Attaque par rançongiciel sur la chaîne d'approvisionnement IFX Networks

En septembre 2023, une attaque par rançongiciel contre IFX Networks — un fournisseur régional de cloud, d'hébergement et de connectivité — s'est transformée en l'un des incidents de chaîne d'approvisionnement les plus perturbateurs de l'histoire de l'Amérique latine, se propageant d'un seul prestataire technologique jusqu'au cœur de l'État colombien.

Ce qui s'est passé

Le 12 septembre 2023, des acteurs malveillants ont déployé un rançongiciel au sein de l'infrastructure d'IFX Networks, chiffrant des systèmes sur lesquels des centaines de clients s'appuyaient pour l'hébergement et le stockage de données. Comme tant d'institutions colombiennes externalisaient leurs services auprès d'IFX, l'impact s'est répercuté presque immédiatement.

Le ministère de la Santé et de la Protection sociale, le pouvoir judiciaire et la Surintendance de l'industrie et du commerce ont tous signalé qu'ils ne pouvaient plus fonctionner normalement. Une base de données touchée contenait, selon les rapports, plus de 50 millions d'enregistrements appartenant au ministère de la Santé. Le pouvoir judiciaire a été contraint de suspendre les délais procéduraux à l'échelle nationale, les tribunaux ayant perdu l'accès aux systèmes de gestion des dossiers.

Ampleur

Le président Gustavo Petro a déclaré que plus de 50 entités publiques et privées colombiennes avaient été touchées. La présidence a indiqué par la suite que l'attaque avait touché 762 entreprises à travers l'Amérique latine, IFX fournissant des services à des organisations dans 17 pays du sous-continent. Cette ampleur en a fait une démonstration manuelle du risque de concentration : compromettre un seul prestataire de services gérés a donné un accès simultané à des dizaines de victimes en aval.

Attribution

Aucun groupe de rançongiciel n'a publiquement revendiqué l'attaque à l'époque. Cependant, les chercheurs d'elHacker.net ont fait circuler des éléments suggérant que le groupe d'extorsion RansomHouse — déjà lié à la violation du réseau de santé Keralty en 2022 en Colombie — pouvait en être responsable. IFX Networks a confirmé avoir subi un incident de rançongiciel touchant un sous-ensemble de sa plateforme d'hébergement.

Réponse du gouvernement

Le gouvernement colombien a adopté une posture inhabituellement combative envers son propre prestataire. Le ministre des TIC Mauricio Lizcano a déclaré avoir ordonné des actions administratives contre IFX Networks et coordonner une poursuite civile et une possible action pénale, alléguant que la violation résultait de la négligence de l'entreprise et que la communication d'IFX avec les clients touchés avait été insuffisante. Le parquet a ouvert une enquête.

Pourquoi c'est important

IFX Networks a cristallisé le danger de la dépendance de l'État envers des fournisseurs cloud tiers sans garanties contraignantes de sécurité et de réponse aux incidents. Un seul prestataire compromis a dégradé les services de santé, interrompu les procédures judiciaires et perturbé les régulateurs à l'échelle d'une nation entière — et au-delà de ses frontières. L'incident a accéléré le débat en Colombie et dans l'ensemble de la région sur la diligence raisonnable en matière de chaîne d'approvisionnement, la notification obligatoire des violations pour les fournisseurs critiques et la résilience de l'informatique externalisée du secteur public.