Edition 17

Lisez au-delà de la cryptomonnaie, car la structure de cet incident existe dans votre organisation. C'est un échec d'autorisation. Le contrôle de signature a protégé la clé, pas la véracité de l'instruction : il a été invité à autoriser un transfert, il a confirmé qu'il était habilité à autoriser des transferts, et il a signé. Personne n'a vérifié que le transfert était réel. Remplacez portefeuille par exécution de paiement, ou par coordonnées bancaires d'un fournisseur, et vous obtenez une compromission de messagerie professionnelle avec une meilleure cryptographie.

Le contrôle dont vous avez réellement besoin se situe en amont, sur l'intégrité de ce qui parvient au signataire. D'où provient cette instruction, correspond-elle à une source approuvée, et le système qui compose les transferts est-il soumis à un niveau de confiance plus élevé que celui qui les signe. Accueillez la piste nord-coréenne avec prudence pour l'instant : elle est préliminaire, le point d'entrée est inconnu, et Lazarus est devenu une étiquette pour tout ce qui ressemble vaguement à du DPRK. Le mécanisme est la leçon, pas l'attribution.

C'est la deuxième fois en deux mois que la même leçon s'impose : une réinitialisation de mot de passe n'expulse pas un attaquant. En août, c'était un kit de phishing enregistrant sa propre passkey, qui survivait à la réinitialisation. Ici, le fournisseur malveillant survit à la réinitialisation et capture le remplacement. L'ordre des opérations est donc désormais un contrôle à part entière. Supprimez d'abord la persistance, le fournisseur, ses applications, ses clés et ses URIs de redirection, puis faites pivoter les identifiants ensuite. Dans l'ordre inverse, vous avez livré le nouveau mot de passe.

Soyez précis sur ce qu'est ce mécanisme, car c'est important. C'est du post-compromission, pas de l'accès initial : l'enregistrement d'un fournisseur malveillant requiert Global Administrator ou Authentication Policy Administrator. Le constat en amont est donc un privilège permanent, pas un MFA défaillant. Et notez ce qu'Entra a vérifié. Une signature valide sur un jeton affirmant que le second facteur avait eu lieu. Jamais que cela avait réellement eu lieu.

Affichez cette phrase sur votre mur. Le mécanisme de sécurité a affiché un blocage de politique après que les données étaient parties. Vous avez obtenu le message rassurant et la violation, depuis le même contrôle, dans la même seconde. Si vous aviez besoin d'une preuve qu'un contrôle signalant un succès n'est pas la même chose qu'un contrôle qui fonctionne, elle est arrivée cette semaine avec une capture d'écran.

Deux points à intégrer dans votre propre environnement. Premièrement, un formulaire public de collecte de prospects est une entrée non fiable disposant d'un accès direct à vos actifs critiques ; demandez-vous donc ce qui peut écrire dans tout ce que vos agents lisent. Deuxièmement, l'agent ne savait pas qui le pilotait, il a donc signé le phishing avec son propre nom de confiance. C'est la version concrète du conseil que j'ai donné il y a quinze jours : une identité par agent, et des journaux de ce que l'agent a réellement fait plutôt que de ce qu'il était censé faire.

Examinez les fondements. Aucune violation, aucun piratage, aucune attaque sophistiquée. Licéité, équité, transparence, conservation, et incapacité à démontrer la conformité. Ce dernier point, c'est l'article 5(2), et c'est le même fil conducteur que tout ce qui précède : être conforme et pouvoir en apporter la preuve ne sont pas deux moitiés optionnelles. Si vous ne pouvez pas montrer votre raisonnement, le régulateur considère que cela n'a pas été fait. La conservation a été citée comme facteur aggravant, ce qui est la troisième fois cette année que j'écris sur des données qui survivent à leur finalité.

Regardez l'ordre, pas le montant. J'avais dit la même chose à propos de l'amende DMA en juillet : pour Alphabet, la somme est une ligne comptable, le remède comportemental est le véritable instrument, et Google dispose maintenant de six mois pour modifier la façon dont il traite les données de localisation. Notez aussi l'horloge. Ouverte en février 2020, décidée en septembre 2026. Six ans et demi, c'est la durée après les faits pendant laquelle on peut vous demander de justifier des décisions prises par des personnes qui sont depuis parties.

Une culture n'est pas une procédure. Vous ne pouvez pas la rédiger, l'approuver et la classer, et un auditeur ne l'évaluera pas en lisant votre page de politique. Il l'évaluera en interrogeant vos collaborateurs sur la façon dont les défauts sont signalés et si quelqu'un hésite avant de remonter une mauvaise nouvelle. Votre défense repose sur des preuves de ce que la direction fait concrètement : procès-verbaux du conseil, décisions où la qualité a primé sur le calendrier, ce qui s'est passé pour la dernière personne ayant remonté un problème. Constituez ces éléments maintenant, car vous ne pourrez pas les reconstituer plus tard.

Deux remarques pratiques. L'annexe A.6.1.2 précise que la réflexion basée sur les risques n'implique pas une approche formelle de gestion des risques ni un processus documenté ; si un consultant vous affirme que la nouvelle version vous impose un registre des risques, il vous vend quelque chose. Et ne vous fiez pas à la piste de trois ans. La plupart des organisations transitionnent lors d'un audit de surveillance ou de recertification planifié, et ces créneaux sont remplis du côté de l'organisme de certification, pas du vôtre. Comptez à rebours depuis votre propre cycle et vous trouverez généralement une seule fenêtre réaliste. La lecture clause par clause complète est liée ci-dessus.