Un groupe de rançongiciel se faisant appeler D1R a revendiqué la compromission d’ARM, la société britannique de conception de semi-conducteurs dont l’architecture de puces équipe une grande partie des smartphones et des appareils connectés dans le monde. Selon un rapport publié par DeXpose, les attaquants affirment avoir exposé des données de l’entreprise et, fait notable, avoir contourné les protections d’authentification à deux facteurs (2FA) sur lesquelles de nombreuses organisations s’appuient comme couche de défense essentielle.

Les détails au-delà de cette divulgation initiale restent limités, et ARM n’a pas publié de compte rendu public détaillé de l’ampleur de l’incident au moment de ce rapport. La revendication elle-même est néanmoins significative. ARM n’est pas une marque grand public comme un détaillant ou un service de streaming, mais sa technologie se trouve dans une part considérable de l’écosystème mondial des appareils. Toute compromission touchant une entreprise d’une telle portée mérite l’attention, même avant que tous les détails ne soient confirmés.

Comment l’attaque du rançongiciel D1R se serait déroulée

Les attaques par rançongiciel suivent généralement un schéma familier : les attaquants prennent pied dans un réseau, étendent leurs accès, exfiltrent des données sensibles, puis déploient des tactiques de chiffrement ou d’extorsion pour pousser la victime à payer. Ce qui distingue la revendication de D1R contre ARM, c’est l’affirmation selon laquelle l’authentification à deux facteurs a été contournée lors de l’intrusion.

L’authentification à deux facteurs est largement présentée comme l’un des moyens les plus simples et les plus efficaces pour empêcher l’accès non autorisé à un compte, car elle exige une seconde étape de vérification au-delà du mot de passe. Lorsque des attaquants affirment la contourner, que ce soit par hameçonnage, vol de jetons de session, tactiques de type échange de carte SIM ou exploitation de faiblesses dans la mise en œuvre de l’authentification à deux facteurs, cela sape une mesure de sécurité dont les particuliers comme les entreprises sont devenus très dépendants. Si ce point est confirmé, ce seul détail fait de l’incident ARM une étude de cas à suivre de près pour l’ensemble de l’industrie technologique.

Pourquoi une compromission chez un géant de la conception de puces comporte un risque démesuré pour la vie privée

Le modèle économique d’ARM diffère de la plupart des entreprises évoquées dans les rapports de violation. Plutôt que de vendre directement des produits aux consommateurs, ARM concède sous licence ses conceptions de processeurs à des fabricants des secteurs du smartphone, de l’Internet des objets, de l’automobile et des centres de données. Cela signifie qu’une défaillance de sécurité au niveau de la conception et de l’ingénierie peut se répercuter sur d’innombrables entreprises partenaires et, en définitive, sur les utilisateurs finaux qui ne réalisent peut-être jamais qu’une technologie ARM se trouve dans leurs appareils.

Ce phénomène s’inscrit dans une tendance plus large observée lors d’incidents récents très médiatisés. Tout comme Novo Nordisk a contacté les autorités au sujet d’une prétendue violation de 1 To de données après qu’un groupe de pirates a affirmé avoir dérobé des données de l’entreprise, ARM est aujourd’hui confronté aux mêmes questions : qu’est-ce qui a été consulté, quelle quantité de données a quitté le réseau et qui pourrait être affecté en aval. Ces incidents soulignent un thème récurrent : les attaquants ciblent de plus en plus les grands fournisseurs d’infrastructure et de technologie, et pas seulement les plateformes grand public, car le rayon de propagation potentiel est bien plus étendu.

La pression réglementaire et de responsabilisation s’accroît

Les entreprises victimes de violations font l’objet d’une surveillance croissante de la part des régulateurs et des tribunaux. L’autorité sud-coréenne de protection des données a récemment infligé une sanction record lorsqu’elle a condamné Coupang à une amende de 409 millions de dollars pour une violation de données, signalant que les régulateurs du monde entier sont prêts à imposer de lourdes conséquences financières aux entreprises qui ne protègent pas les données des utilisateurs. Par ailleurs, les actions en justice ne se limitent pas aux victimes de violations. Le récent procès dans lequel le procureur général du Texas a poursuivi Netflix pour collecte secrète de données montre que les pratiques de traitement des données en général, et pas seulement les violations, attirent l’attention de la justice. Pour une entreprise comme ARM, qui opère au centre de la chaîne d’approvisionnement technologique mondiale, toute exposition confirmée de données pourrait l’exposer à un examen similaire de la part des régulateurs britanniques et internationaux.

Ce que cela signifie pour vous

La plupart des lecteurs n’ont pas de compte direct chez ARM comme ils pourraient en avoir auprès d’une banque ou d’un service de streaming ; il n’y a donc pas de mesure immédiate comme une réinitialisation de mot de passe liée à cet incident précis. Mais ce cas est un rappel utile que la sécurité de la chaîne d’approvisionnement compte autant que celle des applications et services que vous utilisez directement. Les appareils dans votre poche, votre voiture et votre réseau domestique reposent probablement sur des composants et des conceptions d’entreprises dont la plupart des gens n’ont jamais entendu parler.

C’est également un rappel que l’authentification à deux facteurs, bien que précieuse, n’est pas infaillible. Les attaquants développent activement des techniques pour la contourner, ce qui signifie qu’il vaut de plus en plus la peine d’envisager des couches de protection supplémentaires telles que les clés de sécurité matérielles, les passkeys ou la surveillance comportementale pour quiconque gère des comptes sensibles.

Points à retenir pour agir

  • Restez à l’affût des déclarations officielles d’ARM ou de ses partenaires concernant l’ampleur de cet incident, car les revendications initiales des rançongiciels ne sont pas toujours entièrement vérifiées.
  • Dans la mesure du possible, passez de l’authentification à deux facteurs par SMS ou par application à des méthodes résistantes à l’hameçonnage comme les clés de sécurité matérielles ou les passkeys.
  • Passez en revue les comptes et les appareils qui reposent sur des puces basées sur ARM, en particulier si vous gérez des systèmes IoT ou embarqués, et surveillez les avis de sécurité des fournisseurs.
  • Suivez la manière dont les régulateurs réagissent à des incidents comme celui-ci, car les tendances croissantes en matière de répression suggèrent que les entreprises victimes de violations pourraient faire face à une responsabilisation accrue.

À mesure que de nouveaux détails émergeront sur l’attaque du rançongiciel D1R contre ARM, cette histoire rappelle opportunément que même les acteurs les plus fondamentaux de l’industrie technologique ne sont pas à l’abri des cybermenaces sophistiquées, et que la protection de la vie privée dépend de plus en plus de la sécurisation de l’ensemble de la chaîne d’approvisionnement, et pas seulement des produits que les consommateurs voient directement.