Edition 20

Trois ans et demi après la publication du correctif, 1 590 de ces équipements étaient encore accessibles depuis internet en France seule. Personne n'a exploité de zero-day ici. Quelqu'un a accepté un risque, via une signature, un budget reporté ou un silence, et c'est cette décision que j'ai analysée cette semaine. Un risque cyber est un risque métier, et il s'accepte à peu près comme on choisit la plante de l'accueil : une ligne dans un tableur, sans montant, sans date d'expiration, souvent sans nom. Aucun supermarché ne choisit son propre niveau de sécurité incendie. Il l'applique, le finance et le fait inspecter par une commission qui peut fermer les portes. Relisez votre propre registre avec cela en tête, et voyez quels risques acceptés résisteraient à être lus à voix haute.

Chaque étape faisait confiance à la précédente. Le manifeste portait une signature valide, donc le service de couplage l'a accepté, et personne n'a demandé si la signature d'une application de démonstration devait valoir une clé privilégiée. L'application était légitime, donc personne n'a vérifié où elle naviguait. Le démon faisait confiance à ses entrées. Une signature valide n'est pas une autorisation, et j'ai maintenant écrit une version de cette phrase trois fois ce trimestre, à propos d'un jeton MFA et d'un processus de signature de paiement. Pendant ce temps, le téléviseur de votre salle de conseil exécute des applications, expose des services qui reçoivent des commandes d'autres équipements, et n'apparaît dans aucun registre d'actifs.

Chaque modèle de sécurité mobile que vous avez suppose que le système d'exploitation est l'ancre de confiance et que la menace arrive sous forme d'application. Ici, elle était livrée sous la signature de la plateforme, de sorte que les défenses natives d'Android la classent comme fiable, et il n'existe aucune remédiation. On ne nettoie pas, on jette le téléphone. Pour une organisation, ce n'est pas la conversation BYOD que vous avez eue jusqu'ici. C'est le terminal à soixante euros qu'un prestataire a acheté sur une marketplace, relayant du trafic à travers votre réseau et lisant les notifications à l'écran. Bitdefender est direct : le correctif durable appartient aux fabricants et aux marketplaces, ce qui est une autre façon de dire qu'il n'est pas pour demain.

Le fabricant n'a pas été compromis. Ses systèmes n'ont jamais été touchés. Quelqu'un s'est inséré entre l'usine et l'acheteur, et le contrôle d'authenticité fourni par le fabricant était aveugle à cela par conception. Grand démonte du hardware depuis des décennies et dit n'en avoir jamais vu un de ce type dans la nature auparavant. Il en a maintenant trouvé quatre sur huit. Mettez la crypto de côté et la question devient vite inconfortable : quelle proportion de votre hardware arrive via un revendeur que vous n'avez jamais évalué, et que contrôleriez-vous réellement à la réception ? L'emballage inviolable n'est pas une réponse quand l'implant se trouve sous la batterie.

Les quatre éléments ci-dessus sont des dispositifs que personne n'a inspectés. Celui-ci est le cas où quelqu'un l'a fait, et ce n'était pas une question de chance. OpenAI dispose d'une équipe qui balaye physiquement les pièces, ce que presque aucune organisation ne fait, et lorsqu'ils ont trouvé le dispositif, ils ont fait la chose la plus difficile : le laisser en place et l'observer. C'est un leurre, dans une salle de conseil, et c'est précisément ce que CISA recommandait un mois auparavant. Remarquez aussi la retenue dans le reste. Accès restreint, l'employé mis en congé, la résiliation coordonnée avec le FBI pour ne pas perturber l'enquête. Si un cas d'insider jamais atterrit sur votre bureau, c'est cette séquence qu'il faut reproduire.