Au lendemain de la publication d’un rapport de 40 pages par l’Agence française de la sécurité des systèmes d’information (l’Anssi) sur une cyberattaque au long cours ayant touché plusieurs entreprises françaises, l’éditeur concerné, Centreon, conteste l’existence d’une brèche dans la version commercialisée de son logiciel de supervision. Interrogé par l’Agence France Presse (AFP), il rejette le problème sur un opérateur tiers. Ses principaux clients ne s’expriment pas sur le sujet.
« Nous demandons à l’Anssi des éclaircissements sur ses méthodes d’investigation et sur les modifications apportées à nos solutions open source », annonce le porte-parole de Centreon à l’AFP, dénonçant une « mise en cause extrêmement dommageable » pour l’entreprise.
« Les clients de Centreon ne sont pas concernés. »
Après analyse, « la brèche de sécurité ne concerne pas une version commercialisée du logiciel », selon Centreon. Seule une ancienne version open source, libre et gratuite, associée à « un module additionnel développé par un opérateur tiers », a pu être la cible de compromissions. « Nous ne savons pas ce que c’est que ce module, mais il est absent des codes et plateformes produits par Centreon et la ligne de code sur laquelle il vient opérer est absente des solutions Centreon depuis 2015 », ajoute le porte-parole de l’éditeur, évoquant une « modification sauvage ».
Dans un communiqué daté du 16 février 2021, Centreon indique que « selon les échanges des dernières 24 heures avec l’ANSSI, aucun client de Centreon n’a été impacté. L’ANSSI précise que seule une quinzaine d’entités ont été la cible de cette campagne, et qu’elles sont toutes utilisatrices d’une version open source obsolète (v2.5.2), qui n’est plus supportée depuis 5 ans. »
D’après l’entreprise, la version open source de Centreon est utilisée sur quelque « 200 000 postes » et la version commerciale par « 720 clients ». Elle affirme contacter actuellement tous ses clients et partenaires afin de les amener à vérifier leurs installations et l’application des bonnes pratiques d’hygiène informatique.