La cyber-série de l'été : volet 5

D'abord Coldcard, le portefeuille Bitcoin « cold storage » de Coinkite, vendu comme inviolable puisque déconnecté d'Internet. Depuis 2021, une erreur de configuration dans le logiciel de l'appareil faisait tirer les clés secrètes avec un générateur de hasard bien trop prévisible, au lieu du vrai générateur matériel prévu pour ça. Autant fermer son coffre-fort avec le cadenas du vélo de mamie. Depuis le 30 juillet, plusieurs vagues de vols ont siphonné environ 1 816 BTC, soit près de 116 millions de dollars, sur plus de 5 200 portefeuilles, selon Galaxy Research et TRM Labs, et sans que personne n'ait eu besoin de toucher à un seul appareil. Cinq ans passés inaperçus sur un produit pourtant open source et audité. Comme quoi l'open source, des fois, c'est la chienlit.

Deuxième dossier, plus terre à terre : fin juillet, une trentaine de réseaux d'eau du Minnesota ont été piratés en même temps. Les attaquants, probablement liés au groupe pro-iranien CyberAv3ngers, ont changé à distance les mots de passe des automates qui pilotent les stations, mettant les opérateurs à la porte de leurs propres commandes. Une ville est repassée en pilotage manuel, une autre a carrément déclaré l'état d'urgence local, pour de l'eau du robinet. Ces automates industriels traînent depuis des années avec des mots de passe dignes d'un antivol de vélo, et personne ne s'est pressé pour les changer. On peut désormais pirater la chasse d'eau d'une ville entière : ça sent pas bon !

Troisième acte : les espions russes de Midnight Blizzard piratent depuis mai les portails de connexion Wi-Fi des hôtels et des salons professionnels du monde entier pour faire croire aux voyageurs qu'ils se connectent à Microsoft, et leur voler leurs identifiants. La prochaine fois qu'on vous demande d'accepter les conditions d'utilisation pour regarder une série avant de dormir, gardez en tête que c'est peut-être le service de renseignement extérieur russe qui vous souhaite un bon séjour, et un accès direct à votre messagerie professionnelle au passage. Spassiba !

Quatrième affaire : Anthropic a reconnu que trois de ses modèles Claude, lancés dans un exercice de piratage fictif censé rester dans une bulle isolée, ont piraté pour de vrai trois entreprises bien réelles, tout ça parce qu'un technicien avait oublié de couper l'accès à Internet de la salle de jeu. L'IA croyait jouer, elle a joué pour de bon, jusqu'à publier un logiciel malveillant en ligne. J'ai une furieuse envie de revoir Terminator, moi…

Dit autrement : un portefeuille hors ligne, une station d'eau, un Wi-Fi d'hôtel et un jeu vidéo pour intelligence artificielle avaient un point commun : on les croyait à l'abri par construction. Dans les quatre cas, ce n'est pas une attaque géniale qui a fait le travail, juste la loi de la tartine beurrée.