Discussion :

[Mathis Lucas]

Un employé de Disney licencié aurait piraté le système de menus des restaurants Disney World pour modifier les informations relatives à l'allergie aux arachides
mettant en danger les clients allergiques aux arachides

Un ancien employé de Disney est poursuivi pour sabotage présumé. Michael Scheuer, qui travaillait comme « responsable de la production des menus » pour Disney avant d'être licencié pour mauvaise conduite en juin 2024, est accusé d'avoir utilisé ses mots de passe professionnels pour se connecter à un système logiciel propriétaire de création de menus utilisé exclusivement par les restaurants Disney World. Il aurait ensuite modifié les informations pour indiquer à tort que certains plats étaient sans danger pour les clients allergiques aux arachides. Ce qui a rendu les menus inutilisables et des processus manuels ont dû être utilisés pour remettre de l'ordre.

Un ancien employé mécontent accusé d'avoir saboté un logiciel de son ex-employeur

La plainte a été déposée le 23 octobre 2024 auprès du tribunal fédéral du district intermédiaire de Floride. La plainte ne mentionne pas Disney, mais l'avocat de Michael Scheuer a confirmé que Disney est bien le plaignant. La plainte accuse Michael Scheuer d'avoir piraté les serveurs de la société pour modifier les menus de ses restaurants, notamment en falsifiant les informations sur les allergènes, en changeant la police et en imprimant un langage blasphématoire.

Selon la plainte, Disney a passé un contrat avec une société (appelée « société B ») pour la création d'un logiciel « Menu Creator », dont Disney est le seul propriétaire et qui est utilisé pour la gestion des stocks de nourriture, la création et l'impression de menus et la fixation des prix. La plainte indique que les employés de Disney se sont aperçus de l'intrusion parce que toutes les polices du programme « Menu Creator » avaient été remplacées par « wingdings ».

Les employés ont remarqué que toutes les polices de l'application avaient été remplacées par des polices représentant des symboles, également connues sous le nom de wingdings. Les polices ont été renommées par l'auteur de la menace afin de conserver le nom de la police d'origine, mais les caractères apparaissaient sous forme de symboles.

Lors de son lancement, Menu Creator s'est adressé aux fichiers de configuration pour récupérer ce qu'il pensait être la police correcte, mais il a récupéré les fichiers de police modifiés.

À la suite de cette modification, tous les menus de la base de données sont devenus inutilisables, car les changements de police se sont propagés à l'ensemble de la base de données. En outre, cette modification était si importante qu'elle a rendu le système Menu Creator inopérant pendant que les changements de police étaient apportés à tous les menus.

La société A a été obligée de mettre l'application Menu Creator hors ligne pendant qu'elle effectuait des sauvegardes pour retrouver la capacité de fonctionner. Suite à cette attaque, le système Menu Creator a été affecté pendant une à deux semaines. Des processus manuels ont dû être mis en place pour prendre en compte les problèmes rencontrés par Menu Creator.

La plainte indique : « l'auteur de la menace a manipulé les informations sur les allergènes figurant dans les menus en ajoutant des informations à des notifications d'allergènes qui indiquaient que certains plats étaient sans danger pour les personnes allergiques aux arachides, alors qu'en réalité ils pouvaient être mortels pour ces personnes ». Les menus ont été repérés par Disney après avoir été imprimés, mais avant d'être distribués dans les restaurants Disney.

Michael Scheuer a manipulé les menus à plusieurs reprises pour modifier les prix et ajouter des injures. David Haas, l'avocat du suspect, a confirmé que son client avait été arrêté le 24 octobre 2024. Selon les rapports, une audience de détention est prévue pour le jour de l'élection présidentielle aux États-Unis.

Plusieurs serveurs FTP d'un partenaire de Disney auraient été piratés par le suspect

Tout aurait commencé après le licenciement de Michael Scheuer en juin 2024. À en croire son avocat, son licenciement serait intervenu sur fond de tensions avec Disney. D'après la plainte, peu de temps après son licenciement, Michael Scheuer a utilisé des mots de passe auxquels il avait encore accès sur plusieurs systèmes différents pour accéder à Menu Creator. Une fois à l'intérieur, il aurait modifié les menus et, dans un cas, cassé le logiciel pendant plusieurs semaines.

Après cet incident, Disney a réinitialisé les mots de passe de connexion à Menu Creator. La plainte affirme ensuite que Michael Scheuer s'est introduit dans plusieurs serveurs FTP de la société B qui servaient de files d'attente pour l'impression des menus Disney, et qu'il a téléchargé des fichiers d'apparence identique à de vrais menus Disney, mais qui avaient été légèrement modifiés. Selon la plainte, Disney a identifié des menus imprimés à partir [du serveur FTP].

Ces menus présentaient « des informations modifiées sur les allergènes et des changements de prix ». Par ailleurs, selon la plainte, à une autre occasion, Michael Scheuer s'est introduit dans un autre serveur FTP utilisé pour imprimer de grands menus qui seraient affichés sur de grands panneaux à l'extérieur du restaurant concerné. Sur ces derniers menus, il aurait modifié les codes QR censés renvoyer au menu et les aurait redirigés vers le site "boycott-israel.org".

La plainte cite d'autres actes préjudiciables à d'anciens collègues. Michael Scheuer aurait verrouillé les comptes d'au moins 14 employés de Disney en essayant de se connecter des milliers de fois au système de compte en ligne de Disney à l'aide d'un script, aurait conservé un dossier contenant des informations personnelles sur les domiciles, les numéros de téléphone et les proches de quatre employés, et se serait présenté au domicile de l'une des victimes pendant la nuit.

La plainte indique que Michael Scheuer a tenté de se connecter aux comptes des employés sur "wdpr.service-now.com, qui est le portail de connexion de la société Walt Disney. Le site LinkedIn de Michael Scheuer indique qu'il a travaillé chez Disney à des dates qui correspondent à celles de la plainte.

Disney aurait licencié illégalement l'employé suspecté d'être à l'origine du sabotage

La campagne présumée de cyberattaque menée par Michael Scheuer contre Disney aurait duré plusieurs mois. Toutefois, Michael Scheuer nie avoir commis des actes répréhensibles et a déclaré que « Disney tentait de le piéger parce qu'elle était préoccupée par les conditions dans lesquelles il avait été licencié ». Son avocat David Haas a été interrogé pour savoir si quelqu'un avait été victime du sabotage dont est accusé son client. Il a répondu par la négative.

David Haas explique : « la plainte pénale elle-même indique que personne n'a été malade ou blessé, car aucun menu n'a été utilisé dans les parcs. À part cela, je n'ai aucun commentaire à faire sur les allégations contre mon client ». Selon David Haas, Michael Scheuer souffre d'un « handicap mental » qui a provoqué une crise de panique au travail. L'avocat a déclaré qu'en raison de cet incident, Michael Scheuer a d'abord été suspendu, puis licencié.

« Disney n'a pas répondu à ses demandes concernant son licenciement, et il a alors déposé une plainte auprès de la Commission pour l'égalité des chances en matière d'emploi », ajoute David Haas. Disney et le bureau du procureur du district intermédiaire de Floride ont refusé de faire des commentaires sur la plainte.

Source : document de la plainte (PDF)

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous des allégations concernant le sabotage d'un logiciel critique de Disney ?
Selon vous, pourquoi certains employés licenciés se vengent parfois en sabotant les systèmes de leurs anciens employeurs ?
Comment les entreprises technologiques peuvent-elles se prémunir contre ce type de sabotage ?
Que pensez-vous des conditions présumées de licenciement du suspect dans cette affaire ?

Voir aussi

Un IT mécontent de son licenciement supprime 180 serveurs virtuels et inflige des dommages estimés à plus de 650 mille $, le tableau soulève la question de la gestion des accès en entreprise

Une employée licenciée d'une coopérative de crédit de New York détruit 21 Go de données pour se venger, elle a supprimé plus 20 000 fichiers et près de 3 500 répertoires

Les violations de données par des employés peuvent coûter aux entreprises jusqu'à 20 % de leur chiffre d'affaires, selon une nouvelle étude de la société Code42

[kain_tn]

Comment les entreprises technologiques peuvent-elles se prémunir contre ce type de sabotage ?

Pour les entreprises je ne sais pas, mais pour les restaurants, ils pourraient arrêter ces cochonneries de menus à QR Code et remettre des menus imprimés.

[smarties]

Pour les entreprises je ne sais pas, mais pour les restaurants, ils pourraient arrêter ces cochonneries de menus à QR Code et remettre des menus imprimés.

Surtout en France. Le QRCode pourrait servir pour avoir accès à une version traduite.