// CLUBIC — CYBERSECURITY
Surfshark confirme une intrusion dans son infrastructure interne
Surfshark a subi une intrusion dans l’un de ses environnements techniques après l’exposition accidentelle d’un serveur de test sur Internet. Le fournisseur assure qu’aucune donnée cliente ni infrastructure VPN de production n’a été compromise.
L’incident n’a pas touché les abonnés, mais il n’a rien de bénin pour autant. Surfshark a confirmé qu’un tiers non autorisé avait pénétré dans l’un de ses environnements internes après l’exposition accidentelle d’un serveur de test sur Internet. L’enquête a également révélé la présence d’identifiants techniques dans l’historique du code, tandis que l’entreprise VPN reconnaît avoir trop tardé avant de mesurer pleinement la gravité de la situation.
Les premiers signes remontent au 31 août, date à laquelle les outils de surveillance de Surfshark détectent une activité suspecte dans un environnement de test. Deux jours plus tard, l’enquête confirme qu’une personne extérieure a réussi à s’y introduire.
À l’origine de l’incident, une erreur humaine. Une configuration incorrecte a exposé le serveur sur Internet alors qu’il aurait dû rester cantonné au réseau interne. Une fois à l’intérieur, l’intrus a pu consulter plusieurs ressources techniques, parmi lesquelles des binaires système et des configurations internes liées à plusieurs services.
Plus préoccupant encore, l’enquête révèle que des identifiants internes utilisés lors des processus de compilation avaient parfois été enregistrés dans l’historique du code et ont donc pu être exposés à leur tour. Surfshark assure qu’ils ne donnaient accès ni aux données des abonnés ni aux systèmes de production, mais a tout de même passé en revue les secrets concernés avant de les révoquer ou de les remplacer par précaution.
Les investigations établissent aussi que l’attaquant a atteint un second serveur VPS, isolé et utilisé comme proxy pour optimiser l’accès à certains contenus. Là encore, le fournisseur se veut rassurant : cette machine ne permettait de consulter ni les identités des utilisateurs et utilisatrices, ni leurs adresses IP, ni les clés de chiffrement, ni le trafic de navigation. Les identifiants protégeant les systèmes sensibles étaient, quant à eux, conservés séparément dans des coffres dédiés.
Le 2 septembre, une fois le périmètre de l’intrusion circonscrit, Surfshark coupe la connexion externe du serveur compromis et inspecte les autres machines du même sous-réseau ainsi que les ressources que l’attaquant aurait pu atteindre, à la recherche, notamment, d’éventuelles portes dérobées.
Pour le moment, le bilan est plutôt rassurant pour les abonnés. L’intrusion n’aurait pas gagné les systèmes de production, aucune donnée personnelle n’aurait été exposée et rien n’indique que les serveurs VPN, les applications ou les extensions de navigateur aient été modifiés.
L’examen des journaux n’a pas davantage fait apparaître d’activité malveillante après l’intrusion, ni trace d’une exploitation des identifiants potentiellement exposés ou d’une progression vers des systèmes plus sensibles. Tout indique donc que la compromission s’est limitée aux environnements déjà identifiés.
Il y a en revanche bien eu un loupé dans la réaction, ce que Surfshark reconnaît ouvertement. L’alerte du 31 août provenait d’un serveur de test censé ne contenir aucune information sensible et a donc été considérée comme moins urgente qu’un incident touchant un système critique. Il aura finalement fallu deux jours pour confirmer l’intrusion et la contenir, un délai pendant lequel sa gravité a été sous-estimée.