Les fuites WikiLeaks révèlent que la CIA utilise les objets connectés pour espionner

Les fuites WikiLeaks divulguent près de 8 761 pages de documents internes de la CIA, et rendent la situation beaucoup plus claire : l’agence a monté une opération de piratage gigantesque, peut-être même la plus grande jamais réalisée au niveau mondial, et ce par le biais de nombreux gadgets domestiques connectés à internet, dans lesquels nous avons pourtant tant confiance !

Il s’agit de l’élément principal que les experts sécurité Naked Security ont retenu, après que les fuites WikiLeaks aient été rendues publiques plus tôt ce mardi.

Rappel des événements de ces fuites WikiLeaks

Pour ceux qui viennent de l’apprendre, voici un récapitulatif des dernières heures :

Mardi dernier, WikiLeaks a divulgué une nouvelle série de fuites de données concernant la CIA, appelée “Vault 7”. Il affirme que cette série représentera la plus grande divulgation de documents confidentiels de toute l’histoire de la CIA. La première partie complète de la série est appelée “Year Zero” et comprend des documents et des fichiers en provenance d’un réseau isolé de haute sécurité interne au siège de la CIA à Langley, en Virginie.

WikiLeaks a déclaré dans son communiqué de presse que “Year Zero” présente le périmètre d’action et l’axe principal du programme de piratage en ligne de la CIA, son arsenal de malwares et ses douzaines d’exploits zero-day fonctionnels qui ciblent une large gamme de produits américains et européens, incluant l’iPhone d’Apple, Android de Google et Microsoft de Windows et même les téléviseurs Samsung, qui sont transformés en micros cachés.

C’est cette maîtrise de la technologie des objets connectés (IoT) qui a attiré l’attention des experts.

Piratage de tout et n’importe où !

Eric Cowperthwaite, ancien vice-président de la stratégie Core Security et maintenant directeur des services de gestion des risques pour Edgile, a déclaré que la CIA a construit une capacité pour pirater à peu près n’importe quoi, n’importe où. La CIA a potentiellement plus de capacité maintenant à s’immiscer dans des serveurs, des ordinateurs, des smartphones et des communications électroniques que la NSA.

Malheureusement, il a aussi ajouté :

Cette capacité est maintenant entre les mains d’autres personnes que la CIA. Toutes les choses que vous avez lues et qui ressemblaient à des complots dignes de films de science-fiction sont plus que vraies à présent. D’autres personnes peuvent vous écouter via votre téléviseur intelligent, lire vos emails, activer votre webcam sur votre ordinateur portable, sans que vous le sachiez.  

Christian Renaud, directeur du programme 451 Research spécialisé dans les objets connectés, a déclaré qu’il existait trois scenarii possibles :

1. Il s’agit d’une campagne de diffamation des Russes, des Chinois ou d’autres personnes pour soulever des inquiétudes au sujet de la communauté du renseignement américain.
2. Il ne s’agit pas d’une campagne de diffamation et la NSA a favorisé ces fuites de données sensibles au niveau de la CIA, pour gagner des points sur leur rival.
3. Un tiers a pénétré au sein de la CIA et a divulgué des informations “à la Snowden” pour attirer l’attention sur ce qui peut être décrit comme une guerre de cybersécurité méthodique contre les ennemis et les citoyens américains, et ce de la part d’une agence de renseignement.

Si ce dernier point est vrai, il ajoute :

Votre gouvernement a utilisé vos propres équipements pour vous espionner sans avertissement. Si vous n’êtes pas encore énervé, vous devriez l’être bientôt !  

Etonnant certes, mais pas vraiment surprenant

Bien que ces révélations sur ces fuites WikiLeaks aient certainement pu choquer les défenseurs des droits à la vie privée, les experts en sécurité déclarent que cette histoire ne devrait pas surprendre.

Nick Selby, PDG de l’équipe Secure Ideas Response, a déclaré que si quelqu’un avait déjà pensé que les agences gouvernementales n’avaient pas encore déployé à grande échelle des cyber-armes, ou entretenu l’espoir que “nous ne ferons jamais ce genre de chose”, les dernières informations à ce sujet devraient fixer les esprits une bonne fois pour toutes.

Cela ne signifie pas que la CIA, ou toute autre agence gouvernementale, espionnent les citoyens américains ordinaires. Il est évident, cependant, que la CIA a travaillé dur pour maintenir un stock de cyber-armes multi-plateformes qui permettent à la fois la surveillance ciblée et de masse, malgré l’existence d’outils évolués pour le chiffrement de communications mises à disposition du public.  

Selon Selby, d’un point de vue global, il s’agit d’une tendance qu’ont tous les gouvernements, et la CIA aurait manqué à ses devoirs si elle n’avait pas démarré ce type d’activités :

Quiconque estimerait que cette tendance est intrinsèquement suspecte ou insupportable de la part d’une agence de renseignement qui développerait des outils avec lesquels elle peut mener des opérations de renseignement, et recueillir des renseignements, c’est en fait mal comprendre le but même des agences de renseignement.  

Cowperthwaite a ajouté :

Une grande partie de ces informations avait déjà été divulguée ou suspectée au fil des ans. D’un point de vue plus global, il s’agit plutôt de confirmer les soupçons déjà présents au sein d’un large public. Il ne s’agit pas ici d’une révélation sans précédent !  

WikiLeaks aide ou fait du mal ?

Bien sûr, à chaque fois que WikiLeaks divulgue des données sensibles en masse de cette façon, la question suivante se pose : est-ce cela nous aide à être une meilleure société en nous rendant plus conscients, ou est-ce que cela favorise un peu plus le chaos ?

Cowperthwaite est partagé et cite l’exemple de Chelsea Manning, un soldat de l’armée américaine condamné par la cour martiale en 2013 pour avoir violé l’Espionage Act, en plus d’autres infractions, et ce après avoir donné à WikiLeaks près de 75%  d’un million de documents classifiés et/ou sensibles, d’origine militaire et diplomatique.

Il y a du bon et du mauvais. Nous savons que certaines des fuites de données de Manning ont eu des répercussions sur des opérations militaires. Cela faisait partie d’ailleurs du procès de Manning. J’ai aussi trouvé intéressant que WikiLeaks prétende que la communauté du renseignement américain avait un problème pour maintenir ses outils de cyberguerre hors du marché noir. Et si la CIA, la NSA, etc ne peuvent pas garder ces outils sous contrôle, alors les citoyens sont en droit de le savoir.  

Le débat sur les capacités de la CIA, et les avantages et les inconvénients des fuites WikiLeaks ne se terminera pas de sitôt. Comme l’ont mentionné les personnes interviewées, cette récente divulgation semble n’être que le premier acte.

Follow @ SophosFrance //platform.twitter.com/widgets.js
Billet inspiré de WikiLeaks dump shows CIA can use IoT to hack ‘anything, anywhere’, par Bill Brenner, Sophos NakedSecurity.