Oracle Cloud visé par une attaque revendiquée : un pirate affirme avoir volé 6 millions d’enregistrements

Un hacker prétend avoir compromis les serveurs SSO d’Oracle Cloud, volant 6 millions d’enregistrements, incluant mots de passe chiffrés et fichiers JKS. Oracle conteste l’attaque, affirmant qu’aucun client n’est affecté. ZATAZ analyse les documents pirates.

Un pirate informatique opérant sous le pseudonyme rose87168 affirme avoir compromis les serveurs de connexion SSO fédérés d’Oracle Cloud, dérobant près de 6 millions d’enregistrements. L’attaque présumée, qui aurait permis de voler des mots de passe chiffrés, des fichiers de clés Java Keystore (JKS) et des informations LDAP, a été vivement contestée par Oracle, qui affirme qu’aucune violation n’a eu lieu et qu’aucun client n’a été affecté. ZATAZ a analysé les documents diffusés par le hacker.

L’incident, qui sème le doute sur la sécurité des services cloud d’Oracle, met en lumière une possible vulnérabilité critique dans l’architecture des serveurs de connexion fédérés de la société. Si les affirmations du pirate sont avérées, cette attaque pourrait avoir des répercussions considérables sur la confiance des entreprises utilisant Oracle Cloud pour la gestion de leurs données sensibles d’autant que plusieurs milliers d’entreprises françaises, canadiennes, Suisses, Luxembourgeoises, Etc. ont été cités par le pirate.

Une fuite revendiquée

L’alerte a été déclenchée après que rose87168, le pirate connu pour avoir diffusé plusieurs centaines d’informations d’emlployés de DHL, a publié plusieurs fichiers prétendument volés à Oracle Cloud sur une plateforme bien connue des cybercriminels. Dans son message, le pirate a indiqué qu’il était prêt à vendre ces données ou à les échanger contre des exploits 0-day (des failles de sécurité encore inconnues et non corrigées). Une demande assez étonnante.

Pour étayer ses affirmations, le pirate informatique a publié des extraits de la base de données, comprenant des informations LDAP, des clés de chiffrement JPS utilisées par le gestionnaire d’entreprise d’Oracle, ainsi qu’une liste d’entreprises prétendument affectées par cette fuite (voir plus bas). Les fichiers mis en ligne incluaient également des mots de passe SSO chiffrés, susceptibles d’être décryptés grâce aux fichiers de clés volés.

Une capture d’écran de l’interface du serveur login.us2.oraclecloud.com a également été partagée par le pirate, accompagnée d’un fichier texte contenant une adresse e-mail ProtonMail — une tentative claire de prouver l’accès direct au système Oracle Cloud. L’adresse électronique s’affichant directement via la page en question.

Le pirate a affirmé avoir compromis plusieurs serveurs traditionnels d’Oracle, ciblant spécifiquement les domaines login.(region-name).oraclecloud.com. L’accès à ces serveurs aurait permis le vol d’environ 6 millions d’enregistrements d’utilisateurs SSO et LDAP. Les fichiers Java Keystore (JKS), les mots de passe chiffrés, les fichiers de clés et les clés JPS du gestionnaire d’entreprise figurent parmi les données compromises.

Service de Veille ZATAZ – 96% de satisfaction

« Les mots de passe SSO sont chiffrés et peuvent être déchiffrés à l’aide des fichiers disponibles« , a affirmé rose87168 dans une déclaration à Bleeping Computer. « Il est également possible de déchiffrer un mot de passe LDAP haché. Je vais lister les domaines de toutes les entreprises impliquées dans cette fuite. Les entreprises concernées peuvent payer une somme pour supprimer leurs informations avant que les données ne soient mises en vente.« 

Rose87168 a précisé qu’Oracle pouvait le contacter directement via l’adresse officielle de l’entreprise dans un délai de 72 heures pour négocier une solution avant que l’ensemble des données ne soit vendu ou publié. « Nous avons déjà échangé par le passé, » a ajouté le pirate, suggérant une possible tentative antérieure de négociation avec Oracle.

Le pirate a également affirmé que les données volées concerneraient des entreprises dans le monde entier. Le Service de Veille ZATAZ a repéré 1293 sites français (.fr), 976 sites canadiens (.ca), 417 sites belges (.be), 57 sites luxembourgeois (.lu) et 550 sites suisses (.ch). Cette dispersion géographique montre l’ampleur de cette potentielle attaque et la diversité des entreprises potentiellement affectées. Le fichier analysé par le ZATAZ Watch affiche 3 302 sites annoncés comme ayant été compromis lors de l’attaque. Des entreprises de la finance, la santé, l’industrie et les services publics.

Une rançon de 100 000 XMR exigée à Oracle

Selon rose87168, l’accès aux serveurs Oracle Cloud aurait été obtenu environ 40 jours avant la publication des fichiers. Le pirate affirme avoir contacté directement Oracle après avoir extrait les données, exigeant une rançon de 100 000 XMR (environ 14 millions d’euros au cours actuel du Monero) en échange d’informations détaillées sur la faille utilisée pour infiltrer le système.

D’après les déclarations du pirate, Oracle aurait refusé de payer la rançon, demandant à la place des informations précises pour corriger la vulnérabilité et publier un correctif. Ce refus aurait poussé le pirate à publier une partie des données volées sur le dark web afin de prouver la réalité de la brèche.

Le pirate a précisé que cette faille est associée à un CVE public (Common Vulnerabilities and Exposures), mais qu’aucun code d’exploitation (PoC) ou outil prêt à l’emploi n’est encore disponible publiquement. Cette précision laisse entendre que la faille pourrait être exploitée par d’autres acteurs malveillants si elle venait à être documentée plus largement dans la communauté de la cybersécurité.

Le pirate a également publié une mise à jour le 20 mars 2025, confirmant qu’il détient un « échantillon récent » de données volées. Il a précisé plusieurs conditions pour la vente des données : seules les offres complètes seront prises en compte, sans possibilité d’achat par entreprise individuelle. Les propositions doivent inclure le prix directement dans le titre du message. Le déchiffrement des fichiers n’est pas incluse dans le prix proposé. Dans ce dernier cas, autant dire que l’acheteur va acquérir des 0 et 1.

Oracle nie catégoriquement l’attaque

Face à ces accusations, Oracle a publié une déclaration officielle réfutant tout acte de piratage. La société insiste sur le fait qu’aucun système de production n’a été compromis et qu’aucun client d’Oracle Cloud n’a été affecté par une quelconque cyberattaque. « Il n’y a pas eu de piratage d’Oracle Cloud. Les informations d’identification publiées ne sont pas associées à Oracle Cloud. Aucun client Oracle Cloud n’a été affecté par une cyberattaque ou une violation de données« , a déclaré un porte-parole d’Oracle à Bleeping Computer.

Cette attaque s’inscrit dans un contexte plus large de montée en puissance des cyberattaques ciblant les infrastructures critiques. Zataz avait déjà évoqué rose87168 dans le cadre d’une autre fuite majeure, impliquant cette fois des centaines d’informations confidentielles sur les employés de DHL. Le pirate aurait utilisé des techniques similaires pour infiltrer le réseau de l’entreprise et extraire des données stratégiques, témoignant de la sophistication de son approche.

« Si cette vulnérabilité est exploitée à grande échelle, toutes les instances de connexion SSO d’Oracle Cloud pourraient être compromises, » a averti un expert en cybersécurité basé à Londres. « Les attaques basées sur l’infrastructure SSO sont particulièrement préoccupantes, car elles permettent un accès direct à de multiples services intégrés. »

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à la newsletter de ZATAZ. Rejoignez également notre groupe WhatsApp et nos réseaux sociaux pour accéder à des informations exclusives, des alertes en temps réel et des conseils pratiques pour protéger vos données.