Le numéro deux de Microsoft s'inquiète d'attaques comme celle qui a abusé l'éditeur de logiciels SolarWinds, puis les clients de ce dernier. La confiance s'érode entre fournisseurs et utilisateurs de technologies.
Les hackers ne se contentent plus des failles de sécurité nées de la négligence des codeurs. Ils les développent désormais eux-mêmes et parviennent à les faire distribuer par les éditeurs de logiciels aux nez et à la barbe de ces derniers… C'est cette tactique qui a bluffé l'américain SolarWinds, dont la compromission du logiciel Orion a permis la plus vaste opération de cyberespionnage officiellement recensée à ce jour aux Etats-Unis.
Depuis la découverte en décembre de cette attaque de haut vol l'an dernier, la pression monte sur les acteurs de la tech et pour les entreprises qui s'appuient de plus en plus sur leurs logiciels. Cette semaine, même le numéro deux de Microsoft s'en est ému. « Il est probablement juste de dire qu'il s'agit de l'attaque la plus grande et la plus sophistiquée que le monde ait jamais vue », a déclaré Brad Smith sur CBS. Victime dans cette affaire, Microsoft utilisait Orion en interne et a constaté des intrusions sur son réseau, sans gravité apparente.
Mi-décembre, le dirigeant s'inquiétait déjà au nom de tous les clients du secteur : « Les attaquants ont utilisé une technique qui a mis en danger la chaîne d'approvisionnement technologique pour l'économie au sens large », écrivait-il sur un blog de Microsoft. En clair, les hackers ont réussi à éroder la confiance entre les éditeurs de logiciels et leurs clients qui se protègent mais n'imaginaient pas jusqu'ici devoir se méfier des premiers, leurs alliés naturels dans l'espace cyber.
Sans être totalement nouveau, ce type d'attaques fait aujourd'hui davantage peur car elles ont permis le vol de secrets appartenant à la première puissance mondiale elle-même, au sein du ministère de la Justice américain et d'autres administrations fédérales.
Menaces sur les systèmes critiques
Par le passé, l'éditeur d'antivirus Avast avait distribué une version modifiée par des hackers mal intentionnés de son logiciel CCleaner. La cyberattaque NotPetya, qui avait mis au tapis de nombreuses sociétés ukrainiennes et, par effet de bord, les groupes Saint-Gobain et Maersk, était aussi partie d'une mise à jour malveillante d'un logiciel de facturation. Mais cette fois-ci, l'attaque a frappé en plein coeur, sur un système critique pour l'informatique d'entreprise, à savoir le serveur de supervision qui diagnostique en permanence l'état du système. « C'est probablement la machine qui permet de s'immiscer le plus loin dans un réseau car elle doit avoir accès à tous les autres serveurs », note Stéphane Reytan, le directeur de l'activité d'audit et de stress test de cybersécurité d'ITS Group.
En France, c'est cette même machine qui est au coeur des inquiétudes de l'Agence nationale de la sécurité des systèmes d'information (Anssi) quand elle a alerté il y a quelques jours sur des vulnérabilités présentes dans une version gratuite, obsolète et modifiée du logiciel Centreon. Même si, dans ce cas-là, l'éditeur français concurrent de SolarWinds réfute toute faiblesse de sa part sur les versions qu'il commercialise, ce que l'Anssi a confirmé.
Dans ce contexte, le rapport entre les services achats des entreprises et des administrations, et les commerciaux des sociétés technologiques, pourraient bien se teinter de suspicion. « L'attaque sur SolarWinds forcera une évaluation approfondie des éditeurs de logiciels. […] La réglementation sur le risque cyber devrait s'accroître pour la chaîne d'approvisionnement, en particulier pour les fournisseurs des gouvernements », indique l'agence de notation Moody's dans une note publiée la semaine dernière. Avec le risque que les petits acteurs du marché ne puissent satisfaire toutes les exigences et perdent du terrain face aux leaders.
Ce nouveau danger s'ajoute à la menace déjà très importante des attaques par rebond, c'est-à-dire qui passent par le réseau informatique d'un fournisseur. Dans la tech française, une vague d'attaques a ainsi touché l'an dernier les entreprises de services numériques, de Sopra-Steria à Umanis. Mais ces derniers assurent que les hackers n'ont pas pu accéder aux données des clients. Sans rassurer tous les directeurs informatiques.