Intrusion chez OVH, la base de clients Europe compromise

OVH a indiqué lundi avoir été victime d'une intrusion sur son réseau interne, grâce à laquelle l'attaquant aurait pu accéder à la base de données listant les clients européens de l'hébergeur. Il invitera ses clients à réinitialiser le mot de passe associé à leur compte.

Torpeur estivale interdite pour les administrateurs systèmes. Quelques jours après qu'Apple et les forums Ubuntu ont été victimes d'une intrusion ayant pu conduire à la divulgation d'informations personnelles, l'hébergeur de Roubaix OVH annonce lundi avoir connu une mésaventure similaire.

« Il y a quelques jours, nous avons découvert que la sécurité de notre réseau interne dans nos bureaux à Roubaix a été compromise. Après les investigations en interne, il s'avère qu'un hackeur a réussi à obtenir les accès sur un compte email d'un de nos administrateurs système », raconte Octave Klaba, fondateur et patron d'OVH.

Fort de ce premier accès, l'attaquant aurait ensuite réussi à se connecter au réseau interne de l'entreprise, via VPN. La manoeuvre aurait notamment eu pour objet de « récupérer la base de données de nos clients Europe », selon Klaba.

Cette base liste les informations associées à chaque compte client, de l'identité aux coordonnées, sans oublier le couple identifiant (le « nic » chez OVH) et mot de passe. Ce dernier était toutefois chiffré et salé sur SHA-512, rassure l'hébergeur, qui demandera tout de même à ses clients d'en changer par précaution.

« Il faut beaucoup de moyens technique pour retrouver le mot de passe en clair. Mais c'est possible. C'est pourquoi nous vous conseillons de changer le mot de passe de votre identifiant. Un email sera envoyé aujourd'hui à tous nos clients expliquant ces mesures de sécurité et les invitant à changer le mot de passe », écrit ainsi Octave Klaba. Il assure par ailleurs qu'aucune donnée de paiement (carte bancaire) n'a pu être compromise, puisque rien n'est stocké chez lui.

Pour pallier aux carences ayant rendu possible une telle intrusion, l'hébergeur indique que les salariés ne pourront désormais plus se connecter à l'administration de l'entreprise qu'après une vérification sur trois niveaux, impliquant adresse IP (située dans les bureaux ou accès via VPN), mot de passe et token physique. Seuls les deux premiers étaient en vigueur jusqu'ici. OVH indique enfin avoir l'intention de déposer plainte auprès des autorités compétentes.