Le ministère américain des Finances a subi une intrusion informatique significative attribuée à un groupe de menace soutenu par la Chine. Cette attaque, qui s'est produite en décembre 2024, a compromis la plateforme SaaS de BeyondTrust, un fournisseur de gestion des accès privilégiés. Le vol d'une clé API a permis aux acteurs malveillants d'accéder à certains systèmes et documents non classifiés du département. L'incident a été confirmé par une lettre adressée aux membres de la commission sénatoriale des banques. Les autorités travaillent avec plusieurs agences fédérales pour analyser l'impact de cette violation.
Les Détails de l'Intrusion Informatique
L'intrusion au ministère des Finances a été révélée dans une correspondance adressée aux législateurs américains. La lettre indique que les attaquants ont exploité une clé API volée pour accéder à distance à certains postes de travail et documents internes. Bien que l'origine précise du vol de la clé reste incertaine, BeyondTrust a identifié deux vulnérabilités dans ses outils de gestion des accès privilégiés et d'assistance à distance. L'entreprise a immédiatement informé les clients concernés et pris des mesures correctives pour limiter l'impact de l'incident.
Au début du mois de décembre 2024, BeyondTrust a détecté une activité suspecte impliquant un nombre limité de clients SaaS de support à distance. L'entreprise a publié un avis de sécurité le 8 décembre, avertissant que la clé API utilisée pour sécuriser un service cloud avait été compromise. Morey Haber, conseiller en chef pour la sécurité chez BeyondTrust, a déclaré que l'éditeur avait déjà pris des mesures pour remédier à l'incident et soutenir les clients affectés. Aucun autre produit de BeyondTrust n'a été impliqué dans l'affaire. Les forces de l'ordre ont été informées et BeyondTrust collabore activement avec les enquêteurs pour résoudre l'incident. L'avis de sécurité a été mis à jour régulièrement pour tenir les clients informés jusqu'à la fin de l'enquête.
La Réponse des Autorités Américaines
Face à cette attaque, le ministère américain des Finances a immédiatement mis hors ligne le service compromis de BeyondTrust. Les investigations préliminaires n'ont trouvé aucun signe d'accès continu des attaquants aux données de l'agence. Le ministère collabore étroitement avec la CISA, le FBI et d'autres agences gouvernementales pour évaluer l'ampleur de la violation et déterminer son impact sur les opérations. Les autorités soupçonnent un groupe de menace persistante avancée (APT) soutenu par l'État chinois d'être à l'origine de l'attaque.
Cette intrusion est la dernière d'une série de cyberattaques menées par des hackers parrainés par l'État chinois. Le mois dernier, la CISA et le FBI ont révélé que des pirates affiliés à la Chine avaient infiltré plusieurs fournisseurs de télécommunications américains. Ces attaques font partie d'une campagne de cyberespionnage ciblant des individus de haut niveau, tels que des représentants du gouvernement. Pékin a rapidement nié toute implication dans ces incidents. Les autorités américaines continuent d'examiner l'ensemble des preuves pour comprendre pleinement l'étendue et l'impact de ces actions.
