La controverse sur les projets de facturation de Reddit prend une tournure inattendue et autrement plus préoccupante pour la direction du site. La plateforme communautaire vient de faire l’objet d’un chantage aux données sensibles. Mais, les pirates ne demandent pas que de l’argent pour ne rien révéler : ils exigent aussi un changement de politique de Reddit.
C’est le site Bleeping Computer qui a remarqué cette demande atypique, le 18 juin 2023. Elle vient d’un groupe de pirates se faisant appeler BlackCat. Pour qui suit un peu l’actualité de la cybercriminalité, BlackCat est un nom familier : c’est un collectif russophone spécialisé dans l’extorsion de données et dans les rançongiciels (ou « ransomwares ») pour ensuite forcer les victimes à payer.
BlackCat est un groupuscule très actif et organisé dans le ransomware (RaaS : ransomware as a service). On a entendu parler de cette bande à l’occasion de diverses fuites de données. Parmi les victimes, on peut citer un groupe hôtelier, un hôpital, une entreprise. BlackCat s’est aussi illustré ce printemps contre une filiale d’Amazon spécialisée dans les sonnettes connectées.
Dans sa dernière tentative d’intimidation, BlackCat exige deux choses de Reddit : qu’il paie une rançon de 4,5 millions de dollars, ce qui est habituel dans ce genre d’affaire — c’est l’appât du gain qui motive les rançonneurs. Mais, cette requête a été jointe d’une demande plus insolite : un changement de politique chez Reddit, qui est en pleine tourmente depuis juin.
Un chantage contre Reddit qui devient « politique »
Le site communautaire est traversé depuis plusieurs jours par une fronde rare contre la direction de la plateforme. En cause, la monétisation à venir de l’accès à ses API — des interfaces permettant de se brancher aux serveurs pour y récupérer des informations. Ce sont ces API qui permettent à des applications tierces d’exister, comme Reddit is fun, Apollo ou Relay.
Pour tenter de faire plier la direction de Reddit, des communautés se sont mises en grève pendant quelques jours — sans succès. Certaines sont pourtant fréquentées par des millions d’internautes. Reddit est organisé autour de communautés d’intérêt, avec plein de rubriques spécialisées auxquelles on peut s’abonner. Il y a un « forum » pour la France, par exemple.
Le blackout ponctuel d’une large partie de Reddit n’a de toute évidence pas suffi à faire changer d’avis Steve Huffman, le PDG de Reddit, qui reste sur sa ligne. Quant aux modérateurs des différentes communautés qui chercheraient à poursuivre la grève indéfiniment, il leur a été signifié qu’ils pourraient se voir relever de leurs fonctions.
C’est dans ces conditions que BlackCat s’est invité dans le débat, par surprise. Une intervention qui transpire l’opportunisme, dans la mesure où BlackCat exploite le piratage qu’a subi Reddit en début d’année pour faire pression sur la direction, en utilisant un autre angle d’attaque que le seul levier financier. L’attaque en question date du mois de février.
À l’époque, Reddit avait décrit l’attaque comme une opération d’hameçonnage (ou « phishing ») de haute volée. Les assaillants ont eu accès à « des fichiers internes, au code et à des systèmes commerciaux ». En revanche, les données privées des membres n’auraient pas été exposées. Le site ajoutait n’avoir pas constaté la divulgation de ses informations sur le net.
BlackCat assure détenir une archive de 80 Go de données provenant de Reddit et menace de tout dévoiler si ses demandes ne sont pas satisfaites. Comme le note Bleeping Computer, ce n’est pas la première fois que Reddit reçoit un coup de pression de BlackCat. Le groupe s’est déjà servi du hack de février le 13 avril et le 16 juin pour faire plier Reddit, mais sans succès.
Reddit n’ayant pas cédé précédemment aux tentatives d’extorsion de BlackCat, il semble improbable qu’il change de ligne de conduite aujourd’hui. L’ajoute à la liste des exigences de BlackCat de cette polémique autour de l’API semble surtout être une occasion pour le gang de surfer sur l’actualité et faire parler de lui. Un jeu malveillant, sous un faux vernis politique.
Nouveauté : Découvrez
La meilleure expérience de Numerama, sans publicité,
+ riche,
+ zen,
+ exclusive.
Abonnez-vous à Numerama sur Google News pour ne manquer aucune info !
