Le « Black October » de la cybersécurité : comment vous protéger

Les professionnels de la cybersécurité traversent un mois particulièrement difficile.

Le phénomène baptisé Black October n’est même pas terminé qu’il a déjà entraîné plusieurs dizaines de cyberattaques majeures et de vulnérabilités identifiées par l’IA sur Internet.

Lorsque des vulnérabilités critiques de PHP, le langage de programmation utilisé par environ 70 % des sites web, ont été découvertes avec l’aide d’outils d’IA et divulguées par la PHP Foundation le 21 octobre, la course à la mise à jour des serveurs du monde entier a commencé.

Le fournisseur de services cloud Cloudflare a signalé des millions de tentatives d’exploitation de la vulnérabilité après sa divulgation, après des milliers de tentatives au cours des heures précédentes.

Certains pays, dont la France et la Finlande, ont temporairement bloqué l’accès à certains sites web, tandis que la National Security Agency (NSA) des États-Unis a averti les organisations de corriger immédiatement les failles ou de mettre hors ligne les systèmes concernés.

« Nous sommes désormais en plein Armageddon de la sécurité », a déclaré le fondateur de NEAR, Illia Polosukhin. Le conseiller principal en sécurité d’Anthropic, Jason Clinton, a averti que, « aussi grave que soit devenue la situation au cours des quatre derniers jours, elle va encore largement empirer avant de s’améliorer ».

Les citoyens du Royaume-Uni sont même appelés à « se tenir prêts » à une situation d’urgence, comme des conditions météorologiques extrêmes ou des cyberattaques, qui pourrait couper l’accès à des infrastructures essentielles telles que l’eau, l’électricité ou Internet. Il a été demandé aux installations militaires américaines de se préparer à fonctionner de manière autonome pendant 90 jours dans le cadre de l’initiative FORTRESS.

Houston, avons-nous un problème ?

Au-delà de la précipitation pour faire des réserves de conserves et de talkies-walkies, les particuliers peuvent-ils faire autre chose pour réduire leur exposition ?

Alors, à quel point le Black October est-il réellement grave ?

« C’est vraiment grave. On dirait que le reste d’Internet se réveille face à une réalité que nous connaissions il y a trois mois », déclare au Magazine Rob Hamilton, chercheur en sécurité Bitcoin impliqué dans la Bitcoin Red Team.

Le gouvernement britannique appelle les citoyens à se tenir prêts à une situation d’urgence. Source : gov.uk

La semaine dernière environ, la plateforme cloud Railway a divulgué qu’un attaquant avait accédé à des identifiants clients et à des clés API, puis les avait déchiffrés, ciblant apparemment des fournisseurs d’IA.

À lire aussi : La France est l’endroit le plus dangereux au monde pour les utilisateurs de Bitcoin : 90 attaques en 7 mois

Le géant des analyses médicales Quest Diagnostics a confirmé une fuite de données de santé privées de patients, tandis qu’il a été établi que l’entreprise indienne de sécurité eMudhra possédait huit autorités de certification numériques utilisant des clés faibles, ce qui aurait potentiellement permis à des attaquants de se faire passer pour des sites web de confiance. De son côté, la plateforme d’hébergement de code GitHub a subi une importante interruption de service, mettant en évidence la forte dépendance du monde du logiciel à l’égard des infrastructures partagées.

Austin Devers, directeur principal de la sécurité de GitHub, affirme que des incidents comme celui-ci sont un « rappel clair que la fiabilité exige un travail constant », car le développement moderne est « très interconnecté ».

Incident de sécurité de Railway. Source : Railway

Jonathan Riss, analyste OSINT et du renseignement blockchain chez CertiK, une entreprise spécialisée dans la sécurité de la blockchain, déclare au Magazine :

« Ce qui nous préoccupe le plus, c’est qu’une seule faiblesse dans une infrastructure partagée puisse exposer simultanément de nombreuses organisations. »

Malheureusement, ajoute-t-il, la capacité de l’IA à trouver des vulnérabilités n’est pas égalée par sa capacité à les corriger :

« Trouver des vulnérabilités plus rapidement ne nous donne pas automatiquement la capacité de les résoudre plus vite. »

Pourquoi la situation risque de s’aggraver

L’une des raisons pour lesquelles le problème s’aggrave est que l’IA a changé l’économie de la cybersécurité.

Ce qui nécessitait autrefois les ressources d’un État-nation et l’intervention de pirates informatiques chevronnés peut désormais être réalisé par un adolescent quelque part dans un sous-sol.

L’entrepreneur et investisseur dans l’IA Matt Shumer a déclaré que l’IA permettait à des utilisateurs non techniques de trouver des failles et de les exploiter, laissant les défenseurs « courir pour suivre le rythme ».

« Chaque faille doit encore être corrigée, testée et déployée sur des millions de systèmes gérés par des personnes déjà surchargées. »

Devers affirme que les outils de sécurité assistés par l’IA réduisent « considérablement » la difficulté pour « découvrir des failles complexes et profondément ancrées dans des bases de code largement utilisées ».

À lire aussi : Keystone affirme qu’une faille sur son site a exposé les adresses des acheteurs de portefeuilles matériels

Que peuvent réellement faire les particuliers ?

Les particuliers peuvent prendre certaines mesures pratiques pour mieux se protéger en ligne pendant cette période volatile.

Internet est attaqué. Source : Matt Shumer

Shumer recommande d’éviter les sites que vous ne connaissez pas et surtout de ne pas saisir de mots de passe ni de numéros de carte bancaire sur des sites inconnus « jusqu’à ce que la situation se calme », car les petits sites sont « les moins susceptibles d’avoir appliqué les correctifs ».

Supprimez les applications que vous n’utilisez pas et débranchez les appareils connectés dont vous n’avez pas besoin. Gardez un peu d’argent liquide chez vous et suffisamment de provisions pour quelques jours, « si vous voulez être particulièrement prudent ».

Devers affirme que la meilleure défense consiste à « sécuriser les points d’accès personnels et à réduire au minimum son empreinte globale ». Activez l’authentification multifacteur (MFA) sur tous vos comptes, idéalement au moyen d’une application d’authentification ou d’une clé de sécurité matérielle plutôt que par SMS.

« Cela agit comme un coupe-circuit et empêche les pirates de se connecter à votre compte même si le logiciel sous-jacent est compromis ».

Ne réutilisez jamais vos mots de passe, ajoute-t-il. « Créez des mots de passe forts et uniques pour chaque site et révoquez régulièrement les autorisations d’anciennes applications ou les connexions à des services tiers que vous n’utilisez plus. » Activez les mises à jour automatiques de vos appareils et de vos navigateurs web :

« Pendant que les équipes des plateformes s’emploient à corriger les problèmes de sécurité au niveau du cloud en arrière-plan, maintenir la sécurité de vos appareils garantit que les pirates ne peuvent pas utiliser votre matériel personnel comme porte dérobée vers vos comptes. »

S’auto-héberger ou non, telle est la question

Alors que la hausse alarmante des incidents de sécurité a conduit certains détenteurs de crypto à envisager des solutions de rechange et certains experts à déconseiller l’auto-hébergement, d’autres, comme le défenseur de Bitcoin et directeur de la sécurité de Casa, Jameson Lopp, rappellent aux utilisateurs que cela va à l’encontre de l’objectif même de cette pratique.

« Vous ne pouvez profiter des propriétés uniques de Bitcoin que si vous détenez vos propres clés. [...] Renoncer à vos clés ne fait pas disparaître le risque, dit-il. Cela déplace le risque vers un endroit que vous ne pouvez ni voir ni contrôler. »

Riss recommande de conserver les petites sommes destinées à être utilisées dans un portefeuille crypto connecté, séparées des avoirs à plus long terme conservés dans un portefeuille matériel, et de « lire réellement ce que vous signez plutôt que d’approuver aveuglément ».

Bien que ces précautions puissent réduire votre vulnérabilité aux attaques, les utilisateurs ordinaires ne peuvent sécuriser que les problèmes locaux et ont peu de moyens d’influer sur les problèmes plus vastes.

Vous pouvez « réduire le rayon d’impact », dit-il, « mais pas empêcher la compromission de l’infrastructure ».

Ainsi, même si les utilisateurs peuvent améliorer leur hygiène numérique, en fin de compte, « la charge structurelle repose sur les plateformes et les fournisseurs ».

Magazine : Un escroc perd 4,8 millions de dollars stockés sur des Ledger trafiqués : Asia Express