Le dimanche 30 mai 2021, JBS USA, la filiale nord-américaine du géant brésilien de la viande JBS, a annoncé avoir été la cible d’une cyber-attaque au niveau de ses serveurs implantés aux Etats-Unis et en Australie. La société a immédiatement activé un plan d’actions en s’appuyant sur les serveurs de sauvegarde chiffrés, non touchés. Les systèmes infectés ont été suspendus. Les activités du groupe au Mexique et au Royaume-Uni n’ont pas été impactés.
Les systèmes centraux épargnés
Deux jours plus tard, dans un communiqué de presse, JBS USA et sa filiale sœur Pilgrim’s confirmaient des avancées significatives dans la résolution de l’attaque. « Nos systèmes reviennent en ligne et nous ne ménageons pas nos efforts pour combattre cette menace. La majeure partie de nos usines de bœuf, de porc, de volaille et de plats préparés seront opérationnels demain [le 2 juin, NDLR] », affirmait alors Andre Nogueira, directeur général de JBS USA. « La société n’a pour l’heure pas connaissance de la compromission de données de clients, fournisseurs ni employés », pouvait-on aussi lire dans un communiqué daté du 1er juin 2021. Finalement, les activités sont revenues à la normale le 3 juin. « Les criminels n'ont jamais pu accéder à nos systèmes centraux, ce qui a considérablement réduit l'impact potentiel », explique Andre Nogueira. Ce délai de résolution rapide a permis de limiter la perte de produits finis à moins d'un jour de production. Le groupe entend récupérer le retard de fabrication d’ici le 13 juin.
Une attaque de type « ransomware-as-a-service »
Après investigations, le FBI a attribué l'attaque au rançongiciel de Revil – Sodinobiki, un groupe de pirates informatiques qui seraient liés à la Russie. Un activisme qui prend de l'ampleur. En France, l’Anssi (Agence nationale de sécurité des systèmes d’information) a noté une augmentation de 255 % des signalements d’attaque de ce type dans son périmètre entre 2019 et 2020 avec une part majoritaire de « ransomware-as-a-service (RaaS) », comme c’est le cas ici avec Revil. Les logiciels malveillants sont disponibles sur les marchés cyber-criminels par un système d’affiliation et sont utilisés à la fois de façon ciblée et lors de campagnes massives en fonction de la volonté et des capacités des groupes cybercriminels souscrivant au service. La chaîne de contamination d’un ransomware démarre généralement par un courriel d’hameçonnage, la consultation d’un « point d’eau » (URL compromis) ou encore une vulnérabilité des serveurs, des liaisons sécurisées (VPN) ou des logiciels de gestion à distance.
