Naivas, 2023 : le rançongiciel atteint la première chaîne de supermarchés du Kenya

Pendant des années, les gros titres africains sur les rançongiciels ont été dominés par des cibles sud-africaines. En avril 2023, Naivas — la plus grande chaîne de supermarchés du Kenya, forte de près d'une centaine de magasins — a confirmé avoir été attaquée à son tour : un moment charnière pour la distribution est-africaine, et un rappel que les groupes d'extorsion suivent les données et le chiffre d'affaires, pas la géographie.

Ce qui s'est passé

Fin avril 2023, Naivas a publié un communiqué confirmant avoir « récemment été la cible d'une attaque par rançongiciel menée par un groupe criminel en ligne ». Cette révélation faisait suite aux revendications de l'opération de rançongiciel Mallox (également suivie sous le nom TargetCompany), qui avait inscrit Naivas sur son site de fuites et affirmé avoir volé des données de l'entreprise, en menaçant de les publier.

Naivas a indiqué avoir mandaté des experts en cybersécurité de premier plan pour contenir l'attaque et enquêter, et s'est employée à rassurer ses clients sur le point le plus sensible dans la distribution : les données de paiement. L'entreprise a déclaré ne pas détenir les informations de cartes bancaires de ses clients, les transactions par carte étant traitées via des canaux de paiement sécurisés et indépendants. Elle a reconnu qu'une partie de ses données avait été compromise et dit regretter la gêne ou l'inquiétude occasionnées. Les magasins ont continué de fonctionner et aucune panne prolongée côté clients n'a été signalée. L'entreprise a indiqué qu'elle ne traiterait pas avec les extorqueurs, conformément aux recommandations des forces de l'ordre. Le détail des données effectivement détenues par les attaquants, et leur éventuelle publication, n'ont pas été confirmés de manière exhaustive dans les sources publiques.

Comment l'attaque a fonctionné

Naivas n'a pas divulgué le vecteur d'intrusion, et aucun compte rendu technique vérifié n'a été publié. L'opération Mallox, telle que documentée par les chercheurs en sécurité à la même période, était connue pour obtenir ses accès via des services exposés ou mal sécurisés — identifiants forcés ou compromis et phishing figurant parmi les voies rapportées sur l'ensemble de ses victimes dans le monde. Laquelle s'est appliquée chez Naivas n'est pas connue publiquement, et il serait erroné d'en affirmer une.

Ce que l'on peut dire, c'est que la double extorsion — chiffrer ce qui peut l'être, voler ce qui peut l'être, et faire pression sur la victime avec les deux — était clairement arrivée dans la distribution est-africaine. Les groupes de supermarchés exploitent des parcs informatiques vastes et distribués : systèmes de caisse, portails fournisseurs, bases de fidélité et milliers de comptes d'employés. Chacun est un point d'entrée potentiel, et la plupart sont utilisés par des personnes dont le métier est la distribution, pas la sécurité.

L'impact

La portée durable de l'incident Naivas tient moins aux pertes chiffrées — non publiées — qu'au précédent créé. Un distributeur kényan connu de tous les foyers s'est retrouvé nommé sur un site de fuites criminel, a dû informer des millions de clients d'un incident cyber, et a absorbé les coûts forensiques, juridiques et réputationnels qui s'ensuivent. L'incident est survenu la même année que la vague DDoS contre eCitizen, contribuant à un net changement dans le sérieux avec lequel les conseils d'administration et régulateurs kényans traitent le risque cyber. Pour les clients, l'exposition concrète était la possibilité de voir leurs données personnelles entre des mains criminelles, avec le risque de phishing qui en découle.

Enseignements pour les organisations africaines

• Être hors d'Afrique du Sud ne protège plus. Les groupes d'extorsion ciblent l'opportunité. Les entreprises d'Afrique de l'Est et de l'Ouest doivent partir du principe qu'elles sont déjà scannées et étudiées.
• Les équipes de la distribution ont besoin d'une formation adaptée à la distribution. Des milliers d'employés sur terminaux partagés et en horaires décalés exigent une sensibilisation courte, fréquente et pratique — pas des diaporamas de conformité annuels.
• Ne pas détenir de données de cartes est une stratégie, pas une chance. Naivas a pu rassurer ses clients parce que le traitement des paiements était cloisonné. Les données que vous ne stockez jamais sont des données que vous ne perdez jamais.
• Rédigez le communiqué client avant l'incident. Une communication claire et honnête, précisant ce qui est touché et ce qui ne l'est pas — comme celle de Naivas sur les données de cartes — mérite d'être préparée comme modèle en temps calme.
• Surveillez les sites de fuites. Les victimes apprennent souvent les revendications d'extorsion par des chercheurs ou des journalistes. Surveiller les sites de fuites criminels, directement ou via un prestataire, fait gagner un temps de réponse précieux.

Sources

• Communiqué public de Naivas confirmant l'attaque par rançongiciel, avril 2023
• Couverture des médias kényans, dont Business Daily et Techweez, 2023
• Publications du secteur de la sécurité sur l'opération de rançongiciel Mallox/TargetCompany, 2023
• Couverture régionale de la portée de l'incident pour la distribution est-africaine, 2023

Les groupes de rançongiciel cherchent l'effectif le moins préparé — situez le vôtre avec l'évaluation gratuite de maturité du risque humain.