Il y a un mois, l’Assistance Publique – Hôpitaux de Paris (AP-HP) annonçait avoir porté plainte après avoir constaté un vol de fichiers concernant des données sensibles de 1,4 million de personnes testées mi-mai 2020. Ces informations avaient été mises en ligne sur un site de téléchargement basé en Nouvelle-Zélande.
Un mois plus tard, les services de la BL2C (Brigade de lutte contre la cybercriminalité) ont interpellé un étudiant en informatique de 22 ans. Originaire du Var, il a justifié son action en expliquant qu’il souhaitait mettre en lumière les défaillances de sécurité du système informatique de santé, selon France Info.
Une faille pas repérée par les antivirus
Pour infiltrer le réseau d’AP-HP et récupérer cette base de données, cet étudiant a profité d’une faille dite « 0-day » dans un logiciel commercialisé par la société Hitachi Vantara. Ce type d’attaque consiste à exploiter une vulnérabilité dans un logiciel ou un automate avant qu’un correctif ne soit disponible ou largement déployé par l’éditeur de ce programme ou le fabricant de la machine.
Ces attaques peuvent être particulièrement dommageables, car les stratégies de cyberdéfense traditionnelles (comme les antivirus) sont inefficaces pour s’en protéger. Résultat, leur nombre ne cesse d’augmenter. Rappelons que la principale méthode de détection des antivirus repose sur leur base de signatures virales (l’autre solution étant l’analyse comportementale qui n’est pas toujours bien maîtrisée) qui ne peut pas être exhaustive et intégrer des virus ou des failles inconnus.
En permettant d’infiltrer un réseau informatique ou d’accéder au contenu d’un smartphone sans être repéré, les failles « 0-Day » font l’objet de surenchères. Tout le monde se les arrache et en particulier les grandes agences de renseignement du monde entier. Les « 0-day » impactent tous les systèmes d’exploitation, dont Windows, mais aussi les navigateurs et les OS mobiles. Selon différentes bases de données telles que « 0-day tracking project », près de 60 « 0-day » ont été découverts cette année, soit près du double du total par rapport à l’an passé.
2 500 000 dollars pour une faille « 0-day » !
Un vrai business avec des tarifs qui atteignent des sommets. Ceux proposés par exemple par l’entreprise Zerodium montrent une augmentation de 1 150 % des prix au cours des trois dernières années.
Se présentant comme un broker de failles critiques, Zerodium verse de grosses primes aux chercheurs en sécurité afin d’acquérir leurs « 0-day ». « Alors que la majorité des programmes de bug bounty existants acceptent presque tous les types de vulnérabilités et de PoCs, mais ne paient que très peu, chez Zerodium nous nous concentrons sur les vulnérabilités à haut risque avec des exploits entièrement fonctionnels et nous payons les récompenses les plus élevées du marché (jusqu’à 2 500 000 dollars par soumission) », affirme l’entreprise qui a reçu plus de 10 000 soumissions de la part de 1 500 experts en cybersécurité. Zerodium est né des cendres de Vupen Security, une entreprise montpelliéraine créée par de talentueux experts français partis s’exiler aux États-Unis.
Cet article se trouve dans le dossier :
Quels défis pour l'industrie française ?
- La sécurité des infrastructures industrielles reste trop vulnérable aux attaques
- Des virus de plus en plus sophistiqués
- Les réseaux industriels sont confrontés à de multiples attaques et… contraintes
- Haithem Gardabou : « En matière de cybersécurité, les industriels sont en train de rattraper leur retard »
- Attaques informatiques : le hardware devient une cible
- Les failles de cybersécurité dites « 0-day » ne connaissent pas la crise
- CyberScore : des codes couleurs pour connaître le niveau de sécurité des sites
- L’Europe veut plus de sécurité dans les objets connectés
- Qu'est-ce que le métavers ?
- Philippe Fuchs : « Il ne faut être ni technophobe ni technophile par rapport au Métavers mais analyser sérieusement son intérêt et ses limites »
- Laval Virtual : les nouveaux horizons de la RA
- La réalité virtuelle en aide à la conception et à l’évaluation dans l’industrie
- Réalité et environnement virtuels : à quand leur acceptation comme outil de communication ?
- Industries : la formation en réalité virtuelle entre dans les habitudes
- La crise force l’industrie à la sobriété énergétique
- L'Etat et l'Europe au secours de l'industrie
- Prix de l’énergie : à qui la faute ?
- Europe énergétique : l'espoir d'une union ?
- Négawatt propose 50 mesures chiffrées de sobriété énergétique
- Les industriels français face à une situation énergétique "catastrophique"
- L’industrie circulaire, un modèle pour transformer l’industrie suivant les principes de l’économie circulaire
- Passer d'un modèle d'industrie linéaire à l'industrie circulaire, pourquoi est-ce une nécessité ?
- Repenser les modèles économiques pour pivoter vers une industrie circulaire
- Comment accélérer sa transition vers un modèle d’industrie circulaire ?
- Déprogrammer l’obsolescence grâce à l'écoconception
- Une plateforme de vente pour les stocks dormants de pièces de maintenance industrielle
- 5 secteurs industriels ciblés pour tenter de relocaliser
- Composants électroniques : « Il faut favoriser l’émergence d’un fournisseur européen de haut niveau »
- « Développer des outils de production modulaires et délocalisables »
- Penser l'après Covid-19 : vers quels modèles économiques se tourner ?#3 Entre relocalisation et résilience
- Rôle de la relocalisation sur le développement durable
- De la réalité virtuelle aux métavers : finalités et usages
- Faire carrière dans l'industrie en France : les entreprises recrutent
- L’intrapreneuriat dans l’industrie : un pari gagnant !
- Métiers et compétences : les nouveaux besoins de l’industrie
- Les enjeux de la réindustrialisation au regard de la situation actuelle
Dans l'actualité
- Chasseurs de bugs : 850 000 € de primes de l’Europe
- Souveraineté numérique : une fausse bonne idée ?
- COVID-19 : attention aux arnaques informatiques !
- Carte Nationale d’Identité Electronique : des données plus sécurisées ?
- Le casse-tête des transferts internationaux des données privées
- Pour contrer le cyberespionnage, la start-up Snowpack propose de cacher les informations dans des « flocons »
- Windows 11 apporte-t-il plus de sécurité que Windows 10 ?
- Protection des données personnelles : un bilan mitigé
- Guerre en Ukraine : la cyberguerre redoutée, mais absente !
- Guerre en Ukraine : faut-il désinstaller les logiciels russes ?
- Attaques informatiques : le hardware devient une cible
- Vishing : une escroquerie au bout du fil
- L’internet, un géant aux pieds fragiles
- L’Europe veut plus de sécurité dans les objets connectés
Dans les ressources documentaires