🇺🇸 Fuite de secrets du Pentagone, ce que l’on sait

Salut 👋

C’est samedi, voici le Shake. Pour toi, voici ce qu’on a retenu du digital et de la cyber cette semaine. À la une : 🇺🇸 Fuite de documents secrets du renseignement américain, ce que l’on sait.

Avec nous, décode l’actu :

💦 Samsung subit des fuites sur ChatGPT,

🐦 Les cercles Twitter ne sont plus si privés,

🚗 Tesla face à une plainte collective pour ne pas avoir protégé les images prises par les véhicules de ses clients,

✊ Projet de traité des nations unies contre la cybercriminalité: peut-on s’en réjouir ?

🍑 SexTorsion: ces entreprises qui disent vous aider… vous ont piégé,

On t’explique tout ça plus bas.

Retrouve le mag :

⛲ Les causes les plus courantes de fuites de données,

⚡ Les grandes organisations ont généralement 11 000 failles de sécurité exploitables…

🍋 Des ingrédients à la carte pour remixer tes propres cocktails cyber à la maison ou au bureau, et, roulement de tambour… la question de la semaine !

Bonne lecture !

Signé - Aurélien, Sylvan et toute la Shakerz core team

〰️ La reco du barman 〰️

🇺🇸 Fuite de documents secrets du renseignement américain, ce que l’on sait

Le vendredi 7 avril, le New York Times a révélé la fuite de documents confidentiels diffusés sur les réseaux sociaux. Cette fuite de documents de la “communauté du renseignement” américain pourrait bien être l’une des plus importantes fuites de documents hautement confidentiels de l’histoire du pays.

Que contiennent ces documents ?

Au cours des derniers jours, une série de photographies de documents classifiés a été découverte sur diverses plateformes telles que Twitter, Telegram ou Discord. Certains de ces documents auraient même circulé en ligne pendant des semaines avant d'attirer l'attention des médias. Pour le moment, il s’agit de dizaines de documents “top secret” attribués au renseignement américain et portant principalement sur la guerre en Ukraine et l’espionnage américain. Au total, il pourrait y avoir une centaine de documents. Alors que nous révèle cette fuite ?

Guerre en Ukraine - Alors que Kiev se prépare à une contre-offensive, plusieurs documents font état de l’usure des défenses antiaériennes de l’ukraine. Cette information a été confirmée par plusieurs membres de l’administration américaine qui affirment que l’ukraine pourrait très prochainement manquer de missiles antiaériens. Les documents révèlent également des détails précis sur des fronts tels que Bakhmout, sur les calendriers de livraisons d'armes et les formations occidentales des soldats ukrainiens. Selon le New York Times, les États-Unis formeraient neuf des douze brigades ukrainiennes en cours de constitution. Des informations sur le nombre de pertes humaines subies par les forces russes et ukrainiennes sont également mentionnées mais celles-ci seraient à prendre avec des pincettes. En effet, certains chiffres auraient été modifiés dans les canaux de diffusion pro-russes, afin de tromper l'opinion publique en laissant croire que l'Ukraine aurait subi plus de pertes que la Russie.

L’espionnage américain aurait pénétré le commandement russe - Selon plusieurs documents, les services de renseignement américains seraient capables d'obtenir des informations précises sur les frappes russes imminentes, avant même qu'elles ne soient menées. D’après le Washington Post, un document mentionnerait un plan d’attaque, prévu en février 2023 et un autre révèlerait des échanges de membres du service de renseignement russe (GRU) sur les intentions propagandistes russes en Afrique, contre les Etats-Unis et la France. Le Groupe Wagner serait également sur écoute.

L’Egypte aurait l’intention d’aider secrètement la Russie. D’autres informations révèlent que l’Egypte aurait projeté de produire environ 40 000 roquettes en secret pour les livrer à la Russie. Un rapport datant de mi-février indique que le président égyptien Abdel Fatah al-Sissi aurait donné l'ordre à des hauts responsables militaires de garder le plan secret afin d'éviter les problèmes avec l'Occident. Interrogé par le Washington Post, le porte-parole du ministère égyptien des Affaires étrangères, l'ambassadeur Ahmed Abu Zeid, a déclaré que “depuis le début, la position de l'Egypte est de ne pas s'impliquer dans cette crise et de maintenir une distance équivalente avec les deux parties”.

Certains alliés des États-Unis font l’objet de surveillance. C’est le cas de la Corée du Sud où il est rapporté que des hauts responsables de la sécurité nationale sud coréenne ont tenu des discussions concernant leurs préoccupations quant à l'utilisation potentielle d'armes et de munitions produites dans leur pays en Ukraine. Informations immédiatement démenties par Séoul ce mardi. Israël serait également dans le viseur des États-Unis concernant le soutien des manifestations contre la réforme du système judiciaire de la part des dirigeants du Mossad et du service de renseignement.

Comment ces documents se sont-ils retrouvés en ligne ?

Lors d'un point presse ce lundi, le secrétaire adjoint à la Défense, Chris Meagher, a déclaré que la diffusion de ces documents ressemblait à une violation non autorisée, mais il n'a pas confirmé l'authenticité des documents en question. Il convient donc de rester prudent sur les informations qui circulent en ce moment.

Ce jeudi, le FBI a procédé à l’arrestation du responsable présumé de la fuite de documents confidentiels. Le suspect, Jack Teixeira, 21 ans, travaillait en tant que spécialiste informatique et communications dans l’aile du renseignement de la Garde nationale aérienne du Massachusetts. Il aurait suivi une formation spécialisée dans les systèmes de “cyber transport” lui permettant de mener la maintenance des réseaux de communication de son unité. Avec pour cela, un haut niveau d’habilitation.

Il aurait depuis 2022, commencé à reproduire et photographier des documents confidentiels, principalement issus de la CIA et parfois classés top secret pour les diffuser sur un forum. Quel forum ? Un serveur Discord, outil habituel de gamers, celui-ci diffusant en plus des thèses d’extrême droite et de théorie du complot.

Comment aurait-il procédé ? En prenant des notes du contenu des documents dont il aurait eu la connaissance, puis en reproduisant des extraits sur le serveur. Par la suite, il aurait pris des photos de documents imprimés, dont les feuilles ont été précédemment pliées. Tout allait bien et Jack pouvait se targuer devant les autres membres du serveur d’avoir accès à des informations hautement sensibles.

L’histoire prend une toute autre direction lorsque l’un des membres enfreint les règles dictées par Jack et décide de publier des informations confidentielles sur un autre canal Discord. Cette action entraîne une propagation rapide des photos, qui sont ensuite partagées dans la discussion "Minecraft Earth Map" puis sur Telegram, où des groupes pro-russes ont modifié certaines informations.

Bien que Jack se montrait critique envers l’État dont il dénonçait “l’abus de pouvoir”, les forces de l’ordre et la communauté du renseignement selon un membre du groupe Discord, son motif demeure encore flou en comparaison des précédentes fuites (Wikileaks, etc.). Il devrait comparaître prochainement devant un tribunal du Massachusetts et risque, s’il est condamné, de passer plusieurs années en prison.

⛲ Les causes les plus courantes de fuites de données

〰️ Vos shots 〰️

💦 Samsung subit des fuites sur ChatGPT

Des employés de Samsung ont divulgué des données confidentielles en utilisant l’IA ChatGPT dans le cadre de leur travail. Trois incidents ont été recensés où des ingénieurs de Samsung Semiconductor ont utilisé ChatGPT pour corriger des erreurs dans leur code source, divulguant ainsi des informations confidentielles. Pas glop dans l’industrie hautement compétitive et stratégique des semi-conducteurs, notamment dans le contexte de la guerre en Ukraine et des sanctions face à la Russie. En réponse à ces incidents, Samsung a pris des mesures pour limiter l’utilisation de ChatGPT sur ses lieux de travail et prévoit de développer son propre outil d’IA de type ChatGPT pour un usage interne. Selon une étude menée par la société de cybersécurité Cyberhaven, 3% des employés de différentes entreprises ont déjà transmis à ChatGPT des informations internes d’entreprise. Avec la propriété intellectuelle, et l’inexactitude des résultats, l’utilisation abusive de l’IA par les employés fait parti des principaux risques avec lesquels les organisations doivent de plus en plus composer.

🐦 Les cercles Twitter ne sont plus si privés

Un nouveau bug sur Twitter affecte les tweets privés publiés via la fonctionnalité “Cercle”. Dévoilée en mars 2022, cette fonctionnalité permet aux utilisateurs de publier des messages auprès d’une communauté restreinte choisie en amont. Cependant, une fois n’est pas coutume depuis l’acquisition de Twitter par Elon Musk, un dysfonctionnement de la plateforme semble faire apparaître les tweets privés comme des tweets normaux, permettant à tous les utilisateurs d’y avoir accès. Ce bug a été constaté par de nombreux utilisateurs qui ont eu la mauvaise surprise de découvrir que certains de leurs tweets “privés” étaient “likés” par des personnes ne faisant pas partie de leur cercle. Selon certains médias spécialisés, cette panne serait liée à l’algorithme de Twitter qui n’arriverait pas à distinguer les tweets classiques des tweets considérés comme privés. Pour l’heure, il n’y a pas encore eu de déclaration officielle de la part de Twitter concernant ce problème.

🚗 Tesla face à une “class action” pour ne pas avoir protégé les images prises par les véhicules de ses clients

Une plainte collective a été déposée contre Tesla après la révélation que des employés utilisaient un système de messagerie interne pour partager des vidéos et des images sensibles de clients, capturées par les caméras des voitures. Bien que ces caméras soient conçues pour protéger la vie privée et préserver l’anonymat des utilisateurs, des groupes d'employés de Tesla ont partagé des vidéos et des images, parfois très intrusives, de clients entre 2019 et 2022 via un système de messagerie privé. Certains enregistrements montraient des clients dans des situations embarrassantes, comme un homme nu marchant près d'un véhicule et une Tesla heurtant un enfant à vélo dans une zone résidentielle. Certaines vidéos montrent même des utilisateurs dans leur garage en train de “faire la lessive et des choses vraiment intimes” confie un ancien employé. Pire encore, bien que Tesla affirme à ses clients “que les enregistrements de ses caméras ne peuvent pas être liés à des individus et à leurs véhicules”, le système permet en réalité de déterminer l’emplacement exact où les images et vidéos ont été prises. Tesla n’a pas encore réagit à ces accusations.

✊ Projet de traité des Nations Unies contre la cybercriminalité : peut-on s’en réjouir ?

Débuté en 2017 puis développé réellement en 2022, le projet de Convention des Nations Unies sur la cybercriminalité a terminé sa 5ème semaine de négociations à Vienne. Plus de 40 organisations et experts des droits numériques et des droits de l’homme continuent d'appeler à la limitation de son champ d'application et à l'inclusion de garanties solides en matière de droits de l'homme. S’il est validé en l’état, ce projet pourrait conduire à la réécriture des lois pénales à l'échelle mondiale. Plus de 30 infractions pénales pourraient être ajoutées et de nouveaux pouvoirs de police seraient étendus pour les enquêtes criminelles nationales et internationales.

Pourquoi cette convention est-t-elle si mal accueillie ? Car les lois existantes sur la cybercriminalité sont, comme l'a déclaré l'Assemblée générale des Nations unies, “dans certains cas utilisées à mauvais escient pour cibler les défenseurs des droits de l'homme” et “mettre en danger leur sécurité d'une manière contraire au droit international”. Ainsi, cette convention d’ampleur inédite amplifierait les conséquences potentielles pour des milliards de personnes - en particulier l'étouffement de la liberté d'expression, le renforcement de la surveillance gouvernementale et l'expansion des techniques d'enquête des états. Cette 5ème session de négociation est essentielle, car le président du comité ad hoc prepare un "projet zéro" complet de la convention. Elle sera négociée lors des deux dernières sessions.

🍑 SexTorsion : ces entreprises qui disent  vous aider… vous ont piégé

Avec plus de 7 000 cas de sextorsion financière en ligne sur des mineurs, au moins 3 000 victimes et une douzaine de suicides aux États-unis en 2022, le FBI alertait en décembre dernier des dangers de l’escroquerie à la sextorsion. Aujourd’hui, le FBI lance une nouvelle alerte concernant cette fois-ci les entreprises proposant une assistance payante pour aider les victimes de sextorsion. Les victimes de sextorsion sont particulièrement vulnérables, ce qui en fait une cible facile pour les entreprises malhonnêtes qui proposent des services d'assistance à un prix élevé et n’hésitent pas à utiliser la pression ou la peur pour vous faire signer un contrat aux victimes. Dans cette alerte, le FBI tient à rappeler que ces services payants ne sont pas utiles et qu’ils ne peuvent donner lieu à aucune mesure juridique exécutoire. Le bon réflexe à adopter si vous êtes victime de sextorsion est de contacter les autorités et les organismes à but non lucratif pour obtenir de l'aide et de rester méfiant à l'égard des sociétés qui prétendent être liées à des représentants du gouvernement ou des forces de l'ordre. Même si cette alerte concerne principalement les résidents américains, les avertissements et conseils qui y sont dispensés s’adressent à tout le monde.

〰️ Dégustation 〰️

⚡ Les organisations ont généralement 11 000 failles de sécurité exploitables

Dans ce rapport intitulé “Navigating the Paths of Risk: The State of Exposure Management in 2023”, XM Cyber et l'Institut Cyentia, un cabinet d’analyse renommé, explorent les défis auxquels les organisations sont confrontées dans la gestion des risques liés à la sécurité et fournit des idées sur la façon de les surmonter en se basant sur une analyse approfondie de plus de 60 millions d'expositions et de milliers de chemins d'attaque.

À retenir :

• En général, les organisations possèdent environ 11 000 vulnérabilités de sécurité que les attaquants pourraient potentiellement exploiter. Certaines grandes entreprises en ont même 20 fois plus.

• En seulement trois étapes, les attaquants peuvent accéder à 70 % des actifs critiques dans les réseaux sur site, et la situation est encore plus alarmante dans le cloud, où 90 % des actifs critiques ne sont qu'à une seule étape de la compromission initiale.

• 71 % des entreprises sont exposées à des risques qui permettent aux attaquants de passer d'un environnement sur site à un environnement cloud.

• 82% des entreprises sont affectées par des techniques ciblant principalement des informations d’identification et des autorisations. Cela constitue même 70% de toutes les vulnérabilités de sécurité identifiées.

• 7 entreprises sur 10 sont vulnérables aux principales failles d'exécution de code à distance, mais ces failles exploitent collectivement moins de 3 % des actifs critiques.

• Les capacités de détection et de réponse aux incidents (EDR/XDR/MDR) couvrent moins de la moitié de tous les appareils dans 38 % des entreprises.

Malgré le caractère alarmant de ces données, des espoirs subsistent pour les organisations :

• 75 % des ressources exposées ne mènent pas aux actifs critiques.

• Les points d'étranglement menant aux actifs critiques ne représentent que 2 % des ressources exposées.

Selon les auteurs, il est donc nécessaire pour les entreprises de se concentrer uniquement sur les vulnérabilités qui ont des voies d'attaque vers les actifs critiques, plutôt que de perdre du temps sur celles qui ne sont pas utiles. En En concentrant la mise en place de mesures de sécurité sur ces “points d’étranglement”, il est en théorie possible pour l’entreprise de perturber efficacement l’itinéraire des attaquants pour qu’ils ne puissent pas atteindre leur but et de minimiser la charge de travail de remédiation. L'objectif étant de faire en sorte qu'il devienne plus coûteux pour les criminels de cibler et de compromettre l’organisation plutôt que de s'attaquer à d'autres cibles plus vulnérables.

〰️ Cul sec - La question 〰️

💻 Qu’est-ce qu’un USB data blocker?

A. Un dispositif qui empêche les données de passer par un port USB

B. Un logiciel qui bloque l’accès aux données stockées sur un périphérique USB

C. Un outil pour supprimer les données d’un périphérique USB

D. Un dispositif qui protège les données stockées sur un périphérique USB contre les virus

—> Réponse à la sortie du bar.

〰️ À La carte 〰️

🔄 Mise à jour :

Google vient d’annoncer dans son bulletin de sécurité Android que des mises à jour de sécurité étaient disponibles pour les systèmes Android 11, 12, 12L et 13. Ces mises à jour comprennent des correctifs pour deux vulnérabilités critiques d'exécution de code à distance (RCE) ainsi qu'une vulnérabilité ayant déjà été exploitée dans la nature.

Apple a publié des mises à jour de sécurité d'urgence pour répondre à deux vulnérabilités “zero-day” récemment exploitées dans des attaques visant à compromettre des iPhones, des Macs et des iPads. Les deux vulnérabilités ont été corrigées dans iOS 16.4.1, iPadOS 16.4.1, macOS Ventura 13.3.1 et Safari 16.4.1. Ne perdez pas de temps, mettez à jour vos appareils immédiatement.

〰️ Cul sec - Réponse 〰️

Réponse A - Un dispositif qui empêche les données de passer par un port USB

Dans un tweet publié jeudi, une antenne du FBI a exhorté les citoyens américains à “éviter d'utiliser les stations de recharge gratuites dans les aéroports, les hôtels ou les centres commerciaux” pour ne pas exposer son appareil à des risques de piratage de données confidentielles.

Pour charger son appareil en toute sécurité dans un lieu public il est recommandé d’utiliser un USB Data Blocker, un petit dispositif qui se branche sur un port USB pour permettre la charge d'un appareil mobile sans transmettre de données. Il bloque physiquement les lignes de données USB pour empêcher le transfert de données malveillantes, telles que les virus, les logiciels malveillants et les programmes espions, qui peuvent être transférées par le port USB.

〰️ Digestif 〰️

😱 Meme

Quand on pense avoir bien conçu sa protection…

Merci d’être passé ! Rendez-vous samedi prochain pour ton nouveau Shake de l’actu cyber et digitale ! 👋

L’équipe travaille dur. 👉 On a besoin de ton soutien pour diffuser à tous la culture de sécurité et responsabilité digitale.

Rejoins Shakerz, abonne-toi pour recevoir la newsletter hebdo. Tu aimes les Shake et tu veux en faire profiter tes potos ? Alors… 👇👇👇

Des questions ou un avis à partager ? C’est simple, il suffit de répondre à cet email et d’envoyer tes quelques lignes.

“Shake it, don’t fake it“