Rançongiciel Sodinokibi et effondrement de Travelex (2019–2020)

Le soir du Nouvel An 2019, l'entreprise londonienne de change Travelex a été frappée par le rançongiciel REvil/Sodinokibi. L'attaque — exploitant une faille Pulse Secure VPN non corrigée au sujet de laquelle l'entreprise avait été alertée plusieurs mois plus tôt — a déclenché une chaîne d'événements qui s'est finalement achevée par l'effondrement de la maison mère de Travelex, Finablr, et la perte de plus de 1 300 emplois.

Ce qui s'est passé

Les opérateurs de REvil seraient entrés dans le réseau de Travelex à la mi-2019 via CVE-2019-11510, une vulnérabilité Pulse Secure VPN qui permettait la divulgation non authentifiée d'identifiants à distance. Les chercheurs en sécurité avaient publiquement averti Travelex de l'exposition sur ce vecteur spécifique avant l'attaque ; le correctif n'avait pas été appliqué.

Les attaquants ont séjourné dans le réseau pendant environ six mois et exfiltré environ 5 Go de données clients sensibles — dates de naissance, informations de carte de crédit, numéros National Insurance — avant de déclencher le rançongiciel le 31 décembre 2019. Le site public de Travelex est tombé hors ligne et ses opérations de change à travers 26 pays ont été gravement perturbées.

REvil a d'abord exigé 6 millions de dollars. Après des semaines de négociation, Travelex a versé environ 2,3 millions de dollars (~285 BTC).

Le rançongiciel n'était que le début du problème. Les dommages réputationnels et opérationnels se sont aggravés avec un scandale comptable déjà en cours chez Finablr. La maison mère Finablr a échoué dans sa tentative de céder Travelex, et PwC est intervenu comme administrateur — avant de finalement liquider Travelex, avec la perte de plus de 1 300 emplois.

Impact

• Opérations de change perturbées dans 26 pays.
• Environ 5 Go de données clients incluant date de naissance, détails de carte de crédit et numéros NI exfiltrés.
• Rançon de 2,3 millions de dollars payée.
• Travelex entré en liquidation ; plus de 1 300 emplois perdus.
• L'effondrement de Finablr aggravé par les retombées du rançongiciel.

Pourquoi cela compte

Travelex est l'étude de cas fondatrice qui démontre pourquoi le patching importe et pourquoi un rançongiciel peut survivre à l'entreprise qui le paie. Une faille VPN non corrigée, ignorée malgré des avertissements publics spécifiques, a tué une marque de change de 50 ans. Toute discussion moderne sur le risque cyber au niveau du conseil d'administration dans la finance britannique trouve son origine ici.