Fonctionnaires américains : un vol de données découvert par hasard

Le bureau de gestion du personnel (OPM), l’administration en charge des fonctionnaires américains - leur paie, leur formation ou encore leur retraite - , a été victime d’un vaste piratage s’étant soldé par le vol des données personnelles de 4 millions de fonctionnaires. Certaines données remontent jusqu’en 1985.

L’intrusion dans le système d’information de l’OPM aurait commencé en décembre dernier pour être découverte au mois d’avril. Mais voilà, selon les sources du Wall Street Journal, cette découverte n’est pas imputable à l’informatique de l’OPM, mais à CyTech Services.

Et nos confrères d’expliquer que CyTech cherchait à la faire la démonstration de son produit CyFIR, destiné à l’investigation après incident de sécurité, quand au détour d’un diagnostique sur le réseau de l’OPM, « ils ont découvert l’activité d’un logiciel malveillant ». Mais contrairement aux affirmations initiales, la compromission n’aurait pas commencé en décembre 2014, mais il y a plus d’un an. Et les données personnelles dérobées semblent ne pas avoir été chiffrées.

Outre-Atlantique, cette attaque fait scandale et sème le doute sur la capacité du secteur public américain à protéger ses données. Quelques jours plus tôt, c’était le fisc américain qui reconnaissait s’être fait voler les données privées d’une centaine de milliers de contribuables. Et l’on pense bien sûr au cinglant camouflet infligé à la NSA par son ancien employé Edward Snowden…

Reste qu’il n’est pas rare que ce genre de découverte se fasse dans ce type de circonstances. En France, éditeurs et SSII ne sont pas avares d’histoires comparables. Et ce fut notamment le cas de Steria, lors du déploiement de ses outils de sécurité Palo Alto Networks : « en une journée de test, nous avons détecté un logiciel malveillant qui n’a été détecté qu’un mois plus tard par les leaders du marché », racontait à la rédaction Frédéric Sangiorgio, directeur de programme à la division Network Services de la SII, en décembre 2013.