Conor LaHiff, ancien responsable informatique d'un lycée public du New Jersey, a admis avoir commis une cyberattaque contre son ancien employeur suite à son licenciement en juin 2023.

La semaine dernière, le ministère américain de la Justice (DOJ) a annoncé que LaHiff avait plaidé coupable à un chef d'accusation de dommages non autorisés à des ordinateurs protégés, en violation du Computer Fraud and Abuse Act (CFAA).

L'annonce du DOJ décrit la cyberattaque comme un acte de représailles, ciblant spécifiquement les comptes d'Apple et des administrateurs informatiques pour causer des dommages et perturber les opérations de l'école.

« Après son licenciement, LaHiff a utilisé ses privilèges administratifs pour désactiver et supprimer des milliers d'identifiants Apple du compte Apple School Manager de l'école, un logiciel utilisé pour gérer les ressources informatiques des étudiants, des professeurs et du personnel. » lit l'annonce du DOJ américain.

« LaHiff a également désactivé plus de 1 400 autres comptes Apple et autres comptes administratifs informatiques et désactivé le système téléphonique de la succursale privée de l'école, ce qui a laissé le service téléphonique de l'école indisponible pendant environ 24 heures. »

Selon publié documents judiciairesLaHiff a effectué les actions suivantes après la cessation de son emploi :

• Suppression de 1 200 identifiants Apple du compte Apple School Manager de l'école
• Désactivation de plus de 1 400 autres comptes Apple
• Tentative de déconnexion des identifiants de classe Apple, des identifiants de cours, des identifiants d'emplacement et des identifiants de personne du compte Apple School Manager de l'école.
• Comptes administratifs désactivés, y compris les comptes des fournisseurs de sécurité.
• Désactivation du service téléphonique de la branche privée de l'école

L'annonce indique que les actions de LaHiff ont amené l'école à subir au moins 5 000 $ de pertes financières directes.

Il s'agit d'un autre cas d'un ancien employé mécontent utilisant son accès de haut niveau non révoqué pour causer des dommages à des réseaux critiques par méchanceté.

Le simple fait de coordonner les décisions en matière de ressources humaines avec les actions du service informatique, telles que la révocation de l'accès aux comptes pour le personnel licencié, atténuerait considérablement ces risques.

Fait intéressant, malgré ses actions, LaHiff avait déjà occupé un poste similaire dans une autre école secondaire publique, que le juge exige de LaHiff qu'il l'informe du plaidoyer de culpabilité.

LaHiff devrait être condamné le 20 mars 2024 et encourt une peine maximale potentielle de 10 ans de prison et des amendes pouvant aller jusqu'à 250 000 dollars.