La Fédération Nationale Indépendante des Mutuelles (FNIM) est touchée par une cyberattaque revendiquée par les hackers yiranet, Snufkxn et misere. Les attaquants affirment avoir compromis un serveur utilisé par plusieurs services de l’organisation, obtenu une exécution de code à distance et récupéré les bases de données présentes sur l’infrastructure.
L’affaire ne repose plus uniquement sur quelques captures : des bases SQL ont été publiées et sont désormais proposées en téléchargement. Plusieurs sites liés à la FNIM ont également été défacés pendant l’intrusion.
La Fédération Nationale Indépendante des Mutuelles ciblée
Créée en 1989, la FNIM représente et accompagne des mutuelles indépendantes françaises. Elle intervient notamment auprès de petites et moyennes structures du secteur mutualiste et exploite plusieurs services numériques liés à son activité.
Quatre environnements accessibles depuis le serveur compromis
Selon les trois hackers, leur point d’appui leur aurait permis d’accéder à plusieurs sites et applications hébergés sur la même infrastructure. Trois d’entre eux ont été défacés, tandis qu’un quatrième environnement aurait été intégralement copié avant la coupure de leur accès.
- fnim.fr : défacé ;
- facturation.fnim.fr : défacé ;
- facturation2.fnim.fr : défacé ;
- comite-opera.org : défacé ;
- ugm-opera.fr : données récupérées selon les attaquants, mais site non défacé avant la suppression de leur accès.
Une exécution de code à distance revendiquée
Les attaquants affirment avoir obtenu une RCE, pour Remote Code Execution, sur l’un des serveurs. Ce type d’accès permet d’exécuter des commandes directement sur une machine compromise et peut, selon les privilèges obtenus, donner accès aux applications, fichiers de configuration et bases de données auxquels le serveur peut lui-même accéder.
La vulnérabilité ou le point d’entrée précis ayant permis cette exécution de code n’est pas détaillé dans la revendication.
Les bases SQL sont désormais en téléchargement
Après le défacement des différents sites, les hackers ont publié plusieurs archives contenant les bases SQL récupérées. Celles-ci sont mises gratuitement à disposition, ce qui transforme l’incident en véritable fuite de données et augmente fortement le risque de réutilisation des informations qu’elles contiennent.
Les bases ne sont donc pas simplement annoncées ou proposées à la vente : elles ont été diffusées publiquement. Leur mise à disposition permet désormais à des tiers de les copier, de les analyser et potentiellement d’en exploiter le contenu.
Une infrastructure mutualisée qui amplifie la compromission
Le fait que plusieurs services aient été présents sur le même serveur semble avoir joué un rôle important. Une compromission initiale peut devenir beaucoup plus grave lorsque plusieurs applications, bases ou sites partagent la même infrastructure et que les mécanismes de cloisonnement ne suffisent pas à empêcher les déplacements d’un attaquant.
Dans ce cas, les hackers affirment avoir pu passer d’un accès serveur à la récupération de bases SQL et au contrôle de plusieurs sites distincts.
Des données désormais impossibles à reprendre une fois diffusées
La publication ouverte des bases constitue désormais le principal risque. Si elles contiennent des coordonnées, informations de facturation, comptes utilisateurs, données professionnelles ou éléments techniques, ces informations peuvent être réutilisées pour du phishing ciblé, de l’usurpation ou de nouvelles attaques contre les organisations concernées.
La FNIM n’a pas encore détaillé publiquement le périmètre de l’incident. La cyberattaque est toutefois accompagnée d’éléments particulièrement concrets : plusieurs sites ont été défacés et les bases SQL revendiquées sont désormais diffusées en téléchargement.