Les enseignes britanniques Co-op, Marks & Spencer et Harrods ont toutes été victimes de cyberattaques majeures ces derniers jours. Si l'identité du ou des pirates reste inconnue, la proximité des attaques laisse penser qu'un seul et même groupe de cybercriminels est responsable des trois , possiblement le groupe Scattered Spider, déjà impliqué dans l'attaque contre M&S. Comment les commerçants, les banques et tous les autres acteurs doivent-ils réagir ?
Tactiques de piratage informatique dans le commerce de détail
Alors que la chaîne de distribution britannique Boots est la dernière à être touchée par des perturbations informatiques, les ventes de Morrisons ont été gravement affectées l'année dernière par une cyberattaque, et Currys et JD Sports ont également subi des attaques qui ont compromis les données des clients. Les détaillants sont clairement vulnérables, et avec Marks & Spencer perdant un demi-milliard de livres en raison de son incapacité à accepter les paiements sans contact, et les magasins Co-op se retrouvant avec des étagères vides, l'importance de ces attaques ne peut être sous-estimée.
Que se passe-t-il ? Des services informatiques auraient-ils été infiltrés par des télétravailleurs nord-coréens ayant obtenu leur emploi grâce à de faux diplômes ? On sait que ces individus sont déjà très sophistiqués. Un service RH, après avoir mené quatre entretiens vidéo (confirmant que le candidat correspondait à la photo retouchée par IA de sa candidature) et effectué des vérifications d'antécédents supplémentaires qui se sont toutes révélées négatives (car une identité américaine volée avait été utilisée), a fini par embaucher un faux employé qui a immédiatement commencé à télécharger des logiciels malveillants. Une autre entreprise a finalement découvert qu'elle avait été victime d'un système coordonné visant à fournir des emplois à distance à des Nord-Coréens et que plus d'un tiers de son équipe d'ingénieurs était nord-coréenne !
S'il ne s'agissait pas de programmeurs Python nord-coréens, les agents d'une puissance étrangère auraient-ils accédé à un ordinateur quantique jusqu'alors inconnu pour déchiffrer des codes secrets et pénétrer dans les réseaux de détaillants en dupliquant des clés privées pour vaincre la sécurité du réseau ? Les initiés se sont-ils retournés contre leurs hôtes et ont-ils essayé de les paralyser en représailles à un changement indésirable des termes et conditions ? Les systèmes informatiques fournis par les principaux fournisseurs ont-ils été piratés par des attaquants déguisés travaillant pour le compte de détaillants concurrents ?
Non, bien sûr que non. Il ne s'agissait pas de faux employés ni de pirates informatiques ayant décrypté des codes ; c'était la même vieille attaque qui se produit partout et tout le temps. Des pirates ont contacté le service d'assistance en se faisant passer pour des employés ayant oublié leur mot de passe. Le Centre national britannique de cybersécurité (NCSC) a déclaré, suite à ces attaques, que les entreprises devraient revoir la manière dont leurs services d'assistance informatique « authentifient les employés » avant de réinitialiser les mots de passe, en particulier pour les cadres supérieurs ayant accès à des parties sensibles du réseau informatique. Évidemment. C'est toujours la même vieille technique d'ingénierie sociale.
Cela ne doit pas forcément se passer ainsi. Dans le secteur financier, l'une des utilisations les plus courantes de la biométrie est la récupération de compte, et je ne vois pas pourquoi les détaillants ne pourraient pas utiliser le même type de technologie pour corriger l'authentification Know Your Employee (KYE), tout comme les banques utilisent l'authentification Know Your Customer (KYC) pour restaurer l'accès au compte.
(Voyez ce que font des entreprises comme Keyless et Anonybit, par exemple.)
Dans son dernier rapport annuel, M&S a averti que le passage au travail hybride la rendait plus vulnérable aux cyberattaques. Il est à noter que, parmi les mesures prises par l'entreprise suite à l'attaque, figurait la demande faite aux employés de laisser leur caméra allumée lors des réunions à distance et de « vérifier la présence de chaque participant ». Un courriel interne envoyé à 70 000 employés leur a également enjoint de ne pas enregistrer ni transcrire les appels Teams, laissant entendre que des pirates informatiques assistaient aux réunions internes et en conservaient les transcriptions afin de recueillir des informations pour perfectionner leurs attaques d'ingénierie sociale, et potentiellement obtenir des informations sur les systèmes internes en vue de futures intrusions.
Nouveaux crimes, nouveaux criminels.
Nous savons tous que la nature de la criminalité évolue et que les cybercriminels deviennent plus ingénieux. Je doute que le maintien des caméras allumées, bien que judicieux à bien des égards, change grand-chose dans ce cas précis. L'intelligence artificielle est déjà capable de créer des vidéos trompeuses et est utilisée à des fins malveillantes depuis des années : Arup a perdu 25 millions de dollars américains suite à une escroquerie. Des escrocs ont utilisé l'IA pour usurper l'identité du directeur financier de l'entreprise et inciter un subordonné à effectuer un virement lors d'une visioconférence de groupe. Or, selon la police de Hong Kong, « toutes les personnes que [le subordonné] a vues étaient des imposteurs ».
Les deepfakes comme ceux-ci se propagent, et pas seulement dans le secteur bancaire et le commerce de détail. Un propriétaire de galerie d'art londonien a perdu 30,000 14 £ après avoir passé des mois à négocier une exposition avec un faux Pierce Brosnan. Dans un autre cas au Royaume-Uni, une femme a été arrêtée après avoir prétendument porté une série de perruques et de costumes pour passer des tests de citoyenneté au nom d'au moins XNUMX autres personnes, hommes et femmes, en utilisant de « faux documents d'identité » pour éviter d'être détectée. Un propriétaire AirBnB a loué sa propriété à une femme qui avait une pièce d'identité volée et qui avait passé le rapport de référence avec un faux permis de conduire : Elle a ensuite volé les meubles et sous-loué la maison comme lieu de fête !
Hacker IA, défenses IA ? Non.
Le gouverneur de la Réserve fédérale, Michael Barr, a récemment déclaré que face à la multiplication des attaques deepfakes basées sur l'IA, les banques devraient « rattraper le feu par le feu » et investir davantage dans l'IA. Je ne suis pas d'accord. Il est possible que la reconnaissance faciale, l'analyse vocale et la biométrie comportementale soient capables de détecter les contrefaçons basées sur l'IA jusqu'à ce que ces contrefaçons s'améliorent. S'il est vrai que des investissements importants dans l'IA pourraient aider les banques à se défendre contre une vague de fraudes basées sur l'IA, cela pourrait n'être qu'un soulagement temporaire, le temps que les fraudeurs perfectionnent leurs méthodes. Mais pourquoi s'engager dans cette voie ? Au lieu de tenter de déjouer les attaquants grâce à l'IA, pourquoi ne pas utiliser une technologie éprouvée et infalsifiable : les signatures numériques ?
La compétition entre IA est une course effrénée et sans fin. Au lieu de cela, nous devrions exiger des banques, des détaillants, des entreprises de médias et de toutes les autres entités qu'elles renforcent leur infrastructure de sécurité éprouvée afin de contrer les pirates informatiques modernes utilisant des deepfakes. Comme je l'ai déjà écrit , on peut certes créer une fausse vidéo parfaitement convaincante de Brad Pitt, mais on ne peut pas créer une signature numérique parfaitement convaincante de Brad Pitt. Au lieu de demander aux employés de deviner s'ils ont affaire au directeur adjoint du service des règlements de factures (région Nord-Est) ou à un robot, nous devrions leur fournir une authentification à deux facteurs plutôt que des mots de passe, des identifiants vérifiables avec une authentification biométrique forte plutôt que des autorisations d'activation de la caméra, des copies chiffrées et signées numériquement, ainsi qu'un stockage inviolable des clés de chiffrement (par exemple, sur les téléphones mobiles). *Remarque : Les signatures numériques offrent une garantie solide d'authenticité et d'intégrité des données, ce qui en fait un outil précieux dans la lutte contre la falsification.*
Les commentaires sont fermés.