La fuite de données du ransomware de Berlin montre que les règles de divulgation ne constituent pas une défense

Google a corrigé douze vulnérabilités Chrome cette semaine, dont une faille V8 faisant déjà l'objet d'attaques actives, six jours avant que le Cyber Resilience Act de l'UE n'oblige les fabricants à signaler les failles exploitées dans un délai de 24 heures. Qu'il s'agisse d'une coïncidence ou d'un fournisseur ayant bien interprété l'échéance, le correctif est arrivé avec le sentiment d'urgence que la nouvelle règle est censée imposer. La même semaine, l'administration publique de Berlin a découvert les limites de ce que toute règle de divulgation peut accomplir. La ville a refusé une rançon de deux millions d'euros, et les hackers ont malgré tout divulgué six téraoctets de ses données, incluant des cartes d'infrastructure ainsi que les informations personnelles de citoyens et d'employés.

Il ne s'agit pas du même type d'échec. Le Cyber Resilience Act régit ce qui se passe après la découverte d'une vulnérabilité : la signaler rapidement, la corriger rapidement, informer le régulateur. Le cas de Berlin concerne ce qui se passe une fois qu'un attaquant est déjà à l'intérieur et a déjà dérobé les données. Aucun délai de signalement ne permet de récupérer six téraoctets sur le dark web, et aucune maturité réglementaire ne remplace le travail plus ardu et plus lent consistant à maintenir les attaquants à l'écart et à conserver des sauvegardes utilisables lorsqu'ils parviennent tout de même à s'introduire. Comme le rapporte Pplware, Berlin a choisi de ne pas financer ceux qui ont volé ses données, ce qui est la bonne décision mais qui, en soi, ne constitue pas une stratégie de cybersécurité.

Un délai de divulgation ne permet pas de récupérer six téraoctets sur le dark web.

Une deuxième actualité de cette semaine porte sur le contrôle plutôt que sur la criminalité. Le CISPE, l'association européenne de l'industrie du cloud, a déclaré à la Commission que la stratégie de Broadcom en matière d'AI d'entreprise est conçue pour enfermer les clients dans sa propre stack, comme le rapporte Heise. Il ne s'agit pas de la première plainte du CISPE à l'encontre de l'entreprise : en mars, il avait qualifié la purge des partenaires indépendants de VMware par Broadcom d'"arrêt de mort" pour les fournisseurs de cloud européens. Six mois plus tard, le combat est passé de la question de savoir qui peut revendre les logiciels de virtualisation à celle de savoir qui pourra construire la couche d'AI d'entreprise par-dessus, et il s'agit de la même question de souveraineté numérique européenne sur laquelle cette chronique revient sans cesse, désormais un niveau plus haut dans la stack.

Citoyens…

Si vos données personnelles ont transité par l'administration publique de Berlin, dans les cartes d'infrastructure exposées ou les dossiers du personnel et des citoyens qui se trouvent désormais sur le dark web, traitez les appels ou e-mails inattendus faisant référence à vos informations avec une méfiance accrue au cours des prochains mois. Il s'agit de la seule exposition directe pour les consommateurs dans les actualités de cette semaine. Le combat de Broadcom se joue un niveau plus haut, dans les contrats de cloud d'entreprise qui maintiennent en fonctionnement les services que vous utilisez, et non dans ce que vous achetez ou sur quoi vous cliquez directement.

Entreprises…

Six jours ne laissent que peu de marge de manœuvre si l'obligation de signalement en 24 heures des vulnérabilités exploitées du Cyber Resilience Act n'est pas déjà intégrée à votre processus de réponse aux incidents, et le correctif de Google, arrivé juste avant cette date, est un signal raisonnable indiquant que les fournisseurs traitent déjà cette échéance comme une contrainte réelle plutôt que comme une simple formalité. Par ailleurs, toute entreprise exécutant des workloads d'entreprise sur la stack VMware de Broadcom devrait lire la plainte du CISPE comme un avertissement concernant l'évolution future de cette dépendance, passant des conditions de licence au contrôle de l'infrastructure d'AI. OVHcloud et les autres fournisseurs de cloud européens ne sont pas une solution de remplacement instantanée pour un parc VMware existant, mais ils constituent l'alternative concrète vers laquelle orienter un plan de migration avant que la décision ne soit prise à votre place.

Administrations…

Le refus de payer de Berlin est cohérent avec la ligne plus dure que les administrations publiques européennes adoptent de plus en plus face aux demandes de rançon, et c'est la bonne politique en soi : payer finance la prochaine attaque. Mais la fuite qui a suivi rappelle que cette politique ne tient la route que si elle est associée à des capacités de prévention et de récupération que la plupart des administrations publiques, y compris Berlin, ne semblent toujours pas posséder. Le Cyber Resilience Act donne aux autorités nationales comme le BSI allemand de nouveaux pouvoirs de coercition sur les fournisseurs. Cependant, en vertu de cette loi spécifiquement, elles ne disposent d'aucune autorité sur la posture de sécurité d'une administration, ce qui demeure un travail distinct et inachevé.

Sources

• Google a corrigé un zero-day Chrome V8 exploité in the wild quelques jours avant l'entrée en vigueur de l'obligation de signalement sous 24 heures des vulnérabilités exploitées du Cyber Resilience Act de l'UE · The Next Web
• Le CISPE a averti que la stratégie d'AI d'entreprise de Broadcom est conçue pour contrôler le choix des clients, déclenchant des plaintes formelles auprès de l'UE · Heise Online
• L'administration publique de Berlin a refusé une demande de rançon de deux millions d'euros et a tout de même vu six téraoctets de ses données divulgués sur le dark web · Pplware