Piratage chez Shadow : Les clients victimes d’une attaque sophistiquée

Fin septembre, Shadow, le service cloud désormais entre les mains d’Octave Klaba (OVHCloud), a été la cible d’une attaque informatique d’envergure. Des pirates ont réussi à dérober des données personnelles appartenant aux clients de la plateforme, notamment leurs noms, adresses e-mail, dates de naissance, adresses de facturation, et dates d’expiration de leurs cartes bancaires. Cependant, Shadow tient à rassurer en affirmant que les mots de passe et les informations bancaires sensibles sont restées intacts et sécurisés.

Ce piratage sophistiqué a été réalisé par le biais d’une attaque d’ingénierie sociale, ciblant un employé de Shadow sur Discord. L’employé a malheureusement téléchargé un malware, déguisé en jeu disponible sur Steam, proposé par une connaissance infectée par le virus. Une fois introduit dans les systèmes de Shadow, le pirate a utilisé un cookie dérobé pour accéder à l’interface d’un fournisseur SaaS de la plateforme, puis a extrait les informations des clients via l’API.

Shadow n’a pas précisé le nombre exact de clients touchés par cette fuite de données. En 2020, la plateforme comptait environ 100 000 clients en France, et elle visait à atteindre les 500 000 clients en Europe en 2021. En estimant un taux d’impact moyen de 10 % (la proportion de victimes d’une cyberattaque parmi les utilisateurs d’un service), on obtient une fourchette de 10 000 à 50 000 clients de Shadow touchés par le piratage. Toutefois, il s’agit d’une estimation approximative.

Shadow a rapidement réagi en prenant des mesures pour renforcer la sécurité de ses systèmes et de ses fournisseurs, en désactivant le cookie utilisé par le pirate. L’entreprise s’est également excusée auprès de ses clients et les a vivement encouragés à activer l’authentification à deux facteurs (2FA) et à rester vigilants face aux tentatives de phishing.

Ce piratage survient à un moment délicat pour Shadow, qui venait tout juste de lancer un nouveau service destiné aux étudiants et aux professionnels. Il s’agit également d’un élément du projet Synfonium, une future initiative visant à créer un champion européen du cloud, regroupant des entreprises telles que Qwant, le moteur de recherche axé sur le respect de la vie privée.