Attaque par rançongiciel contre la Poste hellénique (ELTA)

Le soir du 20 mars 2022, la Poste hellénique (ELTA) — l'opérateur postal national grec — a été paralysée par une attaque par rançongiciel qui a mis hors service les systèmes commerciaux de l'ensemble du réseau des bureaux de poste pendant environ huit jours. Les comptes rendus ont attribué l'attaque au gang d'extorsion Vice Society, qui a frappé un service dont des millions de Grecs dépendent pour le courrier, le paiement des factures et les pensions.

Ce qui s'est passé

Les attaquants sont entrés en exploitant une vulnérabilité non corrigée, puis ont utilisé un reverse shell HTTPS pour se déplacer dans le réseau d'ELTA avant de déployer le rançongiciel contre ses systèmes d'information commerciaux. Ces systèmes étant hors service, chaque bureau de poste a perdu la capacité de traiter le courrier et les colis, l'encaissement des factures, les services financiers et les paiements de pensions.

ELTA a détecté l'intrusion le dimanche soir, a immédiatement averti les forces de l'ordre et a fait appel à une société de cybersécurité. Comme mesure de confinement, plus de 2 500 systèmes terminaux ont été examinés individuellement avant que les services puissent être rétablis en toute sécurité.

Impact

• La perturbation a touché environ cinq millions de clients, d'employés et de partenaires en relation avec ELTA.
• Les services ont été rétablis par étapes : distribution partielle courrier/colis le 22 mars, services financiers et encaissement le 24 mars, et paiements de pensions à l'échelle nationale le 28 mars — environ huit jours de perturbation.
• Le gang Vice Society a ensuite divulgué des données volées, dont des informations financières, sur son site du dark web, transformant l'incident en une fuite de données par double extorsion.

Conséquences réglementaires

Le 28 février 2024, l'Autorité grecque de protection des données (HDPA) a infligé à ELTA une amende administrative de 2 995 140 euros (environ 3,2 millions de dollars), constatant des violations des articles 5(1) et 32 du RGPD. Le régulateur a conclu qu'ELTA n'avait pas mis en place de mesures de sécurité techniques suffisantes et manquait de politiques adéquates de protection des données — une sanction de plusieurs millions d'euros rare contre un opérateur public.

Pourquoi c'est important

L'attaque d'ELTA est un cas emblématique d'infrastructure postale nationale. Elle a montré comment une seule vulnérabilité non corrigée pouvait arrêter un service public essentiel qui sous-tend les paiements et les pensions d'un pays entier, et comment un rançongiciel à double extorsion combine paralysie opérationnelle et fuite de données. L'amende RGPD qui a suivi a clairement établi que même les opérateurs publics critiques s'exposent à de lourdes conséquences financières et juridiques lorsque les contrôles de base de correctifs et de sécurité font défaut — ancrant l'incident comme une référence en matière de résilience et de responsabilité dans le secteur postal et logistique.