Que signifie le scandale du piratage cyber-mercenaire BlackMatter

Plus tôt cette semaine, le ministère de la Justice révélé que trois anciens agents du renseignement américain faisaient face à des accusations fédérales en lien avec leur travail pour BlackMatter, une société étrangère de cybersécurité basée aux Émirats arabes unis.

Les hommes, qui travaillaient auparavant pour la National Security Agency, faisaient partie d’une opération secrète intitulée « Projet Corbeau», qui, entre 2016 et 2019, a aidé le gouvernement des Émirats arabes unis espionner les détracteurs de son régime. À cette fin, les pirates informatiques ont aidé la monarchie du Moyen-Orient entrer par effraction systèmes et appareils informatiques dans le monde entier, y compris ceux situés aux États-Unis

Bien que les coupables aient depuis conclu un accord de report de poursuites avec le gouvernement, leur permettant essentiellement d’échapper à toute peine de prison (une échappatoire avec un prix de 1,6 million de dollars) – les ramifications de l’affaire ne sont sûrement pas si faciles à mettre au lit.

Il suffit de dire que l’idée d’anciens agents de la sécurité nationale américains ciblant les systèmes américains à la demande d’un gouvernement étranger est un scénario assez effrayant. Pourtant, une telle activité n’est probablement que la pointe de l’iceberg lorsqu’il s’agit de la méchanceté de l’industrie des logiciels espions – un domaine mal compris qui, comme beaucoup l’ont noté, a peu de garde-fous juridiques ou réglementaires significatifs pour empêcher ce genre de merde dépravée de se produire.

L’incident de « Raven » lui-même montre qu’il y a peu de contraintes sur les entreprises basées aux États-Unis qui veulent vendre des cyber-armes puissantes à des gouvernements étrangers : les agents de BlackMatter ont apparemment collaboré avec une cyber-entreprise américaine, basée à Denver. Accuvant– qui leur a vendu un outil de piratage pour iPhone de 1,6 million de dollars qui a été utilisé dans des escapades de piratage ultérieures.

Le scandale est également aggravé par le fait que l’un des accusés, Daniel Gericke, occupe actuellement le poste de directeur de l’information de ExpressVPN, l’un des produits de confidentialité les plus utilisés sur le marché. Oui, un gars qui a été accusé d’avoir enfreint les lois fédérales pour compromettre les réseaux et les appareils américains est également actuellement employé par une entreprise censée protéger votre vie privée en ligne. Effrayant, non ?

La nouvelle de l’implication de Gericke dans le projet Raven a naturellement suscité pas mal d’indignation en ligne, alimentant une conversation sur la fiabilité du produit de confidentialité moyen.

Cependant, l’entreprise a défendu sa décision de l’embaucher et a même admis qu’elle connaissait son passé quand il l’a embauché en 2019.

« Nous trouvons profondément regrettable que les nouvelles de ces derniers jours concernant Daniel Gericke aient suscité des inquiétudes parmi nos utilisateurs et donné des raisons de remettre en question notre engagement envers nos valeurs fondamentales », a déclaré la société. dit dans un article de blog Jeudi. « Pour être tout à fait clair, même si nous apprécions l’expertise de Daniel et la façon dont elle nous a aidés à protéger les clients, nous ne tolérons pas le projet Raven. La surveillance qu’il représente est complètement antithétique à notre mission.

Mais à quel point ces assurances peuvent-elles être vraiment réconfortantes lorsqu’il est clair que l’industrie de la protection de la vie privée est apparemment peuplée des mêmes personnes qui dirigent l’industrie de la surveillance ?

Cette année, les controverses impliquant l’industrie de la surveillance ont continué à surgir, les unes sur les autres, alimentant appels pour les réglementations nationales et mondiales qui peuvent lutter contre les abus.

Plus particulièrement, l’indignation a été renouvelée au cours de la abus du groupe NSO, une célèbre société israélienne de logiciels espions connue pour vendre ses puissants logiciels malveillants compromettant les appareils à des régimes répressifs du monde entier. En juillet, un certain nombre d’organismes à but non lucratif et de médias ont commencé à publier des articles liés à la «Projet Pégase», une enquête sur la mesure dans laquelle les logiciels malveillants de l’entreprise ont été distribués dans le monde. L’enquête a révélé un trésor de quelque 50 000 « cibles potentielles » de Pegasus qui, selon les chercheurs, incluaient les téléphones des dignitaires et des diplomates tels que le leader français Emmanuel Macron, ainsi que des appareils appartenant à d’autres présidents, anciens premiers ministres et au roi du Maroc, entre autres. Encore plus problématique, la semaine dernière Apple annoncé correctifs pour les failles de sécurité qui avaient vu l’exploitation liée à Pegasus. Les patchs appliqués à certains 1,65 milliard de produits Apple, dont les goûts étaient vulnérables depuis mars.

Malgré tout cela, il peut y avoir un peu d’espoir à l’horizon avec des indications que les organismes de réglementation cèdent enfin aux appels à l’action.

À titre d’exemple, considérons le cas de SpyFone, une entreprise de « stalkerware » que les critiques say a aidé « les harceleurs et les agresseurs domestiques » dans leur quête pour surveiller les victimes. La société était récemment interdit de l’exploitation par la Federal Trade Commission – une première décision en son genre qui pourrait signaler une prochaine répression contre l’industrie des logiciels espions dans son ensemble. Le commissaire de la FTC, Rohit Chopra, a également suggéré que les organismes chargés de l’application de la loi pourraient examiner si des accusations criminelles étaient justifiées.

Cependant, les défenseurs de la vie privée ont suggéré que le simple fait d’interdire l’exploitation occasionnelle d’une entreprise ou de poursuites occasionnelles ne suffirait pas. Amnesty International, qui a aidé à dénoncer les abus des OSN, a appeler pour un moratoire mondial sur la vente de logiciels espions jusqu’à ce qu’un « cadre réglementaire conforme aux droits de l’homme » puisse être élaboré et mis en œuvre. D’autres militants ont suggéré de la même manière que toutes les ventes devraient être interrompues jusqu’à ce que les gouvernements puissent « enquêter et réglementer cette industrie » – ce qui est mal compris par les législateurs et les gens ordinaires.