Épidémie de rançongiciel WannaCry chez Telefónica

Le 12 mai 2017, le ver rançongiciel mondial WannaCry a déferlé sur plus de 150 pays — et l'une de ses victimes corporate les plus visibles a été Telefónica, premier opérateur de télécommunications d'Espagne. L'angle espagnol est devenu une image emblématique de l'épidémie : des employés quittant en masse le siège madrilène de Telefónica après avoir reçu l'ordre d'éteindre leurs machines.

Ce qui s'est passé

WannaCry se propageait via EternalBlue, un exploit de la NSA divulgué visant CVE-2017-0144, une faille du protocole de partage de fichiers obsolète SMBv1. Microsoft avait corrigé la vulnérabilité deux mois plus tôt dans le bulletin MS17-010, mais d'innombrables machines d'entreprise — dont beaucoup du parc Windows interne de Telefónica — restaient non corrigées.

En milieu de matinée, le ver a commencé à chiffrer les postes de travail du réseau interne de Telefónica. Des alertes internes, comprenant selon les rapports des annonces au haut-parleur au siège madrilène, ont enjoint aux employés d'éteindre leurs ordinateurs et de se déconnecter du Wi-Fi interne pour stopper le logiciel malveillant auto-propagateur. Les partenaires externes connectés par VPN ont également reçu l'ordre de se déconnecter. Les écrans infectés affichaient la note de rançon caractéristique de WannaCry, exigeant environ 300 dollars en Bitcoin par machine.

Conséquences

• Une large part des postes de travail internes des sites touchés a été mise hors ligne par mesure de confinement ; les employés du siège madrilène ont été renvoyés chez eux.
• Élément crucial, Telefónica a déclaré que ses services destinés aux clients — téléphonie fixe et mobile et connectivité internet — n'étaient pas affectés. Les dégâts se sont limités à l'environnement informatique interne de l'entreprise.
• L'incident a déclenché une réponse d'urgence impliquant le CCN-CERT et l'INCIBE espagnols, et a fait de Telefónica un point focal de la couverture nationale et internationale de l'épidémie.

Attribution

WannaCry a été ensuite attribué par les États-Unis, le Royaume-Uni et d'autres au Lazarus Group, une unité de piratage liée à la Corée du Nord (DPRK). La propagation mondiale du ver a été stoppée en quelques heures lorsque le chercheur Marcus Hutchins a enregistré un domaine kill-switch codé en dur dans le logiciel malveillant, limitant le chiffrement ultérieur.

Pourquoi c'est important

L'expérience de Telefónica a cristallisé une dure leçon sur la gestion des correctifs à grande échelle : un correctif existait depuis deux mois, et pourtant une seule vulnérabilité non corrigée et propageable a suffi à paralyser le réseau interne d'un grand opérateur télécom. L'épisode a accéléré le retrait de SMBv1 dans les entreprises du monde entier et est régulièrement cité — aux côtés de la perturbation du NHS britannique le même jour — comme le moment où le rançongiciel est devenu une préoccupation de niveau direction et de sécurité nationale en Europe.