Pour la deuxième fois en 2020, le groupe Sophos, qui vend des solutions de cyber-sécurité, s’est retrouvé victime d’une cyberattaque d’importance. Après la faille zero-day d’avril 2020, une mauvaise configuration de la base de données a récemment exposé les informations personnelles d’un « petit sous-ensemble de clients » du groupe.
Etre expert en cyber-sécurité ne protège pas forcément contre les cyberattaques, et Sophos l’a appris à ses dépends en cette année 2020. Déjà, en avril, un groupe de pirat avait exploité une faille zero-day dans le pare-feu XG de Sophos, provoquant une installation en masse du cheval de Troie Asnarok sur les appareils des clients du groupe britannique.
Une cyberattaque profite d’une vulnérabilité dans la base de données de Sophos
Et, ce 24 novembre 2020, « Sophos a été informée d’un problème d’autorisation d’accès à un outil utilisé pour stocker des informations sur les clients qui ont contacté le support », d’après un mail envoyé par la société à ses clients, obtenu et révélé par ZDNet.
Cette exposition de la base de données a compromis les informations personnelles de ses clients, noms, prénoms, adresse électronique, téléphone. D’après Sophos, la faille n’aurait concerné qu’un « petit sous-ensemble » de ses clients – sans pour autant fournir de chiffre.
Une publicité dont Sophos se serait largement passé…
Le groupe précise aussi que la vulnérabilité a été immédiatement corrigée, dès son signalement par un expert en cyber-sécurité. « Chez Sophos, la confidentialité et la sécurité des clients sont toujours notre priorité absolue. Nous contactons tous les clients concernés. De plus, nous mettons en place des mesures supplémentaires pour garantir que les paramètres d’autorisation d’accès sont continuellement sécurisés », a précisé Sophos
Reste qu’il s’agit assurément d’une bien mauvaise publicité pour Sophos, qui risque de mettre à mal la confiance de certains de ses clients dans ses solutions de protection.