Discussion :

[Bruno]

La ville de Columbus poursuit un chercheur en sécurité après sa révélation sur la gravité d'une attaque par rançongiciel,
contredisant les affirmations des autorités municipales

La ville de Columbus, aux États-Unis, a intenté une action en justice contre David Leroy Ross, un chercheur en sécurité, après qu'il a révélé l'existence de données sensibles, volées lors d'une attaque par rançongiciel, disponibles sur le dark web. Cette révélation a contredit les déclarations des autorités municipales qui assuraient que ces données étaient inutilisables pour les criminels. Suite à cela, un juge a émis une ordonnance restrictive temporaire pour interdire à Ross de diffuser ces informations, en affirmant que ses actions pouvaient constituer une menace pour la sécurité publique. La ville accuse Ross de négligence, affirmant qu'il a facilité l'accès public à des données volées, bien que Ross soutienne qu'il agissait dans le but d'alerter le public sur la gravité de la situation.

Internet est immense, composé de millions de pages web, bases de données et serveurs en fonctionnement continu. Cependant, l'Internet visible, constitué des sites accessibles via des moteurs de recherche comme Google, ne représente qu'une petite partie de l'ensemble. Le dark web, souvent perçu comme un lieu inquiétant, est une section d'Internet composée de sites cachés, inaccessibles via les navigateurs web conventionnels.

Une attaque par rançongiciel chiffre généralement le disque dur d'un ordinateur, ou des serveurs vitaux dans un environnement professionnel, et l'infection peut se propager à d'autres ordinateurs à partir de l'hôte d'origine. Les données contenues dans les disques infectés sont verrouillées et inaccessibles à l'utilisateur. À moins de payer une rançon au pirate, il risque de perdre définitivement ses données ou de les voir divulguées publiquement. En cas d'attaque réussie, les pirates restaurent les données de la victime en échange de paiements importants en crypto-monnaies comme le bitcoin. Les rançongiciels sont devenus une entreprise commerciale rentable pour les pirates, qui ont même parfois obtenu le soutien de gouvernements comme la Corée du Nord.

Les avocats de la ville de Columbus ont soutenu que seules les personnes prêtes à interagir avec des éléments criminels du dark web, et possédant les compétences techniques nécessaires, peuvent accéder et télécharger des données depuis ce réseau. Ils ajoutent que ces informations ne sont pas facilement accessibles au grand public, mais que les actions de Ross ont permis de les rendre plus accessibles. Le même jour, un juge du comté de Franklin a accordé une ordonnance restrictive temporaire contre Ross, l'empêchant d'accéder, de télécharger ou de diffuser les fichiers volés de la ville publiés sur le dark web. Cette décision a été prise ex parte, c'est-à-dire sans que Ross ait été informé ou ait eu la possibilité de se défendre.

Lors d'une conférence de presse, Zach Klein, procureur de la ville de Columbus, a justifié la poursuite contre Ross en précisant qu'il ne s'agissait pas d'une question de liberté d'expression ou de dénonciation, mais bien d'une affaire d'accès, de téléchargement et de diffusion de dossiers criminels volés. Il a souligné l'importance d'empêcher Ross de continuer à diffuser ces informations pour protéger la sécurité publique.

Le bureau du procureur de Columbus, qui n'a pas répondu aux questions envoyées par courriel, a toutefois publié une déclaration affirmant que l'affaire vise les données volées que Ross a téléchargées depuis le dark web sur son appareil local et qu'il a ensuite partagées avec les médias. Plusieurs médias auraient utilisé ces informations pour contacter des personnes en se basant sur les noms et adresses contenues dans les données volées. Ross a également montré à ces médias des informations confidentielles qui, selon lui, révèlent l'identité de policiers infiltrés, de victimes de crimes, ainsi que des preuves d'enquêtes en cours. Le partage de ces données, selon la ville, met en danger la sécurité publique et l'intégrité des enquêtes.

L'ordonnance temporaire empêche Ross de diffuser les données volées, bien qu'il soit toujours libre de parler de l'incident de cybersécurité et de décrire le type de données trouvées sur le dark web, sans pour autant les partager directement. Malgré cette ordonnance, une capture d'écran du site Rhysida sur le dark web, montre que les données sensibles restent accessibles à quiconque les recherche. Si l'ordonnance empêche Ross d'accéder aux données ou de les diffuser aux médias, elle n'empêche pas ceux qui pourraient vouloir utiliser ces informations à des fins malveillantes.

Cette affaire soulève des questions complexes sur l'équilibre entre la sécurité publique, la transparence, et la responsabilité des chercheurs en sécurité. La ville soutient que Ross a agi de manière irresponsable en rendant des données sensibles accessibles au grand public, ce qui pourrait compromettre la sécurité de nombreuses personnes et entraver des enquêtes en cours. De son côté, Ross affirme qu'il a révélé ces informations pour alerter le public sur la gravité de la situation et la vulnérabilité des données, une action qu'il considère légitime pour un chercheur en sécurité.

Révélations sur le Dark Web : quand la sécurité publique affronte la transparence

La décision du juge d'émettre une ordonnance restrictive temporaire sans permettre à Ross de se défendre suscite des inquiétudes. Cette approche ex parte peut donner l'impression que la ville cherche à étouffer les révélations plutôt qu'à protéger le public. Cela soulève également des questions sur les droits de Ross à la liberté d'expression et sur la transparence des incidents de cybersécurité.

Il est également important de considérer l'argument selon lequel les données sur le dark web ne sont pas facilement accessibles au grand public. Bien que cela soit vrai, dans l'ère numérique actuelle, les compétences techniques nécessaires pour naviguer sur le dark web sont de plus en plus répandues, affaiblissant quelque peu l'argument de la ville. Le fait que Ross ait rendu ces données plus visibles ne change pas le fait que des acteurs malveillants auraient pu y accéder de toute façon.

Enfin, la question de la responsabilité éthique des chercheurs en sécurité est centrale dans ce débat. Ross avait-il le devoir de signaler ces failles de manière plus discrète, ou sa divulgation publique était-elle justifiée par l'inaction perçue des autorités ? Cette affaire met en lumière la nécessité d'établir des protocoles clairs pour la divulgation des failles de sécurité, afin de protéger le public sans compromettre les enquêtes sensibles.

En somme, cette affaire illustre les défis posés par la cybersécurité et la gestion des informations sensibles dans un monde où la technologie évolue rapidement. Il est essentiel de trouver un équilibre entre la protection du public et le respect des droits fondamentaux, tout en tenant compte des responsabilités éthiques des acteurs impliqués.

Source : VIDEO

Et vous ?

Quel est votre avis sur le sujet ?

La poursuite engagée par la ville contre Ross cherche-t-elle réellement à protéger la sécurité publique, ou est-ce une tentative de dissimuler les failles de sécurité et l'inefficacité des autorités municipales dans la gestion de cette crise ?

Dans quelle mesure la responsabilité de la sécurité des données volées incombe-t-elle aux autorités municipales, par rapport à la responsabilité de Ross dans la divulgation de ces informations ?

Voir aussi :

93 % des universités françaises les plus réputées exposent leurs étudiants, collaborateurs et partenaires au risque de fraude par email, selon une étude de Proofpoint

89 % des organisations prévoient d'augmenter les budgets consacrés à la sécurité des données, en raison de l'escalade des menaces et des exigences réglementaires strictes, selon un rapport de Normalyze

Que trouve-t-on sur le dark web en 2023 ? Par Emma McGowan, Senior, Content Marketing Manager chez Gen

[bmayesky]

Le débat de fond sur la manière de gérer la sécurité dans l'intérêt public est en faveur du chercheur en sécurité.
Il n'est pas possible à un individu de forcer une entité. à fortiori étatique, de faire quoi que ce soit tout seul si elle ne le souhaite pas. Seule la médiatisation et la pression publique qui s'en suit permet de faire bouger les choses. Voilà pourquoi l'usage dans ce milieu et dans l'industrie en général de publier les failles lorsque ceux qui en sont responsables ne veulent pas réagir. Et il n'y a pas de "protocole" à imaginer plus avant parce que chaque vulnérabilité est particulière par la complexité de l'exploit nécessaire, sa disponibilité et l'impact sur la société du problème soulevé.

Le reste est une bel effet Streisand de la municipalité de Colombus qui vient de se mettre en lumière internationalement pour avoir essayer de cacher un défaut de ses services. Effet médiatique mérité deux fois: la première est de n'avoir rien fait pour protéger les données volées avant et surtout les populations touchées par la diffusion de ces données volées après et la seconde pour s'être senti prêts à renverser le bien public par une procédure bâillon contre son auteur. Colombus, je n'aimerai pas vivre sur ton sol.