OVH se fait casser la gueule par un hacker

Les hackers font fort cette semaine. Après le piratage de Apple et Ubuntu, c’est le tour d’OVH de se faire avoir. Cette dernière a fait savoir que la sécurité de ses serveurs s’est fait tabasser dans un match de boxe avec un hacker, et que le résultat du match n’est nul autre que la mise dans la nature des données de millions de clients européens.

C’est les vacances, et beaucoup de gens n’ont rien à faire pour occuper leur journée. Si d’autres essayent de passer leur temps sur les jeux en ligne (dont les premiers de la liste sont League of Legends et Dota2), d’autres aiment bien foutre le bordel dans la vie des autres. Parmi ces détraqués, les hackers ont le vent en poupe cette semaine. POur revenir sur OVH, comment celui-ci s’est avoir? Et bien, par une gauche, suivi d’une droite et terminé avec un uppercut pour se solder par un K.O. En clair, voici l’explication de la part d’OVH:

Après les investigations en interne, il s’avère qu’un hackeur a réussi à obtenir les accès sur un compte email d’un de nos administrateurs système (ça c’est la gauche). Grâce à cet accès email, il a obtenu l’accès sur le VPN interne d’un autre employé (et voilà la droite). Puis grâce à cet accès VPN, il a fini par compromettre les accès de l’un des administrateurs système qui s’occupe du backoffice interne (vous l’aurez deviné, c’est l’uppercut).

A noter que les serveurs d’OVH sont protégés par « SHA512″, un algorithme limitant les attaques par « brute force », les professionnels le savent bien. Hélas, cette protection n’empêche qu’OVH s’est tout de même fait avoir, comme l’a précisé la société dans son message.

Il faut beaucoup de moyens techniques pour retrouver le mot de passe en clair. Mais c’est possible.

En étant bon médecin après la mort, OVH a lancé une campagne massive de mailing pour prévennir ses clients européens pour que ces derniers changent leur mot de passe (si le hacker n’a pas pris les devants, ce dont j’en doute). Et petit morceau de sucre dans ce jus amer, OVH a insisté sur le fait qu’aucune donnée bancaire n’est conservée de son côté, de quoi limiter les possibles dégâts.

Alors, même si les serveurs censés être hyper-protégés se cassent une dent, où va le monde?