Par Thomas Mannierre, Directeur EMEA Sud de BeyondTrust L’IA a fait entrer les braquages dans une nouvelle dimension. Plus besoin d’une cagoule noire désormais. En améliorant les attaques d'ingénierie sociale modernes, l’IA a donné naissance à un autre type de menaces : les deepfakes. Bienvenue dans ce qui pourrait être un épisode de Black Mirror ! Le faux CFO de Hong Kong En début d’année, une entreprise à Hong Kong s’est vue escroquée de 25,6 millions de dollars par un hacker utilisant l’IA et la technologie deepfake pour usurper l’identité d’un directeur financier. Si l'on en croit les rapports d’enquête, l'attaque a simulé un environnement de vidéoconférence complet et utilisé une fausse identité d'un important directeur financier de Hong Kong et d'autres participants à la réunion. La victime ciblée du département financier s'est d'abord méfiée d'un e-mail de phishing prétendant provenir du directeur financier. Cependant, la victime a rejoint une con
Aujourd’hui, tout le monde a déjà entendu parler des sites en ligne proposant des kits de test ADN ouverts à tous. Leur popularité s’est largement accrue ces dernières années en grande partie car, en tant qu’humains, nous sommes par nature curieux, et étant donnée la transformation digitale en cours, numériser l’ADN n’est plus quelque chose d’irréaliste. Au départ, je ne trouvais que peu d’arguments en faveur de la validité et de l’utilité de telles offres de test ADN grand public, en dehors de satisfaire notre curiosité sur nos ancêtres. Mais j’ai récemment changé d’avis en découvrant les recherches et les avancées médicales que ces offres peuvent générer.
II ne fait aucun doute que les tests ADN grand public sont là pour durer, mais nous devons tout de même nous interroger : la numérisation de notre ADN pose-t-elle des problèmes de sécurité ?
Voici les termes du débat : Simplement parce que nous pouvons numériser ou commercialiser notre ADN, devons-nous le faire ? Numériser notre ADN par simple curiosité vaut-il le risque d’une fuite de données ? D’un autre côté, la numérisation de l’ADN humain pour les besoins de la science et de la recherche médicale pourrait apporter beaucoup si elle aide à découvrir le remède à une maladie mortelle. Si vous considérez que votre ADN est la donnée personnelle la plus vitale, sa valeur sur le ‘dark web’ pourrait atteindre des sommets. Il est plus que probable que des pirates étudieront sérieusement les avantages qu’ils pourraient tirer de leur intrusion dans ces sites de tests ADN grand public. Comment vous sentiriez-vous si votre ADN se retrouvait soudainement sur le ‘dark web’, libre et accessible à tous ? la première méga-intrusion dans ce secteur s’est produite en 2018, quelles en sont les implications ?
L’ADN : donnée personnelle ultime
Numériser l’ADN relève d’un domaine émergeant appelé « cyberbiosécurité », qui explore un éventail de risques qui peuvent résulter de la numérisation croissante des sciences de la vie. Dans le cas de l’ADN et les possibles répercussions en cas de piratage, les implications sont immenses.Le vol de votre numéro de Sécurité Sociale est certainement une atteinte à la vie privée et peut dangereusement remettre en cause votre capacité à prouver que vous êtes qui vous prétendez être (si quelqu’un devait se faire passer pour vous, en utilisant votre numéro de Sécurité Social comme preuve), mais ces conséquences sont minimes par rapport au vol de votre ADN – votre ADN est permanent, immuable. Vous ne pouvez pas simplement renouveler votre ADN comme vous pouvez remplacer votre numéro de Sécurité Sociale, de carte de crédit ou numéro de compte bancaire.
Une fois numérisé, votre ADN est stocké dans une base de données sans que vous sachiez grand-chose sur son utilisation. La résolution d’une enquête criminelle non élucidée grâce à la correspondance d’une banque de données ADN grand public avec celle de la police n’est qu’un exemple de ces utilisations possibles. Et bien que des pirates doivent encore monétiser les ADN numérisés pour que cela constitue une menace pour nos identités, l’aspect le plus inquiétant est le simple fait qu’une fois numérisé, l’ADN d’un individu peut ensuite être corrompu, volé et utilisé par des criminels dans un but quelconque.
Alors qu’il y a quelques années, l’idée de numériser l’ADN ressemblait au mieux à une théorie futuriste, elle est devenue réalité. Ceci a de vastes implications pour la protection de la vie privée. Un employeur peut-il désormais demander à consulter votre ADN pour vérifier que votre patrimoine génétique vous rend compatible avec une fonction particulière ? Où se situe la limite sur ce qui peut être considéré comme un partage acceptable de nos données personnelles ? Et tout aussi important, où s’arrêter et réfléchir aux implications non pas seulement sur la vie privée mais aussi sur la sécurité ?
Le piratage de l’élément humain va continuer. Car cela reste le moyen le plus facile pour s’introduire dans des réseaux d’entreprise, capturer des données sensibles, que ce soit pour les vendre sur le marché noir ou pour stopper entièrement les opérations de l’entreprise, en demandant une rançon de plusieurs millions de dollars. L’ajout de l’ADN offre un nouveau boulevard à explorer pour les pirates et représente une nouvelle menace que les professionnels de la cyber sécurité doivent traiter de front.
Nous ne pouvons pas stopper l’innovation et le progrès, et nous ne pouvons probablement pas non plus empêcher les pirates de les exploiter, mais nous pouvons certainement ralentir leurs actions. En tant que consommateurs, nous avons le droit de savoir comment notre ADN numérisé est stocké et sécurisé, comment il est utilisé et quand il a été compromis. Nous pouvons exiger que les organisations qui se sont lancées dans ce domaine en fassent aussi autant dans la sécurisation de ces données personnelles de grande valeur. Si, en tant que consommateurs, nous sommes devenus insensibles aux violations de données au point de ne plus y prêter attention, il s’agit là d’un domaine pour lequel nous devons nous réveiller et rester en alerte. Si nous ne le faisons pas, nous pourrions subir le vol de nos données personnelles les plus vitales.