Sauf que l’histoire commence très mal, seulement 6 mois après. Entre temps, Sonia Fendler est arrivée en tant que DGA¹⁴. Cette ancienne cadre de Generali, qui a aussi présidé Altixia, est une experte des CGP. De l’avis général, c’est d’ailleurs une grande professionnelle, qui comprend ses clients, les écoute, et semble faire l’unanimité au sein des pros du patrimoine. Quand elle adresse ses voeux en janvier 2025, mettant la sécurité tout en haut de son e-mail, elle n’imagine évidemment pas ce qui va lui tomber dessus, à elle, et à toute l’entreprise, quelques semaines plus tard.

Dans la nuit du 26 au 27 février, plusieurs problèmes sont détectés, et les outils tombent les uns après les autres. Après une communication rapide auprès des clients pour les informer, la DRH d’Harvest alerte toute l’entreprise.

Mais selon mes informations, l’attaque avait commencé plusieurs jours avant, quand le groupe de pirates Run Some Wares a utilisé une vulnérabilité d’un système de VOIP Mitel pour récupérer les droits administrateurs. Le problème était connu depuis octobre 2024, et noté avec une criticité de 9,8/10 par Mitel¹⁵. Notre confrère du MagIT a expliqué (ici et ici) les détails techniques, expliquant au passage qu’il n’y voit pas d’erreur flagrant d’appréciation d’Harvest.

« Rien dans cet examen superficiel ne laisse à entrevoir une entreprise ayant négligé la sécurité de son système d’information. »

Selon plusieurs sources concordantes, l’appareil dont il était question plus haut a été fourni par Waycom. Il n’était certes plus utilisé, et donc plus maintenu… mais il était resté connecté.

Pourtant, Waycom est considéré par Harvest, au même titre de Budget Insight, qui permet la connexion bancaire, comme un des deux PECI¹⁶, parce qu’en plus de la téléphonie, c’est lui qui fournit les serveurs où sont hébergés les applications. Conformément à la réglementation, ils sont d’ailleurs tous en France.

Cela dit de nombreuses insuffisances de Waycom avaient été mises en avant par le contrôle interne (22 en 2022) alors qu’Harvest s’engageait dans un processus de certification ISO 27001 pour la Plateforme Wealth. Mais le risque opérationnel notamment lié aux SI¹⁷ est clairement pris en compte, et comme dans la plupart de ces grosses entreprises, un PCA¹⁸ et des scénarios de crise sont établis.

Plus largement le problème n’était pas totalement inconnu ni d’Harvest, ni de ses nouveaux propriétaires. Parce que courant 2023, quand la vente a été décidée, un audit indépendant a été commandé à Oliver Wyman qui met clairement en évidence le risque de ransomware¹⁹.

Cela veut dire que les sauvegardes (copies des données pour restauration en cas de problème) peuvent être modifiées ou supprimées, et qu’en cas d’attaque par ransomware, les hackers peuvent chiffrer ou effacer les sauvegardes, ce qui empêche la restauration des datas les systèmes. Si j’étais malicieux, je dirais que désormais, Harvest a librement accès à ses backups…

Mais ce n’est pas qu’un problème de sécurité parmi d’autres. Plusieurs dizaines de vulnérabilités ont été recensées, dont un nombre de failles critiques élevé dans Feefty, la plateforme de produits structurés, qui avait été rachetée quelques mois avant l’audit. Au total, 26 failles critiques étaient ouvertes au moment de l’audit. Chacune restait en moyenne 200 jours ouverte, contre 5 à 10 jours maximum pour la moyenne du secteur.

Enfin, l’audit met en avant l’absence de SOC²⁰ , ce qui veut dire qu’aucune détection automatique d’activité suspecte sur le réseau ou dans les bases de données n’est en place, pas plus qu’une centralisation des journaux d’activité. Donc l’entreprise ne peut pas savoir si elle est attaquée, ni enquêter après coup. Un SOC aurait été prévu en 2024, sans qu’il ne soit possible de dire s’il a été mis en place (et inversement). C’est la cause de 24 incidents durant l’année, qui n’ont été détectés que par une supervision manuelle. Augmentant donc le risque.

Globalement, le rapport conclue :

« La maturité en matière de cybersécurité est considérée comme faible à modérée pour une entreprise de SaaS de cette taille. »