La violation par la Chine de Microsoft Cloud Email peut exposer des problèmes plus profonds

Microsoft écrit la semaine dernière que ses « enquêtes n’ont détecté aucune autre utilisation de ce modèle par d’autres acteurs et que Microsoft a pris des mesures pour bloquer les abus associés ». Mais si la clé de signature volée aurait pu être utilisée pour violer d’autres services, même si elle n’a pas été utilisée de cette manière lors du récent incident, la découverte a des implications importantes pour la sécurité des services cloud de Microsoft et d’autres plates-formes.

L’attaque « semble avoir une portée plus large que prévu à l’origine », ont écrit les chercheurs de Wiz. Ils ont ajouté : « Ce n’est pas un problème spécifique à Microsoft – si une clé de signature pour Google, Facebook, Okta ou tout autre fournisseur d’identité majeur fuit, les implications sont difficiles à comprendre. »

Les produits de Microsoft sont cependant omniprésents dans le monde entier, et Luttwak de Wiz souligne que l’incident devrait servir d’avertissement important.

« Il y a encore des questions auxquelles seul Microsoft peut répondre. Par exemple, quand la clé a-t-elle été compromise ? Et comment? » il dit. « Une fois que nous savons cela, la question suivante est, savons-nous que c’est la seule clé qu’ils ont compromise ?

En réponse à l’attaque de la Chine contre les comptes de messagerie cloud du gouvernement américain de Microsoft – une campagne que les responsables américains ont décrit publiquement comme de l’espionnage—Microsoft a annoncé la semaine dernière qu’il rendrait plus de ses services de journalisation en nuage gratuits pour tous les clients. Auparavant, les clients devaient payer une licence à l’offre Purview Audit (Premium) de Microsoft pour enregistrer les données.

Eric Goldstein, directeur adjoint exécutif pour la cybersécurité de la US Cybersecurity and Infrastructure Security Agency, écrit dans un article de blog également publié la semaine dernière, que « demander aux organisations de payer plus pour la journalisation nécessaire est une recette pour une visibilité insuffisante sur les enquêtes sur les incidents de cybersécurité et peut permettre aux adversaires d’avoir des niveaux dangereux de succès en ciblant les organisations américaines ».

Depuis qu’OpenAI a révélé ChatGPT au monde en novembre dernier, le potentiel de l’IA générative a été propulsé dans le courant dominant. Mais ce n’est pas seulement le texte qui peut être créé, et bon nombre des méfaits émergents de la technologie commencent seulement à se réaliser. Cette semaine, l’association britannique pour la sécurité des enfants, Internet Watch Foundation (IWF), qui parcourt le Web à la recherche d’images et de vidéos d’abus sexuels sur des enfants et les supprime, a révélé qu’il était trouver de plus en plus d’images d’abus générées par l’IA en ligne.

En juin, l’organisme de bienfaisance a commencé à enregistrer des images d’IA pour la première fois, affirmant qu’il avait trouvé sept URL partageant des dizaines d’images. Celles-ci comprenaient des générations de filles d’environ 5 ans posant nues dans des positions sexuelles, selon le Bbc. D’autres images étaient encore plus graphiques. Alors que le contenu généré ne représente qu’une fraction du matériel pédopornographique disponible en ligne dans l’ensemble, son existence inquiète les experts. L’IWF dit avoir trouvé des guides sur la façon dont les gens pourraient créer des images réalistes d’enfants en utilisant l’IA et que la création des images, qui est illégale dans de nombreux pays, est susceptible de normaliser et d’encourager les comportements prédateurs envers les enfants.

Après avoir menacé de déployer des mesures mondiales de répression du partage de mots de passe pendant des années, Netflix a lancé les initiatives aux États-Unis et au Royaume-Uni fin mai. Et l’effort semble se dérouler comme prévu. Dans les résultats publiés jeudi, la société a déclaré avoir ajouté 5,9 millions de nouveaux abonnés au cours des trois derniers mois, un bond près de trois fois supérieur aux prévisions des analystes. Les abonnés au streaming se sont habitués à partager des mots de passe et ont hésité face aux nouvelles règles strictes de Netflix, qui ont été motivées par la stagnation des inscriptions de nouveaux abonnés. Mais finalement, au moins une partie des partageurs de compte semble avoir mordu la balle et commencé à payer par eux-mêmes.