Rançongiciel Play chez Xplain et fuite de documents fédéraux suisses (2023)

Le 23 mai 2023, le groupe de rançongiciel Play a compromis Xplain, un prestataire suisse de services informatiques travaillant pour l'Administration fédérale suisse. Les attaquants ont exfiltré 1,3 million de fichiers, dont environ 65 000 documents liés au gouvernement fédéral, et les ont publiés sur le site de fuite du dark web de Play le 14 juin 2023. L'enquête administrative qui s'en est suivie a identifié 121 documents classifiés au titre de l'Ordonnance sur la protection des informations, dont quatre contenant des mots de passe lisibles.

Ce qui s'est passé

Xplain fournit des services informatiques à un large éventail d'entités fédérales suisses. Lorsque Play a chiffré l'environnement de Xplain en mai 2023, les attaquants ont également exfiltré une vaste archive de données — dont une grande partie portait sur les engagements clients avec l'Administration fédérale. Le 14 juin 2023, après le refus de Xplain de payer, Play a publié le matériel dérobé sur son site de fuite.

L'inventaire post-incident du gouvernement suisse a établi :

• Environ 70 % (~47 413 fichiers) de la fuite appartenait à Xplain elle-même.
• Environ 14 % (~9 040 fichiers) appartenait à l'Administration fédérale.
• Environ la moitié des fichiers ayant fuité de l'Administration fédérale contenait des données personnelles, des informations techniques, des contenus classifiés ou des mots de passe.
• 121 documents répondaient aux critères de classification au titre de l'Ordonnance suisse sur la protection des informations.
• Quatre de ces documents contenaient des mots de passe en clair.

Un état-major de crise officiel a été établi le 28 juin 2023 ; une enquête administrative a été lancée le 23 août. Les conclusions publiées sont parues en mars 2024.

Impact

• 1,3 million de fichiers publiquement divulgués.
• Environ 65 000 documents de l'Administration fédérale suisse exposés.
• 121 documents classifiés identifiés dans la fuite.
• 4 documents contenaient des mots de passe lisibles.
• Déclenchement d'une revue politique du gouvernement fédéral sur les pratiques de traitement des données par les prestataires.

Pourquoi cela compte

Xplain est le cas européen le plus net d'une compromission d'un prestataire gouvernemental se transformant en fuite de données souveraines. L'enquête du gouvernement suisse se distingue par la finesse de ses détails publics : quel volume a été perdu, quelle part était classifiée, combien de mots de passe ont été laissés en clair dans des fichiers qui n'auraient jamais dû être exfiltrés en premier lieu. Tous les services européens des marchés publics y font désormais référence lors de la rédaction de clauses sur le traitement des données par les prestataires.