SICPA fournit aux États des encres de sécurité ainsi que des solutions d’authentification et de traçabilité des produits. L’entreprise fait désormais l’objet d’allégations concernant sa propre sécurité de l’information. Dans ses présentations officielles, elle indique servir les gouvernements, les banques centrales et les imprimeurs de haute sécurité. Les activités de SICPA
Le signalement reçu par The Ledgers comprenait des captures d’échanges entre des salariés de SICPA. Ces images contiennent des avertissements concernant des problèmes révélés par les audits et les tests de sécurité menés par l’entreprise elle-même.
Droits d’accès : une alerte de « risque élevé »
Un courriel consacré à la révision périodique des droits d’accès contient la phrase suivante :
« Il a été signalé que le constat suivant, issu de l’audit réalisé en 2021, demeure ouvert. »
Le tableau d’audit figurant dans le message indique qu’un ancien salarié de SICPA conservait des droits d’administrateur et un accès à des serveurs partagés contenant des fichiers sensibles. Il traite également de l’accès du personnel désigné comme « DNS » aux ressources informatiques de l’entreprise, notamment aux ordinateurs portables, aux comptes de messagerie, aux logiciels et au système SAP local.
Le niveau de risque est classé « High », soit « élevé », dans le tableau. La même entrée précise que la lacune n’a pas été corrigée, le personnel de DNS ayant toujours accès au système SAP de SICPA Türkiye. Elle demande un examen détaillé des accès et une évaluation de leurs conséquences.
La suite du message demande si les droits d’accès sont contrôlés et documentés chaque année, et à quelles informations le personnel de DNS disposant d’un accès à SAP peut accéder. La correspondance met ainsi en évidence à la fois un risque identifié et un besoin de clarification sur le suivi des autorisations.
La protection des fichiers sensibles
Un autre courriel, apparemment envoyé le même jour, indique qu’un constat d’audit relatif à la protection des informations personnelles, sensibles et confidentielles reste non résolu. Le constat cité évoque un risque d’accès non autorisé dû au non-respect de la norme de classification de l’information et à l’absence de contrôles préventifs ou de détection.
La mesure recommandée consiste à classifier et à chiffrer les fichiers numériques confidentiels et sensibles à l’aide de l’outil de protection de l’information de l’entreprise. Le périmètre mentionné comprend les échanges de courriels, les fichiers des dossiers partagés et les documents conservés sur les ordinateurs portables des salariés. Des rappels ou de courtes formations, ainsi que des contrôles périodiques de l’application de ces mesures, sont également proposés.
Environ 1 800 comptes lors d’un test de mots de passe
Un autre échange, daté du 23 février 2023, indique que le service de sécurité de l’entreprise a effectué un exercice de cassage de mots de passe en novembre 2022. Le même message précise qu’un précédent test, réalisé en 2021, avait permis de casser les mots de passe d’environ 1 800 comptes chez SICPA. Il demande le changement immédiat du mot de passe d’un utilisateur dont le mot de passe aurait été cassé lors du dernier test.
Le chiffre de 1 800 comptes est présenté dans le cadre d’un test de sécurité interne à l’entreprise ; la correspondance ne précise pas que tous ces comptes relevaient de ses activités en Turquie. La réalisation d’un test de sécurité ne constitue pas, à elle seule, la preuve d’une intrusion. L’enjeu déterminant pour ce reportage est de savoir quelles mesures ont été prises après la découverte des lacunes lors des tests et des audits, et à quelle date.
D’autres incidents rendus publics dans le secteur
La responsabilité des fournisseurs de technologies de sécurité dans la protection de leurs propres systèmes a également été débattue à la suite d’autres incidents rendus publics. Ces entreprises opèrent dans des domaines différents et leurs incidents doivent être examinés séparément des allégations concernant SICPA, mais ils illustrent les risques auxquels le secteur est confronté :
| Entreprise | Année | Incident rendu public |
|---|---|---|
| Entrust | 2022 | L’entreprise spécialisée dans l’identité numérique et la sécurité des données a confirmé un accès non autorisé à des systèmes utilisés pour ses opérations internes ainsi qu’une extraction de données. Article citant la déclaration de l’entreprise |
| RSA Security | 2011 | L’entreprise a annoncé que des informations avaient été extraites de ses systèmes, dont une partie concernait ses produits d’authentification SecurID. Déclaration de RSA |
| FireEye | 2020 | L’entreprise a révélé le vol d’outils utilisés pour des tests de sécurité et a attribué l’attaque à un acteur soutenu par un État. Déclaration de FireEye |
| Okta | 2023 | L’entreprise a indiqué qu’un rapport contenant les noms et les adresses électroniques des utilisateurs de son système d’assistance avait été dérobé lors d’une intrusion dans ce système. Mise à jour d’Okta |
| Verkada | 2021 | Des données vidéo de clients ont été consultées lors d’une intrusion dans sa plateforme de caméras. Le nombre initial de 95 clients a été porté à 97 dans un rapport ultérieur sur l’incident. Rapport d’incident de Verkada |
| G4S | 2022 | La branche australienne a annoncé qu’un tiers non autorisé avait publié des informations en ligne après un cyberincident survenu le 5 juillet. Avis de G4S |
| Thales | 2022 | Après la publication par LockBit de données concernant l’entreprise, Thales a indiqué n’avoir détecté aucune intrusion dans ses propres systèmes informatiques. L’une des sources identifiées était le compte d’un partenaire sur un portail collaboratif. Déclaration de Thales du 11 novembre 2022 |
Réponse et situation actuelle
Les éléments disponibles ne comprennent pas non plus de réponse de l’entreprise à cette correspondance précise. Les courriels originaux, les rapports d’audit concernés, les justificatifs de clôture des constats et la réponse de SICPA seront essentiels pour déterminer la portée des allégations.
Les captures transmises portent les dates des 23 et 24 février 2023. À elles seules, ces images ne permettent pas d’établir la situation des constats après ces dates.
