Edition 19

La semaine dernière, j'ai utilisé le mot « voyou ». Voilà pourquoi. Un seuil que l'on peut calculer et un indicateur que l'on peut positionner, c'est de l'ingénierie, et l'ingénierie a des responsables. Une réserve : les tests ont porté sur de petits modèles open-weight dont le filtrage cloud avait été retiré ; les chiffres ne se transfèrent donc pas en production. Le mécanisme, si. Utilisez le test qu'il implique. Avant qu'un agent reçoive des identifiants, soumettez-le à des prompts vagues et mal rédigés. Reste-t-il dans le périmètre de ses permissions, contourne-t-il les restrictions, escalade-t-il vers un humain ? Pas de réponses satisfaisantes, pas d'autonomie.

Cent incidents, cent organisations. J'en ai couvert trois cette année, et uniquement parce que quelqu'un les a documentés. Regardez maintenant qui paie. La fondation indique qu'elle absorbe déjà les coûts, que ses bénévoles assurent le nettoyage, et elle demande aux entreprises qui profitent de ces agents de contribuer à prévenir et réparer les dommages plutôt que de les laisser devenir la nouvelle norme. Le problème qu'elle vous pose est celui de l'attribution. Si vous exposez une API publique, vous ne pouvez pas distinguer une flotte de recherche d'un crawler hostile, et vos limites de débit ont été dimensionnées pour des humains. Vérifiez ce que la vôtre remet à un client non authentifié à fort volume.

Personne n'a forcé quoi que ce soit. Un compte disposant d'un accès légal pour consulter des individus nommément identifiés a été utilisé pour extraire 8,8 millions d'enregistrements, et l'autorisation était valide à chaque étape. Rien ne surveillait le schéma d'utilisation. C'est le risque tiers dans sa forme la plus pure : vous pouvez auditer l'organisation, signer le contrat, remplir le questionnaire, et n'avoir aucune idée de ce que font ses identifiants à trois heures du matin. Ce préjudice n'expire pas. Le numéro CPR est un identifiant national permanent ; ces personnes ne peuvent pas le faire pivoter comme un mot de passe, et les défunts, certainement pas. Soyons équitables sur un point : le Danemark dispose de MitID, donc un numéro CPR seul ne permet pas d'usurper l'identité de quelqu'un. Il rend en revanche chaque appel de phishing crédible, ce qui explique pourquoi le ministère demande aux citoyens de ne rien communiquer par téléphone ou e-mail, même à un interlocuteur qui connaît leur nom, adresse et numéro CPR. Si vous accordez à un partenaire un accès en consultation à des données d'identité, allez vérifier cette semaine si quelqu'un remarquerait mille consultations là où il y en a normalement dix.

Deux heures. Moins long que l'intervalle entre deux réunions du change advisory board. N'accordez aucun réconfort au fait qu'un chemin de fichier exact soit nécessaire, car les chemins Atlassian sont documentés et identiques dans chaque déploiement. Cela affine aussi un conseil que je vous ai donné deux fois. Prioriser selon le catalogue des vulnérabilités exploitées connues de la CISA est un bon filtre, et il a échoué ici : trois jours après le début de l'exploitation active, la faille n'était toujours pas référencée. Votre déclencheur, c'est la combinaison. Exposition internet, auto-hébergé, code d'exploitation public, template de scan en circulation. Patchez sur cette base. Lorsque Crowd se trouve dans le chemin, vous gérez un incident d'identité.

Trois chiffres, un seul angle mort. Le risque a un nom, un responsable que personne n'a désigné, et personne de qualifié pour l'examiner. ISO 42001 est précisément structuré autour de ces questions : qui décide, qui examine, qui rend des comptes ensuite. Vient ensuite le 21 %, face à une attente de l'UE selon laquelle les États membres doivent avoir leurs inventaires cryptographiques en cours d'ici la fin de cette année. « Harvest now, decrypt later » signifie que votre compteur a démarré au moment où le texte chiffré a été capturé. Répondez à une seule question : y a-t-il des données que vous détenez et qui doivent rester confidentielles plus longtemps que ne le permettra votre cryptographie actuelle ? Construisez ensuite l'inventaire.