Détails   [Sécurité](https://www.crashdebug.fr/informatique/securite)   Jung William    16 Juin 2020     Création : 16 Juin 2020     Mis à jour : 17 Juin 2020    Clics : 4394 #  [ Le vol des secrets de la « chambre forte n°7 » de la CIA lié à une sécurité « lamentablement laxiste » (Threatpost.com)](https://www.crashdebug.fr/le-vol-des-secrets-de-la-chambre-forte-n-7-de-la-cia-lie-a-une-securite-lamentablement-laxiste-threatpost-com "Le vol des secrets de la « chambre forte n°7 » de la CIA lié à une sécurité « lamentablement laxiste » (Threatpost.com)")

5.0 of 5 (6 Votes)

Temps de lecture : **10 min**

## On parle de cyber armes quand même, c'est-à-dire de code logiciel qui rentre comme dans du beurre dans n’importe quel système, comme dans le cas du rachat d’Alstom, où le gouvernement américain avait tous les emails internes de la boîte.

## En tout cas, ça montre bien les activités logicielles des Américains (comme des [Israéliens](https://rebellyon.info/La-Gendarmerie-Nationale-s-equipe)), et tout ceci n’est possible qu’avec la complicité active [de la société Microsoft](https://www.crashdebug.fr/informatique/securite/l-otan-impose-microsoft-et-les-backdoors-de-la-nsa-au-ministere-de-la-defense).

## Et c’est à eux que l’on confie [nos données de santé](https://www.crashdebug.fr/informatique/securite/france-le-gouvernement-accelere-la-mise-en-place-du-health-data-hub-qui-vise-a-centraliser-des-donnees-de-sante-mais-la-cnil-s-inquiete-d-un-possible-transfert-des-donnees-aux-etats-unis-developpez-com)… Comme on vous le dit, les autorités n'ont pas seulement capitulées comme en 1944, mais en plus, ils organisent et participent à la vente à la découpe de notre pays et de nos intérêts communs ... [à des intérêts étrangers](https://www.crashdebug.fr/actualites-france/9884-la-france-vend-son-patrimoine-a-des-etats-plus-endettes).

*[William Jung](https://www.crashdebug.fr/a-propos-de-crashdebug-william-jung)*, Webmaster de Crashdebug.fr

![hacking 1685092 1920](https://www.crashdebug.fr/media/plg_jspeed/cache/images/c4c9f5bcb58f1febc663410299d441920ca54f7f.webp)Lindsey O'Donnell

Une enquête interne sur la brèche de la CIA en 2016 a condamné les mesures de sécurité de l'agence, déclarant qu'elle "se concentrait plus sur la construction de cyber-outils que sur leur sécurité".

Un rapport qui vient d'être publié sur la brèche dans les données de la CIA de 2016, qui a conduit au dépôt du document Vault 7 sur WikiLeaks, blâme le "terriblement laxisme" de la sécurité par l'agence d'espionnage la plus importante du pays.

Les conclusions font partie d'un rapport interne du ministère de la Justice (DoJ) de 2017 sur la brèche de la CIA. Mardi, le sénateur Ron Wyden a publié des parties du rapport (PDF) qui ont été rendues publiques par le biais de récents documents judiciaires du ministère de la Justice.

Le rapport décrit la CIA comme étant "plus axée sur la création de cyber-outils que sur leur sécurisation". Une partie de l'enquête a révélé que les cyberarmes sensibles n'étaient pas compartimentées et que les chercheurs en cybersécurité du gouvernement partageaient des mots de passe de niveau administrateur de systèmes. Les systèmes contenant des données sensibles n'étaient pas équipés d'un système de surveillance de l'activité des utilisateurs et les données historiques étaient disponibles pour les utilisateurs indéfiniment, selon le rapport.

"Dans un souci de répondre aux besoins croissants et critiques de la mission, \[la branche du Center for Cyber Intelligence (CCI) de la CIA\] avait donné la priorité à la construction de cyberarmes au détriment de la sécurisation de leurs propres systèmes", selon le rapport. "Les pratiques quotidiennes de sécurité étaient devenues terriblement laxistes".

Au moins 180 gigaoctets (jusqu'à 34 téraoctets d'informations) ont été volés lors de la brèche, selon le rapport - ce qui équivaut approximativement à 11,6 millions à 2,2 milliards de pages de documents électroniques. Les données volées comprenaient des cyber-outils qui résidaient sur le réseau de développement de logiciels de l'ICC (DevLAN). La mission de la CCI, qui était visée par la brèche dans les données, est de "transformer le renseignement" par des cyber-opérations.

Le rapport a souligné divers problèmes de sécurité découverts au sein de l'ICC. Par exemple, alors que le réseau DevLAN de l'ICC avait été certifié et accrédité, l'ICC n'avait pas travaillé à développer ou à déployer un contrôle des activités des utilisateurs ou des capacités "robustes" d'audit des serveurs pour le réseau, selon le rapport.

En raison de ce manque de surveillance et d'audit de l'activité des utilisateurs, "nous n'avons réalisé la perte qu'un an plus tard, lorsque WikiLeaks l'a annoncée publiquement en mars 2017″ en divulguant des trouvailles d'outils de piratage volés de la CIA, selon le rapport. Il a déclaré que si les données n'avaient pas été publiées, l'agence pourrait encore ne pas être au courant de la perte.

"De plus, la CCI s'est concentrée sur la construction de cyber-armes et a négligé de préparer des mesures d'atténuation si ces outils étaient exposés", selon le rapport. "Ces lacunes étaient emblématiques d'une culture qui a évolué au fil des ans et qui a trop souvent donné la priorité à la créativité et à la collaboration au détriment de la sécurité".

Un autre problème est que l'agence n'avait pas "d'agent unique" chargé de veiller à ce que les systèmes informatiques soient construits en toute sécurité et le restent tout au long de leur cycle de vie. Parce que personne n'avait cette tâche, personne n'a été tenu responsable de la violation, selon le rapport. Et il n'y a pas eu de "signes avant-coureurs" indiquant que les initiés ayant accès aux données de la CIA présentaient un risque.

Selon le Washington Post, qui a annoncé la publication du rapport, le rapport du groupe de travail est utilisé comme preuve dans le procès de l'ancien employé de la CIA, Joshua Schulte, qui a été accusé d'avoir volé les outils de piratage de la CIA et de les avoir donnés à WikiLeaks.

Le rapport présente plusieurs recommandations (fortement expurgées) que l'agence doit suivre pour renforcer sa sécurité. Cela inclut le renforcement de ses directives de sécurité et des restrictions de traitement des informations classifiées pour les exploits de type "zero-day" et les cyber-outils offensifs.

Cependant, le sénateur Wyden, membre de la commission sénatoriale du renseignement, a déclaré dans une lettre publique cinglante adressée à John Ratcliffe, directeur du renseignement national, que même trois ans plus tard, la communauté du renseignement américaine a encore du chemin à faire pour améliorer ses pratiques de sécurité.

Par exemple, a-t-il dit, la communauté du renseignement doit encore protéger ses noms de domaine .gov avec une authentification à plusieurs facteurs ; et, la CIA, le Bureau national de reconnaissance et le Bureau national du renseignement doivent encore activer les protections anti-phishing de la DMARC, a-t-il dit.

"Trois ans après la présentation de ce rapport, la communauté du renseignement est toujours à la traîne, et n'a pas réussi à adopter les technologies de cybersécurité les plus élémentaires, largement utilisées ailleurs au sein du gouvernement fédéral", a-t-il déclaré. "Le peuple américain attend de vous que vous fassiez mieux, et il se tournera alors vers le Congrès pour résoudre ces problèmes systématiques."

Fausto Oliveira, architecte principal de la sécurité chez Acceptto, a déclaré à Threatpost que Wyden a "tout à fait raison" de demander pourquoi les pratiques de sécurité standard dans l'industrie ne sont pas adoptées par la CIA.

"Sur la base des conclusions du rapport, il semble qu'il y ait eu un manque de gouvernance en matière de TI et de cybersécurité qui a conduit à une adoption laxiste des contrôles de sécurité", a-t-il déclaré. "Ce n'est pas une question opérationnelle, c'est une question de gestion de l'agence qui ne fixe pas les bons objectifs pour gérer les risques associés au fonctionnement d'une organisation, en particulier une organisation qui est une cible souhaitable pour toutes sortes d'attaquants."

Source : [Threatpost.com](https://threatpost.com/theft-of-cias-vault-7-secrets-tied-to-woefully-lax-security/156591/)

Vous aimez ce que vous lisez ? Notre travail est gratuit et indépendant, mais il a un coût. Vous pouvez nous soutenir librement à partir de 1 € grâce à un [don](https://www.crashdebug.fr/comment-soutenir-crashdebug-fr) ponctuel ou mensuel par CB, Paypal ou encore Tipeee. Si vous ne pouvez pas nous aider financièrement (ce que je peux comprendre parfaitement), vous pouvez partager les articles sur vos réseaux sociaux, et parler du site autour de vous. Merci à celles et ceux qui rendent tout cela possible.

[![Google](https://www.google.com/images/branding/googleg/1x/googleg_standard_color_128dp.png)Ajouter Crashdebug.fr à Google](https://www.google.com/preferences/source?q=crashdebug.fr)

Crashdebug.fr : ***[Des outils de piratage fuités de la NSA menacent les ordinateurs équipés de Windows 2000 à Windows 8](https://www.crashdebug.fr/informatique/securite/des-outils-de-piratage-fuites-de-la-nsa-menacent-les-ordinateurs-equipes-de-windows-2000-a-windows-8 "Des outils de piratage fuités de la NSA menacent les ordinateurs équipés de Windows 2000 à Windows 8")***

Crashdebug.fr : ***[Shadow Brokers : 24.000 dollars par mois pour des outils de la NSA, un vrai problème éthique](https://www.crashdebug.fr/informatique/securite/shadow-brokers-24-000-dollars-par-mois-pour-des-outils-de-la-nsa-un-vrai-probleme-ethique "Shadow Brokers : 24.000 dollars par mois pour des outils de la NSA, un vrai problème éthique")***

Crashdebug.fr : [Ce que l’on sait sur la vague de cyberattaques de portée mondiale](https://www.crashdebug.fr/informatique/securite/ce-que-l-on-sait-sur-la-vague-de-cyberattaques-de-portee-mondiale "Ce que l’on sait sur la vague de cyberattaques de portée mondiale")

Crashdebug.fr : ***[Comment pirater à distance les ordinateurs utilisant des puces non sécurisées d'Intel : Il suffit d'utiliser une chaîne d’authentification vide](https://www.crashdebug.fr/informatique/securite/comment-pirater-a-distance-les-ordinateurs-utilisant-des-puces-non-securisees-d-intel-il-suffit-d-utiliser-une-chaine-d-authentification-vide "Comment pirater à distance les ordinateurs utilisant des puces non sécurisées d'Intel : Il suffit d'utiliser une chaîne d’authentification vide")***

Crashdebug.fr : [Athena, le malware qui permet à la CIA d'espionner tous les Windows](https://www.crashdebug.fr/informatique/securite/athena-le-malware-qui-permet-a-la-cia-d-espionner-tous-les-windows "Athena, le malware qui permet à la CIA d'espionner tous les Windows")

Crashdebug.fr : ***[Mission accomplie : grâce à LulzSec, les mesures draconiennes en matière de cybersécurité ont le vent en poupe !](https://www.crashdebug.fr/informatique/securite/mission-accomplie-grace-a-lulzsec-les-mesures-draconiennes-en-matiere-de-cybersecurite-on-du-soutien "Mission accomplie : grâce à LulzSec, les mesures draconiennes en matière de cybersécurité ont le vent en poupe !")***

Crashdebug.fr : ***[La cyberguerre a bien débuté : derrière les cyberattaques d'ampleur se cachent le plus souvent des pays (BFMTV)](https://www.crashdebug.fr/informatique/securite/la-cyberguerre-a-bien-debute-derriere-les-cyberattaques-d-ampleur-se-cachent-le-plus-souvent-des-pays-bfmtv "La cyberguerre a bien débuté : derrière les cyberattaques d'ampleur se cachent le plus souvent des pays (BFMTV)")***

 Crashdebug.fr : ***[Comment savoir si mon ordinateur est à jour ? (Tutoriel)](https://www.crashdebug.fr/informatique/astuce-logiciel/comment-savoir-si-mon-ordinateur-est-a-jour "Comment savoir si mon ordinateur est à jour ? (Tutoriel)")***

## Partager sur les réseaux sociaux

 [  Publier 0Nombre de partages sur X ](https://twitter.com/share?url=https%3A%2F%2Fwww.crashdebug.fr%2Fle-vol-des-secrets-de-la-chambre-forte-n-7-de-la-cia-lie-a-une-securite-lamentablement-laxiste-threatpost-com&text=Le%20vol%20des%20secrets%20de%20la%20%C2%AB%20chambre%20forte%20n%C2%B07%20%C2%BB%20de%20la%20CIA%20li%C3%A9%20%C3%A0%20une%20s%C3%A9curit%C3%A9%20%C2%AB%20lamentablement%20laxiste%20%C2%BB%20%28Threatpost.com%29)0Nombre de partages sur X

 [  Partager 0Nombre de partages sur Facebook ](https://facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.crashdebug.fr%2Fle-vol-des-secrets-de-la-chambre-forte-n-7-de-la-cia-lie-a-une-securite-lamentablement-laxiste-threatpost-com)0Nombre de partages sur Facebook

 [  Partager 0Nombre de partages sur Linkedin ](https://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fwww.crashdebug.fr%2Fle-vol-des-secrets-de-la-chambre-forte-n-7-de-la-cia-lie-a-une-securite-lamentablement-laxiste-threatpost-com&text=Le%20vol%20des%20secrets%20de%20la%20%C2%AB%20chambre%20forte%20n%C2%B07%20%C2%BB%20de%20la%20CIA%20li%C3%A9%20%C3%A0%20une%20s%C3%A9curit%C3%A9%20%C2%AB%20lamentablement%20laxiste%20%C2%BB%20%28Threatpost.com%29)0Nombre de partages sur Linkedin

 [  E-mail 0Nombre de partages sur Email ](mailto:?subject=https%3A%2F%2Fwww.crashdebug.fr%2Fle-vol-des-secrets-de-la-chambre-forte-n-7-de-la-cia-lie-a-une-securite-lamentablement-laxiste-threatpost-com&body=Le%20vol%20des%20secrets%20de%20la%20%C2%AB%20chambre%20forte%20n%C2%B07%20%C2%BB%20de%20la%20CIA%20li%C3%A9%20%C3%A0%20une%20s%C3%A9curit%C3%A9%20%C2%AB%20lamentablement%20laxiste%20%C2%BB%20%28Threatpost.com%29)0Nombre de partages sur Email

 [  WhatsApp 0Nombre de partages sur Whatsapp ](https://web.whatsapp.com/send?text=https%3A%2F%2Fwww.crashdebug.fr%2Fle-vol-des-secrets-de-la-chambre-forte-n-7-de-la-cia-lie-a-une-securite-lamentablement-laxiste-threatpost-com%20Le%20vol%20des%20secrets%20de%20la%20%C2%AB%20chambre%20forte%20n%C2%B07%20%C2%BB%20de%20la%20CIA%20li%C3%A9%20%C3%A0%20une%20s%C3%A9curit%C3%A9%20%C2%AB%20lamentablement%20laxiste%20%C2%BB%20%28Threatpost.com%29)0Nombre de partages sur Whatsapp

 [  Télégramme 0Nombre de partages sur Telegram ](https://t.me/share/url?url=https%3A%2F%2Fwww.crashdebug.fr%2Fle-vol-des-secrets-de-la-chambre-forte-n-7-de-la-cia-lie-a-une-securite-lamentablement-laxiste-threatpost-com&text=Le%20vol%20des%20secrets%20de%20la%20%C2%AB%20chambre%20forte%20n%C2%B07%20%C2%BB%20de%20la%20CIA%20li%C3%A9%20%C3%A0%20une%20s%C3%A9curit%C3%A9%20%C2%AB%20lamentablement%20laxiste%20%C2%BB%20%28Threatpost.com%29)0Nombre de partages sur Telegram

---

 [  Previous  ](https://www.crashdebug.fr/les-failles-ripple20-ont-un-impact-sur-des-centaines-de-millions-d-appareils-connectes-threatpost-com "Les failles « Ripple20 » ont un impact sur des centaines de millions d'appareils connectés (Threatpost.com)")

 [  Next  ](https://www.crashdebug.fr/la-cartographie-des-reseaux-sociaux-de-la-nsa-est-plus-vaste-plus-omnipresente-et-plus-effrayante-que-ne-le-revele-snowden-themindunleashed-com "La cartographie des réseaux sociaux de la NSA est plus vaste, plus omniprésente et plus effrayante que ne le révèle Snowden (Themindunleashed.com)")

 ![loader](https://www.crashdebug.fr/media/com_rscomments/images/loader.gif)

  [  My comments ](https://www.crashdebug.fr/javascript:void(0); "This will show all of your comments.")   [  Subscribe ](https://www.crashdebug.fr/javascript:void(0) "Subscribe")

[](https://www.crashdebug.fr/javascript:void(0); "Bold") [](https://www.crashdebug.fr/javascript:void(0); "Italic") [](https://www.crashdebug.fr/javascript:void(0); "Underline") [](https://www.crashdebug.fr/javascript:void(0); "Stroke")

[](https://www.crashdebug.fr/javascript:void(0); "Quote") [](https://www.crashdebug.fr/javascript:void(0); "Emoticons") [](https://www.crashdebug.fr/javascript:void(0); "Preview")

[![:confused:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/confused.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:cool:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/cool.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:cry:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/cry.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:laugh:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/laugh.gif)](https://www.crashdebug.fr/javascript:void(0);)

[![:lol:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/lol.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:normal:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/normal.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:blush:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/redface.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:rolleyes:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/rolleyes.gif)](https://www.crashdebug.fr/javascript:void(0);)

[![:sad:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/sad.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:shocked:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/shocked.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:sick:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/sick.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:sleeping:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/sleeping.gif)](https://www.crashdebug.fr/javascript:void(0);)

[![:smile:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/smile.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:surprised:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/surprised.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:tongue:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/tongue.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:unsure:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/unsure.gif)](https://www.crashdebug.fr/javascript:void(0);)

[![:whistle:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/whistling.gif)](https://www.crashdebug.fr/javascript:void(0);) [![:wink:](https://www.crashdebug.fr/media/com_rscomments/images/emoticons/wink.gif)](https://www.crashdebug.fr/javascript:void(0);)

 [](https://www.crashdebug.fr/javascript:void(0); "Close preview")

  ![loader](https://www.crashdebug.fr/media/com_rscomments/images/loader.gif) 1000 Characters left

---

  Subscribe

  [ I agree to the terms and conditions. ](https://www.crashdebug.fr/javascript:void(0))

  I consent to this website collecting my details through this form.

 ![captcha](https://www.crashdebug.fr/component/rscomments/captcha?type=formaf93910a1c47b74d159e206c0a25e20c&sid=6aee37cb01c61&Itemid=56 "The captcha code is case insensitive.")  [  ](https://www.crashdebug.fr/javascript:void(0))

  ![loader](https://www.crashdebug.fr/media/com_rscomments/images/loader.gif)

### Terms & Conditions

 [I Agree](https://www.crashdebug.fr/javascript:void(0))[Close](https://www.crashdebug.fr/javascript:void(0))

### Subscribe

### Report

### My comments