Passer au contenu

Cyberattaque des Etats-Unis : un bilan beaucoup plus dévastateur qu’annoncé

En début de mois, nous vous faisions par de l’attaque d’ampleur dont a été victime l’Office of Personnel Management (OPM), organisme de gestion des effectifs du…

En début de mois, nous vous faisions par de l’attaque d’ampleur dont a été victime l’Office of Personnel Management (OPM), organisme de gestion des effectifs du gouvernement fédéral qui délivre notamment de multiples accréditations à ses divers fonctionnaires. 4 millions de données d’employés fédéraux américains sont désormais dans la nature. Et il y a pire. Bien pire.

cyberattaque_etats-unis_bilan_dévastateur

L’attaque attribuée à la Chine par des sources anonymes au sein de l’administration américaine était déjà phénoménale par l’ampleur des données piratées : 4 millions de données personnelles d’employés fédéraux (2,1 millions en service et 2 millions d’anciens employés ou retraités). Elle pourrait être dévastatrice si les révélations d’Associated Press sont avérées.

En effet, au lendemain de l’attaque, le syndicat américain des employés gouvernementaux a jeté un pavé dans la marre en affirmant qu’une seconde attaque, dont la paternité est une nouvelle fois attribuée à Pékin, avait permis l’accès à des informations sensibles nécessaires à la délivrance d’habilitation de sécurité pour personnels militaires et de renseignement. Une mine d’or pour le contre-espionnage étranger. Le formulaire SF-86 recèle des informations telles que le nom, l’âge, le sexe, le numéro de sécurité sociale, l’assurance-vie, l’historique familial, les anciens lieux de résidence, les éventuels prêts contractés, les antécédents médicaux, le nom des enfants, des proches et même des voisins, les contacts avec des ressortissants étrangers, etc. L’ensemble de leurs données personnelles est désormais aux mains des pirates et/ou d’une puissance étrangère. Pour certains responsables gouvernementaux, cela représenterait 14 millions de personnes.

Pour le président du syndicat, David Cox, cette attaque et la collecte de données non chiffrées « une faille de cybersécurité absolument scandaleuse et indéfendable ».

cyberattaque_OPM

Espions, soldats, personnels du Pentagone, employés fédéraux, agent des opérations spéciales pourraient être désormais exposés. Soit des millions de personnes. Au total, ces deux attaques concerneraient environ 18 millions de personnes aux États-Unis et dans le monde, faisant craindre pour leur sécurité.
Ces attaques sont d’ores et déjà considérées comme les plus dommageables à la sécurité nationale depuis plus d’une décennie.

« C’est peut-être la plus grosse violation de données que notre gouvernement n’ait jamais eues », s’inquiète Jason Chaffetz, Républicain de l’Utah à la tête du Comité de surveillance. Considérant ces données comme « les plus sensibles que nous avons ».

Selon des sources anonymes, cette base de données avait déjà été violée l’année dernière. En un an, les pirates ont eu tout loisir de siphonner cette base de données. Et comme le souligne le Washington Post, cela démontre « la persistance et la détermination de Pékin dans la recherche de données précieuses pour le contre-espionnage ».

« Vous avez complètement et totalement échoué », a asséné Chaffetz à Katherine Archuleta, directrice de l’OPM.
L’OPM a cependant précisé que les données d’agents de la CIA ne se trouvaient pas dans les différentes bases de données piratées.

cyberattaque_etats-unis_données_piratées

Quoi qu’il en soit, l’utilisation des données subtilisées pourrait être employée à des fins de phishing, d’usurpation d’identité, d’espionnage, de pression, mais aussi de recrutement d’agents ou même de représailles de personnes vivant en Chine et en relation avec des employés fédéraux américains ou vivant dans « d’autres pays autoritaires ».

« Cela renseigne les Chinois sur les identités de pratiquement toute personne détenant une habilitation de sécurité des États-Unis […] C’est une mine d’or. Cela vous aide à approcher et recruter des espions », précise Joel Brenner, ancien cadre du contre-espionnage.

Et ces habilitations ne s’arrêtent pas aux employés fédéraux puisque certains dirigeants d’entreprises se sont également vu remettre ce précieux sésame, comme Bill Gates, Steve Ballmer ou encore Eric Schmidt de Google.
Par ailleurs, comme le rappelle AP, ce piratage ne concerne pas uniquement la Chine. L’Empire du Milieu pourrait choisir de partager ces informations avec ses alliés, comme la Corée du Nord ou encore le Pakistan.
L’impact et les conséquences de cette attaque pourraient être terribles, notamment d’un point de vue économique, selon les informations stratégiques récoltées. La semaine dernière, la Chine a vivement rejeté les accusations de piratage, les qualifiant « d’irresponsables ».

Cette affaire révèle surtout les failles béantes des États-Unis en matière de cybersécurité, incapable de protéger ses données les plus sensibles, qui ne sont même pas chiffrées. Alors même que le pays de l’Oncle Sam est l’un des principaux pays cible de cyberattaque à travers le monde. L’administration Obama, tout comme les administrations précédentes, semble à la peine pour trouver une solution face aux moyens ultra sophistiqués de ses adversaires.

Il est par ailleurs assez ironique de noter que les propres défaillances des États-Unis sont beaucoup plus dévastatrices et dangereuses que les prétendues atteintes à la sécurité nationale engendrées par la fuite des Snowden’s Files. Mais là au moins, le responsable est tout désigné.

Recruté en février dernier comme nouveau DSI, Tony Scott avait établi une feuille de route en matière de cybersécurité, un « sprint de 30 jours », selon Nextgov.com. Il devient en effet urgent de se mettre dans les starting-blocks.
La Maison Blanche a ordonné à tous les organismes fédéraux de prendre des mesures rapides pour mieux verrouiller les systèmes gouvernementaux.

🟣 Pour ne manquer aucune news sur le Journal du Geek, abonnez-vous sur Google Actualités. Et si vous nous adorez, on a une newsletter tous les matins.

11 commentaires
  1. Quelle ironie ! Voilà ce qui arrive quand on investit toute son énergie dans la surveillance généralisée des citoyens au lieu de l’investir dans la protection des données !

  2. J’ai une solution pour eux. Ils devraient rendre publique toutes leurs informations, les partagés avec toutes les nations. “Open source” ou “Open Nation”. Si tout est visible, rien n’est cacher.

    Bon, sa pas trop de sens, mais un monde idéale équivaudrait à mélanger tout (exemple parfaite, le code génétique de tout être humain).

  3. Je lis l’article, me dit que c’est un truc de ouf, que c’est bien écrit et que j’espère en apprendre plus…Pour découvrir, une fois de plus, qu’Elodie est aux manettes…Décidément, respect.

  4. ça pourrait être marrant de mélanger le génome de tous les êtres humains, ça ferait une sorte d’ornithorynque supérieurement intelligent !

  5. C’est de l’informatique, open source ou pas ca ne changera rien .Si une faille est détectée ,il n’est pas dit que l’ennemi aura la politesse de l’avertir .Elle sera exploitée avant d’être signalée à la communauté .
    Ce qui est bien en informatique c’est que la communauté open source ( linux , bsd ) est véritablement de très mauvaise foi car elle ne reconnait pas le fait que leurs o.s est tout aussi faillible qu’un autre .
    C’est peut être même pire , peut être que les utilisateurs , développeurs de l ‘open source ne comprennent rien eux même à la sécurité , sa méthodologie , son modus operandi , juste bon à taper du code .
    Faire confiance au virtuel , il faut être kamikaze .

    1. Je me dois de réagir à ces inepties..

      C’est pas parce que trois barbus ont un problème d’ego, que toute la communauté open source est aveugle face aux potentielles failles des différents systèmes ‘open’.

      Concrètement, OpenBSD est, selon moi, le système le plus secure, car sans concession concernant la sécurité.

      De plus, tout logiciel a des bugs, dans le même sens que l’homme est faillible, et que tout coffre fort est perçable.

      Concernant le faite que la communauté open source ne “connais rien en sécurité”, faut arrêter de fumer. Les barbu maintenant les distributions unix dites “secure” sont des experts mondialement reconnus, via les conférences qu’ils donnent..

      Concernant la confiance accordé au virtuel, je t’assure, tu ne pourra pas me démontrer la faiblesse d’un système tel que le RSA 2048 avec une variante DH (je ne suis pas un pro en sécu, mais je grasp quelques concepts hein). A partir du moment ou les lois mathématiques sous-jacentes aux programmes de cryptographie sont prouvées et solides (c’est le cas du RSA), ça ne se perce pas (sauf révolution dans les mathématiques). Le point de faiblesse est, comme toujours, l’homme. Une faille peut se présenter dans le programme encryptant les données, mais pas dans la formule mathématique !

      1. Merci à toi pour cette réponse, tu m’as épargné une longue prose en réaction aux bêtises avancées par pardu. Peut-être travaille-t-il pour un éditeur d’OS 😉

  6. Ce qui est bien avec les américains, c’est qu’il leur faut 1 an pour se rendre compte que le serveur le plus sécurisé du pays a été hacké. Et avant même de savoir combien de données le serveur a pissé, ils ont déjà identifié le coupable. Chapeau, surtout avec des policiers même pas capable de lire un tweet qui leur est adressé.
    A moins qu’ils compte de nous la faire comme en Irak. Mais attention, les armes de destruction massive il y en a déjà plein en chine, et elles sont bien opérationnelles, donc ça risque de faire un peu plus de dégâts chez eux que quand ils sont aller massacrer quelques bédouins avec leurs B52…

  7. Bien fait pour leur tronches, ils vont peut-etre enfin comprendre que la NSA est le pire enemi des USA et les elus devraient realiser que s’ il ne s’ etaient pas fait berner par le syndicat des parano, lez budget allouer a la NSA pour surveiller les américains auraient naturellement été affectés a la VRAIE cher sécurité. ..
    Bref, bien fait deux fois. C’est triste pour les espions et anciens espions qui vont se faire decendre ou vivre dans la peur jusqu’a la fin de leurs jours mais au moins cela fera reflechir les prochains candidats…

    1. Là où c’est ennuyeux, c’est que ca ne concerne pas que des espions…
      On peut avoir à travailler dans des endroits nécessitant une habilitation de sécurité sans être espion ; par exemple, en France, pour travailler dans certaines entreprises de l’aéronautique (entre autres), il faut l’approbation du ministère de la Défense. Et aux US, non seulement il y a des renseignements sur les personnes (“espions, soldats, personnels du Pentagone, employés fédéraux, agent des opérations spéciales”), mais aussi sur leurs familles ; donc, pour peu qu’un simple employé ait un accès potentiel à des données confidentielles, il (ou elle hein, ne soyons pas sexistes) pourrait être mis en danger, tout comme sa famille…

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *