Dans le newsletter d’aujourd’hui:
Pour les abonnés gratuits :
L’édito: L’industrie cyber est-elle suffisamment réglementée ?
Pour les abonnés payants :
Chiffres et études: 90% des DSI considèrent la cybersécurité comme la principale menace pour leur organisation
La tribune: Anthony Morel, journaliste BFM Business, explique pourquoi il faut se méfier des QR codes
A ne pas manquer sur le web:
L’arnaque téléphonique qui touche les gens en ce moment
On se rapproche de l’intelligence générale artificielle
Le géant de la logistique DP World victime d’une cyberattaque
Connaissez-vous Vikas Singla ? Sans doute pas. Cet ancien dirigeant de la société américaine Securolytics attend son jugement. En juin 2021, il a en effet plaidé coupable de piratage d’hôpitaux, accusé de l’avoir fait pour… promouvoir ses propres solutions de cybersécurité. Arrêté par le FBI, il devrait écoper d’une amende de près d’un million de dollars pour rembourser les dommages causés à l’hôpital victime et aux assurances. La peine demandée comporte aussi 57 mois de probation ainsi qu’une détention « à domicile » (l’individu étant atteint d’un cancer). Un manque cruel d’éthique, qui rappelle des temps anciens où l’on accusait -le plus souvent à tort les éditeurs de fabriquer à la fois poison et antidotes—Frédéric Simottel
Septembre 2018 : un message s’imprime sur les 200 imprimantes réseaux de deux hôpitaux américains faisant partie du groupe Gwinnett Medical Center en Georgie : « We own you » (nous vous possédons). Des pirates auraient pris le contrôle de leurs périphériques ainsi que du réseau téléphonique. Les informations d’une cinquantaine de patients sont également dévoilées sur un compte anonyme sur Twitter. Plus de 200 patients ont vu leurs informations personnelles de santé piratées, depuis un appareil de numérisation connecté à une machine de mammographie.
Etonnamment, la société Securolytics utilise alors la publicité autour de cette affaire pour mettre en avant ses produits et services. Vikas Singla, l’un de ses dirigeants va même jusqu’à contacter d’autres prospects en appuyant ses arguments de vente sur cette affaire. C’est au final toute cette agitation qui mettra la puce à l’oreille des enquêteurs du FBI. Ils finiront 2 ans plus tard par dénouer toute l’affaire et confondre le coupable. Pour cette escroquerie et le risque qu’il a fait courir aux patients, il devrait être condamné lors de l’audience de justice prévue en février 2024 à rembourser près d’un million de dollars, équivalant aux pertes financières du groupe hospitalier et de son assureur. Inculpé de 17 chefs de dommages intentionnels à un ordinateur protégé et un chef d'obtention d'informations d'un ordinateur protégé, Vikas Singla risque également jusqu’à 10 ans de prison. Peine qui pourrait être commuée en 57 mois de probation, y compris une détention à domicile ; l’auteur étant atteint d’une forme rare et incurable de cancer.
Retour à la légende des années 80
« L’empoisonneur n’était autre le médecin », pourrait on dire en paraphrasant certains faits divers. Et de nous replonger dans les années 80 où les éditeurs cyber étaient souvent accusés de participer au développement des virus qu’ils combattaient pourtant. Ce qui n’était sans doute pas complètement faux si on prend l’exemple du parcours tumultueux et tragique de John McAfee, l’un des pionniers de l’époque.
Reste que le cas du dirigeant de Securolytics est troublant et dangereux à plusieurs égards. Les attaques contre les systèmes hospitaliers peuvent mettre en danger la vie des patients en perturbant les services essentiels et en compromettant les données sensibles. Ces piratages augmentent également le coût opérationnel des hôpitaux et peuvent entraver l'accès aux soins de santé vitaux.
Cette affaire créée aussi un précédent inquiétant où les acteurs malveillants pourraient être incités à créer des problèmes qu'ils peuvent ensuite prétendre résoudre, menaçant l'intégrité des systèmes informatiques et la sécurité des utilisateurs.
Renforcer encore la surveillance et la règlementation des acteurs cyber
Mais n’y aurait-il pas une autre leçon à tirer de ce fait divers sur les règles d’éthique que doivent s’appliquer les acteurs de la cybersécurité. Si cette affaire représente une violation flagrante des principes éthiques et législatifs, elle s’étend aussi à l’abus de confiance et pourrait avoir des répercussions graves sur la réputation de l'industrie de la cybersécurité dans son ensemble.
Cette affaire soulève enfin des questions sur la manière dont les entreprises de cybersécurité sont réglementées et surveillées. Peut-être faudrait-il être encore plus strict sur les mécanismes de contrôle et de responsabilité dans cette industrie.
...
