Un récent vol de cryptomonnaie, l’un des plus lucratifs de l’histoire, reflète une nouvelle tendance en termes de cybercriminalité : la falsification des données.
En février dernier, les employés de Bybit, l’un des plus grands bureaux de change de cryptomonnaies au monde, ont remarqué quelque chose d’étrange : plus de 400 000 jetons Ethereum, d’une valeur d’environ 1,5 milliards USD, avaient discrètement disparu. Il n’y avait pas de notes de ransomware, aucun signe de piratage par force brute, aucune alerte évidente déclenchée.
L’indice concret réside profondément dans le code d’un service tiers que l’entreprise a utilisé pour les transactions multisignature. Une ligne avait changé : une adresse de portefeuille de destination.
Cette modification subtile aurait permis de détourner près de 300 millions USD vers des comptes liés au groupe Lazarus, un gang de pirates informatiques nord-coréen. (Bien que l’infrastructure exposée mette en danger environ 1,5 milliards USD de cryptomonnaie, seule une partie a été encaissée avec succès).
Il ne s’agissait pas seulement d’une attaque. Il s’agissait d’un sabotage de précision, d’une illustration claire de la falsification des données et de la manière dont elle peut subvertir silencieusement même les systèmes numériques les plus sécurisés. Et ce n’est pas seulement un problème pour les échanges cryptographiques. La falsification des données peut nuire à n’importe quelle entreprise dans n’importe quel secteur d’activité de manière inimaginable. Les banques, qui
« Les RSSI doivent prêter une attention particulière à la falsification des données, car ces menaces ont souvent des impacts visibles et immédiats, tels que des pertes financières ou une atteinte à la réputation », a averti Kevin Curran, professeur de cybersécurité à l’Université d’Ulster en Irlande du Nord.
Qu’est-ce que la falsification des données ?
Ce qui rend la falsification des données si problématique, c’est la manière dont elle peut être déployée de manière silencieuse et omniprésente.
« En modifiant subtilement les données au lieu de les voler ou de les détruire, les attaquants peuvent manipuler les décisions, semer la méfiance ou masquer leur présence, tout en restant sous le radar. »Kevin Curran, professeur de cybersécurité, Ulster University
Par définition, il s’agit de la modification intentionnelle et non autorisée des données pour tromper les systèmes, les opérateurs ou les décisions en aval. L’objectif n’est pas nécessairement de voler ou de briser des choses, comme avec la plupart des cyberattaques ; il s’agit plutôt de manipuler discrètement des enregistrements tels que des journaux, des lectures de capteurs ou des informations transactionnelles à des fins financières, d’espionnage ou de sabotage.
[Lire également : Qu’est-ce que la détection et la réponse aux menaces ? Un guide pratique]
« La falsification des données est une méthode puissante et souvent sous-estimée dans la boîte à outils du pirate informatique, car elle cible l’intégrité des informations plutôt que leur disponibilité ou leur confidentialité », a déclaré Curran. « En modifiant subtilement les données au lieu de les voler ou de les détruire, les attaquants peuvent manipuler les décisions, semer la méfiance ou masquer leur présence, tout en restant sous le radar. »
La falsification des données n’est pas une intoxication des données, bien que les deux érodent la confiance
Bien que parfois confondue avec l’empoisonnement des données, qui implique l’injection de données malveillantes ou corrompues dans un modèle pendant sa création ou sa formation, la falsification cible les informations existantes. Il modifie les données sur lesquelles les systèmes et les solutions, y compris les agents d’IA, s’appuient pour prendre des décisions et agir. Les deux types d’attaques finissent par entraîner une érosion de la confiance dans l’intégrité des données. Lorsque les organisations ne peuvent plus avoir confiance dans le fait que leurs données reflètent la réalité, chaque décision, action ou audit basé sur ces données devient suspect.
Une enquête de 2024 Protiviti et de l’Institute of Internal Auditors a classé la gouvernance et l’intégrité des données parmi les principaux risques technologiques, renforçant la reconnaissance croissante que la falsification menace directement la fiabilité des systèmes. Et à mesure que les organisations s’orientent vers une prise de décision plus automatisée, les conséquences de l’action sur les données falsifiées se multiplient.
Gartner prévoit que d’ici 2028, 33 % des applications logicielles d’entreprise incluront l’ IA agentique, contre seulement 1 % en 2024, et 80 % des problèmes courants de service client pourraient être traités par des agents au lieu des humains d’ici 2029. Mais que se passe-t-il si les pirates informatiques manipulent les données opérationnelles utilisées par les agents pour prendre des décisions ?
Et alors ?
Selon Jennifer Glenn, directrice de la recherche pour la sécurité des données et de l’information chez IDC, la société mondiale de renseignement sur le marché informatique, les entreprises utilisant des agents d’IA en contact avec les clients doivent être particulièrement préoccupées par les données corrompues qui affectent l’expérience de la marque. Si un saboteur, un pirate informatique, un espion d’entreprise ou un État-nation modifie les données d’une manière qui amène les agents à mal répondre aux clients, cela pourrait avoir des répercussions à long terme sur l’entreprise, a-t-elle déclaré.
« Depuis que GenAI est entré sur le marché et est devenu courant, le domaine de la sécurité des informations sur les données vient de devenir des bananes », a déclaré Glenn. « Vous avez besoin de tant de protection autour de ces données d’IA. Une seule perturbation suffit à faire perdre de l’argent et de la réputation à une entreprise. »
Mais GenAI n’est pas seulement vulnérable aux données falsifiées. Il peut également servir d’outil puissant de falsification des données. C’est ce qui inquiète Curran.
« L’essor de l’IA générative amplifie considérablement l’importance de traiter la falsification des données comme un vecteur de menace de cybersécurité, car elle introduit de nouvelles méthodes, une nouvelle échelle et une nouvelle complexité pour que les acteurs malveillants puissent manipuler les données », a déclaré Curran. « Ces manipulations sont plus difficiles à détecter que les méthodes de falsification traditionnelles, car les faux générés par l’IA peuvent contourner les contrôles d’intégrité de base ou l’examen humain. »
Par exemple, un rapport financier modifié par l’IA pourrait induire les auditeurs en erreur ou une vidéo factice pourrait se faire passer pour un PDG pour autoriser des transactions frauduleuses, ajoute-t-il.
Distinction subtile de la falsification des données
L’altération peut prendre plusieurs formes : elle peut désactiver entièrement le modèle d’IA ou entraîner des résultats inexacts, biaisés ou offensants qui érodent la confiance des clients. Dans certains cas, les attaquants peuvent l’utiliser comme une distraction pour tromper les équipes de sécurité, comme dans un film de vol où un groupe organise une crise tandis qu’un autre frappe la cible réelle.
« Depuis que GenAI est entré sur le marché et est devenu courant, le domaine de la sécurité des informations sur les données vient de passer aux bananes. »Jennifer Glenn, directrice de recherche pour la sécurité des données et de l’information, IDC
« Les pirates informatiques peuvent faire quelque chose ici pour vous empêcher de regarder ce qui se passe là-bas », a déclaré Glenn. « Peut-être manipulent-ils vos données pour créer de très mauvaises réponses qui vous posent des problèmes. Mais pendant que vous corrigez cela, ils exfiltrent des données qu’ils ne devraient pas avoir à partir d’un autre emplacement. Donc, je veux dire, cela pourrait être comme une couverture. »
Les pirates informatiques peuvent également utiliser la falsification des données pour salir le code au fur et à mesure qu’il se développe. Par exemple, quelqu’un pourrait modifier légèrement les données pour ralentir les cycles de vie du développement, introduire des portes dérobées logicielles ou même mettre un projet en parallèle. Étant donné que tant d’équipes informatiques manquent de personnel, il peut être difficile de résoudre de tels problèmes, a déclaré Glenn.
Jusqu’à présent, ces types d’incidents semblent rares. Mais la falsification des données a fait son apparition dans les attaques sur les infrastructures critiques. Par exemple, en novembre 2023, une installation de traitement de l’eau près de Pittsburgh a découvert que son contrôleur logique programmable (PLC) avait été détourné. Au lieu de lectures régulières, les opérateurs ont vu un message anti-Israël traîné sur l’écran tactile. La violation n’a pas arrêté l’usine. Cependant, elle a forcé l’utilitaire à passer à des contrôles manuels et a déclenché des alarmes sur la facilité avec laquelle les attaquants pouvaient manipuler ce que les opérateurs voient (une forme visuelle de falsification des données).
Quelques semaines plus tard, à Muleshoe, au Texas, des pirates informatiques pro-russes ont allumé à distance des pompes à eau et modifié les alarmes, ce qui a entraîné un débordement du réservoir. Les données à l’écran ont montré un fonctionnement normal, même lorsque le réservoir s’est renversé. Il ne s’agissait pas d’une attaque par force brute. Il s’agissait d’un sabotage subtil grâce à la manipulation du contrôle.
D’autres campagnes sont allées encore plus loin. Des groupes liés à la Chine tels que BlackTech et UNC3886 auraient falsifié le micrologiciel et les journaux du routeur, qui contrôlent le comportement des appareils et enregistrent l’activité du réseau, afin de maintenir un accès à long terme et non détecté aux réseaux des organisations de défense, gouvernementales, de télécommunications, de haute technologie et de médias. Dans certains cas, ils ont complètement désactivé la journalisation, aveuglant les défenseurs du réseau à leur présence.
Glenn note que les États-nations favorisent souvent la falsification des données car, lorsqu’elle est découverte, elle peut ressembler à une mauvaise configuration du système ou à une erreur de codage de routine plutôt qu’au travail d’un intrus étranger.
De plus, les défenses traditionnelles ne sont pas conçues pour détecter les violations subtiles de l’intégrité. De nombreuses organisations manquent d’outils pour faire la distinction entre un changement de configuration légitime et un changement malveillant conçu pour effacer les empreintes ou inverser les systèmes.
5 tactiques pour amortir la falsification des données
L’arrêt de la falsification des données nécessite un passage de la défense du périmètre à une assurance d’intégrité approfondie. Voici cinq stratégies soutenues par des experts :
1. Surveillez les anomalies
Sachez à quoi ressemble la « normalité » pour les données et configurations clés. Déployez des outils pour la surveillance des données sensibles, la visibilité et le contrôle des endpoints, la détection des menaces en temps réel, la surveillance de l’intégrité et la prévention des pertes de données (DLP).
2. Restez vigilant
Le suivi de l’origine des données et de la manière dont elles se déplacent dans un système permet de repérer plus facilement les signes de falsification et de tenir les bonnes parties responsables.
3. Utiliser des contrôles d’intégrité cryptographique
Protégez les journaux critiques et les fichiers de configuration à l’aide de méthodes qui vérifient leur authenticité. Ces vérifications garantissent que toute modification non autorisée est détectée immédiatement, ce qui permet d’arrêter la manipulation silencieuse et de maintenir la confiance dans les données du système.
4. Centraliser les journaux sur un stockage inviolable
Envoyez des journaux pour sécuriser des systèmes d’ajout uniquement (comme Write-Once-Read-Many, ou WORM, stockage) où les attaquants ne peuvent pas effacer silencieusement leurs pistes s’ils compromettent une machine.
5. Adopter des principes sécurisés par nature
Sécuriser par la conception signifie intégrer des considérations de sécurité à chaque étape du développement du système dès les étapes initiales. Selon Curran, les organisations peuvent empêcher la falsification des données en anticipant les menaces grâce à la modélisation, en préparant des plans de réponse aux incidents qui comprennent les violations d’intégrité des données, et en sécurisant leur chaîne d’approvisionnement en examinant les composants tiers et en appliquant des pratiques de développement sécurisées.
Le risque plus important
L’intégrité des données a toujours été une priorité commerciale et informatique, mais 67 % des décideurs axés sur les données ne font pas entièrement confiance à leurs données, selon une étude précise. Alors que de plus en plus d’entreprises explorent des agents d’IA qui dépendent de données fiables pour fonctionner, les RSSI doivent repenser leurs stratégies de données, a déclaré M. Curran.
« Les incidents de falsification des données vont augmenter », a-t-il déclaré. « Ignorer cette menace risque des perturbations opérationnelles, des pénalités réglementaires et une érosion de la confiance. »
testent prudemment les services de cryptomonnaie et de blockchain, sont particulièrement vulnérables à ces attaques. Et les responsables de la sécurité de l’information seraient sage de ne pas sous-estimer la menace, notent les experts.
