Le groupe chinois de hackers Chimera est entré dans le réseau informatique de NXP à la fin de l’année 2017, révèle le quotidien néerlandais NRC, et le plus grand concepteur et fabricant européen de semiconducteurs ne s’en est pas rendu compte avant le début de l’année 2020. Les malandrins ont eu tout le loisir de subtiliser la propriété intellectuelle de l’entreprise néerlandaise, qui fournit notamment la puce NFC de l’iPhone et les composants de sécurité entourant Apple Pay.
NXP rejoint ainsi la longue liste des victimes de Chimera, un groupe chinois ciblant principalement les entreprises de l’aéronautique et des semiconducteurs, deux secteurs économiques capitaux pour le gouvernement chinois. Le groupe de hackers s’est notamment attaqué aux fondeurs taïwanais, mais aussi aux compagnies aériennes KLM et Transavia. C’est d’ailleurs l’enquête consécutive au piratage du système de réservation des membres néerlandais du groupe Air France–KLM, en septembre 2019, qui a dévoilé le pot aux roses.
Les hackers de Chimera ont utilisé les informations divulguées lors des piratages de LinkedIn et de Facebook, ainsi qu’une bonne dose de force brute, pour obtenir les mots de passe de plusieurs salariés. L’authentification à deux facteurs a été détournée le plus simplement du monde, en changeant les numéros de téléphone associés aux comptes ciblés. Semaine après semaine, les hackers ont progressé patiemment dans le réseau de NXP, exfiltrant les données vers des systèmes de stockage en ligne comme Dropbox, Microsoft OneDrive et Google Drive.
Prenant soin d’effacer leurs traces entre chaque visite, ils ont opéré en toute discrétion pendant plus de deux ans. Si Transavia n’avait pas appelé les chercheurs de Fox-IT à la rescousse, et qu’ils n’avaient fait le lien entre des adresses IP et le siège de NXP à Eindhoven, cette attaque n’aurait peut-être jamais été dévoilée. Alors que l’étendue des dégâts est encore inconnue, NXP n’a pas jugé bon d’informer ses actionnaires et ses clients, assurant que le piratage « n’a pas causé de dommages matériels et que les données sont trop complexes pour copier simplement des modèles » de circuits.
Une légèreté insoutenable de la part de l’entreprise formée par scission de Philips, qui est devenue le plus grand fabricant européen de semiconducteurs depuis son acquisition de l’entreprise américaine Freescale en 2015. Pionnière des technologies NFC, NXP fabrique notamment les puces Mifare utilisées dans la plupart des cartes de transport, ainsi que la puce NFC de l’iPhone. Avec ASML Holding, seul et unique fabricant de machines de lithographie EUV, NXP est le joyau de l’industrie néerlandaise (et même européenne) des semiconducteurs.
