La reine du Homecoming (et sa mère) arrêtée pour piratage présumé des votes

Cette semaine, nous avons vu de nouvelles révélations d’ingérence électorale, grandes et petites : D’un côté, une conspiration présumée entre une mère et sa fille pour truquer numériquement le vote de la reine du lycée de Floride. De l’autre, les opérations d’influence de la Russie visant à soutenir Trump et à saboter Biden lors de l’élection présidentielle de 2020. Les nouvelles de ce projet insidieux ont soulevé des questions sur la résilience fondamentale de la démocratie américaine – et la situation avec le Kremlin est assez mauvaise aussi.

Mardi, un rapport nouvellement déclassifié du Bureau du directeur du renseignement national a mis en lumière la façon dont les agences de renseignement russes ont cherché à influencer l’élection présidentielle de 2020 et à la faire basculer en faveur de Trump – sans toutefois le même type de piratage perturbateur que celui qui a plombé l’élection de 2016. Dans d’autres nouvelles concernant la Russie, Apple a cédé à la demande de Moscou d’inciter les utilisateurs à précharger des applications russes. sur son iPhone, ouvrant la porte à des demandes similaires de la part d’autres pays.

Au Royaume-Uni, la police et les fournisseurs d’accès à Internet sont testent un nouveau système de surveillance pour enregistrer les historiques en ligne des utilisateurs., suite à l’adoption par le pays en 2016 d’une loi connue sous le nom de « Charte des fouineurs ». Et, meilleure nouvelle pour la sécurité de l’internet, Facebook a… construit une soi-disant « Red Team X » de hackers qui recherchent les vulnérabilités non seulement dans le logiciel de Facebook, mais aussi dans tous les logiciels utilisés par Facebook – et qui, ce faisant, rendent ces logiciels plus sûrs pour tous.

Vers la fin de la semaine, un Ingénieur de SpaceX a plaidé coupable pour conspiration en vue de commettre une fraude boursière. La SEC a également déposé une plainte, marquant ainsi la première fois que l’agence porte des accusations liées à l’activité du dark web.

Et ce n’est pas tout ! Chaque semaine, nous rassemblons toutes les nouvelles que nous n’avons pas couvertes en profondeur. Cliquez sur les titres pour lire les articles complets. Et restez en sécurité.

L’automne dernier, le fabricant de logiciels électoraux Election Runner a contacté les administrateurs de l’école J. M. Tate High School pour les avertir que quelque chose de louche s’était produit lors du récent vote pour la reine du bal. Comme le département des forces de l’ordre de Floride l’a écrit plus tard dans des documents d’inculpation, 117 votes avaient été exprimés à partir d’une seule adresse IP, tous en faveur d’une seule jeune fille de 17 ans, la fille du directeur adjoint de l’école, Laura Rose Carroll. Mais pour chacun de ces votes, il fallait entrer le numéro d’identification unique de l’élève et sa date de naissance – un mystère qui a été rapidement résolu lorsque la police a appris par le coordinateur du conseil des élèves de l’école que la reine du homecoming aurait parlé d’utiliser le compte réseau de sa mère pour voter. Les enquêteurs affirment que des témoins leur ont ensuite dit que la jeune fille s’était vantée d’avoir abusé des informations d’identification de sa mère pour accéder aux notes d’autres élèves. La police a également découvert que la mère était au courant du comportement de sa fille et qu’elle partageait probablement son nouveau mot de passe lorsqu’elle le mettait à jour tous les 45 jours. La mère et la fille ont toutes deux été arrêtées et accusées d’avoir accédé frauduleusement à des informations confidentielles sur les élèves. Outre les notes et les identifiants des élèves, le réseau contenait également des données plus sensibles comme les antécédents médicaux et les dossiers disciplinaires.

Une seule vulnérabilité de type « zero-day » entre les mains des pirates informatiques les distingue généralement des masses non qualifiées. Or, le groupe d’analyse des menaces de Google et l’équipe de recherche sur les vulnérabilités du projet Zéro ont découvert qu’un seul groupe de pirates en a utilisé pas moins de 11 en l’espace de neuf mois l’année dernière, un arsenal peut-être sans précédent dans l’histoire de la cybersécurité. Plus étrange encore, Google n’avait aucun détail à offrir sur l’identité des pirates, leur histoire ou leurs victimes. Les vulnérabilités qu’ils ont exploitées se trouvaient dans des navigateurs Web et des systèmes d’exploitation couramment utilisés – tels que Chrome sur Windows 10 et Safari sur iOS -, ce qui leur a permis de mener des attaques très sophistiquées de type « watering hole » (trou d’eau) qui infectent tous les visiteurs d’un site Web infecté qui utilise le logiciel vulnérable. Bien que Google ait maintenant contribué à exposer ces failles et à les faire corriger, le mystère d’un groupe de pirates inconnu, hyper sophistiqué et disposant de ressources exceptionnelles reste déconcertant.

La semaine dernière, le hacker anarchiste Tillie Kottman a fait la une des journaux avec une énorme faille de sécurité, en piratant 150 000 caméras de sécurité vendues par la société Verkada et installées dans des entreprises, des prisons, des écoles et d’autres organisations dans le monde entier. Cette semaine, Kottman, qui utilise les pronoms « ils/elles », a été inculpée par le ministère américain de la justice pour fraude électronique, complot et vol d’identité. Kottman est accusé non seulement de la violation des caméras de sécurité de la semaine dernière, mais aussi d’avoir obtenu et partagé publiquement des dépôts de code de plus de 100 entreprises, dont Microsoft, Intel, Qualcomm, Adobe, AMD, Nintendo et bien d’autres, par le biais d’un site Web appelé git.rip. Dans une interview avec Bloomberg avant le piratage des caméras de sécurité révélé la semaine dernière, Tillman a décrit leurs motivations : « beaucoup de curiosité, la lutte pour la liberté d’information et contre la propriété intellectuelle, une énorme dose d’anticapitalisme, un soupçon d’anarchisme – et c’est aussi trop amusant de ne pas le faire ».

Il est toujours ironique de constater que les exploitants de fuites de données personnelles mangent les leurs. Mais ce cas particulier avait peut-être une issue attendue vu son nom : le défunt service de collecte de mots de passe piratés WeLeakInfo a laissé échapper les informations de 24 000 clients du service, selon le journaliste indépendant spécialisé dans la sécurité Brian Krebs. Jusqu’à sa saisie par le FBI il y a un peu plus d’un an, WeLeakInfo était l’un des nombreux services qui collectaient des caches de mots de passe piratés ou divulgués et les mettaient en vente. Mais aujourd’hui, après que le FBI a laissé l’un des domaines de WeLeakInfo expirer, un pirate a pris le contrôle de ce domaine et l’a utilisé pour réinitialiser la connexion du compte du service avec le service de paiement Stripe. Cela a révélé les données personnelles de tous les clients du service dont les paiements étaient traités par Stripe, y compris les noms complets, les adresses, les numéros de téléphone, les adresses IP et les numéros partiels de cartes de crédit.

Joseph Cox, journaliste de Motherboard, a découvert une faille béante dans la sécurité de la messagerie texte. Un pirate nommé Lucky225 lui a démontré que Sakari, un service qui permet aux entreprises d’accorder un accès à son logiciel pour envoyer des SMS à partir de leurs propres numéros, permet à n’importe qui de prendre le contrôle du numéro de quelqu’un avec seulement un abonnement mensuel de 16 dollars et une « lettre d’autorisation » dans laquelle le pirate prétend être autorisé à envoyer et recevoir des messages à partir de ce numéro – tout cela grâce aux systèmes de sécurité incroyablement laxistes des entreprises de télécommunications. Cox a effectivement accordé cette autorisation à Lucky225, et ce dernier a montré en quelques secondes qu’il pouvait non seulement recevoir les SMS de Cox, mais aussi en envoyer depuis son numéro, et réinitialiser et prendre le contrôle des comptes de Cox qui utilisent les SMS comme méthode d’authentification. Un hacker moins amical et sans permission pourrait, bien sûr, faire la même chose.

Le contractant militaire Ulysses a proposé dans des documents marketing de suivre des dizaines de millions de voitures pour ses clients, selon un document obtenu par Joseph Cox de Motherboard, qui mérite probablement plusieurs prix de journalisme d’investigation maintenant. L’entreprise se vante d’agréger les données des systèmes télématiques des voitures, mais on ne sait pas exactement quels capteurs ou quelles voitures partagent ces données, ni comment Ulysses les a obtenues. Sur une image, elle affirme avoir la capacité de « géolocaliser un véhicule ou 25 000 000, comme indiqué ici », à côté d’une carte couverte de points couvrant une grande partie de l’Europe de l’Est, de la Turquie et de la Russie. Un cadre d’Ulysses a répondu aux questions de Motherboard en affirmant que le document était « ambitieux » – bien que le document raconte une histoire différente – et que la société n’a pas de contrats gouvernementaux liés à la télématique.