L'idée, le fait
Guidance Software Inc., l’une des sociétés leaders des logiciels de détection d’intrusion dans les SI, s’est vue elle-même piratée. La malversation porte sur les données personnelles et financières de milliers de clients (notamment des membres des forces de l’ordre et de nombreux professionnels de la sécurité). 3 800 numéros de cartes de crédit ont été dérobés. Les hackers auraient également eu accès à des données du personnel de Guidance : noms, adresses, uméros de téléphone et de cartes de crédit, date d’expiration et cryptogramme visuel à trois chiffres en prime… Le plus surprenant est que Guidance n’a révélé le problème à ses clients que le 7 décembre, alors qu’il se serait produit quelque part en novembre… Certains experts estiment d’ailleurs que cet intervalle, particulièrement long entre les faits et leur découverte, accroît la difficulté à confondre les éventuels malfaiteurs. Bien évidemment, Guidance jure qu’on ne l’y reprendra plus.
Le commentaire
Un patron d’entreprise s’est vu ainsi délesté de 20 000 $ sur son compte AMEX. Ce patron d’une entreprise privée n’est pas la seule victime, mais d’autres proies sont plus discrètes. Et pour cause, on trouve parmi elles des organismes chargés de l’application de la loi un peu partout dans le monde, dont les services secrets, le FBI ou la police de New York ! Tous sont clients de Guidance. Mais ne tirons pas sur l’ambulance, chacun sait que les cordonniers sont les plus mal chaussés.
Au fait, comment Guidance s’y prend t-il pour faire son mea culpa ? On peut lire sur le site de Guidance : “Guidance Software’s suite take decisive action in response to external attacks.” Ecrire à ses clients, victimes d’une attaque extérieure, pour les en informer plusieurs semaines après le piratage constitue la fameuse action décisive. Les clients doivent apprécier. Plus surprenant dans cette affaire, la violation par Guidance de l’état de l’art, voire des exigences de ses partenaires en matière de sécurité. Ainsi, les cryptogrammes visuels à trois chiffres doivent être détruits après chaque transaction et donc ne jamais être sauvegardés, sous aucun prétexte. De ce point de vue, la responsabilité de Guidance est totale !
