Le 2 juillet dernier, l'entreprise Kaseya a été victime d'une cyberattaque qui a touché son produit VSA de gestion des points d'accès et de surveillance du réseau informatique. Par ricochet, des clients de Kaseya, entre 800 et 1500 selon les estimations, se sont retrouvés pris en otage par un ransomware, ou rançongiciel.

L'attaque a été réalisée par le groupe de cybercriminels russe REvil. Comme toujours dans ce type d'affaires, l'attaque a été décrite comme 'particulièrement sophistiquée'. Mais à lire un article publié par Bloomberg, les pirates n'ont peut-être pas eu faire des prouesses.

En effet, selon cinq anciens employés de Kaseya, les dirigeants de la société avaient été avertis de la présence de vulnérabilités critiques dans le logiciel VSA. À plusieurs reprises de 2017 à 2020, les employés des bureaux de Kaseya aux États-Unis ont déclaré avoir signalé de nombreux problèmes de cybersécurité aux dirigeants de l'entreprise. Mais ces problèmes n'ont souvent pas été entièrement résolus, rapporte Bloomberg.

Parmi les problèmes les plus flagrants figuraient les logiciels sous-tendus par un code obsolète, l'utilisation d'un cryptage et de mots de passe faibles dans les produits et les serveurs de Kaseya, le non-respect des pratiques de base en matière de cybersécurité telles que l'application régulière de correctifs aux logiciels et l'accent mis sur les ventes au détriment d'autres priorités, selon ces ex-employés.

Bloomberg rapporte encore que l'un des anciens employés a déclaré qu'au début de 2019, il avait envoyé aux dirigeants de l'entreprise une note de 40 pages détaillant les problèmes de sécurité et avait été licencié environ deux semaines plus tard, ce qui, selon lui, était lié à ses efforts répétés pour signaler les problèmes. Un autre employé a déclaré que Kaseya corrigeait rarement ses logiciels ou ses serveurs et stockait les mots de passe des clients en texte clair - ce qui signifie qu'ils n'étaient pas cryptés - sur des plateformes tierces, des pratiques que l'employé a décrites comme des failles de sécurité flagrantes.

Selon d'autres membres du personnel de Kaseya, c'est la frustration qui fait ainsi parler les cinq anciens employés. Eux ont bien sûr un point de vue différent et deux d'entre eux indiquent avoir été licenciés en 2018  lorsque Kaseya a commencé à déménager à Minsk, en Biélorussie, où elle a recruté plus de 40 personnes pour effectuer des travaux de développement de logiciels qui étaient auparavant effectués aux États-Unis. Quatre des ex-travailleurs ont déclaré qu'ils considéraient l'externalisation du travail en Biélorussie comme un problème de sécurité potentiel, étant donné l'allégeance politique étroite du pays avec le gouvernement russe.