Typhon de sel : attaque chinoise contre les réseaux de télécommunications américains

Les cyberattaques liées au gouvernement chinois qui ont compromis de grandes parties du réseau de télécommunications des États-Unis incitent le gouvernement américain à tirer la sonnette d'alarme. Le président de la commission sénatoriale du renseignement, le sénateur Mark Warner, l'a qualifié de « pire piratage de télécommunications de l'histoire de notre pays » et a noté qu'en comparaison, les cyberattaques antérieures menées par des agents russes ressemblent à un « jeu d'enfant ».

La cyberattaque complexe, menée par un groupe de pirates chinois baptisé Salt Typhoon, a commencé dès 2022. Selon les responsables américains, son objectif était de donner aux agents chinois un accès persistant aux réseaux de télécommunications à travers les États-Unis en compromettant des appareils tels que des routeurs. et des commutateurs gérés par des sociétés comme AT&T, Verizon, Lumen et d'autres.

Cette attaque fait suite à des informations selon lesquelles le FBI et la Cybersecurity and Infrastructure Security Agency aidaient les compagnies de téléphone à contrer d'autres compromissions de leurs réseaux liées à la Chine. Le piratage précédent faisait partie d’une attaque ciblant des personnes occupant des postes gouvernementaux ou politiques dans la région de Washington, notamment des candidats à l’élection présidentielle de 2024.

Mais Salt Typhoon ne cible pas uniquement les Américains. Les recherches menées par le fournisseur de sécurité Trend Micro montrent que les attaques de Salt Typhoon ont compromis d'autres infrastructures critiques dans le monde au cours des dernières années. Les responsables américains ont également confirmé ces conclusions – et leur niveau d’inquiétude est remarquable.

Les responsables chinois ont nié les allégations selon lesquelles ils seraient à l'origine de cette opération, comme ils l'ont fait en réponse aux allégations concernant de précédentes cyberattaques.

En tant que chercheur en cybersécurité, je trouve que cette attaque est effectivement époustouflante par son ampleur et sa gravité. Mais il n’est pas surprenant qu’un tel incident ait eu lieu. De nombreuses organisations de toutes tailles ne parviennent toujours pas à suivre de bonnes pratiques de cybersécurité, disposent de ressources limitées ou exploitent des infrastructures informatiques trop complexes pour être surveillées, gérées et sécurisées efficacement.

À quel point est-ce grave ?

Salt Typhoon a exploité les vulnérabilités techniques de certains produits de cybersécurité, tels que les pare-feu utilisés pour protéger les grandes organisations. Une fois à l’intérieur du réseau, les attaquants ont utilisé des outils et des connaissances plus conventionnels pour étendre leur portée, collecter des informations, rester cachés et déployer des logiciels malveillants pour une utilisation ultérieure.

Selon le FBI, Salt Typhoon a permis aux autorités chinoises d'obtenir une grande quantité de documents indiquant où, quand et avec qui des individus spécifiques communiquaient. Dans certains cas, ils ont noté que Salt Typhoon donnait également accès au contenu des appels téléphoniques et des messages texte.

Salt Typhoon a également compromis les portails privés, ou portes dérobées, que les compagnies de téléphone fournissent aux forces de l'ordre pour demander une surveillance ordonnée par le tribunal des numéros de téléphone dans le cadre d'enquêtes. Il s’agit également du même portail utilisé par les services de renseignement américains pour surveiller des cibles étrangères à l’intérieur des États-Unis.

En conséquence, les attaquants de Salt Typhoon ont peut-être obtenu des informations sur les espions et informateurs chinois surveillés par les agences de contre-espionnage – des informations qui peuvent aider ces cibles à tenter d’échapper à une telle surveillance.

Le 3 décembre, la Cybersecurity and Infrastructure Security Agency, la National Security Agency et le FBI, ainsi que leurs homologues d'Australie, de Nouvelle-Zélande et du Canada, ont publié des directives au public sur la manière de faire face à l'attaque du Salt Typhoon. Leur guide Enhanced Visibility and Hardening Guidance for Communications Infrastructure réitère essentiellement les meilleures pratiques de cybersécurité pour les organisations qui pourraient aider à atténuer l’impact de Salt Typhoon ou de futures attaques de copie.

Il inclut toutefois des recommandations visant à protéger les équipements de télécommunications spécifiques de certains des produits Cisco ciblés par cette attaque.

Au moment d’écrire ces lignes, les responsables américains et les entreprises concernées n’étaient pas en mesure de déterminer pleinement l’ampleur, la profondeur et la gravité de l’attaque – ni d’éliminer les attaquants des systèmes compromis – même si cette attaque dure depuis des mois.

Que peut-on faire ?

Les responsables américains ont déclaré que la plupart des façons dont Salt Typhoon a pénétré ses cibles impliquaient l'utilisation des faiblesses existantes de l'infrastructure. Comme je l'ai écrit précédemment, le fait de ne pas mettre en œuvre les meilleures pratiques de base en matière de cybersécurité peut entraîner des incidents débilitants pour les organisations de toutes tailles. Compte tenu de la dépendance du monde à l’égard des systèmes d’information en réseau, il est plus important que jamais de maintenir des programmes de cybersécurité qui rendent difficile la réussite des attaques, en particulier contre les infrastructures critiques comme le réseau téléphonique.

En plus de suivre les directives de bonnes pratiques publiées par la Cybersecurity and Infrastructure Security Agency, les organisations doivent rester vigilantes. Ils doivent surveiller non seulement l'actualité pour obtenir des informations sur cette attaque, mais également les différents flux de renseignements sur les menaces gratuits, propriétaires ou privés et les réseaux professionnels informels pour se tenir au courant des tactiques et techniques des attaquants – et des moyens de les contrer.

Les entreprises et les gouvernements doivent également s’assurer que leurs services informatiques et leurs programmes de cybersécurité disposent du personnel et du financement adéquats pour répondre à leurs besoins et garantir que les meilleures pratiques sont mises en œuvre. La Federal Communications Commission menace déjà d’amendes les entreprises qui ne renforcent pas leurs défenses contre le piratage informatique chinois.

Bien que toute surveillance illicite soit préoccupante, l’Américain moyen n’a probablement pas grand-chose à craindre du Salt Typhoon. Il est peu probable que les appels téléphoniques familiaux ou les SMS envoyés à des amis intéressent le gouvernement chinois. Cependant, si vous souhaitez augmenter un peu votre sécurité et votre confidentialité, envisagez d'utiliser des services de messagerie cryptés de bout en bout comme Signal, FaceTime ou Messages.

Assurez-vous également que vous n'utilisez pas de mots de passe par défaut ou faciles à deviner sur vos appareils, y compris votre routeur domestique. Et envisagez d’utiliser l’authentification à deux facteurs pour renforcer davantage la sécurité de tous les comptes Internet critiques.

Portes dérobées et méchants

Perdu dans le bruit de l’histoire, Salt Typhoon a prouvé que les décennies d’avertissements de la communauté de la sécurité Internet étaient correctes. Aucun secret obligatoire ou accès exclusif aux produits technologiques n’est susceptible de rester inaperçu ou utilisé uniquement par « les gentils » – et les efforts visant à les exiger risquent de se retourner contre eux.

Il est donc quelque peu ironique que l'une des contre-mesures recommandées par le gouvernement pour se prémunir contre l'espionnage de Salt Typhoon soit d'utiliser des services fortement cryptés pour les appels téléphoniques et les messages texte – des capacités de cryptage que les États-Unis ont passé des décennies à tenter de saper afin que seuls « les bons » les gars » peuvent l’utiliser.

Cet article a été initialement publié sur La conversation. Lire le article original.