Un nouveau rapport a révélé que la perte de données la plus importante de l'histoire de la CIA était due à des pratiques de sécurité «terriblement relâchées».
Au début de 2017, WikiLeaks a publié des détails sur les outils de piratage top secrets de la CIA qui faisaient en fait partie d'un ensemble plus large de données (37 To) volées dans l'un des réseaux de haute sécurité de l'agence américaine. Ces outils de piratage ont été développés par le Center for Cyber Intelligence (CCI) de la CIA et publiés par WikiLeaks dans le cadre de sa série de fuites Vault 7.
Un groupe de travail WikiLeaks a été constitué pour enquêter sur les pratiques qui ont conduit à la perte massive de données de l'agence et il a publié un rapport sept mois après la première fuite de Vault 7 qui fournissait plus de détails sur l'étendue et la cause de la fuite. Le rapport a révélé que la CCI était plus soucieuse de créer des cyber-armes que de les sécuriser.
"Les CIA [Center for Cyber Intelligence (CCI)] a donné la priorité à la construction d'armes cybernétiques au détriment de la sécurisation de ses propres systèmes. Les pratiques de sécurité quotidiennes étaient terriblement relâchées … La plupart de nos cyberarmes sensibles n'étaient pas compartimentées, les utilisateurs partageaient les mots de passe au niveau de l'administrateur système, il n'y avait pas de contrôle efficace des supports amovibles et les données historiques étaient disponibles indéfiniment pour les utilisateurs. De plus, CCI s'est concentré sur la construction d'armes cybernétiques et a négligé de préparer également des trousses d'atténuation si ces outils étaient exposés. Ces lacunes étaient emblématiques d'une culture qui a évolué au fil des ans et qui a trop souvent privilégié la créativité et la collaboration au détriment de la sécurité. "
Sommaire
Sécurité terriblement laxiste
Selon le rapport, l'employé de la CIA responsable des fuites du Vault 7 a volé au moins 180 Go de données au printemps 2016. Cependant, le groupe de travail a déclaré que l'employé avait peut-être effectivement prélevé jusqu'à 34 To des données de l'agence.
En 2018, les autorités fédérales ont identifié l'ancien employé de la CIA, Joshua Adam Schulte, comme le suspect qui avait divulgué les données. Il a ensuite été inculpé et a plaidé non coupable. Cependant, lors du procès pénal de Schulte, le jury n'a pas été en mesure de se prononcer sur les charges les plus graves.
Le rapport du groupe de travail a également révélé que WikiLeaks n'avait pas obtenu les versions finales des outils de piratage et du code source de la CIA car ils étaient stockés dans un dossier Gold qui était mieux protégé.
Alors que la fuite de données de WikiLeaks Vault 7 était gênante pour la CIA, elle a probablement enseigné à l'agence une leçon en matière de sécurisation des données sensibles.
Via Ars Technica
