Vous regardez la télévision, mais c’est elle qui vous observe. Vous utilisez au quotidien l’un des smartphones les plus fiables et doté des dernières mises à jour logicielles, et vous êtes épié. Dans un accès de paranoïa, vous vous tournez vers des messageries chiffrées telles que Telegram ou Signal, qui fut l’outil d’échange de SMS employé par le célèbre Edward Snowden, et là encore, vos discussions sont déchiffrées avant même d’être envoyées.
On savait que les grandes oreilles de la CIA traînaient partout, mais pas à ce point. Voici ce que nous apprend la dernière fuite massive de près de 9 000 documents internes à la CIA publiés par Wikileaks.
Si l’on s’en doutait déjà, ces données confirment que les services américains pratiquent l’espionnage à grande échelle. Outre la surveillance des ordinateurs, des iPhone et de n’importe quel smartphone Android, on y apprend que l’organisation gouvernementale peut transformer la plupart des postes de télévision connectés en stations de surveillance. Elle sait aussi contourner les applications de chiffrement les plus sécurisées et même contrôler à distance les véhicules via leur électronique embarquée.
Comment l’agence a-t-elle fait pour y parvenir ? En exploitant des vulnérabilités totalement inconnues des constructeurs et des éditeurs de logiciels, et sans, bien entendu, les informer de leur existence.
Non, vous n’êtes pas surveillé, à moins que…
Avec ces révélations, le public est forcément choqué par la facilité avec laquelle les services secrets peuvent s’immiscer dans l’intimité des populations. C’est une réaction légitime. Toutefois, face à ces informations anxiogènes, il faut creuser, car tout n’est pas aussi simple.
J’ai donc passé du temps à observer les techniques employées et je peux vous l’assurer : malgré les apparences, il ne s’agit pas vraiment de systèmes de surveillance de masse. Les procédés employés permettent de cibler des individus précis puisque, lorsque l’on décortique les documents, le piratage d’un appareil nécessite de disposer d’un accès physique à celui-ci, qu’il s’agisse d’un téléviseur ou d’un mobile. Pour le coup, le niveau de vulnérabilité n’est pas du tout similaire à celui d’une prise de contrôle à distance via une faille.
Ainsi, pour le téléviseur connecté, il est nécessaire d’introduire un malware, via une clé USB par exemple. La démarche pourrait alors s’apparenter au travail des agents secrets qui viennent poser en toute discrétion des micros au domicile. De plus, pour en revenir au téléviseur connecté, Samsung, dont les appareils pouvaient être piratés, a corrigé depuis un bon moment cette vulnérabilité, et ce sans même savoir qu’elle pouvait être exploitée par les services secrets.
Même topo pour les outils de communication chiffrés comme Telegram, WhatsApp et Signal. Pour pouvoir lire les messages, un malware doit être préalablement installé sur le mobile. Les techniques des agents ne permettent donc pas de déchiffrer les messages, mais simplement de les lire par-dessus l’épaule de l’utilisateur.
En leur temps, les révélations d’Edward Snowden étaient bien plus inquiétantes que cette histoire, puisque toutes les techniques dévoilées permettaient effectivement une surveillance globale au niveau international.
Les espions… espionnent
Pour moi, globalement, il n’y a rien d’étonnant. La CIA, le MI5 ou le FSB vivent de toute façon au-dessus des règles, puisque c’est dans leur nature. Et ces agences sont pratiquement capables de tout, en raison des moyens dont elles disposent. Bref, les espions font leur travail d’espion, avec leurs outils d’espion, ni plus ni moins.
Ce qui est plus ironique, c’est que cette histoire est celle de l’arroseur arrosé. Autrement dit, c’est l’agence de surveillance elle-même qui souffre d’une énorme vulnérabilité. Et la CIA est très préoccupée par ces fuites. Devin Nunes, le président de la commission du renseignement à la Chambre des représentants américaine, l’a souligné : « Nous sommes très inquiets. »
Des espions qui ne retiennent pas les leçons du passé
Alors que l’agence sait mener des opérations de surveillance très pointues, elle semble être incapable de contrôler ses propres employés, puisque la fuite vient certainement de l’un d’eux, comme ce fut le cas avec l’affaire Snowden et celle de l’agent Manning. C’est ce que vient de confirmer Matthew Ravden, vice-Président de Balabit, éditeur européen de solutions de sécurité contextuelle : « La CIA peut pirater n’importe quelle TV Samsung mais elle n’est pas capable de détecter un accès inhabituel à l’un de ses serveurs ou une exfiltration de données anormale ! Tous les professionnels s’accordent pourtant depuis longtemps sur le fait que les utilisateurs privilégiés sont les plus grandes menaces auxquelles doivent faire face les entreprises. C’est évidemment le cas pour ce type d’organisation, qui dispose d’informations extrêmement sensibles. »
Il faut dire qu’un seul agent disposant de l’accès aux données les plus importantes au sein de la CIA peut générer de telles fuites. Il semble donc clair que l’agence n’a pas du tout tiré les leçons des révélations précédentes via Wikileaks avec Manning et Assange, ou via la presse avec Snowden.
Elle n’a pas pris soin de se doter d’outils permettant d’analyser les comportements cybers de ses employés pour éviter ce genre de fuites. Un comble pour des espions ! Aujourd’hui, les grandes entreprises sont sensibilisées à cette problématique et sont mieux préparées face à ces attaques que la CIA.
[Vous aussi faites face aux nouveaux pirates du web grâce au Kit de protection mis au point par notre spécialiste ! Plus d’informations ici…]
