Close
  • Français
  • English

06/11/2013Adobe piraté : l’un des plus grands piratages de l’histoire

38 millions : c’est la quantité, a minima, du nombres d’utilisateurs touchés par la cyberattaque qui a frappé Adobe au cœur. Plusieurs données ont ainsi été dérobées : coordonnées bancaires, mots de passe, comptes utilisateurs, voire libre circulation de failles, etc. L’éditeur de logiciels de partage et de diffusion d’informations, également détenteur de Photoshop, fait ainsi face à l’une des plus grandes cyberattaques de l’histoire du numérique qui rappelle, par son ampleur, celle de Sony en 2011.

Le cyberespace est un champ de bataille où l’internaute se promène désarmé

Pour beaucoup, la sécurité informatique est un concept très abstrait. Trop technique, trop étrangère, cette nouvelle notion est souvent reléguée par une majorité d’utilisateursà une lubie d’informaticien. Faut-il encore que les internautes soient au courant quecertaines nations comme le Royaume-Uni considèrent désormais que les menaces dans le cyberespace sont une priorité nationale qui devance de loin la menace d’une attaque nucléaire.

Ce n’est pourtant pas faute d’essayer : entre les initiatives didactiques, comme cette vidéo explicative sur la cybersécurité, les questions de surveillance massive qui sont parfois rendues possibles moins par des prouesses techniques que de simples étourderies, ou encore la mise en place par l’ANSSI d’un seuil légal minimum de cybersécurité dans les entreprises, il est clair que la France veut mettre les bouchées doubles.

Hélas, les prises de décision ne rencontrent pas forcément les volontés humaines : le Canard enchaîné nous apprend par exemple que les ministres refusent d’utiliser le téléphone crypté made in France. Une gabegie. D’autant plus que le cyberespace, contrairement à une vision populaire et dommageable, ne se limite pas au seul Internet. Les téléphones, les réseaux de cartes de crédit, les objets connectés… Tout cela fait partie de la grande famille du cyberespace.

Or, quand on sait que les pires cyberattaques sont encore à venir, la légèreté avec laquelle sont abordés ces sujets donne des sueurs froides.

Le piratage d’Adobe : un cas d’école aux conséquences encore floues

Si dans de nombreux cas il faut blâmer l’internaute pour son absence de vigilance, dans le cas du piratage d’Adobe, les utilisateurs sont des victimes malheureuses. Cette cyberattaque est sans précédents et aura certainement un effet retentissant pour les années à venir.

L’information, révélée par le blog de Brian Krebs, un spécialiste en cybersécurité, et confirmée par l’éditeur de contenus numériques, fait froid dans le dos. Car si le vol de données de 38 millions d’utilisateurs et leur diffusion probable sur le DarkNet auront des conséquences individuelles importantes, le vol des codes sources des logiciels Acrobat, Reader, voire Photoshop, est comme un trou béant dans la coque du navire Adobe qu’il sera très difficile de colmater. Si on y rajoute les perspectives d’exploits et autres failles « zero days » nichées dans les données pillées, ce piratage est loin d’avoir dit son dernier mot.

Dès lors, estimer la fuite est de l’ordre de l’impossible. Comme le tristement célèbre piratage du PlayStation Network, les conséquences financières se compteront très certainement en milliards d’euros. Adobe, de son côté, a proposé un an d’abonnement gratuit aux quelques 38 millions de comptes compromis : cette simple mesure de compensation lui coûterait la bagatelle de 93 millions d’euros si l’on se base sur l’offre la moins chère proposée par l’éditeur… Et ce chiffre ne couvre même pas le coût de l’intervention technique post-cyberattaque !

Se défendre face au piratage : une question de vitesse

A l’échelle de l’internaute, quelques attitudes sont donc bonnes à prendre : choisir de meilleurs mots de passe, les changer fréquemment, ne pas les réutiliser, etc. Bref, du connu.

Pour les entreprises et les institutions, la question est autre. On peut d’ores et déjà affirmer que la cyberattaque d’Adobe marquera l’histoire de la cybersécurité. L’éditeur était pourtant aussi bien protégé qu’un autre. Mais pour beaucoup d’experts, les cyberattaques sont des fatalités, qui toucheront l’entreprise tôt ou tard. Cette vision pessimiste doit être contrebalancée par une défense solide, qui tient sur deux béquilles.

La première consiste donc à garder un niveau de sécurité élevé car, quoi que l’on en dise, cela limite les risques de devenir une proie facile.

La seconde tient en un mot : vitesse.

Vitesse dans l’alerte, en premier lieu. A la façon de Belgacom qui a été espionnée de longues années, les premiers jalons d’une bonne politique de sécurité consiste à remettre en cause cette dernière constamment. Donner rapidement l’alerte est le prérequis nécessaire à toute action future et, au-delà de l’aspect technique, cette fonction d’alerte doit se répandre à tous les niveaux d’une entité.

Vitesse de réaction, dans un second temps. Pour éteindre un feu sec naissant, on estime qu’il faut un verre d’eau durant la première minute, un seau d’eau au cours de la deuxième minute, et une citerne d’eau au bout de la troisième. La même logique exponentielle prévaut dans le cyberespace : la vitesse de réaction, qui consiste à prendre les mesures appropriées (en termes techniques certes, mais aussi dans sa communication interne/externe ou dans la mise en place de nouveaux mots de passe) est déterminante. Chaque seconde compte quand des données personnelles sont compromises.

En somme, se battre pour sa sécurité dans le cyberespace, c’est avant tout livrer la bataille du temps. Ce qui est logique dans un milieu caractérisé par la rapidité des flux et des échanges.

Les nouveaux acteurs, qu’ils s’agissent de particuliers, d’entreprises ou d’institutions étatiques, doivent prendre en compte la nature essentiellement fluctuante et rapide de l’espace dans lequel ils évoluent désormais… et mettre en place les garde-fous nécessaires.

Stéphane Leroy