Fuite Adobe : 13 millions de tickets de support et 15 000 dossiers d’employés exposés par Mr. Racoon

Une fuite Adobe qui n’a pas commencé chez Adobe

Un acteur malveillant utilisant le pseudo « Mr. Racoon » (également rapporté comme « Mr. Raccoon ») revendique un vol massif chez Adobe : environ 13 millions de tickets de support contenant des données personnelles, 15 000 dossiers d’employés, toutes les soumissions de vulnérabilités HackerOne et des documents internes. Adobe n’avait pas émis de confirmation officielle au moment de la rédaction, même si Cybernews note que les chercheurs en malware de vx-underground jugent la compromission revendiquée probablement légitime, avec une nuance importante : l’attaquant n’a pas pénétré le réseau interne d’Adobe — l’intrusion se limite au système helpdesk.

Le chemin d’intrusion est la vraie histoire. Selon SecurityOnline, Mr. Racoon aurait obtenu l’accès initial via une société indienne de Business Process Outsourcing (BPO) sous contrat avec Adobe. Un e-mail malveillant a silencieusement déployé un Remote Access Tool sur la machine d’un employé BPO. L’attaquant a ensuite pratiqué du spear-phishing sur le manager de cet employé pour élever ses privilèges, pivotant plus profondément dans le réseau jusqu’à atteindre la plateforme de ticketing d’Adobe.

Ce que l’attaquant a réellement emporté

Le jeu de données revendiqué, s’il est exact, fait mal :

• ~13 millions de tickets de support contenant des informations personnelles fournies par les clients — noms, adresses e-mail, contenus de tickets qui incluent souvent des clés de licence, numéros de série et captures d’écran de détails de compte.
• ~15 000 dossiers d’employés — le type de données qui alimente la vague suivante de phishing ciblé.
• Toutes les soumissions HackerOne du bug bounty — un catalogue de vulnérabilités Adobe et d’identités de chercheurs.
• Documents internes de l’environnement helpdesk.

Cyberpress et Cybersecurity News rapportent les mêmes chiffres de façon indépendante, pointant vers une revendication cohérente et non une rumeur à source unique.

La mauvaise configuration critique : export en masse par n’importe quel agent

La description de l’attaque par l’auteur lui-même révèle la défaillance défensive qui a rendu cet incident catastrophique en taille plutôt que simplement douloureux. Selon SecurityOnline, Mr. Racoon a noté : « Ils permettaient d’exporter tous les tickets en une seule requête depuis un agent. » C’est une phrase qui décrit une mauvaise configuration de plateforme de support à trois composantes, toutes courantes dans les déploiements helpdesk d’entreprise :

1. Pas de limitation de débit par agent sur les actions d’export en masse.
2. Pas de détection d’anomalie sur les agents qui demandent soudainement des millions d’enregistrements.
3. Pas de scoping — un seul compte agent peut exporter l’ensemble du corpus de tickets, pas seulement ses cas assignés.

Cette seule faiblesse architecturale est ce qui convertit une compromission BPO d’un incident « nous avons perdu la charge de travail d’un analyste » en un incident « nous avons perdu tout l’historique du helpdesk ». Le résumé de SQ Magazine souligne le même point : l’ampleur de l’exposition dépendait des privilèges d’export au niveau agent, pas d’une pénétration du réseau de production d’Adobe.

Pourquoi cela dépasse Adobe

Adobe est une cible à forte visibilité, donc l’histoire circule. Mais la leçon structurelle est générique : la plupart des entreprises externalisent une partie de leur support client, de leurs opérations commerciales ou de leur support IT de niveau 1 à des partenaires BPO. Ces partenaires :

• Se connectent à des plateformes SaaS (Salesforce, Zendesk, ServiceNow, systèmes de ticketing sur mesure) avec la plateforme d’identité du client lui-même.
• Opèrent souvent depuis des réseaux domestiques de faible confiance ou des infrastructures BPO partagées.
• Font fréquemment l’objet d’une surveillance productive agressive mais de contrôles de sécurité des postes laxistes.

The Register rapporte qu’une nouvelle équipe d’extorsion cible activement « plusieurs dizaines » de grandes entreprises via un schéma similaire — pivot BPO, vol d’identifiants, exfiltration massive de données côté SaaS. Adobe n’est pas la fin de cette campagne ; c’est un marqueur précoce.

Ce que les RSSI et opérateurs SaaS devraient faire ce trimestre

Quatre actions concrètes à prioriser :

1. Auditer les capacités d’export en masse sur chaque plateforme SaaS avec accès contractant tiers. Pour chaque plateforme, posez la question : un seul compte agent peut-il exporter plus de 10 000 enregistrements en une requête ? Si oui, imposez des limites au niveau de la plateforme, exigez une approbation superviseur pour les gros exports, et alertez sur tout export dépassant le seuil.
2. Imposer du conditional access sur les identités des contractants BPO. Exigez des signaux de posture d’appareil, restreignez les connexions aux appareils gérés ou plages réseau approuvées, réduisez la durée des sessions. Traitez les identités contractantes comme un niveau de confiance distinct de celui des employés.
3. Déployer de l’UEBA sur les motifs d’action SaaS. Lectures en masse inhabituelles, accès à des données hors du corpus habituel d’un agent, ou séquences export-puis-téléchargement sont des signaux détectables avec des outils du marché (Microsoft Defender for Cloud Apps, Netskope, Varonis).
4. Coordonner avec le BPO sur la réponse à incident. La plupart des contrats BPO spécifient des SLA mais pas de playbooks d’incident. Ajoutez une annexe qui définit les délais de notification de brèche, les accords de partage de logs et la participation conjointe aux exercices sur table.

Ce que cela laisse à la chaîne d’approvisionnement BPO

L’incident Adobe ne réécrira pas la façon dont les entreprises utilisent les BPO — l’externalisation est une décision structurelle de coût qui survivra à toute fuite unique. Mais il relèvera les attentes envers les éditeurs SaaS pour qu’ils livrent des contrôles d’action en masse plus forts par défaut, et renforcera l’argument, pour les acheteurs entreprise, de traiter les identités contractantes comme la classe d’accès à plus haut risque dans leur environnement. Mr. Racoon n’a pas eu besoin d’entrer par effraction chez Adobe. L’ordinateur portable d’un sous-traitant a suffi.

Sources et lectures complémentaires

• The BPO Backdoor: How « Mr. Raccoon » Swiped 13 Million Adobe Support Tickets — SecurityOnline
• Adobe Breach: Threat Actor Claims Leak of 13 Million Support Tickets — Cyberpress
• Adobe Breach – Threat Actor Allegedly Claims Leak of 13 Million Support Tickets and Employee Records — Cybersecurity News
• Threat actor claims Adobe breach and theft of 13 million support tickets — Cybernews
• 13M Adobe Support Tickets Allegedly Leaked in Hack — SQ Magazine
• ‘Several dozen’ orgs targeted by a new extortion crew — The Register