Le piratage de NightsBridge, plateforme sud-africaine de réservation utilisée par des milliers d’établissements, est survenu quelques semaines après son rachat par un groupe associé aux hommes d’affaires GT Ferreira et Laurie Dippenaar. Au-delà de l’incident technique, le calendrier remet en lumière un risque souvent sous-estimé : celui qu’une entreprise acquise apporte aussi ses vulnérabilités numériques.
NightsBridge a indiqué qu’une faille dans son code avait permis un accès non autorisé à des données de réservation. Les informations concernées pouvaient comprendre des noms d’établissements, des coordonnées de clients, des références et dates de réservation, des montants ainsi que certains résultats de paiement. La société a toutefois précisé que les cartes bancaires n’étaient pas stockées sur ses systèmes.
Pourquoi un rachat augmente la surface de risque
Lors d’une acquisition, les équipes se concentrent généralement sur la valeur de l’entreprise, ses contrats, ses clients et ses résultats. Pourtant, les logiciels, les comptes administrateurs, les prestataires cloud, les sauvegardes et les anciennes vulnérabilités font eux aussi partie de ce qui est repris.
La phase d’intégration peut même accroître temporairement le danger. De nouveaux accès sont créés, des systèmes sont interconnectés et les responsabilités changent. Si l’inventaire technique est incomplet, une faille ancienne peut rester invisible jusqu’à son exploitation.
L’audit cyber doit précéder la signature
Une vérification sérieuse devrait examiner le cycle de développement logiciel, les tests de sécurité, la gestion des correctifs, les droits d’accès, la protection des sauvegardes et l’historique des incidents. Elle doit également identifier les données personnelles détenues et les obligations de notification applicables.
Cet audit n’a pas seulement pour objectif de faire baisser un prix. Il permet de prévoir un budget de remise à niveau, de fixer des priorités pour les cent premiers jours et de décider quels systèmes peuvent être connectés sans attendre.
Les premières mesures après une acquisition
- réinitialiser les comptes à privilèges et activer l’authentification multifacteur ;
- réaliser un inventaire des applications, API et fournisseurs ;
- corriger en priorité les failles exposées à Internet ;
- segmenter les réseaux tant que les contrôles ne sont pas harmonisés ;
- tester le plan de réponse aux incidents et les sauvegardes ;
- surveiller les fuites de données et les activités inhabituelles.
L’affaire NightsBridge ne prouve pas que le rachat a causé l’attaque. Elle démontre en revanche qu’une transaction ne suspend pas les menaces. Pour les investisseurs comme pour les dirigeants, la cybersécurité doit désormais faire partie de la due diligence et du plan d’intégration, au même titre que les finances et les ressources humaines.
