Republik révèle une fuite de données après une attaque contre un outil d’analyse

Republik indique que des pirates ont accédé aux données de ses utilisateurs pendant environ deux mois par le biais d’un outil d’analyse vulnérable. Le magazine en ligne zurichois a révélé la fuite après qu’un de ses outils d’analyse a cessé de fonctionner le mercredi matin 14 octobre. Selon le magazine, la mise hors ligne du système a également interrompu l’accès des pirates.

Republik a déclaré que la faille était connue depuis le 6 août, mais que les mesures de protection nécessaires n’avaient pas été mises en œuvre assez rapidement. Le magazine n’a pas identifié les auteurs de l’intrusion. Son évaluation initiale laisse penser à une vaste campagne automatisée qui recherchait des installations Metabase exposées afin d’y trouver des informations précieuses.

La fuite ne concerne pas uniquement les personnes qui paient un abonnement. Republik a indiqué que les pirates ont accédé à des données liées aux contributeurs actifs, aux abonnés, aux destinataires de newsletters et à toutes les personnes ayant utilisé le service par le passé. Les personnes qui se sont uniquement inscrites à une newsletter, sans jamais avoir d’abonnement, font aussi partie du groupe concerné.

Le magazine affirme qu’aucun élément n’indique que des données de cartes de crédit aient été exposées ou que les pirates aient spécifiquement ciblé Republik. L’incident a néanmoins placé des données personnelles détenues par un média suisse de premier plan entre les mains d’acteurs inconnus.

Le système exposé était Metabase, une plateforme d’analyse utilisée pour examiner les données d’une organisation. Republik a déclaré que les pirates ont d’abord recherché sur internet le contenu d’installations Metabase. Parmi leurs cibles apparentes figuraient des identifiants de connexion et des clés donnant accès à des services d’intelligence artificielle, des informations susceptibles d’être revendues ou réutilisées dans le cadre d’autres attaques.

Ce schéma a orienté l’évaluation préliminaire de Republik: l’intrusion semble s’inscrire dans une vague automatisée plutôt que dans une campagne visant spécifiquement le magazine. La publication ne connaît pas l’identité des pirates, et l’article à l’origine de ces informations ne fournit aucun élément indiquant que les données dérobées aient été utilisées contre des lecteurs.

L’accès a persisté d’août jusqu’à l’arrêt de l’outil à la mi-octobre. La décision de Republik de mettre Metabase hors ligne a supprimé le moyen d’accéder à l’installation. Le magazine a ensuite procédé à une première évaluation avant d’informer l’autorité fédérale suisse chargée de la protection des données.

Cet épisode montre comment la compromission d’un service auxiliaire peut exposer les données détenues par un média, même lorsque ce service n’est pas le site principal de la publication. Les outils d’analyse se trouvent souvent au cœur des activités éditoriales et commerciales, où ils peuvent relier plusieurs catégories de données utilisateurs.

Les données exposées comprenaient des informations d’identité et de contact, et pas seulement des données liées aux abonnements. Republik a indiqué qu’elles incluaient des adresses e-mail et des noms, ainsi que des numéros de téléphone lorsque les utilisateurs les avaient fournis. Certaines données contenaient également l’année de naissance et le genre.

La fuite touche l’ensemble des liens entre le magazine et son public. Les contributeurs actifs et les abonnés sont concernés, tout comme les destinataires de newsletters et les anciens utilisateurs. Une simple inscription à une newsletter pouvait donc faire figurer les données d’une personne dans l’ensemble compromis. L’article à l’origine de ces informations ne précise pas le nombre total de données concernées.

Republik n’a signalé aucun élément indiquant que des données de cartes de crédit aient été consultées. Le magazine a également déclaré qu’aucun élément ne montrait qu’il avait été spécifiquement visé. Ces déclarations circonscrivent ce que l’on sait actuellement, mais les utilisateurs restent exposés à d’éventuelles tentatives ultérieures exploitant les coordonnées divulguées.

Les lecteurs et anciens lecteurs devraient se méfier des messages inattendus faisant référence à Republik, aux abonnements ou aux newsletters. Ils devraient éviter d’ouvrir des liens non sollicités et vérifier les demandes par les canaux officiels du magazine. Les informations disponibles ne permettent pas d’établir qu’une telle fraude secondaire a eu lieu. Les utilisateurs devraient donc distinguer les précautions utiles des conséquences avérées.

Republik reconnaît avoir eu connaissance de la faille de sécurité le 6 août, mais ne pas être intervenu à temps. Cet aveu est au cœur du récit que le magazine fait de l’incident. Il explique pourquoi la fuite s’est poursuivie pendant des semaines après la découverte de la faille, tout en indiquant à quel moment l’organisation n’a pas mis en place de contre-mesures.

Le magazine a découvert la fin de l’incident lorsqu’un outil d’analyse a cessé de fonctionner le mercredi matin. Il a alors mis Metabase hors ligne, coupant l’accès des pirates. Republik a indiqué avoir procédé à une première évaluation des dommages avant de signaler le cas au Préposé fédéral à la protection des données et à la transparence le jeudi 15 octobre.

L’intervention de l’autorité inscrit la fuite dans le cadre suisse de la protection des données. L’article à l’origine de ces informations ne fait état d’aucune mesure d’exécution, conclusion ou instruction complémentaire de la part du Préposé. Il ne précise pas non plus si les utilisateurs concernés ont été informés individuellement.

La déclaration publique de Republik donne aux utilisateurs plusieurs faits confirmés: les catégories de données concernées, les groupes touchés, la période approximative d’accès et l’absence d’exposition connue de données de cartes de crédit. Elle n’identifie pas les auteurs et n’établit pas ce qu’il est advenu des données dérobées après l’intrusion.

La prochaine tâche de Republik consiste à clarifier les conséquences pour chaque groupe concerné et à expliquer aux utilisateurs ce qu’ils doivent faire. Le magazine a supprimé l’outil d’analyse vulnérable et réalisé un premier examen, mais sa communication publique laisse plusieurs questions en suspens, notamment le nombre de données concernées et la possibilité que les utilisateurs soient informés individuellement.

Pour les médias suisses, cet incident met en évidence les risques de sécurité liés aux services connectés qui se trouvent en dehors de la plateforme de publication visible. Les systèmes d’analyse peuvent contenir des informations sur les lecteurs, les contributeurs et les personnes susceptibles de s’abonner. Une faiblesse dans un composant peut donc étendre les conséquences d’une intrusion au-delà de la fonction immédiate de l’outil.

La fuite constitue également un avertissement pratique pour toutes les personnes ayant été en contact avec Republik, y compris celles qui ont uniquement reçu ses newsletters ou qui ont eu un compte par le passé. Ces utilisateurs devraient se méfier des messages convaincants qui utilisent leur nom, leur adresse e-mail ou des informations sur leur relation avec le magazine. Ils devraient signaler les communications suspectes par les canaux officiels et éviter de communiquer leurs mots de passe ou leurs données de paiement.

L’enquête de Republik, ses échanges avec le Préposé fédéral et toute nouvelle information destinée aux utilisateurs permettront de savoir ce qui s’est passé. Pour l’heure, l’exposition confirmée concerne des données personnelles de profil et de contact, sans élément signalé indiquant que des données de cartes de crédit aient été dérobées.