Fermeture en chaîne de Coop Suède via Kaseya

Le 3 juillet 2021, la coopérative de supermarchés suédoise Coop a fermé brutalement environ 800 magasins à travers la Suède. La cause n'était pas une attaque visant Coop elle-même, mais l'une des attaques par rançongiciel de la chaîne d'approvisionnement les plus marquantes de l'histoire — la compromission de Kaseya VSA par REvil — qui s'est propagée via un prestataire informatique jusqu'à paralyser les systèmes de caisse de Coop dans tout le pays.

Ce qui s'est passé

Le 2 juillet 2021, le groupe de rançongiciel lié à la Russie REvil (Sodinokibi) a exploité une vulnérabilité zero-day (CVE-2021-30116) dans Kaseya VSA, une plateforme de supervision et de gestion à distance utilisée par des prestataires de services gérés (MSP) dans le monde entier. En compromettant le logiciel de Kaseya, REvil a pu diffuser simultanément un rançongiciel vers des milliers d'organisations en aval via leurs MSP.

Coop n'était pas un client direct de Kaseya. L'attaque l'a atteinte via Visma Esscom, le MSP qui gère le logiciel de point de vente de Coop alimentant ses caisses et bornes de paiement en libre-service. Lorsque les systèmes de Visma ont été chiffrés, les terminaux de caisse de Coop se sont éteints — et un supermarché qui ne peut encaisser ses clients ne peut rester ouvert.

Impact

• Coop a été contrainte de fermer environ 800 magasins — soit la quasi-totalité de son réseau suédois — durant un week-end férié.
• Les magasins sont restés fermés plusieurs jours ; le partenaire de réponse aux incidents de Coop, Truesec, a aidé à reconstruire les systèmes de paiement, la plupart des magasins rouvrant en environ six jours, vers le 8 juillet.
• Coop a déployé des contournements, dont une méthode de paiement par auto-scan via application mobile, pour remettre certains magasins en service plus tôt.
• À l'échelle mondiale, REvil a exigé une rançon de 70 millions de dollars pour un déchiffreur universel couvrant toutes les victimes de Kaseya ; Coop n'a pas payé et Kaseya a finalement obtenu un déchiffreur.

Pourquoi c'est important

La fermeture de Coop est devenue la conséquence concrète la plus visible de l'attaque Kaseya et une illustration emblématique du risque lié à la chaîne d'approvisionnement et aux tiers de quatrième niveau. Coop avait fait tout ce qu'un client final pouvait raisonnablement faire, et s'est pourtant retrouvée paralysée parce qu'une vulnérabilité située trois niveaux plus haut dans sa chaîne logicielle — éditeur vers MSP vers détaillant — a été exploitée à grande échelle. L'incident a accéléré l'attention réglementaire et industrielle portée à la sécurité des MSP et à l'intégrité de la chaîne d'approvisionnement logicielle, des thèmes qui allaient ancrer la directive NIS2 de l'UE et des cadres de résilience similaires. Il demeure l'exemple européen de référence de la façon dont une seule faille zero-day en amont peut vider les rayons des supermarchés de leurs clients.