Attaque par rançongiciel BlackCat contre EPM

Le 12 décembre 2022, Empresas Públicas de Medellín (EPM) — le plus grand opérateur public multiservices de Colombie — a été frappé par une attaque par rançongiciel largement attribuée à l'opération BlackCat (ALPHV). L'intrusion a chiffré les systèmes internes et contraint l'un des plus importants opérateurs d'infrastructures critiques du pays à plusieurs jours de fonctionnement manuel, sur papier.

Ce qui s'est passé

EPM fournit électricité, eau, gaz naturel et assainissement à environ 123 municipalités et figure parmi les plus grandes entreprises de Colombie, avec des revenus se chiffrant en dizaines de milliards de dollars. Au matin du 12 décembre 2022, l'entreprise a détecté que des systèmes internes avaient été chiffrés et que les services client en ligne étaient hors service.

Le lendemain, EPM a demandé à environ 4 000 employés de travailler depuis leur domicile et a mis hors ligne une grande partie de son infrastructure informatique pour contenir la propagation. L'entreprise a qualifié publiquement l'événement de cyberattaque tout en soulignant que la fourniture physique des services — production, traitement de l'eau et distribution — n'a jamais été interrompue, car la technologie opérationnelle était isolée du réseau d'entreprise touché.

Attribution

EPM n'a jamais officiellement nommé l'auteur. Cependant, le chercheur en sécurité chilien Germán Fernández a découvert un échantillon récent d'ExMatter, l'outil sur mesure d'exfiltration de données utilisé par l'opération de rançongiciel-as-a-service BlackCat/ALPHV, téléversé depuis la Colombie vers un service d'analyse de logiciels malveillants au cours de la même période. L'échantillon d'ExMatter pointait vers un serveur distant mal sécurisé, et les chercheurs ont conclu que BlackCat était à l'origine de l'intrusion contre EPM et avait dérobé des données d'entreprise, conformément à son modèle de double extorsion.

Conséquences

• Environ 4 000 employés ont été renvoyés chez eux et sont revenus à des processus manuels pour la facturation, les achats et le service client.
• Les portails clients, les canaux de paiement et la messagerie interne ont été perturbés pendant plusieurs jours.
• La fourniture de services à 123 municipalités s'est poursuivie, mais la restauration des fonctions administratives s'est étalée sur plusieurs semaines.
• EPM n'a pas confirmé publiquement le versement d'une rançon, et le volume exact des données exfiltrées n'a jamais été divulgué.

Pourquoi c'est important

L'attaque contre EPM a été l'une des frappes les plus marquantes contre les infrastructures critiques latino-américaines en 2022. Elle a démontré à la fois une force et un avertissement : la segmentation entre l'informatique et la technologie opérationnelle a empêché une compromission du système de facturation de se propager à une perte d'électricité ou d'eau — pourtant, un seul incident de rançongiciel a tout de même paralysé les fonctions administratives d'un opérateur desservant des millions de personnes. Pour la Colombie, elle a préfiguré une vague d'incidents très médiatisés — dont la violation du réseau de santé Keralty quelques jours plus tôt et l'attaque de la chaîne d'approvisionnement IFX Networks en 2023 — qui ont révélé à quel point les institutions du pays restaient exposées à l'extorsion par rançongiciel.