Nous avons mene une investigation forensique complete sur les artefacts numeriques transmis par Forela Ltd a la suite d'un acces non autorise constate sur votre forum interne phpBB. Le verdict est sans equivoque : la compromission est totale et confirmee.

Un sous-traitant externe present dans vos locaux, disposant d'un acces au Wi-Fi invite de votre organisation, a deliberement et methodiquement vole les identifiants de votre administrateur systeme via une attaque XSS stockee, puis utilise ces identifiants pour extraire l'integralite de votre base de donnees interne. L'attaque s'est deroulee en deux temps sur une periode de trente-six heures : le 25 avril 2023, injection d'un piege numerique dans le forum ; le 26 avril 2023, utilisation des identifiants captures pour exfiltrer la totalite des donnees.

Date/heure de decouverte : 17 mai 2026

Decouvert par : Equipe IT interne de Forela Ltd

Mode de decouverte : Analyse des journaux d'acces et base de donnees phpBB suite a comportements suspects

Un sous-traitant externe present dans les locaux de Forela Ltd le 25 avril 2023 a exploite l'acces au Wi-Fi invite pour penetrer le forum interne phpBB. Il a cree deux comptes (apoole et apoole1), injecte un payload JavaScript malveillant dans un post du forum, capture les credentials de l'administrateur lorsque celui-ci a consulte le post, puis utilise ces credentials le lendemain pour se connecter avec les droits les plus eleves et exfiltrer l'integralite de la base de donnees.

La timeline suivante reconstitue le cheminement de l'attaquant depuis la premiere connexion au forum jusqu'a l'exfiltration des donnees. Toutes les heures sont en UTC sauf indication contraire. Duree totale de l'operation : 36 heures. Duree de la session d'exfiltration : 8 minutes 26 secondes.

Chaque artefact reference ci-dessous est consigne avec son hash SHA-256 dans le document Chaine de Controle ODN-2026-002-CDC-v1.0. Les empreintes ont ete verifiees a reception par Odonia Cyber le 2026-05-17 et correspondent exactement aux valeurs transmises par Forela Ltd.

L'attaquant est un sous-traitant externe de Forela Ltd qui etait physiquement present dans les locaux de l'organisation le 25 avril 2023. Connecte au reseau Wi-Fi invite, il disposait d'une adresse IP interne (10.10.0.78) mais n'aurait pas du avoir acces aux ressources internes, notamment au forum phpBB.

Les TTPs identifies - creation de multiples comptes, injection XSS stockee, hebergement d'un serveur C2 local, utilisation differee des credentials (22 heures apres le vol), creation de persistance avant exfiltration - suggerent un attaquant de niveau intermediaire, maitrise du fonctionnement des forums phpBB et des attaques XSS stockees.

Patient zero identifie : compte apoole1 (user_id=52) / IP 10.10.0.78. L'identite du sous-traitant est potentiellement traçable via les logs d'acces Wi-Fi invite et les registres de visites.

La remediation suit les 4 phases NIST : Containment → Eradication → Recovery → Lessons Learned.

1. Isolation reseau : Couper immediatement l'acces reseau au serveur hebergeant le forum phpBB. Ne pas l'eteindre (preservation des preuves volatiles), mais l'isoler du reste du reseau. Action non negociable.
2. Rotation du mot de passe LDAP : Dans la console Active Directory, localiser le compte CN=phpbb-admin,OU=Service,OU=Forela,DC=forela,DC=local et reinitialiser son mot de passe avec un mot de passe fort genere aleatoirement (minimum 20 caracteres). Ne pas reutiliser une variante du mot de passe compromis.
3. Revocation des comptes apoole et apoole1 : Desactiver et supprimer ces comptes dans le forum phpBB mais aussi dans l'Active Directory, la messagerie, les VPN et tout autre systeme d'acces.

1. Lancer la procedure de notification RGPD (J+0, 72h max) : Contacter le conseil juridique pour initier la notification a l'autorite de controle competente. Le delai court a compter de la reception de ce rapport.
2. Audit complet Active Directory (J+7) : Mandater un audit de securite de l'Active Directory pour verifier qu'aucune modification non autorisee n'a ete effectuee depuis le 26 avril 2023.
3. Reinitialisation des mots de passe des 52 utilisateurs (J+2) : Forcer la reinitialisation du mot de passe pour les 52 comptes du forum. Notifier chaque utilisateur individuellement.
4. Reconstruction du forum sur un serveur propre (J+14) : Ne pas remettre en service le serveur compromis tel quel. Deployer une nouvelle instance phpBB sur un serveur propre, depuis une sauvegarde anterieure au 25 avril 2023.
5. Suppression de l'extension LDAP non autorisee (J+14) : Ne pas restaurer l'extension rokx/dborldap. Si une integration LDAP est necessaire, la reconfigurer depuis zero avec un compte de service dedie a privileges minimaux.

1. Depot de plainte aupres des autorites (J+5) : Transmettre les preuves numeriques aux autorites competentes (police nationale, brigade de cybercriminalite). L'identite du sous-traitant est tracable via les logs Wi-Fi invite.
2. Politique de securite sous-traitants (J+30) : Reseau Wi-Fi invite isole du reseau interne (VLAN dedie), signature obligatoire d'une charte informatique, revocation systematique des acces.
3. Durcissement phpBB (J+14, avant remise en production) : Activer le filtrage anti-XSS, interdire les balises HTML dans les posts, configurer une Content Security Policy, activer HTTPS obligatoire, deplacer le serveur en DMZ.
4. Surveillance des acces administrateurs (J+60) : Deployer une journalisation centralisee (SIEM) capturant tous les acces administrateurs et telechargements de fichiers volumineux.
5. Politique de mots de passe comptes de service (J+45) : Revoir l'ensemble des mots de passe de comptes de service. Stocker dans un coffre-fort de secrets - jamais en clair dans des bases de donnees applicatives.

Note : 52 comptes utilisateurs au total ont vu leurs hashes bcrypt exfiltres. La rotation de l'ensemble de la base est recommandee.

Document de chaine de controle associe : ODN-2026-002-CDC-v1.0
Les empreintes SHA-256 des trois artefacts ont ete verifiees par Odonia Cyber a reception le 2026-05-17 et correspondent exactement aux valeurs transmises par Forela Ltd. Ces empreintes font foi en cas de procedure penale.

Contact : odonia.fr - Normandie (Caen / Flers) - ODN-2026-002

Ce rapport a ete etabli par Odonia Cyber sur la base des artefacts transmis par Forela Ltd. Les conclusions sont fondees sur l'analyse des fichiers access.log et phpbb.sqlite3 dont l'integrite cryptographique a ete verifiee. Toute reproduction ou diffusion, meme partielle, est interdite sans l'accord ecrit d'Odonia Cyber.