 2 novembre. Boeing a confirmé répondre à un incident cyber le jour même de l'expiration du délai et a refusé de négocier.

Le 10 novembre, LockBit a publié l'intégralité des données qu'il prétendait détenir — environ 43 à 45 Go. Le contenu comprenait :

• Des journaux Citrix datés du 22 octobre 2023 au plus tard.
• Des sauvegardes de courriels, des données de service de provisionnement.
• Des audits et documents de contrôle de sécurité.
• Des supports de formation de Boeing.
• Des listes de fournisseurs techniques et distributeurs de Boeing en Europe et en Amérique du Nord (noms, lieux, numéros de téléphone).
• Des détails financiers de Boeing, dont des ventes, des remises, des rapports de coût de non-qualité (COPQ) et des données tarifaires pour 2020.

Les chercheurs croisant les données divulguées avec les vulnérabilités publiées ont conclu que LockBit avait probablement exploité CVE-2023-4966 (Citrix Bleed) pour obtenir l'accès initial — la même faille utilisée dans l'attaque contemporaine de l'ICBC.

Impact

• ~45 Go de données de Boeing publiées au grand public.
• Contacts de fournisseurs et distributeurs, tarification interne et documents d'audit exposés.
• Boeing a refusé de payer — l'une des décisions de non-paiement les plus médiatisées dans les rançongiciels américains.
• Citrix Bleed (CVE-2023-4966) confirmée comme vecteur d'accès initial.

Pourquoi cela compte

Le cas Boeing combine deux premières à grande échelle publique : Citrix Bleed à l'échelle industrielle (également observé à l'ICBC) et un grand prestataire américain lié à la défense refusant publiquement de payer LockBit. La composition du contenu de la fuite — listes de fournisseurs, données tarifaires, rapports COPQ — montre également avec quelle minutie l'extorsion par rançongiciel moderne moissonne le renseignement commercial d'une cible avant la phase de chiffrement.