Cyberattaque mortelle (bis)

No Comments

Comme je l’ai écrit dans mon précédent billet la mort d’une patient à cause d’une cyberattaque était loin d’être prouvée. Notamment parce que le flou qui entourait la chronologie ne laissait pas augurer d’une grande rigueur dans la recherche des faits et des causes de la mort.

C’est maintenant officiel, le lien entre les deux éléments (cyberattaque et décès) n’est pas retenu par la justice allemande : « l’enquête a finalement conclu que ce délai supplémentaire n’a pas joué de « rôle décisif » dans son décès. Les cybercriminels ne peuvent donc pas être poursuivis pour homicide involontaire. » (…) « Le délai n’a pas eu d’importance dans l’issue finale. La situation médicale était l’unique cause du décès », a déclaré le procureur.

Voici donc qui règle l’aspect cyber de l’affaire, sans pour autant légitimer l’attaque.

 

Cyberattaque mortelle ?

No Comments

Il y a environ 2 mois, une cyberattaque visant un hôpital allemand a été qualifiée de première cyberattaque mortelle. La presse s’en est d’ailleurs fait l’écho, mais depuis, plus aucune nouvelle.

Ce qui peut laisser songeur.

Il est vrai que les inondations dans le sud de la France, les attentats, l’actuel psychodrame électoral américain mobilisent davantage, mais nous pouvons nous poser quelques questions cependant :

  • alors que l’événement marque une rupture dans les cyberattaques qui, jusqu’à présent, n’avaient pas causé de morts, pourquoi si peu d’articles à ce sujet ? Les moteurs de recherche sont plutôt avares de références sur le sujet.
  • pourquoi (également) tous les experts de la cyber (plus nombreux que les spécialistes des maladies infectieuses) ne se sont-ils pas emparé, eux aussi, du sujet ?
  • comment se fait-il que les rares articles à en avoir parlé n’ont pas proposé de chronologie afin que nous sachions quel a été l’ordonnancement exact des événements ? La cyberattaque a-t-elle paralysé le bloc opératoire dans lequel la personne venait d’être admise, ou les responsables ont-ils tardé à la transférer une fois le constat de non fonctionnement du bloc fait ?

Ce dernier point est important car dans un cas la responsabilité des médecins n’est pas engagée, mais si l’enquête venait à prouver qu’ils ont trop tardé, ce ne serait plus pareil.

Comme le dirait Balzac, c’est une bien ténébreuse affaire.

Où l’on reparle de formation à la cybersécurité

No Comments

Placer l’humain au cœur de la cybersécurité est une expression à la mode depuis quelque temps. Elle peut être vue comme un sacrifice aux idoles du temps présent (après tout, même Staline estimait qu’il fallait placer l’homme au cœur du communisme et G. Marchais évoquait un communisme à visage humain) ou comme un véritable centre d’intérêt des organisations.

Source

Dans ce dernier cas, cela signifie que l’organisation a centré sa cybersécurité sur l’humain, mais pas seulement pour estimer que PEBKAC ou le punir lorsque les choses se passent mal.

Ce (re)centrage de la cybersécurité sur l’humain permet alors de remédier à l’échec de la sensibilisation à la cybersécurité, pour peu que les quelques éléments suivants soient pris en compte.

Read More

Menaces cyber : imbroglio et erreur de l’ANSSI

No Comments

Parler de menaces cyber revient à ouvrir une boîte de Pandore de laquelle, en premier lieu, s’envolent une multitude de termes relatifs aux risques et menaces. Ces deux termes semblent pour certains tellement proches qu’ils seraient deux jumeaux qu’un importun sort aurait séparé.

Source

Pourtant, les définitions sont claires. Selon le dictionnaire Larousse une menace se définit comme suit :

  • Action de menacer ; parole, comportement par lesquels on indique à quelqu’un qu’on a l’intention de lui nuire, de lui faire du mal, de le contraindre à agir contre son gré : Des gestes de menace. Écrire sous la menace.
  • Signe, indice qui laisse prévoir quelque chose de dangereux, de nuisible : Il y a une menace d’épidémie dans la région.
  • Délit qui consiste à faire connaître à quelqu’un son intention, notamment verbalement ou par écrit, image ou tout autre moyen de porter atteinte à sa personne. (La menace de commettre une destruction ou une dégradation dangereuses pour les personnes est également un délit.)

Quant au risque, c’est toujours selon le même Larousse

  • Possibilité, probabilité d’un fait, d’un événement considéré comme un mal ou un dommage : Les risques de guerre augmentent.
  • Danger, inconvénient plus ou moins probable auquel on est exposé : Courir le risque d’un échec. Un pilote qui prend trop de risques.
  • Fait de s’engager dans une action qui pourrait apporter un avantage, mais qui comporte l’éventualité d’un danger : Avoir le goût du risque.
  • Préjudice, sinistre éventuel que les compagnies d’assurance garantissent moyennant le paiement d’une prime.

Pour savoir si ces deux termes sont deux jumeaux malheureusement séparés, il suffit de les échanger dans les exemples des définitions supra pour s’apercevoir que prendre l’un pour l’autre revient à prendre des vessies pour des lanternes. Ainsi, un pilote ne prend pas trop de menaces, et on n’écrit pas sous le risque.

Serait-il vrai que, dans ce domaine également, le cyber nous brouille l’écoute ?

Read More

Categories: Etat, protection Étiquettes : , , ,

Cyber corona

No Comments

Bien que n’ayant pas encore achevé la rédaction de ma thèse (mais cela approche, heureusement !) l’actualité me pousse à rédiger un billet tant qu’il en est temps : espérons que le corona ne s’appesantira pas, et que la vie reprendra son cours paisible.

Source

Ayant été frappé par les similarités entre le monde réel et le monde cyber à l’occasion de cette épidémie, je vous propose d’en faire un petit tour, non exhaustif.

Read More

Categories: Entreprise, Etat, Management, Sécurité Étiquettes : , ,

Remédier à l’échec de la sensibilisation à la cybersécurité

No Comments

Malgré son importance, la cybersécurité pâtit du fait qu’elle est à la mode. Sensibiliser à la cybersécurité est rappelé sans cesse, tel un mantra. Comme il est vrai qu’un défaut de cybersécurité peut avoir des conséquences désastreuses pour soi et les autres membres du réseau, il est indispensable que chacun se sente concerné et applique les règles élémentaires de cybersécurité. Pour cela, il va de soi que chaque utilisateur de l’informatique, du cyber ou du numérique, doit être sensibilisé aux dangers, à leurs remèdes, aux bonnes pratiques qui permettent de se prémunir des cyberattaques en tout genre.

Cela est fort bien, et loin de moi l’idée de critiquer l’aspect indispensable de la cybersécurité.

Pensez cybersécurité on Twitter: "Avez-vous appris des ...

Source

Cependant, le problème réside dans le fait que la cybercriminalité augmente dramatiquement (de manière exponentielle disent même ceux qui maîtrisent cette fonction… ou presque). Alors, si l’on fait preuve d’un peu de rigueur ou de perspicacité (voire des deux), on en vient à se demander pourquoi, si la sensibilisation à la cybersécurité se poursuit de la meilleure manière possible (personne ne la remet, même partiellement, en question), la cybercriminalité augmente et continue de rapporter à ceux qui la pratiquent ?

Parce qu’elle se diversifie et devient plus complexe, disent la majorité des intervenants.

Parce que la sensibilisation à la cybersécurité est un échec, dis-je, et je m’en vais vous expliquer pourquoi.

Read More

Noël : vœux et lectures

No Comments

Présenter ses vœux après coup présente certains intérêts :

  • ne pas avouer qu’on est en retard ;
  • voire à la tête de la personne si les vœux sont de circonstance ;
  • etc.

Sans oublier le fait que, maintenant que c’est à la mode, cela laisse le temps de discerner s’il faut souhaiter un joyeux Noël, de bonnes fêtes ou tout autre chose selon que la personne à laquelle vous vous adressez est plus ou moins bien lunée. On peut aussi ne rien souhaiter car certaines voudraient qu’on ne souhaite rien.

Source

La photo ci-dessus est donc une synthèse de tout cela, on y trouve tout, mais elle n’est pas prise en face de la samaritaine.

Read More

Attribution d’une cyberattaque

No Comments

L’attribution d’une cyberattaque a déjà été évoquée dans un précédent billet, suite à des propos du ComCyber qui déclarait qu’il allait tenter d’attribuer les cyberattaques.

Afin de l’aider dans ses tentatives, les Suisses ont rédigé un document fort intéressant (mais je doute que c’était une commande du ComCyber gaulois) disponible ici.

Le présent billet s’inspire de ses propos.

La réflexion sur le processus d’attribution d’une cyberattaque est indispensable pour au moins deux raisons.

Source

La première est que le cyberespace permet de se cacher parfois de manière efficace, mais aussi parce qu’il permet de brouiller les pistes. Ce n’est pas parce qu’un ordinateur localisé en Russie a servi à mener une cyberattaque que les Russes en sont forcément à l’origine. Notons à ce sujet que très peu de cyberattaques sont attribuées à des Américains. Ces derniers sont-ils tellement vertueux qu’ils n’hébergeraient aucun pirate sur leur sol, sont-ils plus efficaces que les autres, ou un voile pudique couvre-t-il leurs méfaits ?

La seconde est qu’il n’existe pas d’alliés dans le cyberespace, si ce n’est de circonstance. Ainsi, les Américains (encore eux), bien qu’alliés officiels de l’Allemagne n’en ont-ils pas moins écouté le téléphone de Mme Merkel. Enfin, si l’on en croit certaines versions, ce serait la NSA sans l’accord de B. Obama…

Ces deux raisons constituent d’indéniables atouts pour les attaquants qui peuvent se cacher et nier autant qu’ils veulent toute implication dans un cyber méfait, mais semblent limiter la possibilité des États de « délivrer des messages » forcément clairs et dissuasifs comme le fut l’opération Hamilton contre la Syrie.

Ceci étant posé, il faut distinguer deux cas de figure :

– la cybercriminalité qui implique un jugement reposant sur une expertise forensique et des probabilités (cf. ce précédent billet) voire une intime conviction, et pour laquelle l’attribution doit être publique ;

– les attaques interétatiques dont l’attribution peut ne pas être publique, selon l’opportunité estimée par le pays frappé.

Dans ces deux cas de figure cependant, et même si la dimension politique de l’attaque est un des critères de différenciation, le processus décisionnel est le même.

Read More

Apprendre de ses erreurs

No Comments

Ces derniers temps, NotPetya a fait couler beaucoup d’encre. Mais les analyses pertinentes ne sont pas légion, ce qui est un peu désolant, car cela montre qu’au-delà du sensationnel, tous les neurones semblent anesthésiés lorsqu’il s’agit d’analyser des faits cyber.

Heureusement, un article de Libération fournit des éléments d’appréciation intéressants. Ou décourageants, c’est selon, tant il est vrai qu’apprendre de ses erreurs est difficile, y compris en matière cyber.

Source

Il parait qu’il y a eu un avant Struxnet et un après Stuxnet. Un avant TV5 Monde et un après TV5 Monde. Un avant *** et un après *** (que chacun substitue aux étoiles ce qu’il veut).

En fait on se rend compte qu’il n’y a d’avant incident et d’après incident au mieux que pour ceux qui l’ont vécu. Et encore. Souvenons-nous des mots de passe de TV5 Monde affichés en direct à la télé, quelques temps après l’attaque « sans précédents », forcément.

Read More

TV5 Monde, retour sur l’incident

No Comments

L’attaque de TV5 Monde a fait couler beaucoup d’encre (et encore plus de salive) à propos du cyberterrorisme, dont on attend encore les premières manifestations (voir mon billet précédent). À l’image de l’entrée Colonies dans le dictionnaire des idées reçues de Flaubert, dès que le sujet TV5 était abordé, tout le monde devait s’affliger quand on en parle…

De plus, à part celle cataclysmique du président de la chaîne, peu de communications avaient porté sur cette attaque, ses caractéristiques, ses causes, ses conséquences. Récemment, l’ANSSI a rompu ce silence (en juin 2017 au SSTIC) pour présenter son action de réparation des dommages chez TV5. Si l’on peut rester circonspect quant aux justifications de la participation de l’ANSSI au sauvetage de la chaîne de télévision (« Un média est, dans une certaine mesure, un opérateur d’importance vitale dans une démocratie », justifie Guillaume Poupard), le retex est intéressant.

La vidéo de ce retex est disponible ici, et ce billet a pour objectif d’en rendre compte. Les chiffres entre parenthèses indiquent les passages de la vidéo à l’appui de mes commentaires, et les images sont des captures d’écran de la vidéo de l’ANSSI.

Read More