Quand les pirates Nova frappent à la mairie de Pise
Le 10 mai dernier, le groupe de cybercriminels connu sous le nom de Nova a lancé une offensive spectaculaire contre les systèmes informatiques de la mairie de Pise. Sans avertissement public, l’attaque a abouti au vol d’environ 2 téraoctets de données, comprenant des documents administratifs, des dossiers personnels d’employés et des informations sensibles de citoyens. Les pirates ont rapidement réclamé une rançon de 2 millions de dollars en cryptomonnaies, menaçant de tout divulguer sur le dark web en cas de refus.
Un modus operandi bien rodé
Nova opère selon un schéma classique de ransomware :
- Intrusion dans le réseau via une faille de sécurité encore non identifiée.
- Chiffrement ou exfiltration massive des données.
- Revendication sur leur site « de presse » hébergé dans le dark web.
- Demande de rançon assortie d’une menace de publication publique.
Cette structure rappelle celle de groups plus anciens comme RALord, laissant penser que Nova serait un simple « rebranding » doté de nouveaux outils et d’une organisation plus affûtée.
Le forum du dark web : un « quiz » étonnant
Pour accéder au blog des revendications, Nova impose un test technique étonnant :
- Un quiz progressif sur les commandes Linux, jusqu’à l’exécution d’un calcul XOR.
- Un message dénigrant les visiteurs non qualifiés, les traitant de « script kiddies ».
- De simples CAPTCHA mathématiques pour filtrer les bots.
Ce dispositif, plus provocateur qu’efficace, semble davantage destiné à flatter l’ego des membres de Nova qu’à protéger réellement leur site. Plutôt qu’une vraie barrière technique, le quiz apparaît comme une démonstration de force symbolique.
Insultes et rancœur : pourquoi s’en prendre à Meloni ?
Vingt-quatre heures avant l’échéance fixée pour la rançon, Nova a publié un premier lot de 100 Go de données volées, accompagné d’un message virulent :
« Pays de mafieux et de clowns, vous refusez de payer vos bugs bounty. Comment voulez-vous gouverner avec des femmes ? Votre présidente, une p… dans mon entreprise. Demandez de l’aide à l’ACN. Divertissez-vous avec ces données. »
Cette envolée d’injures, dirigée nommément contre Giorgia Meloni, intrigue et suscite plusieurs questions :
- Pourquoi une telle véhémence personnelle ?
- Les pirates ont-ils vraiment tenté de contacter « l’adresse Gmail de PISA » ?
- Qu’est-ce qui différencie cet attaque des 16 autres victimes listées sur leur site ?
Alors que les autres établissements publics reçoivent un simple « Shame on you », la mairie de Pise a droit à un déferlement de rage et d’injures homophobes et misogynes. Un comportement inhabituel qui pourrait trahir un ressentiment particulier ou un objectif de déstabilisation politique.
Conséquences immédiates pour la mairie
Jusqu’à présent, l’administration locale est restée silencieuse. Aucun communiqué officiel n’a été diffusé, laissant employés et citoyens dans l’incertitude. Les fichiers publiés contiennent :
- Dossiers individuels des employés municipaux (CV, contrats, coordonnées personnelles).
- Factures et marchés publics, révélant montants et prestataires.
- Courriers électroniques internes et notes confidentielles.
Le vol et la mise en ligne de ces données compromettent sérieusement la vie privée des personnels et la réputation de l’institution.
Une réaction tardive et une enquête parlementaire
Face à l’absence de communication, la sénatrice Ylenia Zambito (Parti démocrate) a déposé une interrogation parlementaire pour demander des éclaircissements sur la gestion de cette cyberattaque. Elle souligne :
- Le record national de la Toscane en matière d’incidents informatiques ciblant les collectivités locales.
- Le besoin urgent d’un plan de réponse et d’une politique de transparence vis-à-vis des citoyens.
Les enquêteurs en cybercriminalité ont déjà commencé à recueillir les traces logicielles, les journaux de connexion et les mails de revendication. L’objectif est de retracer l’origine de l’attaque, d’identifier les outils utilisés et d’évaluer les failles exploitées.
Le partage de la rançon : un « business model » inquiétant
Nova fonctionne sur un modèle d’affiliation :
- Une équipe centrale conçoit les malwares et fournit les infrastructures.
- Des affiliés mènent les opérations de compromission et de chantage.
- Les sommes récoltées sont réparties : 15 % pour l’organisation, 85 % pour l’exécutant.
Cette mécanique de distribution des gains rappelle la structure de véritables entreprises, rendant leur traçabilité et leur démantèlement d’autant plus complexes.
Prévenir plutôt que guérir : quelles leçons pour les collectivités ?
La mairie de Pise n’est qu’un exemple parmi d’autres. Pour se prémunir de futures attaques, les administrations devraient :
- Maintenir à jour leurs logiciels et systèmes d’exploitation.
- Mener des audits réguliers de sécurité et des pentests.
- Former le personnel aux bonnes pratiques : phishing, mots de passe forts, double authentification.
- Mettre en place un plan de réponse aux incidents pour limiter la diffusion des données.
Sans une prise de conscience rapide, le risque de nouvelles compromissions reste élevé, et la confiance des citoyens dans les institutions pourrait s’éroder durablement.