Les détails techniques de ce qui pourrait bien être le plus grand piratage de cryptomonnaie à ce jour devraient tirer la sonnette d'alarme pour les entreprises qui envisagent de s'implanter dans cet univers numérique émergent que l'on appelle le métaverse.
Fin mars, des pirates informatiques nord-coréens auraient exploité une faille dans une méthode utilisée pour valider les transactions sur le métaverse afin de dérober plus de 615 millions de dollars en cryptomonnaie Ether et en stablecoin USDC du jeu « play-to-earn » Axie Infinity. The game is built on a blockchain, a Web3 technology powering the metaverse that relies on a decentralized digital ledger to record transactions widely across the internet.
Compte tenu de l'effondrement des cours des cryptomonnaies et de la difficulté pour les pirates informatiques de revendre les cryptomonnaies dérobées, ce vol pourrait ne pas s'avérer aussi rentable qu'il semblait l'être au départ. Mais le fait que des pirates informatiques aient pris pour cible une entreprise du métaverse à un stade aussi précoce du développement de cet écosystème laisse présager l'apparition de cybercrimes plus graves. Et cela devrait inquiéter tout dirigeant qui souhaite effectuer des transactions ou organiser des réunions en toute sécurité via le métaverse.
« Ce n'est sans doute que le début d'une longue série d'attaques réussies dans le métaverse », déclare Caroline Wong, directrice de la stratégie chez Cobalt, un prestataire de services de tests d'intrusion. « À mesure que le métaverse gagne en popularité et se généralise, les gains potentiels pour les pirates malveillants
augmentent également. »
Les investissements dans le métaverse sont en hausse
Bien que les définitions varient, on considère généralement le métaverse comme un espace virtuel partagé qui fusionne les mondes physique et numérique. Souvent, cette technologie fait appel à la réalité virtuelle (RV), à la réalité augmentée (RA), à des caméras, à des capteurs et à d'autres technologies pour permettre des expériences immersives 3D à partager avec d'autres personnes. Une fois dans cet univers numérique, les utilisateurs endossent des avatars qui se réunissent pour jouer, nouer des liens et mener des activités professionnelles.
Cette description pourrait vous rappeler des films tels que « » , « Matrix »ou « ». Mais c'est bien réel, et certains affirment que les consommateurs comme les entreprises utilisent déjà le métaverse, qu'ils en aient conscience ou non. Les jeux en réalité mixte tels que Fortnite, Roblox et Minecraft ouvrent la voie. Des entreprises telles qu’ , Accenture, Microsoft et le Forum économique mondial, ainsi que des agences de marketing comme l’ et Starr Conspiracy, communiquent, collaborent et se réunissent dans le métaverse. Des marques de prêt-à-porter telles qu’ , Ralph Lauren et Nike proposent déjà des expériences d’achat virtuelles, tandis que le constructeur automobile BMW développe des jumeaux numériques de ses usines afin de mener des expérimentations.
En effet, le métaverse a le potentiel de devenir une activité très lucrative. Citi prévoit que les transactions numériques, les appareils et les autres activités économiques liées au métaverse pourraient atteindre une valeur de 13 000 milliards de dollars d'ici 2030, avec une population d'environ 5 milliards d'utilisateurs. Et les géants de la technologie, de Meta — dont le nom a été rebaptisé à juste titre — à Microsoft, Google, Adobe Systems, Snap et Nvidia, investissent massivement dans les plateformes, les outils et les services technologiques nécessaires à son fonctionnement.
« Le métaverse recèle un immense potentiel positif pour créer de nouvelles économies d'échelle et nouer des liens significatifs avec des personnes du monde entier », déclare M. Wong.
Les cibles lucratives ne manquent pas
Bien sûr, dès que l'argent afflue vers le monde numérique, les cybercriminels
ne tardent pas à suivre. Et dans le métaverse, les cibles alléchantes sont nombreuses
et ne cessent de se multiplier.
«La quantité de données personnelles que nous allons générer… dans le métaverse en fait une cible extrêmement attrayante pour les acteurs malveillants. »Sean Spradling, analyste senior chez Wainhouse Research
Le commerce, par exemple, s'effectue de plus en plus souvent à l'aide de monnaies numériques. De nombreux sites consacrés aux jeux, au divertissement et à la vente au détail se consacrent à la création, à l'échange et à la vente de jetons non fongibles (NFTs), qui sont des certificats attestant la propriété d'objets numériques uniques, tels que des œuvres d' , des objets de collection sportifs, des chansons, des jeux ou des films. Les portefeuilles numériques utilisés pour effectuer des achats dans le métaverse peuvent également devenir des cibles.
« La quantité de données personnelles que nous allons générer et que nous devrons gérer dans le métaverse en fait une cible extrêmement attrayante pour les acteurs malveillants », explique Sean Spradling, analyste senior chez Wainhouse Research. « Il faudra que quelqu’un fasse un grand pas en avant et prenne la tête de cette initiative pour que tout cela se concrétise. »
Les méthodes utilisées par les cybercriminels pour s'introduire dans le métaverse, en prendre le contrôle et s'emparer des données et des richesses qu'il renferme ne seront pas nécessairement sophistiquées. Du moins, pas au début.
Hermes Frangoudis, directeur des relations avec les développeurs chez Agora, un fournisseur de plateformes de métaverse, affirme que les pirates informatiques utiliseront bon nombre des techniques qu'ils emploient déjà aujourd'hui sur le Web. Ils s'attaqueront aux personnes qui ne font pas suffisamment attention et lanceront des attaques de phishing ou des escroqueries par ingénierie sociale afin de s'introduire dans le système.
« S'en prendre à des particuliers sera une proie facile, tout comme la plupart des bandits du Far West s'en prenaient aux gens plutôt que de braquer des banques. » déclare M. Frangoudis. « Bien sûr, les banques et les bourses seront prises pour cible. » « Mais ces attaques seront moins fréquentes et seront le fait de cybercriminels plus sophistiqués. »
M. Wong, de Cobalt, affirme que les « attaques par superposition d'écran » pourraient devenir une méthode de piratage courante. Ces dispositifs sont similaires aux skimmers numériques que les cybercriminels installent sur les distributeurs automatiques de billets pour voler les données des cartes de crédit. Ce n'est que dans le métaverse qu'un pirate crée une réplique d'un écran de connexion qui vient se superposer à l'écran réel et tente de piéger un utilisateur, qu'il soit sur mobile ou sur ordinateur, afin qu'il divulgue des données privées ou sensibles. Pire encore, si un utilisateur porte justement un casque de réalité virtuelle ou de réalité augmentée à ce moment-là, cette technique pourrait se transformer en une arme virtuelle ayant des conséquences physiques dans le monde réel.
« Les cybercriminels pourraient recourir à une attaque par superposition pour amener un utilisateur à descendre un véritable escalier, le pousser à s'avancer au milieu de la rue ou lui montrer des images ou des sons perturbants », prévient-elle.
Le matériel dédié au métaverse lui-même pourrait constituer un autre vecteur d'attaque nouveau et problématique. Équipements de réalité augmentée (RA) et de réalité virtuelle (RV), caméras, capteurs, câbles, terminaux… Tout ce que les utilisateurs emploient pour se connecter à des mondes virtuels pourrait compromettre leur sécurité et leur vie privée, les exposant à des piratages de compte, à des attaques de type « homme du milieu » et à d’autres failles de sécurité.
Des recherches ont montré, par exemple, que si un pirate informatique surveillait numériquement une personne portant un casque de réalité virtuelle, l’ensemble de ses caractéristiques physiques spécifiques — ses mouvements oculaires, les gestes de ses mains, les mouvements de tête et d’autres traits comportementaux — permettrait à d’identifier correctement 95 % des personnes en cinq minutes ou moins. En théorie, un pirate informatique pourrait utiliser ces données biométriques pour accéder à des portefeuilles numériques sur smartphone ou à des sites web.
Prendre des précautions
M. Frangoudis estime que les fabricants de matériel pourraient concevoir des commutateurs ou d'autres mécanismes de désactivation permettant de désactiver ou de limiter les fonctionnalités des appareils susceptibles d'être piratés, à l'instar du fonctionnement des boutons de mise en mode silencieux des téléphones portables. Mais, comme il le souligne, la mise au point de ces outils et techniques prendra du temps. Et tant qu'elles ne se seront pas généralisées, les utilisateurs devront faire preuve de prudence.
« En tant que consommateur, vous devez comprendre que ces appareils permettent de collecter de nombreuses données vous concernant », explique-t-il. « Avant de les utiliser, vous devez savoir quels types de données ils collectent à votre sujet et sur l'environnement qui vous entoure. » « Vous devez savoir comment ces données sont stockées et si elles sont cryptées de manière sécurisée. »
Au-delà des failles de sécurité courantes, la plus grande crainte est que les cybercriminels finissent par trouver des moyens nouveaux et imprévisibles de profiter des participants au métaverse qui ne se doutent de rien. Il existe un risque de chaos sur Internet, allant des « deepfakes » de vos amis et collègues aux robots qui vous incitent à divulguer vos données personnelles et financières. L'usurpation d'identité pourrait devenir aussi simple que de reproduire votre avatar.
Faire de la sécurité du métaverse une priorité
Le métaverse est une architecture en constante évolution, distribuée et ouverte. Il n'y a pas de contrôle réglementaire, et les normes sectorielles sous-jacentes ne se sont pas encore imposées. Mais les entreprises et les utilisateurs peuvent se préparer au métaverse en prenant quelques précautions, telles que celles-ci.
- Adoptez de bonnes pratiques en matière de cybersécurité . Les entreprises évoluant dans le métaverse en pleine expansion doivent mettre en œuvre les stratégies habituelles : appliquer régulièrement les correctifs , installer les mises à jour antivirus et mettre en place l'authentification multifactorielle (MFA) en complément des mots de passe. Elles devraient également réaliser régulièrement des tests d'intrusion et des audits afin d'évaluer la résilience de leurs défenses numériques et de réduire au minimum le risque lié aux portes dérobées dans le code et à d'autres vulnérabilités.
- Assurez une protection efficace des terminaux. Les ordinateurs portables, les tablettes et les smartphones sont souvent utilisés pour accéder au métaverse ; il sera donc essentiel que les entreprises puissent visualiser, gérer et sécuriser tous les terminaux. Les plateformes de protection des terminaux (EPP) peuvent aider de nombreuses organisations à maîtriser cet univers virtuel en pleine expansion.
- Cryptez les données sensibles. M. Frangoudis, d'Agora, affirme que les fournisseurs de technologies ont la responsabilité d'intégrer des mesures de sécurité dans leurs plateformes et leurs produits afin de garantir que les données soient transmises en toute sécurité. Toutefois, pour renforcer encore davantage la sécurité, il conseille aux services de sécurité informatique de chiffrer toutes les données et communications avant leur entrée dans les mondes virtuels. « Vous devez vous assurer que la connexion entre le terminal et votre serveur est valide et que personne n’intercepte vos URL ni ne s’interpose [dans le transfert de données] », explique-t-il. D'autres experts recommandent notamment que les métavers d'entreprise stockent les données sur l'appareil et limitent l'accès ainsi que le flux de données vers les plateformes non approuvées.
- Mettez en place une approche « zero trust ». Ne faire confiance à personne, que ce soit à l'intérieur ou à l'extérieur d'un réseau, tant que cette personne n'a pas prouvé son identité, est pertinent dans le monde centralisé actuel Web2 , et limiter l'accès par le biais de politiques de « zéro confiance » et de procédures est encore plus crucial dans le monde décentralisé émergent Web3 du métaverse.
- Renforcer l'éducation et la sensibilisation. « Les principes directeurs qui reposent sur ce que nous savons être vrai en matière de sécurité devraient constituer nos points d'ancrage dans le métaverse », déclare M. Wong, de Cobalt. « La sensibilisation à la cybersécurité, la formation et l'esprit d'initiative constituent les premières étapes pour prévenir les piratages. » Les employés et les consommateurs ont besoin d'être régulièrement informés sur la manière de repérer les activités suspectes et de les signaler.
« En fin de compte, les personnes et les organisations doivent se protéger dans le métaverse », déclare M. Frangoudis. « C'est vraiment le Far West, et vous allez devoir jouer le rôle de votre propre shérif. »
Pour en savoir plus, consultez notre série « À la découverte du métaverse »
1re partie : Les réunions dans le métaverse constituent-elles la solution pour renforcer l'engagement des collaborateurs ?
