La cybersécurité n’avait jamais été autant d’actualité. Au mois d’octobre, de nombreux gouvernements ont été contraints de débrancher leurs sites Internet en urgence. Avec l’intelligence artificielle, les pirates disposent désormais d’armes redoutables, capables de contourner les défenses informatiques en quelques heures. Banques, hôpitaux, administrations : personne n’est à l’abri. Voici pourquoi il est urgent de protéger vos données !
Cet article est le plus important que j’aie publié cette année.
Ne passez pas à côté.
Je vais vous montrer ce qui se passe actuellement sur Internet : qui pirate les systèmes informatiques et pourquoi mener une cyberattaque ne coûte désormais qu’une infime partie de ce qu’il fallait dépenser autrefois.
Ensuite, je vous présenterai QUATRE mesures à prendre dès aujourd’hui.
Est-ce que cela va être plaisant ? Non.
Mais le fil dentaire n’a rien de plaisant non plus. Pourtant, personne ne regrette jamais d’en avoir utilisé après coup.
Cybersécurité : « Fermez tout ! »
Mercredi 18 octobre, l’agence gouvernementale néerlandaise chargée de la cybersécurité a débranché son propre site Internet.
Ensuite, le système national permettant aux citoyens de se connecter aux services des impôts et aux prestations sociales a été fermé. Puis le Parlement. Puis le port de Rotterdam. Puis les hôpitaux.
L’Allemagne leur a emboîté le pas. Puis la France, la Finlande, la Belgique et la République tchèque.
Comme des dominos. Boom ! Boom ! Boom !
À Washington, la NSA a recommandé aux organisations de faire de même si elles ne pouvaient pas résoudre le problème rapidement.
À Tokyo, la Première ministre a publié ce message sur X : « Nous vous demandons d’agir de toute urgence ce soir. » Des dizaines de millions de personnes l’ont vu.
Mais quel était le problème ?
Deux failles dans un logiciel dont vous n’avez probablement jamais entendu parler : PHP. Il fait fonctionner environ 70 % des sites Internet du monde entier, dont certains sur lesquels vous vous êtes probablement rendus aujourd’hui.
Ces failles de sécurité ont même été surnommées « PHP2Shell ».
Concrètement, elles permettent à un pirate de s’introduire à distance dans le serveur d’un site Internet et d’en prendre le contrôle. Sans avoir besoin d’un mot de passe.
Le correctif aurait dû être communiqué jeudi. Mais des informations avaient « fuité » et une société spécialisée en cybersécurité avait même publié par erreur une vidéo montrant comment exploiter ces failles pour pirater un serveur. Le correctif a donc été communiqué un jour plus tôt.
Et ensuite, la course a été lancée.
Le test de la porte restée ouverte
Cloudflare protège des millions de sites Internet. La société a répertorié des milliers de tentatives d’intrusion au cours des dix heures qui ont suivi l’annonce, des dizaines de milliers en quarante-cinq minutes, puis des millions avant le lendemain matin.
Amazon indique qu’une tentative d’intrusion a été détectée le 17 octobre, quatre jours avant que le grand public ne soit informé.
Voilà pourquoi les gouvernements ont débranché leurs sites.
Et voici ce qui m’inquiète.
Environ 2,6 millions de serveurs de ce type sont accessibles depuis Internet, ce qui permet notamment aux pirates de les repérer et de tenter de les attaquer à distance. Plus d’un million fonctionnent avec des versions de PHP si anciennes qu’elles ne reçoivent même plus de correctifs. Or, changer la serrure ne sert à rien si le « cambrioleur » est déjà entré.
Certaines personnes qualifient déjà le mois d’octobre de « Black October ».
Voici les autres choses qui se sont produites cette semaine :
- les sites Internet et les applications de Stop & Shop, Food Lion et Hannaford, trois grandes chaînes de magasins d’alimentation, ont été paralysés pendant des jours. Les magasins sont restés ouverts, mais les commandes en ligne n’ont pas pu être traitées ;
- la State Bank of India, la plus grande banque du pays, a confirmé que les données personnelles de 3 897 clients avaient été mises en vente sur Internet ;
- un groupe criminel a utilisé des assistants d’IA travaillant en équipe pour cibler plus de 400 banques et sociétés de paiement en Amérique latine.
Il n’y a aucun lien entre ces événements, et c’est précisément ce qui est effrayant. L’IA a aidé des analystes à découvrir PHP2Shell. Mais elle a également aidé des criminels à traquer ces entreprises. La même technologie a donc servi les deux camps.
Un pirate a saisi une instruction de moins de 100 caractères et laissé l’IA faire le reste. Celle-ci s’est introduite dans plus de 100 entreprises, dont John Deere. Chaque intrusion aurait coûté environ 50 dollars.
Les plus grandes banques américaines ne restent pas les bras croisés en matière de cybersécurité. JPMorgan, Schwab, Citi et Bank of America empêchent désormais les programmes d’IA de se connecter aux comptes de leurs clients.
Alors qu’il fallait auparavant des mois pour transformer une faille en arme, quelques heures suffisent désormais.
Voici donc ce que vous devez faire.
- PARTEZ DU PRINCIPE QUE QUELQU’UN DÉTIENT VOS INFORMATIONS
Changez vos mots de passe les plus importants. Aux États-Unis, demandez le gel de votre dossier de crédit auprès des trois principaux organismes spécialisés : Equifax, Experian et TransUnion. C’est gratuit et cela ne prend que quelques minutes.
Si quelqu’un vous demande de lui communiquer un code de sécurité que vous venez de recevoir par SMS, il s’agit d’une tentative d’escroquerie.
Si quelqu’un vous appelle en prétendant travailler chez Google, dans votre banque, chez Robinhood ou chez Coinbase, méfiez-vous : partez du principe qu’il s’agit d’une escroquerie. Mais ne paniquez pas. Les escrocs comptent sur votre panique : c’est elle qui vous rend vulnérable.
- PROCUREZ-VOUS DES PASSKEYS ET UTILISEZ-LES, DE PRÉFÉRENCE AVEC DES CLÉS PHYSIQUES
Première chose à faire :
Ouvrez l’application de votre opérateur mobile et recherchez une option permettant de protéger votre carte SIM ou de verrouiller votre numéro de téléphone. Si cette option existe, activez-la.
Vous savez, ces codes de sécurité à six chiffres que votre banque vous envoie par SMS ?
Un criminel (ou même une IA) peut tromper votre opérateur téléphonique pour faire transférer votre numéro sur sa propre carte SIM. C’est ce que l’on appelle le « SIM swapping », ou échange de carte SIM. Il peut alors recevoir vos codes à votre place.
En activant le verrouillage de la carte SIM, vous ajoutez un niveau de protection.
Deuxième chose à faire :
Procurez-vous une clé physique, comme une YubiKey. C’est un petit dispositif qui se branche sur votre ordinateur ou votre téléphone.
Sans cette clé physique, il est beaucoup plus difficile pour quelqu’un de se connecter à votre compte. Contrairement à un mot de passe, elle ne peut pas être dérobée à distance par un pirate situé à l’étranger. Il faudrait qu’il vous la vole physiquement. Et même dans ce cas, il lui faudrait encore vos mots de passe ou vos codes PIN.
Les gestionnaires de mots de passe, Google, Apple, Microsoft et les grandes plateformes d’échange de cryptomonnaies permettent d’utiliser ces clés. Achetez-en au moins deux et gardez-en une de secours dans un endroit sûr.
Achetez-les toujours directement auprès du fabricant.
Mais vous ne recevrez ces clés que dans quelques jours. En attendant, chaque fois qu’un site propose une « passkey » (clé d’accès) — un système d’authentification qui remplace les mots de passe classiques — ou une application d’authentification, activez cette option.
Niveaux de sécurité :
- clés de sécurité physiques et clés d’accès : EXCELLENT ;
- applications d’authentification : BON ;
- codes de vérification envoyés par SMS : FAIBLE.
- METTEZ TOUT À JOUR
Votre téléphone. Votre ordinateur. Votre navigateur Internet. Votre routeur Wi-Fi, à la maison.
Lorsque le menu « Paramètres » vous indique qu’une mise à jour est disponible, installez-la. Cela revient à changer vos serrures.
Si vous avez acheté votre routeur et qu’il est ancien, envisagez de le remplacer. Relevez le numéro de modèle sur l’étiquette, puis recherchez-le avec les mots « end of life » (fin de vie). Si le fabricant indique qu’il ne prend plus en charge ce modèle, remplacez-le. Si votre fournisseur d’accès à Internet vous a fourni le routeur, contactez-le : il pourra vous dire s’il est toujours pris en charge. C’est pénible, mais faites-le.
Attention : n’installez jamais une prétendue « mise à jour » proposée dans une fenêtre pop-up sur un site ou via un lien reçu par SMS ou par e-mail. C’est une escroquerie classique.
4. FERMEZ LES PORTES LATÉRALES
Chaque compte, application et gadget constitue un moyen d’intrusion potentiel. Supprimez les applications que vous n’utilisez pas. Débranchez les objets connectés dont vous n’avez pas besoin. Si vous avez Alexa, ouvrez les paramètres (« Settings ») et désactivez la fonction « achats vocaux ». Vous pouvez également appuyer sur « Mute » pour couper le micro. Utilisez un mot de passe différent pour chaque compte et confiez leur mémorisation à un gestionnaire de mots de passe sécurisé par une clé d’accès.
Ne communiquez jamais vos identifiants bancaires à une application ou à un agent d’IA.
Au cours des prochaines semaines, évitez de saisir un mot de passe ou un numéro de carte bancaire sur un site Internet que vous ne connaissez pas.
BONUS :
Si vous détenez des cryptomonnaies…
Les principales blockchains, comme celles du Bitcoin et de l’Ethereum, ont été conçues en partant du principe que chaque utilisateur pouvait être un voleur potentiel. Leurs registres de transactions sont répartis sur des milliers d’ordinateurs à travers le monde. Il n’existe donc pas de serveur central unique qu’un pirate pourrait attaquer. Depuis des années, les pirates du monde entier peuvent tenter de s’en prendre à ces réseaux.
MAIS…
Les points faibles se trouvent dans tout ce qui gravite autour : les plateformes d’échange, les applications et les sites Internet. Si quelqu’un vole vos jetons, il n’y a pas de banque à contacter. Vous devez donc réfléchir soigneusement à la manière dont vous conservez vos clés — ou à la personne à qui vous en confiez la garde.
Si vous détenez des cryptomonnaies dans un portefeuille, faites particulièrement attention, ce mois-ci, lorsque vous cliquez sur « Connect wallet », quel que soit le site. Un site Internet piraté pourrait afficher un faux bouton qui, si vous cliquez dessus, viderait votre portefeuille.
Quelque part, en ce moment même, un ordinateur qui permet à votre banque, à votre médecin ou à l’école de vos enfants de fonctionner attend peut-être l’installation d’un correctif.
Vous ne pouvez rien faire pour cet ordinateur. Mais vous pouvez mettre le vôtre à jour.
