Imaginez que les communications des employés du Pentagone, le centre névralgique de la défense américaine, soient aussi facilement interceptées qu’une carte postale par les espions étrangers. C’est malheureusement la réalité alarmante que dénoncent deux sénateurs américains dans une lettre adressée au Département de la Défense (DOD).

Le Pentagone pointé du doigt pour ses lacunes en cybersécurité

Les sénateurs Ron Wyden (démocrate) et Eric Schmitt (républicain) tirent la sonnette d’alarme : le DOD s’appuie encore trop sur des moyens de communication non sécurisés comme les appels et SMS non chiffrés, les rendant vulnérables à l’espionnage étranger. Ils pointent notamment du doigt la menace chinoise, avec le groupe de hackers « Salt Typhoon » récemment accusé de s’être introduit dans les systèmes des géants américains des télécoms comme AT&T et Verizon.

L’adoption généralisée d’outils propriétaires non sécurisés est le résultat direct de l’échec des dirigeants du DOD à exiger l’utilisation du chiffrement de bout en bout par défaut, une bonne pratique en matière de cybersécurité, ainsi que de l’échec à donner la priorité à la sécurité des communications lors de l’évaluation des différentes plateformes de communication.

– Les sénateurs Ron Wyden et Eric Schmitt dans leur lettre

Des protocoles télécoms obsolètes et faillibles

Au cœur du problème se trouvent les protocoles SS7 et Diameter, utilisés depuis des décennies par les opérateurs télécoms du monde entier pour acheminer les appels et SMS. Des failles bien connues qui n’ont jamais été corrigées et sont régulièrement exploitées à des fins d’espionnage. Les sénateurs pressent donc le Pentagone de revoir ses contrats avec les opérateurs et d’exiger d’eux de meilleures protections :

• Renégocier avec les opérateurs pour qu’ils adoptent de réelles mesures de cyberdéfense
• Demander aux opérateurs de partager les audits de sécurité réalisés par des tiers

Le DOD admet des failles mais ne prend pas de mesures fortes

Dans une réponse embarrassante aux questions des sénateurs, le directeur des systèmes d’information du DOD reconnaît que SS7 et Diameter ne sont pas sûrs et qu’il existe « des protections limitées ». Mais le Pentagone se contente de dire compter sur le chiffrement des données en transit, sans pour autant avoir conduit ses propres audits de sécurité ou avoir eu accès à ceux des opérateurs, protégés par le secret professionnel.

Plus inquiétant encore, le Pentagone admet ne pas avoir désactivé l’itinérance ou bloqué le trafic SS7 et Diameter, même pour les utilisateurs du DOD se trouvant en Russie, en Chine ou dans d’autres pays à haut risque d’attaques informatiques.

La cybersécurité doit devenir une priorité absolue

Cette affaire met en lumière les lacunes flagrantes dans la posture cybersécurité d’une institution aussi sensible que le Département de la Défense américain. À l’heure où les menaces d’espionnage et de cyberattaques étatiques se multiplient, sécuriser ses communications devrait être une priorité absolue. Espérons que le cri d’alarme des sénateurs sera entendu et que des mesures fortes seront prises rapidement pour colmater ces brèches béantes. La sécurité nationale en dépend.