Envoyez ceci aux personnes qui comptent pour vous. Toute personne qui utilise Internet, c'est-à-dire pratiquement tout le monde, doit savoir ce qui se passe et ce qu'elle peut faire pour se protéger.
À l'instant même où vous lisez ces lignes, des essaims d'agents IA tentent probablement de s'introduire dans les sites web que vous utilisez. Pas un seul. Des milliers.
Nous traversons la plus grande crise de cybersécurité depuis des années. Certains experts parlent déjà d'un Octobre noir.
Je n'écris pas cela pour vous effrayer. Une grande partie de la situation échappe à votre contrôle. Mais il existe des gestes simples pour vous protéger, et le moindre effort vaut mieux que rien.
Chaque heure cette semaine, une nouvelle attaque a été révélée. Le temps que vous finissiez de lire cet article, il y en aura probablement une autre.
Voici donc ce qui se passe, et ce que vous devez faire.
Ce qui se passe en ce moment
Si c'est trop d'informations d'un coup, n'hésitez pas à passer directement à la section que faire aujourd'hui. Mais je vous recommande vraiment de tout lire.
Hier, une faille critique a été découverte dans PHP, le logiciel qui fait tourner environ 70 % des sites web.
Imaginez : quelqu'un découvre que des millions de bâtiments du pays ont la même serrure défectueuse, et désormais tout le monde sait comment l'ouvrir. Le fabricant de la serrure a envoyé une pièce de rechange, mais chaque propriétaire doit l'installer lui-même, et beaucoup ne l'ont pas encore fait.
Dans les deux heures suivant l'annonce, des attaquants testaient cette serrure des centaines de milliers de fois, selon le PDG de Cloudflare. Aujourd'hui, on compte en millions. Amazon affirme que quelqu'un l'essayait déjà quatre jours avant l'annonce officielle, et son responsable de la sécurité indique que la faille "est désormais largement exploitée dans la nature." (C'est Amazon qui tire la sonnette d'alarme, pas Amazon qui se fait pirater.) Jusqu'à présent, personne n'a confirmé d'intrusion réussie par ce biais, mais les attaquants essaient partout. Par précaution, l'organisation qui gère Wikipédia a mis hors ligne certains de ses systèmes, et les gouvernements des Pays-Bas, de Finlande, d'Allemagne, de France et d'ailleurs ont désactivé des sites web.
Ce n'est qu'une histoire parmi d'autres, et seulement la partie émergée de l'iceberg. Je vous partage quelques-unes des plus importantes. Si je devais tout lister, vous en auriez pour des heures de lecture.
- Un groupe de pirates affilié à l'État chinois a utilisé un outil de piratage basé sur l'IA pour tenter de s'introduire dans plus de 2 000 organisations via un service de sauvegarde dont dépendent les entreprises informatiques, selon Microsoft.
- Une plateforme cloud utilisée par environ deux millions de développeurs a annoncé que les clés secrètes de ses clients avaient potentiellement été consultées. Ce matin, un ami s'est fait vider son compte par quelqu'un utilisant l'une d'elles.
- La plus grande banque indienne a déclaré que les données personnelles de près de 3 900 clients avaient été exposées sur le dark web.
- Un réseau criminel a utilisé des outils d'IA pour attaquer plus de 400 banques et institutions financières à travers l'Amérique latine.
- Des pirates se sont introduits dans 16 institutions financières en Corée du Sud, dont de grandes banques.
- Le gouvernement japonais a demandé aux entreprises de renforcer leurs défenses après des intrusions qui auraient exposé les données de dizaines de millions de personnes.
- Les sites web et applications de Stop & Shop, Hannaford et Food Lion sont restés inaccessibles pendant plus d'une semaine.
- Le FBI, la NSA et trois autres agences ont averti que des pirates utilisant des scripts d'attaque générés par l'IA repèrent les systèmes qui gèrent l'eau, l'énergie et les usines de production.
Les gouvernements avaient vu venir le coup. En juin, les États-Unis et leurs alliés les plus proches mettaient en garde contre le piratage assisté par l'IA : "L'échéance n'est pas de plusieurs années, mais de quelques mois." Quatre mois plus tard, nous y sommes.
La version originale de cet article est disponible ici.
Pourquoi c'est différent
Vous entendez parler de piratages depuis des années. Voici ce qui a changé.
Chaque bâtiment a ses points faibles : une fenêtre qui ferme mal, une porte de service avec une serrure bon marché. C'est pareil pour les logiciels. Ils regorgent de failles cachées. Pendant des décennies, les trouver nécessitait des compétences rares et pointues, et ces experts étaient peu nombreux. C'était notre protection. Pas de bonnes serrures. Juste une pénurie de cambrioleurs.
Cette pénurie est terminée. Trois choses viennent de se produire simultanément.
Premièrement, l'IA peut désormais trouver les failles. La vulnérabilité PHP a été découverte avec l'aide de l'IA, et les outils d'IA découvrent des milliers de bugs passés inaperçus pendant des années.
Deuxièmement, l'IA peut désormais s'introduire seule. Plus besoin de pirate expert. Une personne a donné à des agents IA des instructions plus courtes qu'un tweet, moins de 100 caractères chinois, et les a laissés travailler presque en autonomie. Ils se sont introduits dans les sites web de plus de 100 entreprises, dont John Deere, pour un coût estimé à 50 $ par intrusion. Ils ne dorment pas et ne s'ennuient jamais. Ils continuent d'essayer jusqu'à trouver un passage.
Troisièmement, les défenseurs courent pour suivre le rythme. Chaque faille doit encore être corrigée, testée et déployée sur des millions de systèmes gérés par des équipes déjà débordées. Même pour les bugs les plus critiques, il faut en moyenne environ deux semaines juste pour publier un correctif, et de nombreux sites web ne sont jamais mis à jour. L'entreprise de sécurité Cisco estime qu'environ la moitié des serveurs connectés à Internet utilisant ce logiciel sont trop anciens pour recevoir le correctif officiel.
Additionnez tout cela et vous obtenez un jeu du chat et de la souris où les attaquants n'ont besoin de gagner qu'une seule fois. C'est ce décalage entre attaquants et défenseurs que vous verrez se jouer dans l'actualité au cours des prochains jours.
Cela va continuer, et empirer
Ce n'est pas une mauvaise semaine isolée. C'est le début d'une réalité à laquelle nous devons tous nous préparer.
Regardez les chiffres. L'entreprise de sécurité CrowdStrike affirme que les attaques impliquant probablement des agents IA qu'elle observe ont plus que doublé en août, puis ont encore doublé en septembre. Et si cette semaine est un indicateur, cela ne fait qu'accélérer. L'IA s'améliore tous les quelques mois tout en devenant moins coûteuse à faire tourner. Les outils que les pirates utilisent aujourd'hui sont les pires qu'ils auront jamais.
Ces outils circulent aussi librement désormais. Lorsqu'un outil de piratage basé sur l'IA a été lié aux attaques contre des banques coréennes, son créateur a cessé de le diffuser publiquement et sa page de téléchargement a disparu. Mais cela n'a rien changé. Quiconque l'avait déjà téléchargé peut toujours l'utiliser.
La bonne nouvelle, c'est que les défenseurs disposent aussi de l'IA, et qu'elle trouve et corrige les failles plus vite que jamais. À terme, les logiciels seront bien plus difficiles à pirater qu'aujourd'hui. Mais pour l'instant, l'attaque a une longueur d'avance sur la défense, et cela pourrait durer un moment.
Ce que cela signifie pour vous
Actuellement, de grandes banques américaines, dont JPMorgan, Bank of America et Wells Fargo, découvrent des agents IA non autorisés à l'intérieur des comptes clients, selon Axios. Certains ont été configurés par les clients eux-mêmes, mais beaucoup de banques n'arrivent pas à distinguer ceux qui agissent pour le client de ceux qui ne le font pas. Les dirigeants bancaires qualifient la situation de "terrifiante". Axios n'a signalé aucun vol d'argent.
Mais pour la plupart des gens aujourd'hui, le plus grand danger reste triple. Vos informations fuient, alors les escrocs connaissent votre nom, votre date de naissance, votre adresse et votre banque, et leurs appels et SMS paraissent authentiques. Vos comptes sont piratés via un site que vous avez utilisé une fois, il y a des années, avec le même mot de passe que vous utilisez partout. Et les services dont vous dépendez, comme une application, une pharmacie ou le site d'un magasin, tombent en panne pendant des jours.
Soyons clairs : la situation est en cours, mais les pires scénarios que les gens redoutent le plus ne se sont pas produits. J'espère que cela n'arrivera jamais. Mais mieux vaut prévenir que guérir, surtout que cela va continuer.
Que faire aujourd'hui
Premièrement, évitez les sites que vous ne connaissez pas jusqu'à ce que la tempête passe. Tenez-vous-en aux grands noms : votre banque, Amazon, Google. Les petits sites sont les moins susceptibles d'avoir appliqué le correctif, et vous ne pouvez pas le voir de l'extérieur. Pendant les prochaines semaines, ne saisissez aucun mot de passe ni numéro de carte sur un site inhabituel.
Deuxièmement, mettez tout à jour : votre téléphone, votre ordinateur, votre tablette et votre navigateur web. Quand les paramètres de votre téléphone ou de votre ordinateur indiquent qu'une mise à jour est disponible, installez-la. C'est votre serrure. Faites de même pour votre routeur, et s'il est si vieux qu'il ne reçoit plus de mises à jour, remplacez-le. Mais n'installez jamais une "mise à jour" provenant d'une fenêtre pop-up sur un site web ou d'un lien dans un SMS ou un e-mail. C'est une arnaque courante. Vous ne savez pas comment faire ? Voici un guide simple étape par étape.
Troisièmement, fermez les portes que vous n'utilisez pas. Débranchez les gadgets connectés inutiles et supprimez les applications que vous n'utilisez plus. Chaque objet connecté est une porte d'entrée supplémentaire.
Quatrièmement, protégez votre compte bancaire. Si quelqu'un vous appelle, vous envoie un SMS ou un e-mail pour vous demander votre mot de passe ou un code que vous venez de recevoir sur votre téléphone, c'est une arnaque. À chaque fois. Ces codes servent uniquement à être saisis dans l'application ou sur le site officiel de votre banque. Considérez tout appel, SMS ou e-mail concernant votre banque comme suspect tant que vous ne l'avez pas vérifié vous-même : ne cliquez pas sur leurs liens et ne rappelez pas le numéro qu'ils vous donnent. Raccrochez et appelez le numéro au dos de votre carte. Si c'était vraiment votre banque, ils pourront vous aider.
Ne saisissez votre identifiant et votre mot de passe bancaires que dans l'application ou sur le site officiel de votre banque. Ne les donnez à personne d'autre, ni à un assistant IA ni à une autre application, même si cela semble pratique. Chase recommande de ne les donner à personne. Activez la double authentification pour vos e-mails et votre banque (voici comment), et arrêtez de réutiliser vos mots de passe. Un gestionnaire de mots de passe facilite la tâche, et votre iPhone ou téléphone Android en intègre déjà un.
Si vous voulez être particulièrement prudent, gardez un peu d'argent liquide chez vous, de quoi faire des courses pour quelques jours, ainsi que de la nourriture et de l'eau. C'est un kit d'urgence classique, utile de toute façon.
Ce que je ne ferais pas, c'est retirer tout votre argent de la banque. La panique est exactement ce sur quoi comptent les escrocs. Si une banque fait faillite, les dépôts dans les banques assurées par la FDIC sont protégés jusqu'à 250 000 $ par personne et par banque. Cette assurance ne couvre pas l'argent volé sur un compte piraté. Mais les règles fédérales limitent généralement vos pertes en cas de transferts non autorisés si vous les signalez rapidement, alors consultez souvent vos comptes et appelez votre banque immédiatement si quelque chose semble anormal. L'argent que vous êtes manipulé à envoyer vous-même est beaucoup plus difficile à récupérer, c'est pourquoi les appels frauduleux représentent le plus grand danger.
Les prochains jours vont être étranges. D'autres annonces vont tomber. J'espère que la plupart des systèmes continueront de fonctionner. Contentez-vous de faire le nécessaire, même si c'est ennuyeux, dès aujourd'hui.
Envoyez ceci dès maintenant aux personnes qui comptent pour vous. Vos parents, vos grands-parents, vos amis, vos groupes de discussion. Toute personne connectée à Internet, c'est-à-dire absolument tout le monde, doit savoir ce qui se passe. Ceux qui ont le moins de chances d'en entendre parler sont justement ceux qui risquent le plus d'en souffrir.
La version originale de cet article est disponible ici.
