Les professionnels de la cybersécurité traversent un mois particulièrement éprouvant. Ce qui a été surnommé le « Black October » n'est pas encore terminé, mais il a déjà produit plusieurs dizaines de cyberattaques majeures et de vulnérabilités identifiées par l'IA à travers internet.

Les troubles ont escaladé le 21 octobre, lorsque la PHP Foundation a divulgué des vulnérabilités critiques dans PHP — le langage de programmation qui alimente environ 70 % de tous les sites web — après qu'elles ont été découvertes à l'aide d'outils d'IA. La divulgation a déclenché une course mondiale aux correctifs pour les serveurs. Le fournisseur de services cloud Cloudflare a signalé des millions de tentatives d'exploitation de la vulnérabilité après sa publication, après des milliers de tentatives dans les heures précédentes.

Certains pays, dont la France et la Finlande, ont temporairement suspendu l'accès à certains sites web, tandis que l'Agence nationale de sécurité américaine (NSA) a averti les organisations de corriger immédiatement les failles ou de mettre hors ligne les systèmes concernés.

« Nous sommes désormais à l'Armageddon de la sécurité », a déclaré le fondateur de NEAR, Illia Polosukhin. Le conseiller principal en sécurité d'Anthropic, Jason Clinton, a averti que « aussi mauvaise que soit la situation ces 4 derniers jours, elle va encore beaucoup s'aggraver avant de s'améliorer ».

Les citoyens du Royaume-Uni sont même invités à « se tenir prêts » à une urgence — telle qu'une météo sévère ou des cyberattaques — qui pourrait couper l'accès aux infrastructures critiques comme l'eau, l'électricité ou internet. Les installations militaires américaines, quant à elles, ont reçu l'ordre de se préparer à 90 jours d'opération autonome dans le cadre de l'initiative FORTRESS.

À quel point le Black October est-il vraiment grave ?

Au-delà de se précipiter pour stocker des conserves et des talkies-walkies, que peuvent faire d'autre les gens ordinaires pour atténuer leur exposition ?

« C'est vraiment grave. On dirait que le reste d'internet prend conscience de la réalité que nous avons connue il y a trois mois », a déclaré à Cointelegraph Magazine Rob Hamilton, chercheur en sécurité Bitcoin impliqué dans le Bitcoin Red Team.

La semaine écoulée a livré une série d'incidents. La plateforme cloud Railway a divulgué qu'un attaquant avait accédé à des identifiants clients et à des clés API et les avait déchiffrés, visant apparemment des fournisseurs d'IA.

À lire aussi : La France est l'endroit le plus dangereux au monde pour les Bitcoiners : 90 attaques en 7 mois

Le géant des tests médicaux Quest Diagnostics a confirmé une violation de données de santé privées de patients, tandis que la société de sécurité indienne eMudhra s'est révélée compter huit autorités de certification numérique avec des clés faibles qui auraient potentiellement pu permettre à des attaquants d'usurper l'identité de sites web de confiance. La plateforme d'hébergement de code GitHub, quant à elle, a subi une perturbation majeure de service qui a mis en évidence la forte dépendance du monde logiciel à des infrastructures partagées.

Le directeur principal de la sécurité de GitHub, Austin Devers, a déclaré que de tels incidents sont un « rappel clair que la fiabilité exige un travail constant », car le développement moderne est « tellement interconnecté ».

Jonathan Riss, analyste en OSINT (renseignement en sources ouvertes) et en intelligence blockchain chez la société de sécurité blockchain CertiK, a déclaré à Cointelegraph Magazine : « Ce qui nous préoccupe le plus, c'est la manière dont une seule faiblesse dans une infrastructure partagée peut exposer simultanément de nombreuses organisations. » Malheureusement, a-t-il ajouté, la capacité de l'IA à trouver des vulnérabilités n'est pas égalée par sa capacité à les corriger : « Trouver des vulnérabilités plus rapidement ne nous donne pas automatiquement la capacité de les résoudre plus vite. »

Pourquoi les choses risquent de s'aggraver

Une des raisons pour lesquelles le problème s'aggrave est que l'IA a changé l'économie de la cybersécurité. Ce qui nécessitait autrefois les ressources d'un État et des pirates sophistiqués peut désormais être accompli par un adolescent dans un sous-sol.

L'entrepreneur et investisseur en IA Matt Shumer a déclaré que l'IA permet aux utilisateurs non techniques de trouver des points faibles et de les exploiter, laissant les défenseurs « courir pour suivre le rythme ». « Chaque point faible doit encore être corrigé, testé et installé sur des millions de systèmes gérés par des personnes déjà dépassées », a-t-il déclaré.

Devers a ajouté que les outils de sécurité assistés par l'IA abaissent « considérablement » la barrière pour « découvrir des failles complexes et profondément enfouies dans des bases de code largement utilisées ».

À lire aussi : Keystone indique qu'une violation de son site web a exposé les adresses des acheteurs de portefeuilles matériels

Que peuvent réellement faire les gens ordinaires ?

Il existe des mesures pratiques que les utilisateurs ordinaires peuvent prendre pour rester plus en sécurité en ligne pendant cette période volatile.

Shumer recommande d'éviter les sites que vous ne connaissez pas — et surtout de ne pas saisir de mots de passe ni de numéros de carte sur des sites inconnus « tant que cela ne sera pas passé » — car les petits sites sont les « moins susceptibles d'avoir été corrigés ». Il suggère également de supprimer les applications que vous n'utilisez pas et de débrancher les objets connectés dont vous n'avez pas besoin. Gardez un peu d'argent liquide à la maison et suffisamment de provisions pour quelques jours, « si vous voulez être particulièrement prudent ».

Devers dit que la meilleure défense consiste à « verrouiller ses points d'accès personnels et à réduire globalement son empreinte ». Cela commence par activer l'authentification multifacteur (MFA) sur tous les comptes, idéalement via une application d'authentification ou une clé de sécurité matérielle plutôt que des messages texte. « Cela agit comme un disjoncteur et empêche les pirates de se connecter à votre compte même si le logiciel sous-jacent est compromis », a-t-il déclaré.

Ne réutilisez jamais les mots de passe, a-t-il ajouté. « Créez des mots de passe forts et uniques pour chaque site, et déconnectez périodiquement les anciennes autorisations d'applications ou connexions tierces que vous n'utilisez plus. » Les appareils et navigateurs web doivent également être configurés pour se mettre à jour automatiquement : « Pendant que les équipes des plateformes s'emploient à corriger les problèmes de sécurité au niveau du cloud côté backend, sécuriser vos appareils garantit que les pirates ne peuvent pas utiliser votre matériel personnel comme porte dérobée vers vos comptes. »

Auto-conservation ou non, telle est la question

La hausse alarmante des incidents de sécurité a conduit certains détenteurs de cryptomonnaies à envisager des alternatives à l'auto-conservation — c'est-à-dire à déplacer leurs fonds vers une plateforme d'échange ou un autre dépositaire plutôt que de conserver leurs propres clés — et certains experts à déconseiller de garder ses propres clés. D'autres, comme l'avocat de Bitcoin et chef de la sécurité de Casa Jameson Lopp, rétorquent que cela va à l'encontre du but premier. « Vous ne pouvez bénéficier des propriétés uniques de Bitcoin que lorsque vous détenez vos propres clés. [...] Renoncer à vos clés ne fait pas disparaître le risque. Il le déplace vers un endroit que vous ne pouvez ni voir ni contrôler », a-t-il déclaré.

Riss recommande de séparer les petits montants destinés aux dépenses dans un hot wallet — un portefeuille logiciel connecté à internet — des avoirs à long terme dans un portefeuille matériel, un appareil physique qui garde les clés privées hors ligne, et de « réellement lire ce que vous signez plutôt que d'approuver à l'aveugle ».

Ces précautions peuvent réduire la vulnérabilité d'un individu aux attaques, mais les utilisateurs ordinaires ne peuvent verrouiller que les problèmes locaux et ont peu de capacité à influer sur des problèmes plus larges. On peut « réduire le rayon d'impact », a déclaré Riss, « pas empêcher la compromission des infrastructures ». Ainsi, même si les utilisateurs peuvent améliorer leur hygiène informatique, en fin de compte, « le fardeau structurel repose sur les plateformes et les fournisseurs ».

Magazine : Un escroc perd 4,8 M$ stockés sur des Ledgers altérés : Asia Express