Menaces internes : 5 employés qui ont violé la sécurité

La probabilité de subir une attaque venant de l’intérieur est aussi grande que celle d’être attaqué par un ennemi extérieur. Selon McAfee, les cadres ayant des accès privilégiés sont responsables de 43 % des atteintes à la protection des données. Et l’Information Security Forum avance même le chiffre de 54 %. Quel que soit le nombre, les initiés représentent un problème réel pour l’entreprise. La guerre qu’il faut mener pour protéger ses données d'une menace venant de l’intérieur est différente. Elle est difficile à définir, ses soldats sont difficiles à identifier, et on ne peut pas les arrêter même avec le meilleur des anti-malwares. Pour mener cette guerre, il faut des compétences, de l’intelligence et des protocoles internes. Mais la première chose est de bien comprendre cet ennemi. Pour cela, rien de mieux que ces 5 affaires exemplaires d’initiés.

1 - Mordre la main qui vous nourrit

Encore une fois, le cas Jason Needham montre qu'il serait judicieux de vérifier que les employés avec des accès privilégiés n’emportent pas de données sensibles au moment de leur départ de l’entreprise. Jusqu'en 2013, Jason Needham a travaillé pour l’entreprise d'ingénierie Allen & Hoshall basée dans le Tennessee. Cette année-là, il décide de quitter son emploi pour créer sa propre entreprise. Mais après son départ, il continue, pendant deux ans, à se connecter aux serveurs de fichiers de son ex-employeur et accéder aux courriels, sans être détecté. Il télécharge des documents et des dessins - d'une valeur de 425 000 dollars environ - et consulte le compte de messagerie d'un ancien collègue. Devant le tribunal, Jason Needham a prétendu qu'il ne faisait que vérifier ses vieux projets par habitude et par souci professionnel. Mais il a eu du mal à faire croire à son histoire : il a été démasqué par un client qui avait trouvé que sa proposition ressemblait étrangement à celle que lui avait faite Allen & Hoshall. Le FBI a été alerté et a aidé Allen & Hoshall à rassembler des preuves. L’ancien employé a perdu sa licence et il a écopé de dix-huit mois d’emprisonnement.

2 - Pour soi et pour son pays, pas pour l'employeur

Le cas de Jiaqiang Xu est l’exemple presque parfait des dommages que peut causer un salarié affecté à un poste de confiance. Jiaqiang Xu, ressortissant chinois, travaillait chez IBM au développement de code source pour les systèmes de fichiers en cluster. Il était l’une des rares personnes à avoir l'autorisation de travailler sur ce logiciel propriétaire, soigneusement gardé derrière un solide pare-feu. Après son embauche et quand il a gagné la confiance de l'entreprise, il a reproduit le logiciel d'IBM, quitté son emploi et tenté de revendre le produit pour en tirer un avantage financier et pour aider son pays d'origine. Il a été confondu par des agents du FBI auxquels il a montré le logiciel : le code source contenait la preuve que le logiciel avait été développé à l'origine par IBM et qu'il appartenait à IBM. Celui-ci a proposé aux agents du FBI de modifier le code pour supprimer la source d'origine. Il a été arrêté peu après la rencontre. Jiaqiang Xu a plaidé coupable de tous les chefs d'accusation portés contre lui. Le tribunal l’a condamné à cinq ans de prison.

3 - Un employé soudoyé par un concurrent pour livrer des informations

Lorsque Dejan Karabasevic a quitté l’emploi qu’il occupait au sein du fournisseur d'énergie AMSC pour travailler pour le fabricant chinois d’éoliennes Sinovel, il a fait plus que changer d’emploi. En tant que directeur du département d'ingénierie d'automatisation Windtec d'AMSC, Dejan Karabasevic avait accès à la technologie propriétaire qu’avait mis au point l'entreprise pour améliorer le rendement des éoliennes. Dejan Karabasevic n'a pas seulement bénéficié d’une meilleure proposition d'emploi chez Sinovel, qui était par ailleurs l'un des plus gros clients d'AMSC. Le recruteur lui a demandé d’emporter avec lui le logiciel de son ancien employeur. Donc, avant de quitter AMSC, Dejan Karabasevic a téléchargé discrètement le code sur un ordinateur hors site. Dès que Sinovel a mis la main sur ce code, elle a modernisé ses éoliennes et a pu économiser ainsi 800 millions de dollars. Le vol de données a été découvert par un fournisseur à qui Sinovel avait demandé de faire des travaux de modernisation. Les dommages causés à AMSC ont été considérables. Selon les éléments présentés lors du procès qui a suivi, l'entreprise a perdu plus d'un milliard de dollars en capitaux propres et près de 700 emplois, soit plus de la moitié de sa main-d'œuvre mondiale. « Sinovel a failli détruire une entreprise américaine en volant sa propriété intellectuelle », a déclaré le jour du procès le procureur général adjoint par intérim John P. Cronan.

4 - Sauvé par un spam

Un autre cas exemplaire riche d’enseignements. David Kent a créé un site de réseautage social pour les professionnels des compagnies pétrolières, Rigzone.com. En 2010, il vend son réseau social au groupe DHI (connu alors sous le nom de Dice Holdings) pour la coquette somme de 51 millions de dollars. La vente est assortie d’un accord de non-concurrence que respecte David Kent. Mais peu après son expiration, voilà qu’il lance un site similaire, Oilpro.com, dans l'espoir de créer un autre site cible qu’il pourra revendre par la suite à DHI. Quelques années plus tard, le site Olipro totalise 500 000 utilisateurs et DHI fait effectivement part de son intérêt pour le nouveau site pour lequel il se dit prêt à payer 20 millions de dollars. Mais, grâce à un SPAM, l'escroquerie est démasquée et David Kent se retrouve en prison. En fait, ce dernier n’était pas un génie des réseaux comme il le prétendait, mais un hacker. Avec l'aide d'un ancien collègue, il était entré par effraction sur le site qu'il avait déjà vendu, dérobant plus de 700 000 comptes clients. Un jour, un client de Rigzone se plaint d'avoir reçu un spam de Oilpro. Alerté, Rigzone créé quelques faux comptes non publics pour attraper le coupable. En effet, lesdits comptes reçoivent rapidement du spam d'Oilpro et Rigzone comprend ce qui se passe, aidé par le FBI. David Kent a été condamné à trois ans de prison.

5 - Attaque d'un initié mécontent au CPR

L'histoire de Christopher Victor Grupe est typique de celle de l’employé mécontent. Administrateur systèmes pour la Canadian Pacific Railway (CPR), Victor Grupe ne s’entendait pas avec ses collègues et il est suspendu pour insubordination en décembre 2015. Le jour où il se présente à son travail, on l'informe qu'il a été congédié, avec effet immédiat. Mais il arrive à convaincre son patron de le laisser démissionner. Avant de rendre son ordinateur, il l’utilise pour accéder aux réseaux de l'entreprise et supprimer des fichiers critiques, certains comptes d'administration et changer les mots de passe de ses collègues. Avant de restituer son ordinateur, il efface le disque dur pour supprimer toute trace. Après son départ, le réseau commence à se comporter de façon erratique, et le personnel IT de l'entreprise constate qu’il n’a plus accès aux comptes d’administration, et qu’il ne peut rien faire. Finalement, il parvient à entrer dans le système après un reboot et embauche un cabinet d'experts externe pour remettre le tout d’aplomb. Dans les logs du système, désormais accessibles, les experts identifient Victo Grupe comme l'auteur de la malveillance. Victo Grupe a écopé d'un an de prison.