- FANCY BEAR GOES PHISHING : The Dark History of the Information Age, in Five Extraordinary Hacks par Scott J. Shapiro (Farrar, Straus & Giroux, 432 pp., 30 USD)
Pour un homme qui enseigne le droit et la philosophie à Yale, Scott J. Shapiro possède une solide expérience en informatique et une vision hautement humaniste du piratage, basée sur son expérience personnelle.
Il a été codeur pendant 10 ans. Il avait sa propre entreprise informatique. Il a publié dans la revue Theoretical Computer Science. Mais lorsqu’il a décidé qu’il voulait en savoir plus sur le piratage, il l’a trouvé pratiquement impossible. Il lui a fallu des années pour apprendre à le faire.
Son nouveau livre, Fancy Bear Goes Phishing : The Dark History of the Information Age, dans Five Extraordinary Hacks, est écrit pour des personnes comme lui, qui se demandaient comment le piratage fonctionne et pourquoi Internet est si peu sécurisé.
Son livre ne pouvait pas arriver à un moment plus significatif, étant donné l’attaque de cybercriminalité qui est aujourd’hui perpétrée contre les entreprises par des États-nations, des cybergangs malhonnêtes, des employés mécontents et des adolescents désaffectés .
Malgré la gravité des cyber-actualités d’aujourd’hui, Shapiro voulait écrire un livre qui présente les menaces de manière réaliste, mais d’une manière qui soit légère et, parfois, presque comique. L’histoire du piratage informatique, note-t-il, est chevauchée de plus de toits et de gaffes que vous ne le pensez. (Remarque pour les propriétaires d’entreprise : il n’est jamais trop tard pour investir dans la chasse aux menaces, la notation des cyber-risques, les programmes de formation des employés et d’autres formes de cyberhygiène intelligente.)
Fancy Bear Goes Phishing vous emmène dans un voyage dans le monde et les esprits des pirates informatiques derrière cinq cyberattaques tristement célèbres :
- Le ver Morris : le premier incident majeur de cybersécurité au monde, qui a frappé en 1988 et se déroule ici comme un roman mystérieux. Un étudiant de troisième cycle dont le père est responsable de la cybersécurité pour la National Security Agency (NSA) abat Internet en raison d’une grande erreur dans son code.
- La Bulgarian Virus Factory—En 1990s, la Bulgarie est devenue le centre du développement des virus, et pour la première fois, le monde a vu l’impact des cyberattaques portées par les virus informatiques.
- Le piratage téléphonique Paris Hilton—Comment pouvez-vous voir le contenu du téléphone d’une personne lorsque vous ne l’avez jamais en votre possession ? Le cloud computing était un nouveau concept en 2005 lorsqu’un adolescent du Massachusetts a attaqué le carnet d’adresses du téléphone portable de la socialite et a exposé les coordonnées de célébrités telles qu’Eminem et Anna Kournikova. Shapiro introduit de nouvelles informations concernant ce piratage.
- Le piratage de Fancy Bear contre la DNC : la campagne de spearphishing de Fancy Bear, un cybergang russe célèbre, a conduit à la publication de 20 000 e-mails du Comité national démocrate (DNC) en 2016.
- Mirai Botnet—Commenceant par une obsession pour le jeu Minecraft, deux groupes d’adolescents ont mobilisé leurs compétences informatiques et développé une armée d’ordinateurs piratés, ou botnet, qui en 2016 rendaient certains des sites Web les plus célèbres et les plus vitaux inaccessibles à leur gré.
Dans une interview exclusive, Focal Point s’est connecté à Shapiro pour obtenir les informations les plus basses sur le « upcode », qu’il cite comme le principal moteur de cyberattaques comme celles-ci. En fin de compte, dit-il, nous devons penser au piratage (et aux pirates informatiques) d’une toute nouvelle manière.
(Cet entretien a été modifié pour plus de clarté.)
Vous êtes le directeur du laboratoire de cybersécurité de Yale, mais vous avez un doctorat en philosophie et vous enseignez le droit. Comment votre expérience influence-t-elle ou dirige-t-elle votre approche de la cybersécurité ?
Nous pensons toujours à la cybersécurité comme s’il s’agissait d’un problème technique qui nécessite principalement une solution technique. Mais les recherches montrent comment la loi modifie les incitations des personnes dans leurs comportements, pourquoi elles agissent de manière appropriée ou inappropriée. Le processus de réflexion naturel est le suivant : ne devrions-nous pas considérer la cybersécurité comme un problème humain ?
« La cybersécurité consiste à suivre les règles, des règles créées par les êtres humains qui affectent le comportement humain. »
La cybersécurité consiste à suivre les règles, qui sont créées par les êtres humains et qui affectent le comportement humain. J’appelle ces règles « upcode ». L’upcode concerne le code au-dessus de vos doigts sur le clavier, tandis que le code descendant est le code informatique généré sous vos doigts. Ce que j’essaie de montrer dans le livre, c’est que les vulnérabilités techniques qui sont exploitées dans tous ces piratages ont vraiment leur origine dans les vulnérabilités politiques, juridiques, sociales et psychologiques dans le code up.
Un point clé que vous soulignez est que l’upcode façonne la production de downcode. Comment faites-vous en sorte que les personnes qui créent la technologie soient piratées pour comprendre cela ?
Vous ne le faites pas. Vous devez obtenir l’adhésion d’entreprises, de cadres supérieurs, de congrès, d’agences gouvernementales. Nous avons besoin que ces personnes commencent à réfléchir à ce qu’elles peuvent faire pour modifier les incitations auxquelles les développeurs sont confrontés pour traiter la cybersécurité.
L’aspect passionnant de cette approche est qu’il existe tellement de façons d’aborder la repenser la cybersécurité et le piratage. Vous pouvez le faire directement en formant les développeurs différemment. Vous pouvez augmenter la responsabilité des sociétés de logiciels pour les encourager à donner des directives à leurs employés pour coder d’une certaine manière. S’ils sont tenus responsables, ils feront les choses différemment.
Avec votre solide expérience technique, même en tant que codeur depuis 10 ans, il vous a fallu encore beaucoup de temps pour apprendre à pirater. Pourquoi a-t-il été si difficile d’apprendre quelque chose que les adolescents, du moins ceux de ce livre, ont cueilli si facilement.
Je ne savais pas où chercher à apprendre. Lorsque j’ai commencé à y entrer, la chose la plus naturelle que j’ai faite était de regarder des livres, de lire des dissertations, de lire des articles. Je rechercherais des informations, sans me rendre compte que c’est là que je les trouve. Vous apprenez à pirater en ligne, via YouTube, dans des forums de pirates informatiques. Lorsque j’apprenais, le piratage n’était pas un domaine mature.
Vous avez choisi cinq cyber-événements à mettre en évidence dans ce livre. Pourquoi ces piratages particuliers ?
J’avais voulu faire 25 piratages, mais mon agent m’a dit que 25 était trop nombreux, donc nous l’avons réduit à cinq. Mais la raison derrière les cinq que j’ai choisis est la suivante : ils sont tous bien connus dans la communauté de la cybersécurité et sont compris comme représentatifs de différents styles de piratage.
« En fait, je pense que les pirates informatiques sont comme vous et moi. »
Le ver Morris, qui se réplique spontanément, est le premier piratage, qui se produit fin 1980s, et il y avait un véritable élément de mystère. J’ai ajouté l’usine de virus bulgare parce que je voulais comprendre pourquoi la Bulgarie était la capitale mondiale du virus en 1990s. L’ histoire de Paris Hilton est de montrer comment vous pouvez vous rapprocher du téléphone de l’une des personnes les plus célèbres au monde au début de l’année 2000s, démontrant des risques dans le cloud.
Fancy Bear n’est pas tant une étude sur la manière dont ils l’ont fait, mais sur la manière dont ils ont réussi à s’en sortir et pourquoi il a fallu autant de temps au FBI pour dire à la DNC que les Russes étaient dans leur réseau. Et enfin, comment ne pas vous intéresser à l’histoire du botnet Mirai, trois adolescents américains se battant avec trois adolescents israéliens ?
[Lire également : dans l’esprit du pirate informatique insaisissable des adolescents]
Les histoires sont présentées chronologiquement, mais ce ne sont que de bonnes histoires.
Le livre souligne un malentendu général sur la cybersécurité et le piratage. Que souhaitez-vous que les gens retirent de ce livre ?
Je pense que les gens ont une mauvaise compréhension des pirates informatiques, qu’ils sont des loups isolés, ont des problèmes de santé mentale, sont des génies qui ne peuvent pas être contrôlés. En fait, je pense que les pirates informatiques sont comme vous et moi, mais ils rencontrent certains défis.
La grande majorité du piratage informatique implique la cybercriminalité, qui est motivée financièrement. Les pirates informatiques ne se soucient pas de vous. Mais votre travail consiste à vous assurer que vous ne leur facilitez pas la tâche, car plus ils doivent travailler pour un piratage, moins ils gagneront d’argent. Ils veulent votre carte de crédit ; ils ne veulent pas vous regarder préparer un dîner via votre webcam.
AUTRES BONNES LECTURES
Vous souhaitez savoir ce que les autres dirigeants d’entreprise, chefs d’entreprise, équipes de sécurité et passionnés de technologie lisent (et écrivent) ? En savoir plus ici :
- Meilleur nouveau (cyber) Lire : le Guide des cybermenaces de Star WarsLe livre : MENACES : ce que chaque ingénieur doit apprendre de Star Wars (Wiley, 352 pp., 25 USD)
L’auteur : Adam Shostack
