Microsoft accusé de négligence après un piratage massif

La principale faille de sécurité des serveurs SharePoint de Microsoft sur site

Lorsque des gouvernements et des entreprises internationales font confiance à vos systèmes, la sécurité est une responsabilité essentielle. Les serveurs SharePoint sur site de Microsoft ont récemment révélé une grave lacune dans ce domaine. Une vulnérabilité a été laissée ouverte suffisamment longtemps pour que des attaquants puissent l’exploiter avec succès. Ils ont utilisé une porte dérobée appelée « ToolShell » pour obtenir un accès complet aux données de l’entreprise dans tout ce que SharePoint touchait.

Cela va au-delà des documents. SharePoint s’intègre profondément à d’autres outils, Outlook et Microsoft Teams en étant deux exemples majeurs. Une fois à l’intérieur, les attaquants pouvaient potentiellement se déplacer latéralement dans les données de messagerie électronique, de chat, de planification et de gestion de projet. Il ne s’agissait pas d’une simple violation de fichiers, mais d’une exposition totale de l’entreprise.

SharePoint basé sur Cloud n’a pas été affecté par la faille. Seules les installations sur site ont été touchées. Néanmoins, des dizaines de milliers de serveurs ont été compromis, et pas seulement dans le secteur privé. L’attaque a touché les principaux bras du gouvernement fédéral américain, des agences telles que les Instituts nationaux de la santé, le ministère de la sécurité intérieure et l’Administration nationale de la sécurité nucléaire (NNSA). Pour rappel, la NNSA gère la sécurité de 5 000 ogives nucléaires et fait partie intégrante de la sécurité nationale.

Si vous faites partie d’une entreprise détenant des données sensibles ou des données publiques critiques, il ne s’agit pas seulement d’un problème lié à Microsoft, mais d’un plan de risque. Une exploitation réussie montre ce qui se passe lorsque les plates-formes fondamentales échouent. De nombreuses entreprises devront reconsidérer les cadres de confiance autour des principaux outils de collaboration et décider qui aura les clés la prochaine fois.

La réaction tardive et insuffisante de Microsoft en matière de sécurité a aggravé l’impact.

Les retards dans les mesures de sécurité peuvent coûter bien plus que des temps d’arrêt, ils ouvrent la porte à des attaques persistantes, à la compromission à long terme des systèmes, à la perte de données concurrentielles et à des responsabilités réglementaires. C’est ce qui s’est passé ici.

Microsoft a publié un correctif, mais trop tard. Lorsque la plupart des organisations l’ont appliqué, les attaquants s’étaient déjà installés et avaient établi un accès à long terme en utilisant des clés de machine ASP.NET volées. Ces clés agissent comme des signatures numériques qui valident les utilisateurs. En les dérobant, les attaquants ont la possibilité de franchir la porte d’entrée à plusieurs reprises. Il ne suffit pas de corriger la vulnérabilité. Les entreprises doivent procéder à une rotation des clés machine et redémarrer les services d’information Internet (IIS) de leurs serveurs SharePoint pour interrompre ces voies d’accès persistantes.

La société de sécurité Eye Security a mis en évidence cette couche cachée de risque : les attaquants ne se sont pas contentés d’entrer, ils ont mis en place des outils pour revenir plus tard. La violation devient un jeu de longue haleine. C’est un problème majeur si votre entreprise repose sur la confiance et la disponibilité des données. Chaque détail négligé aggrave le risque.

Sunil Varkey, conseiller auprès de Beagle Security, a soulevé un point essentiel : Microsoft n’a pas compris comment les vulnérabilités s’empilaient. Chaque faille prise isolément aurait pu être gérable, mais ensemble, elles ont créé un accès catastrophique. Il ne s’agit pas seulement d’un correctif manqué, mais d’une vision de la menace au niveau du système qui n’a pas été prise en compte. Les entreprises doivent cesser de traiter les incidents de sécurité comme des événements isolés. Vous devez adopter une approche de la gestion des vulnérabilités qui tienne compte de l’architecture, sinon vous augmentez les risques en même temps que vos opérations.

Si votre organisation pense que l’application de correctifs est la fin de la réponse à une brèche, vous ne fermez pas la boucle.

Les défaillances récurrentes de Microsoft en matière de sécurité mettent en évidence un problème chronique de cybersécurité inadéquate.

Les récentes défaillances de Microsoft en matière de sécurité laissent entrevoir un problème plus profond, qui relève du processus et non du hasard. Il y a un an, le ministère de la sécurité intérieure a publié un rapport très critique après qu’une autre faille majeure impliquant des systèmes Microsoft a permis à des opérations de cyber-espionnage chinoises d’accéder aux courriels de hauts fonctionnaires américains.

La liste des cibles de cette violation n’était pas aléatoire. Elle comprenait le secrétaire au commerce, Gina Raimondo, l’ambassadeur en Chine, Nicholas Burns, et le représentant Don Bacon. Ces personnes sont chargées de maintenir la stabilité économique et diplomatique dans l’une des régions les plus stratégiquement sensibles de la planète. Le DHS l’a clairement expliqué : l’intrusion a réussi en raison d’une « cascade d’erreurs évitables de Microsoft ». Le rapport indique que l’ensemble du dispositif de sécurité de Microsoft « est inadéquat et nécessite une révision ».

C’était il y a un an. Depuis, rien de fondamental n’a changé. L’attaque SharePoint a suivi, avec un chemin technique différent, mais avec des conséquences similaires. Cela suggère une incapacité constante à réorganiser les systèmes ou à réformer la discipline de sécurité interne à la suite d’un incident national majeur.

Pour un fournisseur de plateforme d’entreprise, ce niveau de répétition d’échecs à fort impact érode la confiance. Il représente un risque important si vous êtes un DSI, un directeur technique ou un responsable de la sécurité informatique et que vous mettez en place des opérations stratégiques avec Microsoft comme pile de base. À grande échelle, la sécurité ne peut pas être réactive. Elle doit être conçue dès le départ et revalidée en permanence, et pas seulement mise à jour lorsque les gros titres apparaissent.

L’inertie politique et l’esprit de parti ont permis à Microsoft d’échapper à toute responsabilité

Il est surprenant de constater l’absence d’une surveillance efficace. Après la dernière grande faille de sécurité impliquant Microsoft dans la compromission de systèmes fédéraux, plusieurs législateurs américains ont tiré la sonnette d’alarme. Les sénateurs Eric Schmitt et Ron Wyden ont envoyé une lettre directe au ministère de la défense pour le mettre en garde contre une dépendance accrue à l’égard de la technologie Microsoft, compte tenu des récentes défaillances de l’entreprise.

La réaction ? Rien n’a bougé. Le ministère de la défense a maintenu son cap. Il n’y a pas eu d’enquête, pas de blocage de contrats, pas d’examen réglementaire obligeant à corriger le tir.

Aujourd’hui, c’est encore plus calme. Pas de nouvelles auditions. Pas de nouvelle législation. Aucune réprimande publique. Même avec la violation de SharePoint qui a touché des agences telles que la FEMA, la TSA et le service des douanes et de la protection des frontières, la responsabilité est au point mort. Cela s’explique en partie par le fait que l’attention des législateurs est détournée ailleurs. Il semble qu’une partie de cette situation soit due à l’impasse politique.

Pour les chefs d’entreprise, il s’agit là d’un angle mort réglementaire. L’inaction du gouvernement aujourd’hui peut se transformer en une surveillance agressive plus tard, généralement après que trop de dégâts ont été causés. Attendre que Washington intervienne avant de procéder à des changements internes est une erreur stratégique. Les dirigeants d’entreprise doivent s’attendre à ce que la surveillance soit réactive, agressive et motivée par l’ampleur des dégâts accumulés. Il est temps de renforcer les normes internes de cybersécurité avant que la pression extérieure ne vous force la main.

Le succès futur de Microsoft dépend de la correction de ses lacunes en matière de cybersécurité

Microsoft n’est pas encore confronté à une véritable pression, mais cela ne signifie pas que le coût n’augmente pas. L’absence de conséquences politiques ou réglementaires immédiates n’est pas synonyme de sécurité, mais de retard. La pression finira par se faire sentir, et lorsqu’elle se fera sentir, elle sera brutale et peut-être aggravée par des défaillances héritées non résolues.

Pour l’instant, ni le Congrès ni la Maison Blanche ne font de Microsoft une cible prioritaire. Il y a du bruit, mais pas d’action. Il peut s’agir en partie d’une distraction politique, en partie d’une inaction stratégique. Mais cette fenêtre ne restera pas ouverte. Des personnalités influentes, en particulier celles qui ont leur propre agenda, pourraient finir par voir dans le bilan de Microsoft en matière de cybersécurité une occasion de faire pression en faveur d’une réforme, d’une réglementation ou d’un effet de levier dans le cadre de négociations plus larges.

Donald Trump est déjà bien placé pour le faire. Il ne se concentre pas sur les échecs de Microsoft pour le moment, mais lorsque l’intérêt se déplacera, l’historique des violations de l’entreprise lui donnera une justification claire pour exiger des concessions ou exercer des pressions. Lorsque les courriels de hauts fonctionnaires américains sont compromis et que des agences liées à la défense nationale sont violées, cela constitue un capital politique d’un poids réel. Pour l’instant, ce capital reste sur la table.

C’est le signal pour les dirigeants de Microsoft, et pour toute entreprise dépendant de son écosystème : corrigez l’architecture avant que d’autres n’en définissent les conséquences pour vous. Il est trop tard pour attendre que la réputation de l’entreprise soit entachée par des auditions du Congrès ou des pressions de la part de l’exécutif. Renforcer les fondations, auditer la pile de sécurité de bout en bout et combler les lacunes persistantes n’est pas facultatif, c’est une assurance opérationnelle.

Si vous êtes un chef d’entreprise dont l’infrastructure est liée à Microsoft, cette question est également importante pour votre organisation. Vous devez savoir que les fournisseurs dont vous dépendez traitent les risques de sécurité avec la plus grande urgence. Les systèmes clés ne doivent pas dépendre de modifications rétroactives. Ils ont besoin d’une anticipation stratégique, et pas seulement de correctifs réactifs. Les organisations qui agissent en premier, volontairement, ne se contenteront pas d’éviter les risques. Elles établiront la nouvelle norme que tous les autres devront suivre.

Faits marquants

• Exploitation généralisée d’une faille dans SharePoint : une grave vulnérabilité dans les serveurs SharePoint sur site a permis à des acteurs de la menace liés à la Chine de compromettre des milliers de systèmes, y compris ceux des agences nucléaires et de sécurité intérieure des États-Unis. Les dirigeants devraient évaluer l’exposition à l’infrastructure existante et donner la priorité à la migration vers des environnements cloud plus sûrs et surveillés.
• Une réponse inadéquate a amplifié les dégâts : Le retard pris par Microsoft dans l’application des correctifs et les mesures d’atténuation incomplètes ont permis aux attaquants de conserver un accès permanent aux réseaux compromis. Les dirigeants d’entreprise doivent veiller à ce que les protocoles de réponse aux incidents aillent au-delà du déploiement des correctifs et incluent la rotation des clés, le redémarrage des systèmes et la chasse aux menaces après l’intrusion.
• Des échecs répétés sont le signe d’un risque plus grand : La position de Microsoft en matière de sécurité est restée faible malgré les brèches précédentes et les avertissements du DHS décrivant ses pratiques comme « inadéquates ». Les entreprises qui s’appuient sur la pile de Microsoft devraient exiger des audits par des tiers et reconsidérer la position des fournisseurs en matière de risques dans les opérations numériques critiques.
• L’absence de conséquences politiques alimente l’inaction : Malgré l’inquiétude des deux partis face aux violations passées, l’inertie des pouvoirs publics a permis à Microsoft de se développer sans avoir à rendre de comptes. Les décideurs ne doivent pas compter sur la pression réglementaire pour inciter les fournisseurs à s’améliorer ; les normes de sécurité internes doivent être autogérées et appliquées dès maintenant.
• Une réforme retardée risque d’entraîner des perturbations à l’avenir : Microsoft fait actuellement face à des réactions minimes, mais la pression politique ou stratégique, en particulier de la part d’acteurs influents, peut s’intensifier rapidement. Les dirigeants devraient agir de manière préventive pour renforcer la surveillance des fournisseurs et la cyber-résilience avant que des événements politiques ou externes n’entraînent des changements perturbateurs.