Une attaque par rançongiciel, facilitée par des mesures de sécurité fondamentales jugées insuffisantes, a conduit à la compromission de données personnelles, y compris de catégories particulières. L'autorité a notamment relevé l'absence de déploiement systématique de l'authentification multifacteur, une ségrégation des réseaux inefficace et un processus de gestion des vulnérabilités non formalisé.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali) a publié une décision constatant des manquements à l'encontre de la société NIER Ingegneria S.p.a. Società Benefit pour des défaillances de sécurité ayant conduit à une attaque par rançongiciel et à la publication de données sur le dark web.

L'affaire trouve son origine dans la notification d'une violation de données personnelles effectuée par la société le 11 octobre 2024, suite à la détection d'une attaque par le rançongiciel "BlackBasta" ayant entraîné le chiffrement de systèmes et l'exfiltration de données.

Motifs de la décision

• Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a estimé que les mesures techniques et organisationnelles mises en œuvre par la société n'étaient pas appropriées pour garantir un niveau de sécurité adapté au risque. L'enquête a révélé plusieurs défaillances critiques : l'authentification multifacteur n'était active que pour un nombre limité de profils "critiques" sur les services Microsoft 365 et n'était pas étendue aux autres systèmes, notamment l'accès à distance par réseau privé virtuel (VPN), qui constituait le vecteur d'attaque probable. De plus, bien qu'une segmentation du réseau en plusieurs réseaux locaux virtuels (VLAN) ait été mise en place, les contrôleurs de domaine disposaient d'un accès étendu à l'ensemble de ces réseaux, annulant l'efficacité de la mesure et permettant les mouvements latéraux de l'attaquant. Enfin, le processus de gestion des vulnérabilités était décrit comme "partiel et non formalisé", reposant sur des activités manuelles, et le système de sauvegarde a également été compromis, avec des points de restauration datant de deux mois avant l'incident.

• Obligation de garantir l'intégrité et la confidentialité des données (article 5, paragraphe 1, point f) du RGPD) : L'autorité a conclu que les manquements aux obligations de sécurité de l'article 32 du RGPD ont directement entraîné une violation du principe d'intégrité et de confidentialité. L'incapacité à prévenir l'accès non autorisé, le chiffrement des données (compromettant leur disponibilité et leur intégrité) et leur exfiltration suivie d'une publication sur le dark web (compromettant leur confidentialité) constituent une matérialisation des risques que des mesures de sécurité adéquates auraient dû prévenir. La violation a touché une grande variété de données, y compris des données relatives à la santé, à l'appartenance syndicale et à des condamnations pénales, ce qui accentue la gravité du manquement.

Décision de l'autorité

En conséquence, l'autorité a constaté des manquements aux articles 5, paragraphe 1, point f), et 32, paragraphe 1, point b) du RGPD à l'encontre de NIER Ingegneria S.p.a. Società Benefit.

Enseignements

Cette décision rappelle que :

• L'authentification multifacteur doit être systématiquement déployée sur tous les accès externes, notamment les accès VPN, et ne pas être limitée à certains profils ou systèmes jugés "critiques".
• Une politique de ségrégation des réseaux n'est efficace que si les règles de flux sont strictement contrôlées, y compris pour les comptes et systèmes d'administration comme les contrôleurs de domaine, afin d'empêcher les mouvements latéraux d'un attaquant.
• La gestion des vulnérabilités doit reposer sur un processus formalisé et outillé, et non sur des actions manuelles et ponctuelles, pour garantir une identification et une remédiation efficaces des failles de sécurité.