L'histoire publiée par le Bureau de l'Inspecteur général de la NASA devrait inquiéter toute organisation qui détient un savoir sensible, du code, des logiciels, des conceptions d'ingénierie ou des informations commerciales de valeur.
Selon la publication, un citoyen chinois nommé Song Wu s'est fait passer pendant des années pour des ingénieurs, des chercheurs et des professeurs américains, et a contacté des employés de la NASA, des chercheurs universitaires, des militaires et des entreprises privées. Son but n'était pas d'obtenir un mot de passe pour un compte. Il a demandé quelque chose de bien plus simple et de bien plus dangereux : des copies de logiciels, du code source et des outils d'ingénierie sensibles pouvant servir à la conception aéronautique et au développement de systèmes d'armes.
Et c'est exactement là tout l'enjeu.
Dans beaucoup d'organisations, lorsqu'on entend le mot 'hameçonnage', on pense aussitôt à un e-mail avec un lien suspect, à un faux site web ou à une demande de saisir un mot de passe.
Mais dans les cas plus sophistiqués, l'hameçonnage ne ressemble pas à une cyberattaque. Il ressemble à une demande professionnelle légitime émanant d'une personne connue. 'Envoie-moi le code, s'il te plaît'. 'J'ai besoin de la dernière version du logiciel'. 'Transmets-moi le fichier, je travaille dessus avec l'équipe'.
La victime n'a pas le sentiment de tomber dans une attaque. Elle a le sentiment d'aider un collègue.
Et c'est précisément là le danger.
L'erreur professionnelle que je vois encore et encore, c'est que les organisations traitent cette menace uniquement comme un problème technologique. Mais dans ce cas, la faiblesse centrale ne résidait pas seulement dans le système. Elle résidait dans la confiance humaine, dans la culture de travail, et dans l'absence d'un mécanisme clair imposant de s'arrêter et de vérifier avant que des informations sensibles ne sortent.
De mon point de vue, il y a ici plusieurs leçons importantes.
Toute demande qui provient d'une personne 'connue' ne vient pas réellement d'elle.
Tout partage d'informations entre collègues n'est pas un acte innocent, surtout lorsqu'il s'agit de code, de logiciels, de plans, de données, de modèles ou d'infrastructures.
Les employés doivent savoir reconnaître non seulement les liens suspects, mais aussi les demandes inhabituelles : des demandes répétées pour le même logiciel, l'absence d'explication sur la raison pour laquelle l'information est nécessaire, un changement soudain du moyen de paiement ou de transfert, l'utilisation de canaux inhabituels, ou une pression pour transmettre du matériel sans processus ordonné.
Et surtout : dans une organisation sérieuse, un employé ne devrait pas décider seul si du matériel sensible peut être transmis à une autre partie, même si cette partie paraît connue, haut placée ou professionnelle.
Il faut une procédure. Il faut une vérification d'identité. Il faut un contrôle des autorisations. Il faut une compréhension des limites de la réglementation, de l'exportation, de la confidentialité et de la propriété intellectuelle. Et il faut une culture dans laquelle s'arrêter pour vérifier n'est pas perçu comme de la bureaucratie, mais comme une partie de la responsabilité professionnelle.
L'histoire de la NASA est un rappel cinglant qu'une menace interne ne commence pas toujours par un employé malveillant. Parfois, elle commence par un bon employé, professionnel, qui veut aider, mais qui ne comprend pas qu'on le manipule.
Et c'est peut-être l'une des menaces les plus dangereuses de toutes : un cheval de Troie humain qui ignore qu'il en est un.