Plus tôt cette année, j’ai failli tomber dans un piège d’hameçonnage élaboré. Il était suffisamment convaincant pour que je sois sur le point d’y adhérer. Pendant tout un week-end, j’ai ressenti de la honte. Malheureusement, les dernières découvertes de sécurité liées au « Black October » suggèrent que les choses vont s’aggraver. Des vulnérabilités anciennes qui nécessitaient autrefois trop de temps pour être exploitées peuvent désormais être ciblées par 10 000 agents travaillant toute la nuit pour le coût d’un latte à la saveur de citrouille (d’accord… ou deux). Voici quelques éléments que des personnes bien plus intelligentes que moi ont remarqués au cours de la dernière semaine : • Amazon a détecté une tentative d’attaque sur un logiciel de site web quatre jours avant que l’avertissement public ne soit émis. Les failles permettaient à quelqu’un de prendre le contrôle sans mot de passe. Des entreprises étaient ciblées avant même de savoir qu’elles avaient besoin d’un correctif. • PHP, le logiciel à la base de WordPress et de nombreux autres sites web, a nécessité des correctifs d’urgence pour deux failles permettant aux attaquants de prendre le contrôle des serveurs sans connexion. Vercel a ajouté des protections pare-feu avant l’avertissement public, mais les propriétaires de sites web doivent toujours mettre à jour PHP lui-même. • L’une des clés secrètes utilisées pour vérifier l’authenticité des sites web était simplement le chiffre 4. Huit clés chez le fournisseur de certificats eMudhra étaient faciles à deviner. Les navigateurs récents disposent de protections, mais les logiciels plus anciens peuvent encore faire confiance aux certificats affectés. • Des chercheurs de NorForge ont découvert des criminels utilisant des agents d’IA contre les boutiques en ligne et les systèmes de paiement. Un groupe comptait plus de 1 100 projets d’attaque sur ses tableaux de bord. • Quest Diagnostics, l’une des plus grandes entreprises médicales des États-Unis, a révélé une violation cette semaine et pense qu’une personne a accédé aux dossiers des patients. L’enquête se poursuit pour déterminer combien de personnes ont été concernées. L’IA n’a pas causé toutes ces failles. Mais elle rend les faiblesses existantes moins chères à détecter et à exploiter. Sans vouloir jouer les apocalyptiques ni les alarmistes, c’est un bon moment pour quelques rappels. - Utilisez un gestionnaire de mots de passe. - Activez l’authentification à deux facteurs. - Si quelqu’un vous demande inopinément d’envoyer de l’argent ou de télécharger quelque chose, vérifiez via un numéro ou un compte que vous connaissez déjà. - Suivez des experts en sécurité fiables en ligne. Travailler dans la technologie ou être constamment en ligne ne vous rend pas immunisé. Soyez prudents.