Il a dormi, puis, en ouvrant les yeux le matin, il avait quatre cents dollars de plus sur sa facture.
Il n’avait pas écrit une seule ligne de code. Il n’avait pas allumé son ordinateur. Ces quatre cents dollars, quelqu’un les avait dépensés en utilisant son compte pendant qu’il dormait.
Dans la nuit du 17 octobre, l’entreprise qui développe des outils de programmation open source a commencé à envoyer des e-mails aux personnes qui les avaient utilisés. L’objet était bref. Il demandait d’agir immédiatement. Il indiquait que les clés d’accès d’un prestataire tiers avaient peut-être été divulguées.
Un deuxième e-mail est arrivé au milieu de la nuit. Il précisait de quels services il s’agissait : OpenAI, Anthropic et Google.
Les personnes touchées représentaient 1,4 % des comptes de son tableau de bord en ligne. Le chiffre n’est pas élevé. Mais pour les personnes concernées, c’est tout leur compte qui est en jeu.
Le problème venait d’un point précis. Les attaquants avaient pénétré dans un ancien système en cours de mise hors service. Les premières traces remontent à la fin de la nuit du 16. Les utilisateurs n’ont reçu le premier e-mail que vingt-deux heures plus tard. Vingt-deux heures, ça suffit pour lancer combien d’appels, épuiser un quota, et laisser le temps aux attaquants de tout faire avant que vous ouvriez les yeux.
D’où venait le problème ? D’un recoin que tout le monde croyait déjà fermé. Pourquoi ? Parce qu’il ne figurait sur la liste de personne, et qu’en cas d’incident, personne ne pensait à lui en premier.
Beaucoup de gens s’imaginent que les clés sont devinées ou trouvées par force brute. Ce n’est pas le cas. La grande majorité des fuites ne nécessite aucun piratage. La clé est simplement rangée dans un endroit que plus personne ne surveille, alors que la porte est encore ouverte. Vous la retirez du système principal, vous la marquez comme étant à supprimer, puis vous oubliez qu’elle tourne encore.
L’entreprise n’a pas donné de réponse claire sur les raisons pour lesquelles cet ancien système a été laissé à l’abandon aussi longtemps sans que personne ne s’en aperçoive.
Un développeur raconte avoir d’abord reçu une alerte de quota d’Anthropic, puis une notification de l’éditeur de l’outil. L’ordre était inversé. Celui qui vous facturait l’a remarqué avant celui à qui vous payiez. Le compte Google Cloud de quelqu’un a été débité de deux cents euros, et son projet a été suspendu pour abus. Une autre personne dit avoir épuisé son quota mensuel de vingt dollars.
Quant au remboursement, l’entreprise dit seulement qu’elle en discute avec les trois sociétés. Difficile d’y voir une promesse. On ne sait pas non plus si les données ont été utilisées pour entraîner d’autres modèles. L’entreprise parle d’une attaque de distillation à grande échelle ; il faudra attendre les résultats de l’enquête pour savoir si cette explication tient la route.
La forme que prend cette histoire, le milieu crypto la connaît bien.
Dans votre portefeuille, vous avez toute une série d’autorisations. En 2021, un site proposait une autorisation illimitée ; à l’époque, c’était pour tenter de décrocher une place sur une liste blanche. Vous avez cliqué, fier d’avoir été rapide, puis le lendemain, vous aviez déjà oublié le nom du site. Mais l’adresse du contrat, elle, est toujours là, liée à votre adresse, à attendre que quelqu’un vienne frapper. À l’époque, l’idée de révoquer l’autorisation ne vous a même pas traversé l’esprit.
L’équipe du projet a disparu depuis longtemps. L’autorisation, elle, est toujours là. Vous ne vous en souvenez plus. La blockchain, si.
C’est la même chose que de laisser une clé dans un panneau d’administration déjà mis hors service.
L’an dernier, une version d’un composant très utilisé pour connecter des sites web a été remplacée. En quelques heures, les portefeuilles de plusieurs personnes ont été vidés, avant même qu’elles aient le temps de donner l’alerte. Personne n’a piraté le composant. Une version a simplement été substituée à une autre. Vous ne vous en seriez même pas rendu compte. Au moment de signer, l’interface vous disait toujours la même chose qu’avant.
J’y ai beaucoup réfléchi. La sécurité ne devrait pas se mesurer à l’âge d’un système. Les nouveautés sont surveillées de près ; les vieilleries, elles, ne sont plus regardées. C’est aussi simple que ça. Les systèmes en plein processus de mise au rebut sont les plus dangereux : ils ne figurent plus sur la liste de maintenance, mais ne sont pas encore tout à fait morts. Tout le monde croit qu’ils vont disparaître d’eux-mêmes.
Alors, que faire ? Voici quelque chose de concret. Ouvrez votre portefeuille et remontez jusqu’aux premières autorisations de la liste. Si vous en voyez une que vous ne reconnaissez pas, révoquez-la. Pour les plateformes d’échange où vous vous êtes inscrit il y a trois ans et dont vous avez oublié jusqu’au mot de passe, supprimez complètement les clés API, surtout celles qui permettent les retraits. Écrivez votre phrase de récupération à la main ; ne la prenez pas en photo pour la garder dans votre téléphone.
Ça prend moins de dix minutes.
Dix minutes pour fermer une porte d’accès que vous avez peut-être oubliée depuis longtemps.
Ça vaut vraiment le coup.
$BTC $ETH $BNB #OpenCode #API密钥 #账户安全 #crypto