Des documents FOIA révèlent que le piratage SolarWinds a exposé tous les courriels Treasury.gov
Des documents obtenus grâce à une action en justice fondée sur la loi sur la liberté d’information ont ajouté un nouveau chapitre troublant à l’histoire du piratage de SolarWinds en 2020. Selon les documents récemment exhumés, les attaquants ne se sont pas contentés d’infiltrer une poignée de comptes au sein du département du Trésor américain. Ils ont obtenu un accès suffisamment profond pour potentiellement exposer chaque adresse électronique se terminant par treasury.gov. Il s’avère que l’étendue complète de l’exposition de données gouvernementales liée au piratage de SolarWinds était encore plus vaste que ce que les responsables avaient publiquement reconnu.
Ce que les documents FOIA ont réellement révélé concernant l’accès au Trésor
Lorsque la brèche SolarWinds a été révélée fin 2020, les déclarations gouvernementales ont reconnu l’intrusion en termes généraux sans préciser jusqu’où les attaquants s’étaient infiltrés dans les systèmes fédéraux. Les nouveaux documents FOIA changent considérablement la donne.
Les documents indiquent que les pirates, largement attribués au Service de renseignement extérieur de la Russie (SVR), ont atteint un niveau d’accès à l’infrastructure de messagerie du département du Trésor qui leur aurait permis de visualiser ou de collecter toutes les adresses fonctionnant sous le domaine treasury.gov. Cela va au-delà de la compromission d’un sous-ensemble de boîtes de réception. Cela suggère que les attaquants disposaient d’une visibilité de niveau administratif sur l’environnement de messagerie du département, ce qui signifie qu’ils pouvaient identifier chaque compte, et probablement son contenu, au sein de l’une des agences les plus sensibles du gouvernement américain.
Ce type d’accès a des implications qui dépassent largement la simple correspondance volée. Les annuaires de messagerie peuvent révéler les structures organisationnelles, identifier le personnel clé et servir de cartographie pour des campagnes de hameçonnage ultérieures ou une collecte ciblée de renseignements.
Pourquoi une attaque de la chaîne d’approvisionnement est différente d’une brèche classique
Pour comprendre pourquoi cette brèche a été si difficile à détecter et si dommageable par son ampleur, il est utile de comprendre la méthode d’attaque. Il ne s’agissait pas de pirates devinant des mots de passe faibles ou exploitant un serveur non corrigé. L’attaque SolarWinds était un cas d’école d’attaque de la chaîne d’approvisionnement, ce qui signifie que les adversaires ont compromis un éditeur de logiciels de confiance et ont utilisé le mécanisme de mise à jour légitime de cet éditeur pour diffuser du code malveillant directement aux clients.
SolarWinds commercialisait un logiciel de gestion de réseau appelé Orion, largement utilisé à la fois par les agences fédérales et les entreprises du secteur privé. Lorsque les attaquants ont inséré leur logiciel malveillant dans une mise à jour de routine d’Orion, chaque organisation qui a installé cette mise à jour a pour ainsi dire invité l’intrusion par la porte d’entrée. Les outils de sécurité qui auraient normalement signalé une activité suspecte n’avaient aucune raison de déclencher une alerte, car le code malveillant arrivait emballé dans un progiciel de confiance et signé.
C’est précisément ce qui rend les attaques de la chaîne d’approvisionnement si dangereuses par rapport aux brèches conventionnelles. La tête de pont de l’attaquant s’établit non pas par une faille dans les défenses de la cible elle-même, mais par l’intermédiaire d’un tiers de confiance que la cible n’a aucune raison pratique de suspecter.
Comment des systèmes gouvernementaux compromis mettent en danger les données des citoyens
La réaction instinctive face à une brèche au département du Trésor pourrait être de la considérer comme un problème gouvernemental, distinct de la vie privée quotidienne. Ce cadrage sous-estime l’exposition.
Les agences fédérales détiennent d’énormes quantités de données sur les citoyens : déclarations fiscales, divulgations financières, informations sur l’emploi, demandes de prestations, etc. Lorsque des attaquants obtiennent un accès de niveau administratif à l’environnement de messagerie d’une agence comme le Trésor, ils sont en mesure d’intercepter les communications internes concernant les audits, les enquêtes et les décisions politiques. Ils peuvent identifier les fonctionnaires qui supervisent quels programmes, des informations qui peuvent être utilisées pour élaborer des courriels d’hameçonnage ciblé extrêmement convaincants destinés à d’autres agences, voire à des citoyens ordinaires liés à des affaires gouvernementales en cours.
Au-delà des attaques ciblées ultérieures, il y a la question de la valeur en matière de renseignement. Savoir qui travaille au Trésor, quels programmes ils supervisent et qui communique avec qui est véritablement utile pour un service de renseignement étranger, et cette valeur ne nécessite pas que les attaquants craquent un seul fichier chiffré.
Ce que les utilisateurs soucieux de leur vie privée peuvent et ne peuvent pas faire pour se protéger
C’est ici que l’exposition de données gouvernementales liée au piratage de SolarWinds confronte les utilisateurs individuels à une réalité inconfortable. Un simple citoyen ne peut pratiquement rien faire pour empêcher un service de renseignement étranger de compromettre l’infrastructure de messagerie interne d’une agence fédérale.
Utiliser un VPN protège votre propre trafic. Des mots de passe robustes et l’authentification à deux facteurs protègent vos comptes personnels. La messagerie chiffrée de bout en bout protège vos conversations privées. Aucune de ces mesures n’a la moindre influence sur le fait qu’un éditeur de logiciels en qui le gouvernement fédéral a confiance ait été compromis, ou sur le fait qu’une agence gouvernementale détenant des dossiers vous concernant ait été infiltrée via le canal de mise à jour de cet éditeur.
Ce n’est pas un argument en faveur du fatalisme. C’est un argument en faveur de la clarté sur ce que les différents outils sont réellement conçus pour faire. Les outils de protection de la vie privée personnelle répondent aux surfaces d’attaque personnelles. Les vulnérabilités systémiques des infrastructures gouvernementales ou d’entreprise exigent des réponses systémiques : audits de sécurité rigoureux des fournisseurs, architectures réseau « zéro confiance », délais obligatoires de divulgation des brèches et une supervision législative dotée de réels pouvoirs.
Pour les individus, la réponse la plus utile est de rester informé des données que détiennent les agences gouvernementales, de prêter attention aux notifications de brèche lorsqu’elles surviennent et de se montrer particulièrement sceptique face aux communications non sollicitées semblant provenir de sources gouvernementales à la suite d’une brèche signalée.
Ce que cela signifie pour vous
L’ampleur nouvellement révélée de la brèche au Trésor nous rappelle que la protection des données personnelles s’inscrit dans un écosystème plus vaste que les individus ne contrôlent pas. Vos propres pratiques de sécurité comptent. Mais la posture de sécurité de chaque institution qui détient des données sur vous compte tout autant.
Le piratage de SolarWinds n’était pas une anomalie isolée. Il a mis en lumière une faiblesse structurelle dans la manière dont les chaînes d’approvisionnement logicielles sont dignes de confiance et dont les brèches sont divulguées. Comprendre ce contexte est essentiel pour quiconque suit la façon dont les menaces étatiques se traduisent en risques concrets pour la vie privée. Commencez par acquérir une solide compréhension du fonctionnement des attaques de la chaîne d’approvisionnement et des raisons pour lesquelles elles sont si difficiles à contrer au niveau individuel. Ces connaissances de base aiguiseront votre lecture de chaque histoire similaire qui suivra.
