La semaine dernière, Google a lancé une mise à jour de son navigateur web Chrome qui corrige une série de failles de sécurité, dont quatre ont été classées comme très graves. Les vulnérabilités concernent les versions Windows, macOS et Linux du navigateur populaire.

Trois des vulnérabilités les plus graves sont des failles de type « use-after-free ». La première faille de sécurité, indexée comme CVE-2020-16037, affecte le composant presse-papiers de Chrome. La seconde, CVE-2020-16038, réside dans le composant média de Chrome. Quant à CVE-2020-16039, elle affecte plutôt le composant des extensions du navigateur. La quatrième vulnérabilité de haute gravité, appelée CVE-2020-16040, est un bug de validation de données insuffisant dans le moteur JavaScript V8.

La mise à jour corrige au total huit vulnérabilités, Google en répertoriant spécifiquement six, dont les correctifs ont été apportés par des chercheurs externes. Outre les quatre bugs de haute gravité mentionnés précédemment, le géant technologique a également révélé deux autres failles, toutes deux classées comme de gravité moyenne. La version 87.0.4280.88 de Chrome pour Windows, Mac et Linux corrige les vulnérabilités qu’un attaquant pourrait exploiter pour prendre le contrôle d’un système affecté. Si les mises à jour automatiques sont activées, votre navigateur devrait se mettre à jour tout seul. Vous pouvez également mettre à jour manuellement votre navigateur en vous rendant dans la section « À propos » de Google Chrome, qui se trouve dans la barre de menu sous Aide.

Margaritis Schinas, vice-président de la Commission européenne, et Thierry Breton, commissaire au Marché intérieur, ont dévoilé les grandes lignes de la future politique européenne en matière de cybersécurité, politique qui s’appuiera en grande partie sur la directive NIS, dont la révision a été présentée mercredi. 

L’UE est sur le front du numérique. Dans la foulée de la présentation de ses Digital Services Act et Digital Markets Act, la Commission européenne prépare sa nouvelle politique en matière de cybersécurité. Ou plus exactement la mise à jour de la stratégie actuelle. Dans une tribune publiée dans Sud-Ouest, Thierry Breton, commissaire au Marché intérieur, et Margaritis Schinas, vice-président de la Commission européenne, livrent leur vision de ce que doit être l’Europe de la cybersécurité, estimant tout d’abord que l’UE “a toujours été à la pointe de la cybersécurité : c’est le premier endroit dans le monde où 27 pays ont convenu ensemble d’une approche commune, d’un cadre réglementaire pour la cybersécurité, dite directive NIS, et même d’un plan directeur de riposte aux cyberattaques de grande ampleur en Europe”.

Toutefois, face à des menaces qui gagnent en puissance, notamment lors de la pandémie qui a vu les attaques contre les établissements de santé, les laboratoires et les organismes européens se multiplier, les deux Commissaires considèrent que l’Europe se doit de “renforcer ses moyens technologiques, opérationnels et politiques lui permettant de faire face à une cyberattaque d’ampleur” et appellent à la mise en place d’un cyberbouclier, lequel s’incarne dans la stratégie européenne dévoilée mercredi. 

Refonte de NIS

Celle-ci se concentre sur la révision de la directive NIS de 2016, qui a entre autres défini et harmonisé les obligations en termes de cybersécurité qui s’imposent aux opérateurs de services essentiels, équivalents européens de nos opérateurs d’importance vitale, les fameux OIV. NIS2 prévoit ainsi des mesures de surveillance plus strictes ainsi que des nouvelles sanctions administratives qui tomberaient en cas de  manquement aux obligations de gestion des risques de cybersécurité et de déclaration, tandis que le champ des opérateurs essentiels est élargi à huit nouvelles catégories d’acteurs incluant les services postaux ou encore l’industrie pharmaceutique. “Nous proposons donc d’étendre et de renforcer les obligations des acteurs économiques autour de règles communes et harmonisées, en particulier pour assurer la sécurisation des chaînes de valeurs, comme celle par exemple de la fabrication des vaccins, des centres de données, ou des entreprises de télécoms” souligne le duo de commissaires. 

Globalement, la refonte de la directive comprend des “exigences de sécurité renforcées avec une liste de mesures ciblées comprenant la réponse aux incidents et la gestion des crises, la gestion et la divulgation des vulnérabilités, les tests de cybersécurité et l'utilisation efficace du chiffrement” ainsi que la sécurisation des supply chains et de nouvelles obligations quant aux rapports d’incidents. Et, surtout, la direction d’une entreprise sera tenue pour responsable du respect des obligations de mise en place de mesures de gestion des risques.

Réseaux et coordination 

En résumé, un tour de boulon dans le sens d’une responsabilisation des entreprises quant aux enjeux de cybersécurité. Outre NIS2, Margaritis Schinas et Thierry Breton insistent sur le rôle que l’intelligence artificielle doit jouer dans la détection en amont d’une attaque des signaux faibles, fixant un objectif : réduire à quelques minutes le temps de détection d’une intrusion. Ce pourquoi l’UE lancera “un réseau européen de centres opérationnels interconnectés (SOC)”, ou “gardes-frontières cyber” selon les commissaires. 

Enfin tous deux appellent au renforcement de la coopération opérationnelle au niveau européen, déplorant des États qui avancent en ordre dispersé. Si l’Enisa est en charge de l’accompagnement des États sur les questions de cybersécurité, la directive NIS2 compte également s’appuyer sur la mise en place prochaine de CyClone, réseau des agences de cybersécurité européennes, qui aura pour mission de “soutenir la gestion coordonnée des incidents et des crises de cybersécurité à grande échelle au niveau de l'UE”. 

L’EMA, ou European Medecines Agency, a été victime d’une cyberattaque, révélée le 9 décembre. Il ne s’agit que de la dernière attaque en date contre une agence de santé ou un laboratoire, alors que les campagnes de vaccination débutent partout dans le monde. Ni BioNTech ni Pfizer n’ont été directement impactés, mais les attaquant sont toutefois eu accès aux documents relatifs au vaccin qu’ils ont élaboré. 

Après AstraZeneca ou encore l’OMS, c’est au tour de l’Agence européenne du médicament d'être victime d’une cyberattaque. Dans un court communiqué en date de 9 décembre, l’EMA annonce avoir “fait l'objet d'une cyberattaque” et signale ouvrir une enquête mais ne pas être en mesure de fournir des détails supplémentaires pendant la durée des investigations . 

Faute d’informations, les conjectures vont bon train, accompagnées de l’habituelle valse des attributions. La Corée du Nord, également suspectée d’être derrière l’attaque contre AstraZeneca, et la Russie sont au banc des accusés, quoique personne ne soit pour l’heure en mesure de fournir la moindre preuve incriminante. Force est toutefois de constater que les recherches autour des vaccins contre le Covid-19 intéressent les hackers et sont devenus un sujet géopolitique. 

Haro sur les vaccins

L’attaque contre l’EMA a donc pu faire craindre le pire notamment quant au vaccin développé par BioNTech et Pfizer. Ceux-ci n’ont pas été directement impactés par l’attaque, en ce que les attaquants n’ont pas accédé par rebond aux systèmes d’information du laboratoire et de la biotech. 

Cependant, cette dernière indique dans un communiqué que “certains documents relatifs à la soumission réglementaire pour le candidat vaccin COVID-19 de BioNTech et de Pfizer, BNT162b2, qui étaient stockés sur un serveur EMA, ont été illégalement consultés”. BioNTech ne précise pas la nature des données auxquelles les attaquants ont eu accès mais ajoute ne pas avoir connaissance de l’identification des participants à l’étude clinique à travers les informations compromises. 

Le spécialiste de la cybersécurité a été récemment victime d'une attaque. L'entreprise est avare en détails techniques, mais assure que les attaquants sont certainement soutenus par un Etat, en ce que leur intrusion était particulièrement sophistiquée, utilisant des techniques inédites. 

Les cyberattaques frappent sans distinction administrations, entreprises, particuliers... et même les spécialistes de la cybersécurité. FireEye vient d’en faire l’amère expérience. La société américaine a en effet été victime d’une attaque. Et malgré une communication abondante de FireEye sur le sujet, on n’en sait que très peu sur les attaquants, leurs méthodes et leurs buts. Ni même la date exacte de l’intrusion. 

Le patron de FireEye, Kevin Mandia, a pris la plume mardi pour signaler que “récemment, nous avons été attaqués par un acteur hautement sophistiqué”. De l’attaquant, le CEO explique qu’il est très certainement soutenu par un Etat. 

Les attaquants, dont FireEye ne détaille pas comment ils se sont introduits dans les systèmes de la société, ont mis la main sur un certain nombre d’outils développés par FireEye pour effectuer des tests d’intrusion, dits “Red Team” (par opposition à Blue Team qui, dans ce genre d’exercice, désigne les défenseurs). “Ces outils imitent le comportement de nombreux acteurs de la menace cyber et permettent à FireEye de fournir des services  de diagnostic de sécurité essentiels à nos clients” ajoute l’entreprise.

Le chasseur chassé

Ainsi, on trouve parmi les programmes dérobés des scripts basiques destinés à automatiser certaines tâches, jusqu’à des frameworks complets. On ne pourra immédiatement s’empêcher de penser au vol d’outils à la NSA en 2016, outils dont les failles qu’ils exploitaient seront par la suite réutilisées pour WannaCry. Toutefois FireEye minimise la portée de cette attaque, soulignant qu’une partie des programmes dans les mains des attaquants sont open source, et qu’aucun ne contient de failles zero day. 

L’expert en cybersécurité ajoute ne pas penser que “ce vol améliorera considérablement les capacités globales de l'attaquant” et n’a pas repéré d’utilisation de ses outils à des fins malveillantes jusqu’à présent, suggérant que l’intrusion n’est peut-être pas si récente. Il précise avoir déployé “des centaines” de contre-mesures afin d’atténuer les risques d’exploitation des programmes volés. Mais ces outils étaient-ils le but de l’attaquant ? FireEye compte parmi ses clients de grandes entreprises et des agences gouvernementales, dont les données seraient précieuses pour un acteur “state-sponsored”. 

“Bien que l'attaquant ait pu accéder à certains de nos systèmes internes, à ce stade de notre enquête, nous n'avons vu aucune preuve que l'attaquant a exfiltré les données de nos systèmes principaux qui stockent les informations client de notre réponse aux incidents ou de nos missions de conseil, ou les métadonnées collectées par nos produits dans nos systèmes dynamiques de renseignement sur les menaces” assure FireEye, qui précise néanmoins qu’il préviendra ses clients si jamais cette affirmation devait finalement se révéler fausse

NortonLifeLock s’attaque à l’Europe

Si le ressortissant russe n’a pas été reconnu coupable d’être l’instigateur du ransomware, la justice française l’a condamné pour blanchiment des fonds extorqués par le biais de Locky. Alexander Vinnick est toujours sous le coup de deux procédures d’extradition, une de la Russie et l’autre des États-Unis. 

Locky avait fait les gros titres en 2016, avant de se faire discret puis de revenir en force l’année suivante, ciblant tout particulièrement des entreprises françaises. Ce ransomware n’opère désormais plus, mais il continue de faire l’objet d’une bataille féroce entre juridiction. L’un des suspects, l’homme d’affaires russe Alexander Vinnik, avait été arrêté en Grèce en juillet 2017. Il fait alors l’objet d’une enquête pilotée par Europol, ainsi que d’un mandat d’arrêt de la justice américaine. 

Alexander Vinnik était accusé d’opérer BTC-e, une plateforme d’échanges de cryptomonnaies utilisée pour blanchir les sommes extorquées par Locky. Son procès vient de s’achever en France. Pour l’accusation, il est non seulement derrière BTC-e, mais aussi à l’origine du ransomware lui-même. La procureure s’appuyait sur les informations d’Europol, qui désignaient Vinnik comme le donneur d’ordre. 

Guerre des juridictions

Les juges n’ont toutefois pas suivi cet avis, estimant que l’accusation n’avait pas fourni la preuve d’une implication directe du ressortissant russe dans l’opération du ransomware, un point que soutenait sa défense. Il est toutefois reconnu coupable de blanchiment en bande organisée et condamné à 5 ans de prison et 100 000 euros d’amende, ainsi qu’à l’acquittement de dommages et intérêts envers les parties civiles. 

Le feuilleton judiciaire semble désormais clos, du moins du côté français. Car Alexander Vinnick fait toujours l’objet d’un mandat d’arrêt et d’une demande d’extradition des autorités américaines, qui l’accusent d’être le cerveau derrière Locky. Mais la Russie demande elle aussi l’extradition de son ressortissant, accusé dans son pays natal de fraude.

C’est le constat auquel est parvenu PWC. Le cabinet d’étude a mené une enquête au niveau mondial : il en ressort que le premier problème des dirigeants est, encore et toujours, de dénicher les compétences. En France, 61% des répondants prévoient de recruter l’année prochaine. 

C’est un marronnier pour le secteur de la cybersécurité : la pénurie de talents. Il n’est une surprise pour personne que les entreprises ont du mal à recruter. Selon une étude de PWC, 3,5 millions de postes en cybersécurité resteront non pourvus dans le monde en 2021. Plus de la moitié des  dirigeants au niveau mondial prévoient d’embaucher du personnel de cybersécurité à plein temps durant l'année à venir, et plus de 22% déclarent qu'ils vont augmenter leurs effectifs d’au moins 5%. Dans l’Hexagone, 61% des entreprises interrogées prévoient d’augmenter leurs effectifs l’année prochaine. 

Une entreprise française sur deux va d’ailleurs augmenter l’enveloppe allouée à la cybersécurité en 2021 : les budgets cyber semblent être les grands gagnants de la crise sanitaire. Avec le recours massif au télétravail et l’accroissement de la surface de menaces en résultant, les entreprises ont pris conscience de l’intérêt d’avoir une stratégie en matière de sécurité de leurs systèmes d’informations, et, selon PwC, elles cherchent à rationaliser ces politiques grâce à l’automatisation des technologies.

Moins de techno, plus d’organisation

Mais la réponse aux attaques semble aujourd’hui moins technologique qu’organisationnelle. Pour Jean-Bernard Rambaud, Associé au sein du pôle Cyber Intelligence chez PwC France et Maghreb, sous l’effet de la Covid-19, les entreprises ont repensé leurs stratégie et, “désormais moins axés sur les technologies, les responsables cybersécurité travaillent davantage en collaboration avec les équipes métiers, ce qui renforce la résilience de l’organisation dans son ensemble. La cybersécurité est une thématique de plus en plus abordée dans toutes les décisions métiers de l’entreprise”.

Conséquence : la moitié des entreprises sont davantage disposées à mettre de la cyber dans chacune de leurs décisions opérationnelles. Elles n’étaient qu’un quart l’an dernier. De même, 51% des dirigeants interrogés veulent davantage échanger de manière fréquente avec leur responsable de la sécurité des systèmes informatiques. Côté français, 40% des répondants observent que la crise sanitaire a intensifié les interactions entre les équipes de sécurité et les dirigeants ou les conseils d'administration. Bilan de ce “shift” organisationnel, les trois quarts des entreprises considèrent avoir progressé dans leur manière de répondre aux incidents.