Violation de données avec demande de rançon chez Ferrari

Le 20 mars 2023, le constructeur italien de voitures de sport de luxe Ferrari a révélé avoir été contacté par un acteur malveillant exigeant une rançon en lien avec certaines données de contact de clients ayant été compromises. Plutôt que de négocier discrètement, Ferrari a confirmé publiquement l'incident et averti les clients concernés, déclarant par principe qu'elle ne céderait pas à la rançon.

Ce qui s'est passé

Ferrari a indiqué avoir été contactée par un acteur malveillant formulant une demande de rançon liée à des coordonnées spécifiques de clients. À réception de la demande, l'entreprise a immédiatement ouvert une enquête avec le soutien d'une société tierce de cybersécurité et informé les autorités compétentes.

Ferrari a été explicite sur sa position : « Par principe, Ferrari ne cédera pas à la rançon, car le paiement de telles demandes finance l'activité criminelle et permet aux acteurs malveillants de perpétuer leurs attaques. » L'entreprise a choisi de divulguer l'incident aux clients et d'en décrire la nature comme la démarche la plus transparente.

Impact

• Les données exposées se limitaient aux coordonnées des clients : noms, adresses, adresses e-mail et numéros de téléphone.
• Ferrari a déclaré n'avoir trouvé aucune preuve que des données de paiement, des numéros de compte bancaire ou d'autres informations de paiement sensibles aient été consultés ou volés.
• Il n'y a eu aucun impact sur les systèmes opérationnels de Ferrari ni sur la production de véhicules ; il s'agissait d'une atteinte à la confidentialité, et non d'un événement perturbateur de chiffrement par rançongiciel.
• Une publication ultérieurement associée au groupe RansomEXX a revendiqué environ 7 Go de données Ferrari, dont des documents internes et des manuels de réparation, bien que la divulgation officielle de Ferrari se soit concentrée sur l'exposition des coordonnées clients, et que le constructeur ait par ailleurs démenti une revendication antérieure et distincte de RansomEXX en octobre 2022.

Pourquoi c'est important

L'affaire Ferrari est remarquable moins par le volume des données — modeste — que par la qualité des victimes et la gestion de l'entreprise. Une base de données piratée de clients Ferrari constitue, de fait, une liste sélective de personnes à très haute valeur patrimoniale, la rendant exceptionnellement précieuse pour le hameçonnage ciblé, l'ingénierie sociale et les risques de sécurité physique. La réponse de Ferrari — refuser la rançon, divulguer rapidement et avertir directement les clients — est devenue un exemple largement cité de la posture « ne pas payer, mais divulguer » que les régulateurs et les forces de l'ordre préconisent de plus en plus. Elle illustre comment, pour les marques de prestige, la gestion réputationnelle d'une violation peut compter autant que sa portée technique.