Black October! What Is Happening to the Internet?

Les experts en cybersécurité Hari et Odysius discutent de la situation actuelle qualifiée de « Black October », le pire mois en cybersécurité. Selon Hari, bien que les incidents publics soient alarmistes, cette augmentation des attaques est une tendance observée depuis 18 mois. De nombreuses entreprises ne signalent pas les incidents publiquement. Le changement majeur est l'amélioration des capacités de l'IA et des grands modèles linguistiques (LLM) dans le domaine de la cybersécurité, tant pour l'attaque que pour la défense. Depuis janvier, les modèles sont devenus très efficaces et les coûts d'attaque ont considérablement diminué, ce qui permet des attaques à grande échelle. Odysius ajoute que ce point de bascule est similaire aux attaques d'ingénierie sociale via les deepfakes l'année dernière, mais qu'il est maintenant beaucoup plus facile et moins cher de lancer des attaques généralisées, ce qui compromet la sécurité par l'obscurité. Un chercheur en sécurité d'Anthropic a tweeté que la situation allait empirer avant de s'améliorer, exhortant les dirigeants à demander de l'aide. Hari confirme que la situation va s'aggraver de manière exponentielle. Les capacités de l'IA réduisent constamment les coûts d'attaque. Ce qui coûtait cher en janvier est maintenant 15 fois moins cher, et ces coûts continueront de baisser de 10 fois tous les 6 à 12 mois. Le piratage, autrefois une compétence artisanale nécessitant des experts et des semaines ou des mois de travail pour une seule entreprise, est désormais industrialisé et évolutif. On peut construire une « usine » pour pirater n'importe quel site web pour environ 10 $, sans intervention humaine et sans se soucier du retour sur investissement initial. Odysius souligne que cette baisse des coûts signifie que les attaquants n'ont plus besoin de monétiser immédiatement leurs actions ; ils peuvent simplement attaquer et trouver un moyen de rentabiliser plus tard. Concernant l'étendue des dommages, Hari explique que la valeur des données, de la réputation et de l'argent est ciblée. Par exemple, les données de votre dentiste, qui ne devraient pas être publiques, sont vulnérables. Il est devenu si bon marché de pirater ces entreprises que les attaquants le font et monétisent souvent en menaçant de divulguer des bases de données si une rançon n'est pas payée. Auparavant, des cibles à forte valeur comme les cryptomonnaies étaient privilégiées pour leur retour sur investissement élevé (par exemple, la Corée du Nord finançant son programme de missiles par des piratages crypto). Le phishing était également rentable car il permettait de toucher des millions de personnes. Maintenant, les mêmes acteurs malveillants utilisent des vulnérabilités "zero-day" pour pirater de manière évolutive, obtenir des données et menacer les entreprises. Les conséquences peuvent être économiques et politiques, comme la fuite de données de grandes banques. Odysius ajoute que la fuite de bases de données (comme celle de Ledger en 2021) est liée à des attaques de rançongiciels, où les individus à forte valeur nette sont identifiés et ciblés personnellement. Les effets secondaires sont difficiles à quantifier, car les données sont souvent combinées pour mener des attaques personnelles. L'idée que les données personnelles sont déjà largement exposées et que les individus s'en soucient moins est abordée. Hari reconnaît cette objection mais insiste sur le fait que la situation actuelle est "vraiment différente". Il donne l'exemple d'un ingénieur qui a été choqué de voir à quel point son agent IA personnel connaissait de détails intimes sur lui. Les gens partagent beaucoup de données avec de nouveaux produits, et les agents IA peuvent agréger ces données pour des actions malveillantes qui étaient auparavant trop coûteuses. Par exemple, une IA peut rédiger un e-mail très convaincant pour manipuler quelqu'un, à l'échelle de millions de personnes. Odysius mentionne les arnaques aux personnes âgées, où les attaquants se font passer pour des proches en difficulté. Avec l'IA, ces arnaques deviennent 100 % crédibles grâce à la connaissance approfondie des victimes, permettant une exfiltration d'argent à une échelle industrielle. La question est posée de savoir si un futur où toutes les données individuelles (dossiers de santé, etc.) sont exploitées et accessibles est inévitable. Hari répond que c'est le pire scénario que l'on essaie d'éviter. Nous ne sommes pas encore là, mais c'est la trajectoire si rien n'est fait. Le "compte à rebours des zero-day", qui était autrefois de plusieurs mois ou années pour corriger les vulnérabilités, est maintenant négatif. Les entreprises doivent agir immédiatement pour protéger les données de leurs clients, car elles vivent sur du temps emprunté. Une diapositive montrant l'augmentation exponentielle des CVE (Common Vulnerabilities and Exposures) est présentée. Ces vulnérabilités sont publiées publiquement pour permettre aux utilisateurs de logiciels de les corriger. Le graphique, qui était majoritairement plat, montre une pente ascendante puis une croissance verticale. Cela reflète l'émergence des capacités d'IA il y a un an et un retard dans les divulgations publiques. Le coût de la sécurité est devenu un problème économique, car le coût du piratage tend vers zéro, ce qui signifie que le nombre de piratages tend vers l'infini. Odysius ajoute qu'avec la vitesse actuelle, il n'y a plus le temps de laisser les gens mettre à jour leurs systèmes avant de divulguer une vulnérabilité. Dès qu'une vulnérabilité est connue, les agents IA peuvent l'exploiter immédiatement. Face à cette situation, la seule façon de lutter est avec l'IA défensive, qui doit être plus rapide que l'IA offensive. Hari estime que pour les 12 à 18 prochains mois, l'attaque dominera. La meilleure défense est de s'attaquer soi-même. Son produit, Apex, est un agent de sécurité offensif qui simule des attaques sur des sites web ou du code source pour identifier les vulnérabilités. L'objectif est de rendre les attaques extrêmement coûteuses pour les assaillants. Si le coût d'une attaque est de 1 $, elle sera effectuée ; il faut le porter à 10 000 $ pour dissuader la plupart des attaquants. À l'avenir, la sécurité deviendra une "usine de sécurité" pour chaque entreprise, recherchant constamment les failles et les corrigeant de manière proactive. Odysius souligne que bien que des produits comme Apex existent, le goulot d'étranglement réside dans la bureaucratie des grandes organisations, qui prendra du temps à s'adapter. L'internet, autrefois perçu comme sûr, est devenu une "forêt sombre" en quelques mois, et les organisations ne sont pas habituées à cela. Hari compare la situation actuelle à l'ère des piratages crypto en 2020-2021, où les incitations économiques étaient élevées et tout était public. Maintenant, le monde réel fait face à des incidents majeurs chaque semaine. Pour l'industrie crypto, cela peut être vu comme une force, car elle est née et a évolué dans un environnement hostile. Hari pense que les entreprises construites dans cet environnement offensif ont un avantage. Concernant la sécurité des cryptomonnaies détenues sur des plateformes comme Coinbase, Hari estime que Coinbase est mieux préparée que les institutions financières traditionnelles. Les entreprises crypto ont toujours eu des incitations plus fortes à la défense. Bien que le coût d'attaque ait baissé pour tous, le point de départ de Coinbase en matière de sécurité est fondamentalement différent. L'argent sur Coinbase est probablement plus sûr que dans les institutions traditionnelles, qui n'avaient pas la même pression cyber intense. En termes de perspective à long terme, la période de turbulence actuelle (estimée à 18 mois) pourrait mener à des logiciels beaucoup plus sûrs. Cependant, Hari met en garde contre la nouvelle réalité où les attaquants sont des agents IA persistants. Le monde n'a pas été construit pour un environnement où une seule erreur peut tout compromettre. Pour les individus, Hari conseille de contacter les entreprises dont ils utilisent les produits et services pour demander ce qu'elles font pour protéger leurs données, leur argent et leur réputation. Si la réponse n'est pas satisfaisante, il faut envisager de retirer ses données ou son argent. Il incombe aux entreprises de protéger leurs clients. Odysius suggère d'adopter une stratégie de redondance et de "rayon de souffle". Il faut supposer que les services utilisés seront compromis et mettre en place des défenses multiples. Par exemple, pour l'auto-garde de cryptomonnaies, utiliser un Ledger et un iPhone pour avoir deux chaînes d'approvisionnement différentes à compromettre. Face à la complexité pour les non-experts, Odysius suggère que la meilleure configuration pour l'auto-garde pourrait être d'utiliser un iPhone avec des données biométriques pour sécuriser les clés. Un conseil pragmatique de Hari est d'être très vigilant avec les liens sur lesquels on clique, car c'est une méthode courante d'escalade. Il est rare qu'une attaque se produise sans aucune action de la victime. La responsabilité principale incombe aux bâtisseurs de produits, car la plupart des gens ne sont pas techniques. Odysius suggère également de ne pas s'auto-garder pour les 12 prochains mois et de répartir ses actifs sur plusieurs plateformes professionnelles, qui ont des équipes de sécurité et des assurances cyber. Cependant, il note que les assureurs cyber pourraient avoir des difficultés à l'avenir. Les intervenants concluent en soulignant l'importance pour les dépositaires d'actifs crypto, comme Coinbase ou Infinex, de communiquer proactivement sur leurs mesures de sécurité. Hari et Odysius, fondateurs de startups de sécurité, travaillent avec de grandes entreprises crypto (Invest, Robinhood Crypto, Mascot), mais aussi des entreprises de santé et d'IA. Ils offrent de l'aide pour tester la sécurité et envoyer des divulgations de vulnérabilités. Odysius travaille avec l'écosystème Linia, protégeant le L2 de ConsenSys et lancera bientôt un nouveau réseau. Ils constatent un intérêt croissant pour des systèmes de données orthogonaux et redondants. Les intervenants remercient l'audience et soulignent que si le monde crypto a été contraint de développer des défenses solides, c'est maintenant au reste du monde de s'adapter.