FTAPI, fournisseur allemand de solutions d’échange sécurisé de fichiers et de données, a confirmé avoir subi une cyberattaque. Le groupe de ransomware The Gentlemen avait auparavant inscrit ftapi.com sur son site de fuite clandestin.
L’incident retient particulièrement l’attention parce que la plateforme est utilisée par des entreprises, des administrations et des organismes de santé pour transférer des informations sensibles. FTAPI revendique plus de 2 000 projets et plus d’un million d’utilisateurs actifs.
Ce qui est confirmé et ce qui reste inconnu
L’existence d’une intrusion a été confirmée à la presse allemande. En revanche, les informations publiques ne permettent pas encore d’établir quelles infrastructures ont été atteintes, si les environnements clients ont été touchés ni quelles données auraient été consultées ou exfiltrées.
La revendication d’un groupe d’extorsion ne suffit pas à valider l’ensemble de ses affirmations. Il faudra attendre les conclusions techniques, les communications de FTAPI et les éventuelles notifications réglementaires.
Le rôle de la conception cryptographique
FTAPI chiffre les transferts et les données stockées. Pour les niveaux de sécurité 3 et 4, l’entreprise décrit une protection de bout en bout fondée sur un principe zero knowledge : le matériel nécessaire au déchiffrement reste protégé côté client et FTAPI ne disposerait pas d’une clé maîtresse.
Pour les niveaux 1 et 2, certains éléments de clé sont disponibles côté serveur afin de permettre des fonctions telles que l’aperçu ou l’analyse antivirus. L’impact potentiel dépend donc du produit, de la configuration et du niveau de sécurité choisi par chaque client.
Mesures à prendre pour les organisations clientes
- suivre uniquement les communications officielles et la page de statut FTAPI ;
- identifier les données récemment échangées et leur niveau de protection ;
- révoquer les sessions, jetons ou clés d’intégration si FTAPI le recommande ;
- surveiller les connexions inhabituelles et les téléchargements récents ;
- préparer l’analyse de notification au titre du RGPD, de NIS2 ou de DORA ;
- prévenir les utilisateurs contre les courriels exploitant l’incident.
Une attaque contre un fournisseur crée un risque en cascade
Les plateformes de transfert occupent une position centrale entre plusieurs organisations. Une compromission peut fournir aux attaquants des documents sensibles, des relations commerciales et des informations permettant de lancer des campagnes de phishing convaincantes.
Cet incident doit donc être suivi comme un risque de chaîne d’approvisionnement. Même si les fichiers fortement chiffrés demeurent illisibles, les métadonnées, comptes et intégrations doivent faire l’objet d’une vérification rigoureuse.
