Les professionnels de la cybersécurité traversent un mois éprouvant.
Ce qu’on surnomme le « Black October » n’est même pas encore terminé, et il a déjà donné lieu à plusieurs dizaines de cyberattaques majeures et de vulnérabilités repérées par l’IA sur Internet.
Lorsque des outils d’IA ont contribué à révéler des vulnérabilités critiques dans PHP, le langage de programmation utilisé par environ 70 % des sites Web, et que la PHP Foundation les a divulguées le 21 octobre, la course à la mise à jour des serveurs dans le monde entier a commencé.
Le fournisseur de services cloud Cloudflare a signalé des millions de tentatives d’exploitation de la vulnérabilité après sa divulgation, après des milliers de tentatives au cours des heures précédentes.
Certains pays, dont la France et la Finlande, ont temporairement bloqué l’accès à certains sites Web, tandis que l’Agence nationale de sécurité américaine (NSA) avertissait les organisations qu’elles devaient corriger immédiatement les failles ou mettre hors ligne les systèmes concernés.
« Nous sommes en plein Armageddon de la sécurité », a déclaré le fondateur de NEAR, Illia Polosukhin. Le conseiller en chef en sécurité d’Anthropic, Jason Clinton, a averti que « malgré la gravité de la situation ces quatre derniers jours, les choses vont beaucoup empirer avant de s’améliorer ».
Au Royaume-Uni, les citoyens sont même invités à « se tenir prêts » en cas d’urgence, comme des intempéries graves ou des cyberattaques, susceptibles de couper l’accès à des infrastructures essentielles telles que l’eau, l’électricité ou Internet. Dans le cadre de l’initiative FORTRESS, les installations militaires américaines ont reçu l’ordre de se préparer à fonctionner de manière autonome pendant 90 jours.
Houston, avons-nous un problème ?
Au-delà de se précipiter pour faire des réserves de conserves et de talkies-walkies, les gens ordinaires peuvent-ils faire autre chose pour réduire leur exposition aux risques ?
Alors, à quel point le « Black October » est-il grave, au juste ?
« C’est vraiment grave. On dirait que le reste d’Internet prend conscience de la réalité que nous connaissions il y a trois mois », confie à Magazine Rob Hamilton, chercheur en sécurité Bitcoin membre de l’équipe Bitcoin Red Team.
Le gouvernement britannique exhorte les citoyens à se tenir prêts en cas d’urgence. Source : gov.uk
Au cours de la dernière semaine environ, la plateforme cloud Railway a révélé qu’un attaquant avait accédé aux identifiants et aux clés API de clients, puis les avait déchiffrés, en ciblant apparemment des fournisseurs d’IA.
Quest Diagnostics, géant des analyses médicales, a confirmé une fuite de données de santé privées de patients. De son côté, la société indienne de cybersécurité eMudhra s’est avérée utiliser huit autorités de certification numérique dotées de clés faibles, qui auraient pu permettre à des attaquants d’usurper l’identité de sites Web de confiance. Enfin, la plateforme d’hébergement de code GitHub a subi une importante interruption de service, qui a mis en évidence la forte dépendance du secteur des logiciels à l’égard des infrastructures partagées.
Austin Devers, directeur principal de la sécurité chez GitHub, affirme que de tels incidents « nous rappellent clairement que la fiabilité exige un travail constant », car le développement moderne est « si interconnecté ».
Incident de sécurité chez Railway. Source : Railway
Jonathan Riss, analyste en renseignement OSINT et blockchain au sein de la société de sécurité blockchain CertiK, explique à Magazine :
« Ce qui nous inquiète le plus, c’est qu’une seule faille dans une infrastructure partagée puisse exposer simultanément de nombreuses organisations. »
Malheureusement, ajoute-t-il, la capacité de l’IA à détecter les vulnérabilités ne s’accompagne pas d’une capacité équivalente à les corriger :
« Détecter les vulnérabilités plus rapidement ne nous donne pas automatiquement les moyens de les résoudre plus vite. »
Pourquoi la situation risque d’empirer
L’une des raisons pour lesquelles le problème s’aggrave est que l’IA a changé l’équation économique de la cybersécurité.
Ce qui nécessitait autrefois les ressources d’un État et le savoir-faire de pirates informatiques chevronnés peut désormais être réalisé par un adolescent quelque part dans un sous-sol.
Matt Shumer, entrepreneur et investisseur dans l’IA, affirme que l’IA permet à des personnes sans compétences techniques de repérer les points faibles et de les exploiter, obligeant les défenseurs à « courir pour suivre le rythme ».
« Chaque faille doit encore être corrigée, testée et déployée sur des millions de systèmes gérés par des personnes déjà débordées. »
Devers affirme que les outils de sécurité assistés par l’IA abaissent « considérablement » le seuil nécessaire pour « découvrir des failles complexes et profondément ancrées dans des bases de code largement utilisées ».
Que peuvent vraiment faire les gens ordinaires ?
En cette période instable, les gens ordinaires peuvent prendre quelques mesures pratiques pour naviguer sur Internet plus sûrement.
Internet est attaqué. Source : Matt Shumer
Shumer recommande d’éviter les sites que vous ne connaissez pas et, surtout, de ne pas y saisir de mots de passe ou de numéros de carte bancaire « tant que la situation ne s’est pas calmée », car les petits sites sont « les moins susceptibles d’avoir installé les correctifs ».
Supprimez les applications que vous n’utilisez pas et débranchez les appareils connectés dont vous n’avez pas besoin. Gardez un peu d’argent liquide chez vous et suffisamment de provisions pour quelques jours, « si vous voulez prendre encore plus de précautions ».
Devers affirme que la meilleure défense consiste à « sécuriser les points d’accès personnels et à limiter son empreinte numérique globale ». Activez l’authentification multifacteur (MFA) sur tous vos comptes, idéalement à l’aide d’une application d’authentification ou d’une clé de sécurité matérielle plutôt que par SMS.
« Cela agit comme un coupe-circuit et empêche les pirates de se connecter à votre compte, même si le logiciel sous-jacent est compromis. »
Il recommande également de ne jamais réutiliser ses mots de passe. « Créez des mots de passe robustes et uniques pour chaque site, et révoquez régulièrement les autorisations accordées aux anciennes applications ou les connexions à des services tiers que vous n’utilisez plus. » Activez les mises à jour automatiques sur vos appareils et vos navigateurs Web :
« Pendant que les équipes des plateformes s’efforcent de résoudre les problèmes de sécurité au niveau du cloud en arrière-plan, la sécurisation de vos appareils empêche les pirates d’utiliser votre matériel personnel comme porte dérobée pour accéder à vos comptes. »
Faut-il opter pour l’autogarde ou non ? Telle est la question
Alors que la hausse alarmante des incidents de sécurité pousse certains détenteurs de cryptomonnaies à envisager d’autres solutions et certains experts à déconseiller l’autogarde, d’autres, comme le défenseur du Bitcoin et directeur de la sécurité de Casa, Jameson Lopp, rappellent aux utilisateurs que cela va à l’encontre de tout l’intérêt du Bitcoin.
« Vous ne pouvez profiter des propriétés uniques du Bitcoin que si vous détenez vos propres clés. [...] Renoncer à vos clés ne fait pas disparaître le risque, explique-t-il. Cela déplace le risque vers un endroit que vous ne pouvez ni voir ni contrôler. »
Riss recommande de séparer les petites sommes que vous comptez utiliser dans un portefeuille connecté, des avoirs à plus long terme conservés dans un portefeuille matériel, et de « lire réellement ce que vous signez au lieu d’approuver à l’aveugle ».
Ces précautions peuvent réduire votre vulnérabilité aux attaques, mais les utilisateurs ordinaires ne peuvent sécuriser que leurs systèmes locaux et ont peu de moyens d’agir sur les problèmes plus vastes.
Vous pouvez « limiter l’ampleur des dégâts », dit-il, « mais pas empêcher la compromission de l’infrastructure ».
Ainsi, même si les utilisateurs peuvent améliorer leur hygiène numérique, « la responsabilité structurelle incombe aux plateformes et aux fournisseurs ».
Magazine : Un escroc perd 4,8 millions de dollars stockés sur des appareils Ledger trafiqués : Asia Express