Un récent vol de cryptomonnaies – l'un des plus lucratifs de l'histoire – met en lumière une nouvelle tendance inquiétante dans le domaine de la cybercriminalité : la falsification de données.
En février dernier, les employés de Bybit, l'une des plus grandes plateformes d'échange de cryptomonnaies de type « » au monde , ont remarqué quelque chose d'étrange : plus de 400 000 jetons Ethereum, d'une valeur d'environ 1,5 milliards de dollars, avaient discrètement disparu. Il n'y avait aucune note du ransomware « », aucun signe de piratage par force brute, et aucune alerte évidente ne s'est déclenchée.
L'indice révélateur se trouvait enfoui au cœur du code d'un service tiers auquel l'entreprise avait recours pour les transactions à signatures multiples. Une ligne avait été modifiée : l'adresse du portefeuille de destination.
On estime que cette modification subtile a permis de détourner près de 300 millions de dollars vers des comptes liés au « Lazarus Group » , un groupe de pirates informatiques nord-coréens, également connu sous le nom de « ». (Alors que l'infrastructure compromise a mis en danger environ 1,5 milliards de dollars de cryptomonnaies, seule une partie a pu être retirée avec succès ).
Ce n'était pas simplement un cambriolage éclair. Il s'agissait d'un sabotage minutieux, qui illustre parfaitement la falsification de données et la manière dont celle-ci peut discrètement compromettre même les systèmes numériques les plus sécurisés. Et ce problème ne concerne pas uniquement les plateformes d'échange de cryptomonnaies. La falsification de données peut nuire à n'importe quelle entreprise, quel que soit son secteur d'activité, de manière inimaginable. Les banques, qui s'essaient avec prudence à la cryptomonnaie et aux services de blockchain, sont particulièrement vulnérables à ces attaques. Et les responsables de la sécurité de l'information d' , , auraient tout intérêt à ne pas sous-estimer cette menace, soulignent les experts.
« Les responsables de la sécurité des systèmes d'information (RSSI) devraient accorder une attention particulière à la falsification des données, car ces menaces ont souvent des conséquences visibles et immédiates, telles que des pertes financières ou une atteinte à la réputation », a averti Kevin Curran, professeur en cybersécurité à l'université d'Ulster, en Irlande du Nord.
Qu'est-ce que la falsification de données ?
Ce qui rend la falsification des données si problématique, c'est la discrétion et l'omniprésence avec lesquelles elle peut être mise en œuvre.
«En modifiant subtilement les données au lieu de les voler ou de les détruire, les attaquants peuvent manipuler les décisions, semer la méfiance ou masquer leur présence, tout en restant inaperçus. »Kevin Curran, professeur en cybersécurité à l'université d'Ulster
Par définition, il s'agit de la modification intentionnelle et non autorisée de données visant à induire en erreur les systèmes, les opérateurs ou les décisions en aval. L'objectif n'est pas nécessairement de voler ou de détruire des éléments, comme c'est le cas pour la plupart des cyberattaques ; il s'agit plutôt, bien souvent, de manipuler discrètement des données telles que des journaux, des relevés de capteurs ou des informations transactionnelles à des fins financières, d'espionnage ou de sabotage.
[À lire également : Qu'est-ce que la détection et la réponse aux menaces ?] [Un guide pratique]
« La falsification des données est une méthode puissante et souvent sous-estimée dans la panoplie des pirates informatiques, car elle vise l’intégrité des informations plutôt que leur disponibilité ou leur confidentialité », a déclaré M. Curran. « En modifiant subtilement les données au lieu de les voler ou de les détruire, les pirates peuvent influencer les décisions, semer la méfiance ou dissimuler leur présence, tout en passant inaperçus. »
La falsification de données est et non l'empoisonnement de données – bien que ces deux pratiques sapent la confiance
Bien qu'on le confonde parfois avec l'empoisonnement des données ( ), qui consiste à injecter des données malveillantes ou corrompues dans un modèle lors de sa création ou de son apprentissage, la falsification (tampering) vise les informations existantes. Cela modifie les données sur lesquelles s'appuient les systèmes et les solutions, y compris les agents d'IA, pour prendre des décisions et agir. Ces deux types d'attaques finissent par éroder la confiance d' dans l'intégrité des données. Lorsque les organisations ne peuvent plus être sûres que leurs données reflètent la réalité, chaque décision, action ou audit fondé sur ces données devient suspect.
Une enquête intitulée « 2024 » menée par Protiviti et l’Institut des auditeurs internes ( ) a classé la gouvernance et l’intégrité des données parmi les principaux risques technologiques, ce qui confirme la prise de conscience croissante du fait que la falsification menace directement la fiabilité des systèmes. Et à mesure que les organisations s'orientent vers des processus de prise de décision automatisés de plus en plus « », les conséquences d'une prise de décision fondée sur des données falsifiées se multiplient.
Gartner prévoit que d’ici , 2028, 33 % des applications logicielles d’entreprise intégreront une IA autonome, contre seulement 1 % en 2024, et que 80 % des problèmes courants liés au service client pourraient être traités par des agents plutôt que par des humains d’ici 2029. Mais que se passerait-il si des pirates informatiques manipulaient les données opérationnelles utilisées par les agents pour prendre leurs décisions ?
Et alors ?
Selon Jennifer Glenn, directrice de recherche en sécurité des données et de l'information chez IDC, cabinet international spécialisé dans les études de marché dans le domaine des technologies de l'information, les entreprises qui utilisent des agents d'IA en contact avec la clientèle devraient se montrer particulièrement vigilantes face aux données corrompues qui nuisent à l'expérience de la marque. Si un saboteur, un hacktiviste, un espion d'entreprise ou un État modifie des données de telle sorte que les agents réagissent de manière inadéquate face aux clients, cela pourrait avoir des répercussions à long terme et d s pour l'entreprise, a-t-elle déclaré.
« Depuis que l’IA générative a fait son apparition et s’est généralisée, le secteur de la sécurité des données est devenu complètement fou », a déclaré Glenn. « Il faut désormais mettre en place une protection très rigoureuse autour de ces données d'IA. » « Une seule perturbation suffit à faire perdre à une entreprise des sommes considérables et à nuire à sa réputation. »
Mais l'IA générique n'est pas seulement vulnérable aux données falsifiées. Il peut également servir d'outil puissant de falsification des données. C'est ce qui inquiète M. Curran.
« L’essor de l’IA générative renforce considérablement la nécessité de lutter contre la falsification des données en tant que vecteur de menace pour la cybersécurité, car il offre aux acteurs malveillants de nouvelles méthodes, une ampleur et une complexité accrues pour manipuler les données », a déclaré M. Curran. « Ces manipulations sont plus difficiles à détecter que les méthodes traditionnelles de falsification, car les contrefaçons générées par l’IA peuvent contourner les contrôles d’intégrité de base ou l’examen humain. »
Par exemple, un rapport financier falsifié par l'IA pourrait induire les auditeurs en erreur, ou une vidéo « deepfake » de pourrait permettre à quelqu'un de se faire passer pour un PDG afin d'autoriser des transactions frauduleuses, a-t-il ajouté.
La distinction subtile en matière de falsification de données
La manipulation peut prendre plusieurs formes : elle peut désactiver complètement le modèle d'IA ou l'amener à produire des résultats inexacts, biaisés ou choquants, qui sapent la confiance des clients. Dans certains cas, les pirates pourraient s'en servir comme diversion pour induire les équipes de sécurité en erreur, à l'instar d'un film de braquage où un groupe simule une crise tandis qu'un autre s'attaque à la véritable cible.
«Depuis que l’IA générative a fait son apparition et s’est généralisée, le domaine de la sécurité des données est devenu complètement fou. »Jennifer Glenn, directrice de recherche en sécurité des données et de l'information chez IDC
« Les attaquants pourraient faire quelque chose par ici pour vous empêcher de voir ce qui se passe par là-bas », a déclaré Glenn. « Peut-être qu'ils manipulent vos données pour générer des réponses vraiment problématiques qui vous causent des ennuis. » Mais pendant que vous vous occupez de régler ce problème, ils exfiltrent depuis un autre site des données auxquelles ils ne devraient pas avoir accès. « Bon, je veux dire, ça pourrait faire office de couverture. »
Les pirates informatiques pourraient également recourir à la falsification de données pour altérer le code au fur et à mesure de son développement. Par exemple, quelqu'un pourrait modifier légèrement des données afin de ralentir les cycles de développement, d'introduire des portes dérobées dans les logiciels, voire de mettre un projet en veilleuse. « Étant donné que tant d'équipes informatiques manquent de personnel, il pourrait s'avérer difficile de résoudre ces problèmes », a déclaré Glenn.
Jusqu'à présent, ce genre d'incidents semble rare. Cependant, des cas de falsification de données ont été constatés lors d'attaques de type « » visant des infrastructures critiques. Par exemple, dans l'affaire « novembre 2023 », une station de traitement des eaux située près de Pittsburgh a découvert que son automate programmable (PLC) avait été piraté. Au lieu des affichages habituels, les opérateurs ont vu un message anti-israélien griffonné sur l'écran tactile. Cette fuite n'a pas entraîné l'arrêt de la centrale. Cela a néanmoins contraint le service public à passer à des commandes manuelles et a suscité des inquiétudes quant à la facilité avec laquelle des pirates pourraient manipuler ce que voient les opérateurs (une forme visuelle de falsification des données).
Quelques semaines plus tard, à Muleshoe, au Texas, des pirates informatiques pro-russes ont activé à distance des pompes à eau et modifié des alarmes, provoquant le débordement d'un réservoir. Les données affichées à l'écran indiquaient un fonctionnement normal, alors même que le réservoir débordait. Il ne s'agissait pas d'une attaque par force brute. Il s'agissait d'un sabotage subtil par le biais d'une manipulation visant à exercer un contrôle.
D'autres campagnes sont allées encore plus loin. Des groupes liés à la Chine, tels que BlackTech et UNC3886 , auraient altéré le micrologiciel et les journaux des routeurs – qui contrôlent le comportement des appareils et enregistrent l'activité réseau – afin de conserver un accès à long terme et indétectable aux réseaux d'organisations issues des secteurs de la défense, de l'administration, des télécommunications, des hautes technologies et des médias. Dans certains cas, ils ont complètement désactivé la journalisation, empêchant ainsi les responsables de la sécurité réseau de détecter leur présence.
Glenn fait remarquer que les États-nations ont souvent tendance à privilégier la falsification des données car, lorsqu'elle est découverte, celle-ci peut ressembler à une simple erreur de configuration du système ou à une erreur de programmation plutôt qu'à l'œuvre d'un intrus étranger.
De plus, les systèmes de défense traditionnels ne sont pas conçus pour détecter les violations subtiles de l'intégrité. De nombreuses organisations ne disposent pas des outils nécessaires pour faire la distinction entre une modification de configuration légitime et une modification malveillante visant à effacer les traces ou à compromettre les systèmes.
5 stratégies pour lutter contre la falsification des données
Pour mettre fin à la falsification des données, il faut passer d'une défense périmétrique à une garantie d'intégrité en profondeur. Voici cinq stratégies recommandées par les experts :
1. Soyez attentifs aux anomalies
Sachez à quoi ressemble la « situation normale » pour les données et configurations clés. Déployez des outils de gestion des terminaux pour la surveillance des données sensibles la visibilité et le contrôle , des terminaux, la détection des menaces en temps réel, la surveillance de l'intégrité et la prévention des pertes de données (DLP).
2. Restez vigilants
Le suivi de l'origine des données et de leur parcours au sein d'un système permet de détecter plus facilement les signes d'altération et de demander des comptes aux responsables.
3. Utilisez des contrôles d'intégrité cryptographiques
Protégez les fichiers journaux et de configuration critiques à l'aide de méthodes permettant de vérifier leur authenticité. Ces contrôles permettent de détecter immédiatement toute modification non autorisée, ce qui contribue à empêcher toute manipulation furtive et à préserver la confiance dans les données du système.
4. Centraliser les journaux sur un support de stockage inviolable
Enregistrez les journaux sur des systèmes sécurisés et à écriture unique (tels que les supports WORM (Write-Once-Read-Many ou « »), où les pirates ne peuvent pas effacer discrètement leurs traces s’ils parviennent à compromettre une machine.
5. Adopter les principes de la « sécurité dès la conception »
La « sécurité dès la conception » consiste à intégrer les aspects liés à la sécurité à chaque étape du développement d'un système, et ce dès les premières phases. Selon M. Curran, les organisations peuvent prévenir la falsification des données en anticipant les menaces grâce à la modélisation, en élaborant des plans d'intervention en cas d' qui tiennent compte des atteintes à l'intégrité des données, et en sécurisant leur chaîne d'approvisionnement grâce à une vérification rigoureuse des composants tiers et à la mise en œuvre de pratiques de développement sécurisées.
Le risque le plus important
L'intégrité des données a toujours été une priorité tant pour les entreprises que pour les services informatiques ; pourtant, 67 % des décideurs s'appuyant sur les données ne font pas entièrement confiance à leurs données, selon l'étude « » de Precisely, disponible à l'adresse. Alors que de plus en plus d'entreprises s'intéressent aux agents d'IA dont le fonctionnement repose sur des données fiables, les RSSI doivent repenser leurs stratégies en matière de données, a déclaré M. Curran.
« Les cas de falsification de données vont se multiplier », a-t-il déclaré. « Si l’on ignore cette menace, on s’expose à des perturbations opérationnelles, à des sanctions réglementaires et à une perte de confiance. »
