Bonjour,

Depuis le mois de mai, nous avons eu une augmentation anormal du nombre d'abus et d'impayé. Au bout de 2 mois, nous avons commencé à avoir des attaques internes et externe. Il y a 3 semaines, nous avons augmenté la sécurité du réseau avec de nouvelles détections des abus et mis en place les confirmations de commande de serveurs dédiés avec les SMS.

Voici le détail. Il s'agit de plusieurs groupes de hackeurs en provenance probablement du Maroc. Ils commandent des serveurs dédiés et des hébergements dans le but de voler les cartes bancaires. 2 méthodes pour voler les CB: les pages de phishing + le spam et le scan de réseau Orange, Free, Neuf et Numericable à la recherche des serveurs VNC non/mal protégés. Dans le 1er cas, la victime reçoit un faux email de Paypal ou de sa banque et saisit ses coordonnées ainsi que le numéro de la CB. Dans le 2nd cas, la victime est observé en temps réel par les hackeurs qui notent ce qu'il se passe sur l'écran de la victime et donc ont les informations sur la victime. Une fois que la victime est couché, le hackeur reprend la connexion VNC pour usurper son identité en passant par le propre PC de la victime et en passant les commandes de ... serveurs dédiés et/ou des hébergements mutualisés dans le but de voler les cartes bancaires ... Ainsi de suite.

C'est pourquoi, nous avons eu une augmentation énorme d'abus et d'impayée. En tout, nous avons fermé un peu moins de 300 serveurs dédiés commandés par les hackeurs et nous avons rendu un peu plus 150'000E aux victimes.

Les hackeurs ont créés des robots de commande pour accélérer les processes de commandes et pour aller plus vite. Nous avons cassé des robots en bloquant l'accès à notre site depuis le Maroc. C'est une mesure temporaire.

Depuis 1 semaine il ne restait plus que les commandes effectués à travers les VNC d'autres victimes. Sois 2 à 5 commandes par jour. Depuis 1 semaines nous ne relevons plus de scans de réseau à partir de nos serveurs vers les réseaux d'Orange, Free, Neuf et Numericable à la recherche des VNC non/mal protégés.

Pour bloquer les 2 à 5 commandes chaque jour faites par les hackeurs, nous avons passé en vérification de CHAQUE nouvelle commande de serveur dédié humain (alias je passe les 2h à cliquer et vérifier les identités suspectes). Avec une telle vérification et avec un oeil ouvert, on arrive à bloquer ces 2-5 commandes mais au détriment du délai de livraison et au détriment d'une dixième vérification des vrais clients qui n'y sont pour rien.

On espérait ne pas avoir à mettre en place la vérification d'adresse par la lettre mais il s'avère que ceci reste la seule solution (théorique, il reste à la tester) pour se prémunir des impayées de hackeurs. Nous allons la mettre en place cette semaine (au plus vite ...).

Nous allons tester en parallèle une authentification avec un code passé dans la transaction que le client peut voir dans son relevé de compte. Ceci pourra augmenter encore la sécurisation du paiement pour certains pays comme Senegal, Coté d'Ivoire, Chine, Japon, etc d'où on accepte les rares commandes (des noms de domaines .fr par exemple). Mais la sécurisation avec l'adresse sera la base d'authentification chez Ovh pour les serveurs dédiés, les RPS et la téléphonie. Probablement les noms de domaines et l'hébergement mutualisé plus tard.

Nous allons utiliser le même système pour l'ensemble des filiales d'Ovh. La lettre avec le code de validation arrive en 24 heures, partout en Europe.

Amicalement
Octave