TeamUpdraft, l’éditeur de la célèbre extension de sauvegarde UpdraftPlus, a été victime d’une cyberattaque le week-end des 17 et 18 octobre. Les pirates ont exploité des clés de connexion dérobées pour accéder à des sites WordPress via UpdraftCentral, l’outil de gestion de sites à distance de l’éditeur.
Ce qui s’est passé
D’après le compte rendu publié par TeamUpdraft, un accès non autorisé au site teamupdraft.com a été détecté ce week-end-là. L’éditeur estime que sa base clients a été consultée. Elle contient :
- les noms, adresses e-mail, adresses de facturation et historiques de commande ;
- les mots de passe des comptes, stockés uniquement sous forme chiffrée (hachée) ;
- les réglages d’authentification à deux facteurs ;
- les clés de connexion pour UpdraftCentral, UpdraftVault et UpdraftClone.
Aucune donnée bancaire n’est concernée, les paiements passant par Stripe et PayPal. L’extension UpdraftPlus elle-même et ses téléchargements n’ont pas été compromis, pas plus que les sauvegardes envoyées vers vos propres espaces de stockage (Google Drive, Dropbox, Amazon S3, etc.).
Le problème, ce sont les clés UpdraftCentral. Elles permettent d’envoyer des commandes aux sites connectés. L’attaquant s’en est servi pour créer des comptes administrateurs et installer des extensions malveillantes sur certains sites. TeamUpdraft précise que la rapidité de l’exploitation suggère un recours à l’IA pour accélérer l’attaque.
Ce que TeamUpdraft a déjà fait
L’éditeur a publié le 19 octobre les versions 1.26.13 (gratuite) et 2.26.13 (Premium) d’UpdraftPlus, qui déconnectent automatiquement toutes les connexions UpdraftCentral établies avant le 18 octobre à 13 h 07 (heure britannique) : les anciennes clés ne fonctionnent donc plus. Tous les comptes ont été déconnectés, les identifiants UpdraftVault renouvelés et les clés UpdraftClone remplacées. L’incident a été signalé aux autorités compétentes, dont l’ICO, l’équivalent britannique de la CNIL.
Êtes-vous concerné ?
Si vous utilisez UpdraftPlus, même en version gratuite, vérifiez au minimum que vous êtes bien sur la dernière version. Le risque est nettement plus élevé si vous avez un compte Premium et, surtout, si vous utilisez la version hébergée d’UpdraftCentral. TeamUpdraft insiste : les utilisateurs Premium doivent contrôler leurs sites, même s’ils n’ont jamais utilisé UpdraftCentral. La version auto-hébergée d’UpdraftCentral n’est en revanche pas concernée.
Que faire maintenant ?
- Mettez à jour UpdraftPlus vers la dernière version, gratuite ou Premium.
- Changez votre mot de passe teamupdraft.com en tapant l’adresse directement dans votre navigateur, et partout où vous utilisiez ce même mot de passe. Réinitialisez aussi votre authentification à deux facteurs si vous l’aviez activée.
- Inspectez vos sites : utilisateurs inconnus (TeamUpdraft observe notamment l’apparition de comptes avec le rôle « Éditeur »), extensions que vous n’avez pas installées, adresses IP inconnues dans les journaux.
- Si vous utilisez UpdraftCentral, connectez-vous directement à chaque site, renouvelez les identifiants administrateurs et, par précaution, réautorisez vos espaces de stockage distants.
- Méfiez-vous des e-mails qui prétendent venir de TeamUpdraft : l’éditeur ne vous demandera jamais votre mot de passe ni vos clés.
À noter : pour protéger les sites de ses utilisateurs, WP Umbrella (lien affilié) a offert 30 jours de son module de sécurité à tous ses clients, avec un e-mail dédié pour activer cette protection gratuite.
Leçons à retenir
Cet incident illustre un risque souvent sous-estimé : celui des outils de gestion centralisée de sites. Ils font gagner un temps précieux, mais une clé qui permet de piloter cinquante sites devient une cible de choix. Le jour où l’éditeur est compromis, ce sont tous vos sites qui le sont potentiellement.
Il ne s’agit pas de fuir ces outils, mais de les choisir en connaissance de cause et de garder des réflexes simples : authentification à deux facteurs partout, surveillance des nouveaux comptes administrateurs et des nouvelles extensions, et sauvegardes stockées hors du site. Le jour où un incident survient, c’est ce qui fait la différence entre une frayeur et une catastrophe.
Le compte rendu de l’incident par TeamUpdraft →