Parmi les données qui ont fuité figure la quasi-totalité des prénoms-noms des clients et prospects de CGP clients d’Harvest, en plus de près de 100’000 emails, de pros et de clients finaux, et une foule de détails déjà abordée dans Le Brief Patrimonial. Ce qui fait forcément grincer des dents dans le milieu. Mais est-ce qu’il y aurait encore autre chose ?

La réalité de l’attaque est encore aujourd’hui difficile à cerner. Parce qu’Harvest a largement limité la communication auprès des clients, mais aussi, possiblement, parce que l’entreprise ne sait pas forcément si les pirates sont en possession d’autres données. Ou n’a pas vocation à le déclarer publiquement sans confirmation.

Mais voici ce qui est connu, et les différentes hypothèses actuelles :

• ✅ Un ransomware a été déployé sur le réseau interne du siège d’Harvest, cryptant toute ou partie des données, devenues illisibles pour Harvest, mais récupérées par les pirates.
• ✅ Tout ou partie de ces données ont été diffusées par les pirates le 11 avril dernier, un peu après avoir été envoyées directement à un certain nombre de relais, dont Zero Bullshit, parce qu’Harvest a refusé de payer la rançon.
• ✅ Run Some Wares s’est servi d’informations contenues dans les données qu’ils ont volé pour tenter de s’introduire dans les serveurs applicatifs d’Harvest et chez certains clients.
• ❌ Jusqu’ici, tout semble indiquer qu’aucun client n’a été piraté.
• ✅ Run Some Wares a mis en vente une base de données, qui a été rapidement supprimée.
• ❓ L’extrait de quelques lignes de la base de données laisse à penser que ce pourrait être celle d’OS2, mais :
  Cela pourrait tout simple être un extract présent sur un ordinateur, et non un accès directement au serveur ;
  Il ne m’a pas été possible de vérifier la réalité des données contenus dans l’extrait ;
  Les pirates n’ont pas communiqué sur la raison du retrait de la vente.
• ❓ Run Some Wares a sous entendu dans une communication avoir d’autres données.
  Cela pourrait être d’autres fichiers du réseau interne ;
  Mais pourquoi pas aussi des base de données issues des serveurs applications, dont les données sont évidemment très sensibles. Et valent très cher.

Parce qu’il faut bien comprendre ce qui est derrière ce piratage. J’avoue avoir été très surpris quand Harvest a rapidement dit qu’il n’y avait pas lieu de s’inquiéter. Les pirates de ce rang n’attaquent pas au hasard. Et les boîte comme Harvest, ne sont pas ciblées par une simple attaque malveillante destinée à faire planter les logiciels. Si les pirates sont entrés… ce n’est pas pour sortir les mains vides.

On ne va pas refaire toute la comm’ d’Harvest, déjà détaillée dans Le Brief Patrimonial, mais on voit que ce n’est pas cohérent. Même histoire pour la tribune de Vincent Couroyer (qui sent le ChatGPT à plein nez), pourtant patron de l’innovation à la CNCGP²¹. Dans une tribune dans CityWire, il explique :

« Dans le cas qui nous touche avec Harvest et les données piratées, leur libération sur le darkweb dans un délai aussi court démontre qu’elles n’ont pas trouvé acheteur. Si elles sont sensibles pour nous professionnels, elles n’ont que peu de valeur au-delà de notre activité. Cela doit nous rassurer sur les conséquences à venir de cette attaque. »

C’est triplement faux. Et j’avoue être interloqué qu’après deux mois, la communication des uns et des autres soit autant à l’ouest.

• Si les données ont été publiées, ce n’est pas parce que personne n’a voulu les acheter. Ces données n’ont jamais été à vendre. C’est parce que Harvest n’a pas souhaité payer la rançon²².
• Le fait que ces données aient été publiées, ne présagent en aucun cas que d’autres, qui ont de la valeur, ne soient pas à vendre. Voire, n’aient pas déjà été vendues. Imaginez un peu la base de données O2S, avec des centaines de milliers de clients, qualifiés, CSP+ etc. Imaginez combien de telles données peuvent valoir…
• À aucun moment cette attaque ne doit rassurer qui que ce soit ! C’est complètement délirant de dire un truc pareil. On a dans la nature des informations très précises concernant des particuliers qui peuvent servir à monter de vastes escroqueries. On a vu à chaque leak ces dernières années les conséquences… Affirmer ce genre de trucs c’est un très gros manque de connaissance sur le sujet.

Parce qu’en plus des données personnelles habituelles, pour lesquelles on a des leaks quasi quotidiennes, on est ici en présence de données explicites et très précises comme des placements, des numéros de comptes ou des opérations.

Alors certes, on s’en fout que telle personne a placé tel montant. Cependant, on a vu comment les leaks de Free, par exemple, on permis la mise en place de plateau de phoning, où des escrocs se font passer à la chaine pour des conseillers bancaires, juste en liant un nom et un numéro de téléphone, crédibilisé par la banque (grâce à l’IBAN) et l’adresse. Ou tout autre élément qui servent à dire « regardez, je suis pas un escroc, je sais ».

Imaginez donc ce qu’il est possible de faire avec des informations aussi précises... Avec des numéros clients, des numéros de dossiers, des montants, des coordonnées, des noms de CGP ou de conseillers etc. Et ce n’est évidemment aucune une incitation à aller escroquer, ceux dont c’est l’occupation n’ont pas besoin de mes trucs & astuces.