Exploitation massive de MOVEit Transfer (Cl0p)

Fin mai 2023, le groupe d’extorsion russophone Cl0p a armé la CVE-2023-34362, une injection SQL zero-day dans MOVEit Transfer de Progress Software — un logiciel de transfert de fichiers utilisé par les banques, les administrations, les prestataires de paie et les cabinets d’avocats pour déplacer des données sensibles entre organisations.

Ce qui s’est passé

Cl0p a mené la campagne comme une exploitation massive plutôt qu’en ciblant des victimes individuelles : des scanners ont martelé toutes les instances MOVEit Transfer exposées sur Internet, déposé un webshell (« LEMURLOOT »), puis exfiltré des bases de données. Les correctifs sont arrivés le 31 mai 2023, mais la plupart des victimes avaient déjà été compromises.

Plutôt que de chiffrer les données, Cl0p a choisi une extorsion pure : les organisations étaient listées sur le site de fuite du groupe avec des deadlines, et celles qui refusaient de payer voyaient leurs données publiées au fil des mois.

Conséquences

• Plus de 2 700 organisations confirmées compromises, avec Emsisoft qui a suivi la longue traîne tout au long de 2024.
• Environ 95 millions de personnes ont vu leurs données exposées — bénéficiaires Medicare américains (via Maximus), retraités britanniques (via Zellis), clients de banques allemandes.
• Victimes notables : BBC, British Airways, Boots, Aer Lingus, Shell, Sony, Deloitte, EY, PwC, département américain de l’Énergie, Johns Hopkins University, Maximus.
• Coût cumulé estimé : plus de 12 milliards de dollars (selon IBM/Ponemon).

Pourquoi c’est important

MOVEit illustre le risque amont de chaîne d’approvisionnement à l’état pur : une vulnérabilité dans un produit, exploitée à l’échelle d’Internet, propagée en aval vers des milliers d’organisations qui n’avaient jamais directement choisi MOVEit mais dépendaient d’un prestataire de paie, de comptabilité ou de remboursement qui l’utilisait. La campagne a aussi marqué la maturité opérationnelle de l’extorsion pure de données comme alternative au chiffrement — pas de chiffrement, pas d’indisponibilité, juste du levier.