Oups, j'ai trouvé les fichiers Epstein : une semaine de chaos numérique et de bévues du FBI

La semaine où Internet a perdu la tête

Si vous pensiez que votre semaine était mauvaise parce que vous aviez oublié votre carte de fidélité ou raté le bus sous une pluie battante, ayez une pensée pour le service informatique du FBI. Il s'avère que l'agence d'investigation la plus célèbre au monde a l'équivalent numérique d'une porte d'entrée maintenue ouverte avec un sandwich à moitié mangé. Dans un tournant qui ressemble davantage au script d'une sitcom à petit budget qu'à un thriller à enjeux élevés, un chercheur en sécurité a réussi à tomber sur certains des fichiers les plus sensibles de l'histoire moderne : les dossiers Jeffrey Epstein.

Nous vivons à une époque où l'on nous dit constamment d'utiliser des mots de passe complexes, d'activer l'authentification à deux facteurs et de se méfier des e-mails douteux de princes lointains. Pourtant, les organisations mêmes chargées de maintenir l'ordre semblent avoir du mal avec les bases. Cette semaine a été une leçon magistrale sur ce qu'il ne faut pas faire en matière de cybersécurité, avec au programme des erreurs gouvernementales et des applications qui trahissent vos secrets les plus intimes. Plongeons dans le chaos, voulez-vous ?

La politique de la porte ouverte du FBI

Le clou du spectacle de ce cirque numérique met en scène un chercheur en sécurité qui se fait appeler Lassi. En fouinant dans le Law Enforcement Enterprise Portal (LEEP) - qui sonne bien plus impressionnant qu'il ne l'est manifestement - Lassi a découvert qu'il pouvait accéder à une multitude d'informations sans vraiment avoir besoin d'un passe-partout. Il ne s'agissait pas d'un cambriolage à la Mission Impossible avec des grilles laser et des acrobaties au plafond. C'était plutôt une affaire de clics sur les bons liens, avec la réalisation que la clôture virtuelle présentait un trou gigantesque, à la taille d'une personne.

Parmi le désordre numérique se trouvaient des fichiers liés à Jeffrey Epstein. Pour ceux qui auraient vécu sous un rocher, Epstein est ce financier décédé dont la liste des associés ressemble à un Who's Who des personnes qui préféreraient vraiment ne pas y figurer. Le fait que ces fichiers aient été essentiellement laissés dans un classeur non verrouillé dans un couloir virtuel est stupéfiant. Le FBI a depuis colmaté la brèche, mais les dégâts causés à sa réputation en matière de maîtrise technique sont probablement permanents. Cela soulève une question sérieuse : si le FBI ne peut pas sécuriser ses preuves les plus sensibles, quel espoir avons-nous ?

D'un point de vue britannique, c'est particulièrement consternant. Nous considérons souvent les agences américaines comme la référence en matière de renseignement et de sécurité. Si elles sont aussi négligentes, on peut se demander dans quel état se trouvent nos propres bases de données nationales. Avec la crise du coût de la vie qui grève chaque centime du public britannique, nous ne pouvons tout simplement pas nous permettre les retombées de violations massives de données qui mènent au vol d'identité et à la fraude financière. Nous avons besoin que les responsables fassent mieux.

L'application qui en savait trop

Si la bévue du FBI était une question d'embarras national, la prochaine histoire est une trahison profondément personnelle. Il existe une application appelée Victory, conçue pour aider les gens à arrêter de regarder de la pornographie. Elle fait partie d'une suite d'outils incluant des partenaires de responsabilisation et un suivi des progrès. C'est le genre d'application que l'on utilise lorsqu'on est le plus vulnérable, cherchant à apporter un changement positif dans sa vie. Malheureusement, la sécurité de l'application était aussi solide qu'un sac en papier mouillé.

Des chercheurs ont découvert que l'application divulguait les habitudes très sensibles de centaines de milliers d'utilisateurs. Nous parlons de données susceptibles d'être utilisées pour du chantage ou une extrême gêne sociale. L'ironie est assez épaisse pour être tartinée sur du pain grillé : une application censée offrir un espace sûr pour l'amélioration de soi a fini par exposer ses utilisateurs à la chose même qu'ils cherchaient à éviter. C'est un rappel saisissant que lorsque vous confiez vos données les plus privées à une application, vous faites un immense acte de foi.

Le vrai coût des logiciels gratuits (et pas si gratuits)

Au Royaume-Uni, nous avons des règles RGPD strictes qui sont censées nous protéger de ce genre d'absurdités. Cependant, les applications développées à l'étranger jouent souvent selon des règles différentes, voire sans aucune règle. La fuite de Victory nous rappelle que la vie privée n'est pas seulement une fonctionnalité ; c'est un droit fondamental. Lorsqu'une entreprise ne parvient pas à la protéger, elle ne faillit pas seulement à sa mission commerciale ; elle faillit à la décence humaine la plus élémentaire. Pour tous ceux qui utilisent des applications d'aide personnelle, le conseil est clair : vérifiez les autorisations, lisez la politique de confidentialité, et si ça semble louche, c'est probablement le cas.

Signal assiégé : la connexion russe

En passant des habitudes personnelles à l'espionnage international, nous apprenons que des pirates informatiques russes ciblent les comptes Signal. Signal a longtemps été le chouchou du monde de la vie privée, recommandé par tout le monde, d'Edward Snowden à votre cousin féru de technologie qui vit dans une cage de Faraday. Il utilise le chiffrement de bout en bout, ce qui signifie que même l'entreprise elle-même ne peut pas lire vos messages. Mais les pirates ont trouvé un moyen de contourner le chiffrement en ciblant les utilisateurs eux-mêmes.

Le groupe connu sous le nom de Sandworm (ou APT44 pour les experts) a utilisé une ingénierie sociale astucieuse pour inciter les gens à lier leurs comptes Signal à une version de bureau contrôlée par les pirates. Une fois ce lien établi, ils peuvent voir chaque message que vous envoyez et recevez en temps réel. C'est un contournement brillant, pour ne pas dire terrifiant. Ils ne cassent pas le verrou ; ils vous trompent pour que vous leur remettiez un double de la clé.

Pour nous au Royaume-Uni, c'est un rappel opportun que le maillon le plus faible de tout système de sécurité est généralement la personne qui l'utilise. Nous pouvons avoir tout le chiffrement du monde, mais si nous nous laissons facilement berner par un message bien conçu ou un faux écran de connexion, tout cela ne sert à rien. Les Russes jouent sur le long terme, et ils y excellent. Nous devons être tout aussi vigilants.

Le verdict : un état des lieux lamentable

Qu'avons-nous appris de ce carnage numérique de la semaine ? Premièrement, que le FBI doit embaucher de meilleurs développeurs web. Deuxièmement, que vos applications dites « privées » ne le sont peut-être pas du tout. Et troisièmement, que même les plateformes les plus sécurisées sont vulnérables à une ruse bien pensée. C'est un état des lieux déprimant, surtout lorsque nous faisons déjà face à une économie atone et à un monde qui semble de plus en plus instable.

Les avantages de la technologie moderne : Nous avons les informations du monde entier à portée de main et pouvons communiquer instantanément avec n'importe qui, n'importe où.

Les inconvénients de la technologie moderne : Ces informations pourraient inclure les fichiers Epstein du FBI, et vos communications pourraient être lues par un agent ennuyé à Moscou pendant que votre application d'abandon raconte vos habitudes du mardi soir au monde entier.

Y a-t-il un côté positif ? Peut-être. Ces incidents font office de sonnette d'alarme. Ils nous rappellent d'être cyniques, d'être prudents, et de ne jamais supposer que « sécurisé » signifie réellement « sûr ». Si vous utilisez Signal, vérifiez vos appareils liés. Si vous utilisez des applications d'aide personnelle, envisagez peut-être un journal papier à la place. Et si vous êtes le FBI, essayez peut-être d'éteindre et de rallumer le portail - ou mettez-y simplement un vrai mot de passe.

La valeur en termes de rapport qualité-prix dans le monde de la technologie est actuellement à son plus bas si l'on tient compte du coût de votre vie privée. Nous payons pour des appareils et des services qui traitent souvent nos données comme une marchandise à échanger ou une nuisance à ignorer. Il est temps d'exiger mieux. En attendant, restez prudents, gardez vos mots de passe longs, et pour l'amour du ciel, arrêtez de cliquer sur des liens que vous ne reconnaissez pas.

Lire l'article original sur source.