Lorsque Uber a été victime d'une cyberattaque en septembre, ce n'était certainement pas la première fois que les systèmes de cette entreprise de VTC étaient piratés, ni l' la plus grave en termes de perte de données. Mais c'était peut-être la plus humiliante.
Entre autres, le pirate a obtenu un accès administratif complet à plusieurs plateformes cloud d'Uber et a pu accéder aux données financières de l'entreprise. Contrairement à la plupart des pirates informatiques d'aujourd'hui, cependant, il ne s'est pas contenté de voler des données ou de les retenir contre rançon. Il s'est connecté au Slack interne d'Uber et s'en est vanté. Il a ensuite publié des liens vers des images pornographiques sur la chaîne et a exigé que l'entreprise rémunère mieux ses chauffeurs.
Ensuite, pour prouver son exploit, le pirate a partagé avec des chercheurs en sécurité des captures d'écran des panneaux de contrôle des administrateurs système auxquels il avait accédé à l'aide des identifiants volés à un ingénieur senior d'Uber, en les publiant sur un canal Slack destiné aux hackers « white hat » travaillant pour le compte d'entreprises.
« Mec, vous avez piraté Uber ? » a déclaré un important agrégateur de logiciels malveillants au pirate informatique, dans une conversation présumée partagée dans un fil de discussion sur Twitter.
Lorsque l'auteur présumé de l'attaque a été arrêté par les autorités britanniques, il s'est avéré qu'il s'agissait d'un adolescent de 17 ans, également soupçonné d'avoir obtenu le code source du prochain jeu vidéo Grand Theft Auto 6. Cet adolescent originaire de l'Oxfordshire serait membre du tristement célèbre groupe de chantage Lapsus$, dont les membres sont âgés de 16 à 21 ans et qui compte parmi ses victimes Microsoft, Nvidia et Okta. The Cyber Safety Review Board, a public-private arm of the U.S. Department of Homeland Security, announced earlier this month that it plans to issue actionable recommendations, like it did for the first time in 2022 with the Log4j attacks, for how organizations can protect themselves from the devious strategies of Lapsus$–style hacks.
Pour les RSSI surchargés de travail et disposant de moyens insuffisants, les piratages commis par des personnes à peine en âge de conduire constituent une menace supplémentaire dont ils doivent se préoccuper : une nouvelle génération de cybercriminels qui agissent autant pour frimer devant leurs amis (à l’instar du groupe de hackers « Lulz » à l’époque) que pour en tirer profit, et dont les cibles et les vecteurs d’attaque peuvent s’avérer plus difficiles à anticiper.
De nouveaux chiens, de vieilles habitudes
Si tout cela vous semble étrangement familier, c'est pour une bonne raison.
Bien avant que la cybercriminalité ne devienne une industrie de plusieurs milliers de milliards de dollars , le piratage informatique était une activité que les adolescents pratiquaient pour s'amuser : pour tester leurs compétences informatiques, prouver leur statut de « geek » ou faire des farces à leurs amis.
«» Les adolescents ont toujours été attirés par ce qu’ils ne devraient pas faire. Et ils ont souvent à la fois une curiosité débordante et un sentiment d’invincibilité. »Chris Prewitt, directeur technique et responsable de la sécurité des systèmes d'information, Inversion6
En 1982 , le premier logiciel malveillant diffusé sur le réseau s'appelait Elk Cloner. Ce virus a été créé cette année-là par un adolescent de 15 ans, Rich Skrenta, qui a diffusé le code via une disquette. Il affichait un poème sur les écrans des ordinateurs Apple II et était tout à fait inoffensif.
Il a fallu attendre près de deux décennies avant que des pirates informatiques ne créent des logiciels malveillants destinés à voler délibérément des données, puis encore une demi-douzaine d'années avant qu'ils ne développent le premier logiciel de rançongiciel de type « » .
« On dirait bien que la boucle est bouclée », fait remarquer Chris Prewitt, directeur technique et responsable de la sécurité des systèmes d’information (CISO) chez Inversion6, un prestataire spécialisé dans la gestion des risques liés à la cybersécurité. Comme de nombreux responsables de la sécurité des systèmes d'information (RSSI), M. Prewitt a fait ses débuts dans le piratage informatique en utilisant des « war dialers » pour passer au crible tous les numéros de téléphone locaux afin d'identifier les modems à cibler.
« Les adolescents ont toujours eu envie de faire des choses qu'ils ne devraient pas faire », explique M. Prewitt. « Et ils ont généralement à la fois une curiosité débordante et un sentiment d'invincibilité. »
Quelle est la principale différence entre cette époque et aujourd'hui ? Les réseaux sociaux, notamment YouTube et TikTok. « Autrefois, les hackers pouvaient se faire connaître parmi leurs pairs sur un forum ou dans un groupe de discussion en ligne (IRC) consacré au piratage informatique », note M. Prewitt. Désormais, le public, c'est le monde entier.
Une recherche sur TikTok avec les mots-clés « uber hacker » donne plus de 5 000 vidéos totalisant plusieurs millions de vues. (Les vidéos en ligne constituent également une source abondante de tutoriels pour les hackers en herbe, explique M. Prewitt.)
« Ce qui fait la différence, c'est l'ampleur de la visibilité qu'une personne peut obtenir grâce à l'un de ces « piratages spectaculaires » », ajoute David Maynor, directeur principal du renseignement sur les menaces chez Cybrary, une plateforme de formation à la sécurité. « Il y a dix ou 20 ans, quelques communautés de niche y auraient peut-être prêté attention, mais aujourd’hui, cela fait partie du cycle d’information en continu, avec une portée mondiale. » « Pour les hackers qui cherchent à prouver leurs compétences, il n'y a pas de plus grande scène que celle-là. »
Par amour ou pour l'argent ?
L'idée selon laquelle les jeunes se remettent au piratage informatique simplement pour le plaisir ou pour se faire connaître est presque rafraîchissante, déclare Sam Curry, un chercheur indépendant en sécurité informatique âgé de 23 ans qui a débuté sa carrière en détectant des failles logicielles en tant que chasseur de bugs alors qu'il était encore au lycée.
M. Curry a échangé avec le pirate informatique d'Uber, alias « TeaPot », via l'application de messagerie Telegram et a confirmé les détails de l'attaque.
«Mec, vous avez piraté Uber ? »Un important agrégateur de logiciels malveillants
« S'occuper de questions de sécurité est un moyen tellement simple de se sentir important et de flatter son ego », déclare M. Curry. « Si cette personne fait partie de Lapsus$, alors elle a déjà accès à des millions de dollars. » « Il se pourrait bien qu'il en ait marre de gagner de l'argent et qu'il veuille simplement s'amuser. »
TeaPot a utilisé les identifiants de connexion volés à un sous-traitant d'Uber, puis a exploité les failles du processus d'authentification multifactorielle de l'entreprise — en sollicitant à plusieurs reprises le sous-traitant pour qu'il approuve l'accès jusqu'à ce qu'il finisse par céder. À partir de là, il a réussi à se déplacer latéralement au sein du réseau, accédant ainsi à plusieurs systèmes au cours de son parcours.
« La lassitude vis-à-vis de l'authentification multifactorielle est un véritable problème », déclare John Gunn, PDG de Token, une entreprise qui développe une bague permettant d'authentifier les utilisateurs grâce à leurs empreintes digitales. Selon M. Gunn, un bon moyen de contrecarrer les tentatives de piratage des systèmes d'authentification unique, qui permettent aux utilisateurs d'accéder à plusieurs plateformes, consiste à recourir à des méthodes d'authentification qui ne peuvent pas être piratées à distance, telles que la biométrie.
Se prémunir contre les pirates informatiques de la génération Z
Une des différences entre les jeunes hackers et leurs aînés réside dans le fait que les jeunes ont généralement beaucoup plus de temps libre, ajoute Gunn. Ils pourraient être prêts à passer quatre à six mois à tester différentes techniques pour trouver un moyen d'y parvenir. Sinon, ils ne font rien de vraiment original.
«La meilleure façon de lutter contre les pirates informatiques est de les mettre au travail. »David Maynor, directeur principal chargé du renseignement sur les menaces chez Cybrary
La solution pour se protéger contre les hackers adolescents est la même que celle utilisée pour se prémunir contre les cybercriminels professionnels et les acteurs étatiques : une bonne hygiène informatique.
Les RSSI ne peuvent pas tout protéger de la même manière ; ils doivent donc hiérarchiser les risques, déterminer quelles données et quels systèmes sont les plus essentiels au bon fonctionnement de l'entreprise, et concentrer leurs ressources sur ceux-ci, ajoute M. Prewitt.
« Dans quel secteur d'activité exercez-vous, du point de vue des risques ? » dit-il. « Quels types d'adversaires voudront vous attaquer ? » « D'après mon expérience, ce n'est pas que les RSSI ne gèrent pas correctement les technologies de sécurité ; c'est qu'ils ne comprennent pas suffisamment l'activité pour savoir comment la protéger. »
Selon M. Prewitt, l'adoption d'un cadre d' « zero trust » peut également compliquer la tâche des attaquants qui tenteraient de se déplacer latéralement une fois qu'ils ont obtenu l'accès. Cela permet de réduire la surface d'attaque et de limiter considérablement les dégâts.
Une autre façon de gérer les jeunes agresseurs ? « Embauchez-les », déclare Maynor, de Cybrary.
« Je suis sincèrement convaincu que la meilleure façon de lutter contre les pirates informatiques est de les mettre au travail », déclare-t-il. « Les responsables de la sécurité des systèmes d'information (RSSI) doivent savoir que si le pirate informatique n'a pas commis d'infractions graves, il ou elle pourrait être un(e) stagiaire ou un(e) employé(e) débutant(e) idéal(e). »
