Discussion :

[Christophe]

Il y a des métiers payés au moins en partie au résultat. En dehors d'un éventuel aspect moralité ça peut faire sens. D'un autre coté, le salarié n'est pas obligé d'accepter cette modification de son contrat de travail, du moins chez nous.
Comme le dit Jules, cela peut impacter le climat social.

Microsoft reste responsable comme toute entreprise est responsable de ce que fait ses employés.

Soit il manquent d'experts en sécurité pour valider avant publication, soit le marketing fait pression pour qu'un produit sorte même si il n'a pas été validé.

L'aspect sécurité représente un cout, et les couts les actionnaires n'aiment pas.

[Chou-ette]

C'est un peu une inversion de la charge de la responsabilité...

Les clients vont pas en avoir grand chose à F qu'on leur dise que c'est José qui a programmé la fonction pourrie de leur programme avec son équipe et qu'il n'aura pas son bonus annuel. Tout le monde s'en fout sauf José justement, qui risque pas d'être super motivé à l'idée de fournir de l'innovation. Il va plutôt passer du temps à stresser et foutre la pression aux équipes de dev, qui sont surement les prochains sur la liste à voir leur rémunération baisser en cas de problème.

Un client achète un produit à Microsoft. Se cacher derrière ses employés c'est vraiment le degré 0 de la responsabilité.

Bref on dirait l'époque des ouvrier engagés sous contrat de louage qui ne pouvait pas prétendre à des indemnisations en cas d'accident du travail.

Face je gagne, pile tu perds, so 2024 !

Justement on ne parle pas de dire que c'est José et de le lapider en place publique, mais de responsabiliser José dans la mise en application d'une politique globale de sécurité et de ses bonnes pratiques.

Je trouve l'initiative plutôt bonne bien qu'elle intègre le risque de surpression sur les équipes effectivement (bien que ce risque puisse surement être limité avec des structures de contrôle adaptées), c'est malheureusement souvent en tapant au portefeuille qu'on fait avancer les choses.

[Ti-Slackeux]

Et après çà microsoft viens nous dire qu'on a besoin de UEFI, TPM et consort pour notre sécurité ...
A croire que chez eux c'est pas comme çà que ça fonctionne >.<

[Stéphane le calme]

Cyberattaque majeure : Microsoft révèle que des criminels russes ont volé encore plus d’e-mails que ce qui avait été initialement admis,
suscitant des inquiétudes quant à la sécurité nationale des États-Unis

Microsoft, l’un des géants de la technologie, a récemment fait face à une situation alarmante : des criminels russes ont compromis ses systèmes et volé encore plus d’e-mails que ce qui avait été initialement admis. Cette attaque numérique a eu des répercussions importantes, suscitant des inquiétudes quant à la sécurité nationale des États-Unis et mettant en lumière l’importance de la protection des données.

Microsoft a récemment révélé que les criminels russes qui ont compromis ses systèmes plus tôt cette année ont volé encore plus d’e-mails que ce qui avait été initialement admis. L’attaque numérique orchestrée par des espions du Kremlin a permis aux pirates d’accéder au code source, aux e-mails des cadres et à des données sensibles du gouvernement américain. Cette situation a suscité des inquiétudes quant à la sécurité nationale des États-Unis, et le président de Microsoft, Brad Smith, a dû s’expliquer devant le Congrès.

Une attaque par pulvérisation de mots de passe

L'attaque a commencé à la fin du mois de novembre 2023. Malgré la longue période de présence des attaquants dans le système, Microsoft a d'abord insisté sur le fait que seul un « très faible pourcentage » de comptes d'entreprise avait été compromis. Cependant, les attaquants ont réussi à voler des courriels et des documents joints au cours de l'incident.

La violation a été facilitée par une technique de pulvérisation de mot de passe, que les pirates ont utilisée pour accéder à un « ancien compte de locataire de test non productif » avec un code obsolète. Les pirates ont utilisé les autorisations de ce compte pour infiltrer des comptes appartenant à des dirigeants de Microsoft et à d'autres employés ciblés.

La pulvérisation de mots de passe est un type d'attaque par force brute au cours de laquelle un acteur malveillant tente d'utiliser le même mot de passe sur plusieurs comptes avant d'en essayer un autre. Les attaques par pulvérisation de mots de passe sont souvent efficaces, car de nombreux utilisateurs utilisent des mots de passe simples et faciles à deviner, comme « motdepasse » ou encore « 123456 ».

Dans de nombreuses organisations, les utilisateurs sont bloqués après un certain nombre de tentatives de connexion infructueuses. Comme les attaques par pulvérisation de mots de passe consistent à essayer un seul mot de passe sur plusieurs comptes, elles évitent les blocages de compte qui se produisent généralement lors d'une attaque par force brute d'un seul compte avec plusieurs mots de passe.

La pulvérisation de mots de passe se distingue par le fait qu'elle peut cibler des milliers, voire des millions d'utilisateurs différents en même temps, plutôt qu'un seul compte. Le processus est souvent automatisé et peut s'étaler dans le temps pour échapper à la détection.

Les attaques par pulvérisation de mots de passe ont souvent lieu lorsque l'application ou l'administrateur d'une organisation particulière définit un mot de passe par défaut pour les nouveaux utilisateurs. L'authentification unique et les plateformes basées sur le cloud peuvent également s'avérer particulièrement vulnérables.

Si la pulvérisation de mots de passe peut sembler simpliste par rapport à d'autres types de cyberattaques, même des groupes cybercriminels avertis y ont recours. Par exemple, en 2022, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié une alerte sur les cyberacteurs parrainés par des États, énumérant les différentes tactiques qu'ils utilisent pour accéder à des réseaux ciblés – et la pulvérisation de mots de passe en faisait partie.

Microsoft a attribué l'attaque au groupe de pirates Midnight Blizzard

Fin janvier, Microsoft a reconnu une nouvelle violation de données, déclarant dans un rapport que des pirates informatiques affiliés à l'État russe se sont introduits dans son système de messagerie électronique interne et ont accédé aux comptes des membres de l'équipe dirigeante, ainsi qu'à ceux des employés des équipes chargées de la cybersécurité et des affaires juridiques. Microsoft a ajouté que l'intrusion a commencé fin novembre et a été découverte le 12 janvier.

Microsoft a attribué l'attaque au groupe de pirates Midnight Blizzard (Nobelium). Selon l'entreprise, il s'agit d'un groupe de pirates hautement qualifiés parrainés par l'État russe et qui sont à l'origine de l'intrusion dans les systèmes de SolarWinds il y a quelques années. La violation aurait permis aux pirates d'exfiltrer des identifiants de connexion qu'ils utiliseraient désormais afin de farfouiller dans les systèmes de Microsoft. L'entreprise a publié en mars un autre rapport qui révèle que le groupe a également volé du code source et qu'il était peut-être encore en train de fouiller dans ses systèmes informatiques internes.

« Ces dernières semaines, nous avons constaté que Midnight Blizzard utilisait des informations initialement exfiltrées de nos systèmes de messagerie d'entreprise dans le but d'obtenir, ou tenter d'obtenir, un accès non autorisé. Cela inclut l'accès à certains référentiels de code source de Microsoft et à des systèmes internes. À ce jour, nous n'avons trouvé aucune preuve que les systèmes clients hébergés par Microsoft ont été compromis », expliquait alors Microsoft dans un billet de blog.

Le groupe tenterait notamment d'utiliser « les secrets de différents types qu'il a trouvés » pour compromettre davantage Microsoft et potentiellement ses clients. « Certains de ces secrets ont été partagés entre des clients et Microsoft dans des courriels, et à mesure que nous les découvrons dans nos courriels exfiltrés, nous avons pris contact avec ces clients pour les aider à prendre des mesures d'atténuation », précise Microsoft. Il faut rappeler que l'attaque massive de SolarWinds en 2020 a compromis des milliers d'organisations, y compris des entités publiques américaines, dont les départements du Trésor et du Commerce.

L'obtention du code source est une grande victoire pour les pirates, car elle leur permet de découvrir le fonctionnement d'un logiciel et d'en détecter les faiblesses. Ces connaissances peuvent être utilisées ensuite pour lancer des attaques de suivi de manière inattendue. Microsoft est un géant mondial de la technologie dont les produits et services, comme Windows et Exchange, sont largement utilisés, y compris par l'establishment et agence de sécurité nationale. Ainsi, cette révélation a alarmé certains analystes qui ont fait part de leurs inquiétudes croissantes quant à la sécurité des systèmes et des services de Microsoft.

Une attaque d'une ampleur plus importante

En parcourant les courriels des dirigeants de Microsoft, les pirates ont trouvé des messages échangés avec d'autres entreprises et organisations, et Microsoft notifie maintenant à ses clients les courriels auxquels ils ont eu accès, a déclaré un porte-parole. Certains de ces clients avaient déjà été avertis par Microsoft qu'ils étaient concernés, tandis que d'autres l'apprennent pour la première fois maintenant que Microsoft a eu plus de temps pour évaluer les dégâts. La société a refusé de préciser quels clients recevaient des notifications.

« Cette semaine, nous continuons de notifier les clients qui ont correspondu avec des comptes de messagerie d'entreprise Microsoft qui ont été exfiltrés par l'acteur de menace Midnight Blizzard, et nous fournissons aux clients la correspondance électronique à laquelle cet acteur a eu accès », selon une déclaration d'un porte-parole de Microsoft. « Il s'agit de détails supplémentaires pour les clients qui ont déjà été notifiés et de nouvelles notifications ».

Dans les notifications par courrier électronique, Microsoft a donné aux clients un lien leur permettant de désigner une personne chargée d'examiner les messages compromis dans un système personnalisé et sécurisé.

« Vous recevez cette notification parce que des courriels ont été échangés entre Microsoft et des comptes de votre organisation, et que ces courriels ont été consultés par l'acteur de la menace Midnight Blizzard dans le cadre de sa cyberattaque contre Microsoft », indique l'e-mail. Ce message a suscité l'inquiétude de certains clients de Microsoft, qui se sont rendus sur le site de médias sociaux pour savoir s'il s'agissait d'une tentative d'hameçonnage.

Ce piratage est le dernier en date d'une série de failles de sécurité très médiatisées et préjudiciables au géant du logiciel basé à Redmond, dans l'État de Washington, qui doit maintenant faire face à une condamnation sévère de la part du gouvernement américain. En avril, le gouvernement américain a publié un rapport cinglant critiquant Microsoft pour sa culture de sécurité « inadéquate » et citant Midnight Blizzard comme preuve que l'entreprise n'avait pas encore résolu le problème.

Microsoft est en train de procéder à la plus grande refonte de la sécurité depuis des décennies. Au début du mois, le président de Microsoft, Brad Smith, s'est montré contrit lors d'une audition de la commission de la sécurité intérieure de la Chambre des représentants sur ces questions, déclarant que l'entreprise assumait l'entière responsabilité de ses manquements.

Midnight Blizzard

Le groupe de pirates informatiques russes Midnight Blizzard, également connu sous les noms de Nobelium, APT29 et Cozy Bear, est tristement célèbre pour ses attaques sophistiquées. Microsoft, tout comme le gouvernement américain, considère que ce groupe fait partie du Service de renseignement extérieur russe (SVR).

C'est ce même groupe que les autorités américaines et britanniques tiennent pour responsable de l'attaque de la chaîne d'approvisionnement de SolarWinds en 2020. Lors de cette attaque, un code malveillant avait été intégré à une mise à jour logicielle, ce qui avait permis aux attaquants d'accéder aux systèmes des clients. L'attaque de SolarWinds a finalement ciblé près de 100 entreprises et neuf agences fédérales pour d'autres intrusions.

Midnight Blizzard/Nobelium s'est également attaqué à la société de cybersécurité FireEye, à des agences gouvernementales et à des fournisseurs de services informatiques, et a lancé plusieurs attaques contre le gouvernement ukrainien dans le cadre de la guerre en cours.

Cette dernière révélation vient s'ajouter à la pression à laquelle Microsoft doit faire face concernant ses pratiques en matière de cybersécurité.

En avril, un rapport très critique du US Cyber Safety Review Board a critiqué la réponse de l'entreprise à un incident distinct survenu en 2023, au cours duquel des pirates chinois ont accédé aux courriels de hauts fonctionnaires du gouvernement américain. Le rapport critique la « cascade de défaillances de sécurité » de Microsoft et une culture qui minimise les investissements en matière de sécurité au profit de nouveaux produits.

« Microsoft n'a pas suffisamment donné la priorité à la réorganisation de son infrastructure existante pour faire face au paysage actuel des menaces », indique le rapport.

L'urgence de la situation a incité les agences fédérales américaines à prendre des mesures en avril.

Une directive d'urgence a été émise par l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA), demandant aux agences gouvernementales d'analyser les courriels, de réinitialiser les identifiants compromis et de renforcer les mesures de sécurité pour les comptes Microsoft dans le cloud, craignant que les pirates de Midnight Blizzard n'accèdent à des communications sensibles.

La CISA a même déclaré que le piratage de Microsoft représentait un « risque grave et inacceptable » pour les agences gouvernementales.

Sources : rapport CISA , Microsoft

Et vous ?

Avez-vous déjà reçu une notification de violation de données de la part d’une entreprise technologique ? Partagez votre expérience et discutez des mesures que vous avez prises pour protéger vos informations personnelles.
Comment pensez-vous que les entreprises devraient améliorer leur communication avec les clients concernant les violations de données ? Quelles stratégies ou pratiques vous semblent les plus efficaces pour informer les utilisateurs de manière transparente et proactive ?

[Stéphane le calme]

Microsoft opère un changement dans sa politique : tous ses employés seront désormais évalués en fonction de leurs efforts
en matière de sécurité

Microsoft, l’un des géants de la technologie, a récemment annoncé un changement majeur dans sa politique interne : désormais, chaque employé sera évalué en fonction de ses efforts en matière de sécurité. Cette décision intervient après des années de problèmes de sécurité et de critiques croissantes à l’égard de l’entreprise.

Les efforts de Microsoft en matière de sécurité et de protection de la vie privée ont connu deux années difficiles. Des terminaux mal configurés, des certificats de sécurité malveillants et des mots de passe faibles ont tous causé ou risqué de causer l'exposition de données sensibles, et Microsoft a été critiqué par des chercheurs en sécurité, des législateurs américains et des organismes de réglementation pour la façon dont il a répondu à ces menaces et les a divulguées.

Les violations les plus médiatisées ont impliqué un groupe de hackers basé en Chine, nommé Storm-0558, qui a réussi à pénétrer le service Azure de Microsoft et à collecter des données pendant plus d’un mois à la mi-2023 avant d’être découvert et évincé. Après des mois d’ambiguïté, Microsoft a révélé qu’une série de défaillances de sécurité avait permis à Storm-0558 d’accéder au compte d’un ingénieur, ce qui lui a permis de collecter des données de 25 clients Azure de Microsoft, y compris des agences fédérales américaines.

Fin janvier, Microsoft a reconnu une nouvelle violation de données, déclarant dans un rapport que des pirates informatiques affiliés à l'État russe se sont introduits dans son système de messagerie électronique interne et ont accédé aux comptes des membres de l'équipe dirigeante, ainsi qu'à ceux des employés des équipes chargées de la cybersécurité et des affaires juridiques. Microsoft a ajouté que l'intrusion a commencé fin novembre et a été découverte le 12 janvier.

Microsoft a attribué l'attaque au groupe de pirates Midnight Blizzard (Nobelium). Selon l'entreprise, il s'agit d'un groupe de pirates hautement qualifiés parrainés par l'État russe et qui sont à l'origine de l'intrusion dans les systèmes de SolarWinds il y a quelques années. La violation aurait permis aux pirates d'exfiltrer des identifiants de connexion qu'ils utiliseraient désormais afin de farfouiller dans les systèmes de Microsoft. L'entreprise a publié en mars un autre rapport qui révèle que le groupe a également volé du code source et qu'il était peut-être encore en train de fouiller dans ses systèmes informatiques internes.

« Ces dernières semaines, nous avons constaté que Midnight Blizzard utilisait des informations initialement exfiltrées de nos systèmes de messagerie d'entreprise dans le but d'obtenir, ou tenter d'obtenir, un accès non autorisé. Cela inclut l'accès à certains référentiels de code source de Microsoft et à des systèmes internes. À ce jour, nous n'avons trouvé aucune preuve que les systèmes clients hébergés par Microsoft ont été compromis », explique Microsoft dans un billet de blog.

Une culture de la sécurité « inadéquate »

Certains analystes se sont inquiétés des risques pour la sécurité nationale américaine. « Le fait que l'un des plus grands fournisseurs de logiciels soit lui-même en train d'apprendre les choses au fur et à mesure est un peu effrayant. Vous n'avez pas l'assurance, en tant que client, qu'il ne se passe pas quelque chose de plus grave. Ces attaques témoignent également de l'agressivité des pirates », a déclaré Jerome Segura, chercheur principal chercheur en menace de la société de cybersécurité Malwarebytes. Segura a ajouté qu'il est déconcertant que l'attaque soit toujours en cours malgré les efforts déployés par Microsoft.

« C'est le genre de chose qui nous inquiète vraiment. L'acteur de la menace voudrait utiliser les secrets (de Microsoft) pour pénétrer dans les environnements de production, puis compromettre les logiciels et installer des portes dérobées et d'autres choses de ce genre », a déclaré Segura. Dans un document déposé auprès de la Securities and Exchange Commission (SEC), Microsoft a déclaré que l'attaque n'avait pas eu d'impact matériel sur ses activités, mais a averti que cela restait une possibilité, malgré des investissements accrus en matière de sécurité et la coordination avec les autorités chargées de l'application de la loi.

Lancement de la « Secure Future Initiative » chez Microsoft

En réponse, Microsoft a lancé l’initiative « Secure Future Initiative » (initiative pour un avenir sûr) en novembre 2023, annonçant une série de plans et de changements dans ses pratiques de sécurité, dont certains ont déjà été mis en œuvre. Dans le cadre de cette initiative, Microsoft a annoncé hier une série de plans et de modifications de ses pratiques de sécurité, y compris quelques changements déjà effectués.

Charlie Bell, vice-président exécutif de la sécurité chez Microsoft, a écrit : « Nous faisons de la sécurité notre priorité absolue chez Microsoft, avant tout le reste – avant toutes les autres fonctionnalités ». « Nous élargissons le champ d'application du SFI, en intégrant les récentes recommandations du CSRB ainsi que les enseignements tirés de Midnight Blizzard, afin de garantir que notre approche de la cybersécurité reste solide et adaptée à l'évolution du paysage des menaces ».

Dans le cadre de ces changements, en mai, Microsoft a noté que la rémunération de l’équipe de direction senior dans son entreprise dépendra en partie de la réalisation des plans et objectifs de sécurité de l’entreprise, bien que Bell n’ait pas précisé quelle part de la rémunération des dirigeants serait dépendante de ces objectifs de sécurité :

« Nous mobiliserons les piliers et les objectifs élargis de la SFI dans l'ensemble de Microsoft et cette dimension sera prise en compte dans nos décisions de recrutement. En outre, nous instillerons la responsabilité en basant une partie de la rémunération de l'équipe dirigeante de l'entreprise sur les progrès réalisés dans la mise en œuvre de nos plans et de nos étapes en matière de sécurité ».

La priorité absolue : la sécurité

Mais Microsoft ne compte pas s'arrêter là : l'entreprise va lier ses efforts en matière de sécurité à l'évaluation des performances de chaque employé.

Kathleen Hogan, directrice des ressources humaines chez Microsoft, a déclaré dans une note interne : « Tout le monde chez Microsoft doit considérer la sécurité comme une priorité absolue. Lorsqu’il y a un compromis à faire, la réponse est claire et simple : la sécurité avant tout. » Cette nouvelle approche signifie que les employés devront désormais tenir compte de la sécurité dans leurs décisions quotidiennes, leurs projets et leurs tâches.

La sécurité et la diversité sont désormais au premier plan des piliers stratégiques de Microsoft. Elles font toutes deux partie intégrante du processus d'évaluation des performances internes appelé "Connect". Connect est conçu pour être utilisé par l'ensemble du personnel, y compris les cadres qui sont également responsables de la réalisation d'objectifs spécifiques en matière de sécurité.

Il semblerait que les employés de Microsoft soient désormais tenus de démontrer leur contribution au renforcement des mesures de sécurité. Pour ceux qui occupent des fonctions techniques, par exemple, il s'agirait d'intégrer des considérations de sécurité dès les premières étapes du développement des produits, d'adhérer aux protocoles de sécurité établis et de veiller à ce que les produits soient sécurisés par défaut pour les clients.

Un manque d'intérêt pour la sécurité chez les employés de Microsoft pourrait avoir un impact sur les promotions, les augmentations de salaire au mérite et les primes. « L'impact de la priorité de base en matière de sécurité sera un élément clé pour les responsables qui détermineront l'impact et recommanderont des récompenses », peut-on lire dans une FAQ interne de Microsoft sur sa nouvelle politique. « Cela va au-delà de la conformité, car nous demandons aux employés de donner la priorité à la sécurité dans tout le travail qu'ils effectuent et de se responsabiliser en enregistrant leur impact sur la sécurité à chaque fois qu'ils effectuent une connexion ».

Les difficultés de Microsoft en matière de sécurité

Ces dernières années, Microsoft a été critiquée pour son infrastructure de sécurité jugée laxiste.

Le monde numérique est encore sous le choc de la panne informatique mondiale du mois dernier, due à une mise à jour défectueuse de la société de cybersécurité CrowdStrike. Étant donné que de nombreuses solutions Microsoft ont été touchées, cet incident a d'abord semé la panique chez les observateurs qui craignaient une cyberattaque de masse ciblant Microsoft, avant que la responsabilité de CrowdStrike ne soit confirmée.

Bien que Microsoft ne soit pas responsable de la panne, celle-ci a mis en évidence la dépendance fragile du monde à l'égard de nombreux services de l'entreprise, à une époque où les attaques d'acteurs malveillants deviennent de plus en plus sophistiquées.

Cependant, il y a eu des cas plus alarmants d'attaques de sécurité visant Microsoft.

En octobre, des comptes Skype compromis ont été piratés pour diffuser le logiciel malveillant DarkGate, tandis que Microsoft Teams a également été pris pour cible. En novembre, des pirates russes ont pénétré les défenses de Microsoft, accédant aux comptes de messagerie de plusieurs membres de l'équipe dirigeante et volant du code source. La brèche est passée inaperçue pour Microsoft pendant près de deux mois, l'intrusion n'ayant été découverte qu'en janvier.

En avril, le US Cyber Safety Review Board (CSRB) a affirmé que Microsoft aurait dû être mieux équipé pour empêcher les pirates chinois d'accéder aux courriels du gouvernement américain via son logiciel Microsoft Exchange Online lors de la cyberattaque Storm-0558 en juillet 2023.

En réponse, Microsoft s'est engagé à mettre en œuvre les recommandations du CSRB et a détaillé un ensemble complet de principes et d'objectifs de sécurité. En liant la rémunération des dirigeants et les performances des travailleurs à la réalisation de ces objectifs de sécurité, Microsoft souligne sa volonté d'améliorer ses mesures de cybersécurité.

En juillet, Malwarebytes a publié un rapport faisant état d'une « campagne de publicité malveillante » visant à voler les mots de passe des utilisateurs de Microsoft Teams pour Mac.

Les pirates ont incité les utilisateurs de Mac à télécharger une fausse version de Microsoft Teams, qui est en fait le logiciel malveillant Atomic Stealer conçu pour voler les mots de passe des trousseaux de clés et des navigateurs web d'Apple. Les utilisateurs ont accédé à ces sites de téléchargement frauduleux de Microsoft Teams par l'intermédiaire d'un compte publicitaire Google compromis à Hong Kong, ce qui a permis aux liens des pirates d'apparaître en tête des résultats de recherche pour le logiciel de vidéoconférence et de collaboration.

Le même mois, Microsoft s'est excusée pour une panne causée par une cyberattaque et amplifiée par une erreur dans ses défenses, perturbant Microsoft 365, Xbox, Outlook et Minecraft.

Sources : mémo de Microsoft, des acteurs malveillants diffusent le logiciel malveillant DarkGate via Skype (TrendMicro), une version factice de Microsoft Teams pour Mac livre Atomic Stealer (Malwarebytes)

Et vous ?

Quelle est la responsabilité des employés en matière de sécurité ? Pensez-vous que les employés devraient être évalués sur leur engagement envers la sécurité ? Comment cela pourrait-il affecter leur travail au quotidien ?
Comment équilibrer sécurité et innovation ? De quelle façon Microsoft pourrait maintenir un haut niveau de sécurité tout en encourageant l’innovation et la créativité parmi ses employés ?
Quelles mesures concrètes peuvent être prises pour améliorer la sécurité ? Partagez vos idées sur les actions spécifiques que Microsoft et d’autres entreprises peuvent entreprendre pour renforcer la sécurité.
La sécurité doit-elle être prioritaire sur d’autres aspects du travail ? Êtes-vous d’accord avec la nouvelle politique de Microsoft ? Pensez-vous que la sécurité devrait toujours être la priorité absolue ?
Quel rôle joue la sensibilisation à la sécurité ? Explorez l’importance de la formation et de la sensibilisation à la sécurité pour tous les employés, quel que soit leur poste.

[kain_tn]

Quelle est la responsabilité des employés en matière de sécurité ? Pensez-vous que les employés devraient être évalués sur leur engagement envers la sécurité ? Comment cela pourrait-il affecter leur travail au quotidien ?
Comment équilibrer sécurité et innovation ? De quelle façon Microsoft pourrait maintenir un haut niveau de sécurité tout en encourageant l’innovation et la créativité parmi ses employés ?
Quelles mesures concrètes peuvent être prises pour améliorer la sécurité ? Partagez vos idées sur les actions spécifiques que Microsoft et d’autres entreprises peuvent entreprendre pour renforcer la sécurité.
La sécurité doit-elle être prioritaire sur d’autres aspects du travail ? Êtes-vous d’accord avec la nouvelle politique de Microsoft ? Pensez-vous que la sécurité devrait toujours être la priorité absolue ?
Quel rôle joue la sensibilisation à la sécurité ? Explorez l’importance de la formation et de la sensibilisation à la sécurité pour tous les employés, quel que soit leur poste.

Microsoft, en bonne GAFAM, nous fait une Boeing: "ce n'est pas la direction qui est en faute si nos avions s'écrasent, messieurs les sénateurs: c'est de la faute de nos ingénieurs, qui ont agit de leur propre initiative!".

Plus sérieusement, face à l'actionnariat, je suppose que ça aura autant de poids que les engagements sur la réduction des émissions de carbone.

EDIT:

Et sinon, les bugs qui effacent les comptes dans leur application MFA, ça compte dans les évaluations de fin d'année, aussi?

[Mathis Lucas]

Microsoft : « activez l'authentification multifactorielle ou perdez l'accès aux portails d'administration en octobre »
l'entreprise veut réduire la surface d'attaque des utilisateurs de sa plateforme Azure

Microsoft introduit l'authentification multifactorielle (AMF) obligatoire pour toutes les connexions Azure. L'entreprise a donné jusqu'au 15 octobre aux administrateurs pour se mettre en règle. À partir de cette date, l'AMF sera obligatoire pour se connecter au portail Azure, au centre d'administration Microsoft Entra et au centre d'administration Intune. Si l'AMF n'est pas configurée après cette date, les utilisateurs ne pourront pas se connecter aux portails d'administration pour effectuer des opérations de création, de lecture, de mise à jour ou de suppression (CRUD). L'initiative entre dans le cadre des efforts de Microsoft visant à renforcer la sécurité d'Azure.

Microsoft donne un délai de 60 jours aux administrateurs pour activer l'AMF

« À partir du 15 octobre 2024, nous demanderons aux utilisateurs d'utiliser l'authentification multifactorielle (AMF) pour se connecter au portail Azure, au centre d'administration Microsoft Entra et au centre d'administration Intune. Pour que vos utilisateurs puissent conserver leur accès, vous devrez activer l'authentification multifactorielle avant le 15 octobre 2024 », a déclaré Microsoft dans un communiqué publié jeudi. Les administrateurs qui ont besoin de plus de temps pour se conformer à l'obligation peuvent repousser la date d'application pour chaque utilisateur jusqu'au 15 avril 2025, entre le 15 août et le 15 octobre.

Cependant, Microsoft met en garde contre les risques liés au report de la mise de l'AMF. « En repoussant la date de mise en application, vous prenez un risque supplémentaire, car les comptes qui accèdent aux services Microsoft tels que le portail Azure sont des cibles de grande valeur pour les acteurs de la menace. Nous recommandons à tous les locataires de mettre en place l'AMF dès maintenant pour sécuriser les ressources du cloud ». Certains jugent le délai trop court.

Les administrateurs peuvent contrôler qui a configuré l'AMF parmi leurs utilisateurs en utilisant le rapport d'enregistrement des méthodes d'authentification ou un script PowerShell pour obtenir un rapport rapide sur l'état de l'AMF dans l'ensemble de la base d'utilisateurs. En outre, au début de l'année 2025, Microsoft commencera à imposer l'AMF pour les connexions à Azure pour ceux qui veulent accéder aux outils Azure PowerShell, CLI et Infrastructure as Code (IaC).

« À partir du mois d'octobre, l'AMF sera nécessaire pour se connecter au portail Azure, au centre d'administration Microsoft Entra et au centre d'administration Intune. L'application sera étendue progressivement à tous les utilisateurs dans le monde entier. Début 2025, nous commencerons l'application progressive de l'AMF à la connexion pour Azure CLI, Azure PowerShell, Azure mobile app, et les outils Infrastructure as Code (IaC) », explique un communiqué de l'entreprise.

Il convient toutefois de noter que les utilisateurs finaux qui ne se connectent pas au portail Azure, à la CLI ou à PowerShell, mais qui accèdent à des applications et à des services, ne seront pas tenus d'utiliser l'authentification à deux facteurs, à moins que les propriétaires de ces services ne l'exigent.

Microsoft tente de réduire la surface d'exposition des clients grâce à l'AMF

Microsoft Azure a récemment été la cible d'une cyberattaque qui a entraîné une panne de plusieurs heures. Si l'obligation de connexion par authentification multifactorielle récemment annoncée n'aurait pas empêché ce type d'attaque par déni de service distribué (DDoS), elle aura un impact positif sur la protection des données et de l'identité des utilisateurs. Cette mesure fait partie de la Secure Future Initiative (SFI) et vise à garantir que les comptes Azure sont protégés contre les tentatives d'hameçonnage et de détournement en appliquant l'AMF obligatoire pour toutes les tentatives d'ouverture de session sur la plateforme.

« Alors que les cyberattaques sont de plus en plus fréquentes, sophistiquées et préjudiciables, la protection de vos actifs numériques n'a jamais été aussi cruciale. Il n'est donc pas surprenant que l'un des principaux piliers de SFI s'engage à protéger les identités et les secrets. Nous voulons réduire le risque d'accès non autorisé en mettant en œuvre et en appliquant les meilleures normes pour l'ensemble de l'infrastructure des identités et des secrets, ainsi que pour l'authentification et l'autorisation des utilisateurs et des applications », indique le communiqué de Microsoft. C'est là qu'intervient le nouveau mandat.

L'annonce a été faite par Naj Shahid et Bill DeForeest, deux principaux responsables de produits au sein de l'équipe Azure Compute. Elle fait référence à une étude récente de Microsoft révélant que l'AMF peut bloquer plus de 99,2 % des attaques de compromission de comptes. Il est donc essentiel de protéger les comptes Azure à l'aide d'une AMF gérée en toute sécurité et qui résiste à l'hameçonnage. Microsoft a déclaré qu'il prendrait les mesures suivantes :

• protéger la signature de l'infrastructure d'identité et les clés de plateforme ;
• renforcer les normes d'identité et favoriser leur adoption ;
• garantir que 100 % des comptes d'utilisateurs sont protégés par l'authentification multifactorielle ;
• garantir que 100 % des applications sont protégées par des informations d'identification gérées par le système ;
• garantir que 100 % des jetons d'identité sont protégés par une validation durable et avec état ;
• adopter un partitionnement plus fin des clés de signature d'identité et des clés de plateforme ;
• veiller à ce que les systèmes d'infrastructure d'identité et de clé publique soient prêts pour un monde de cryptographie post-quantique.

Les produits et services de Microsoft font partie des plateformes les plus ciblées par les cybercriminels. Les plateformes de Microsoft étant présentes dans de nombreuses infrastructures critiques des États-Unis et dans le monde entier, certains analystes se sont inquiétés des risques pour la sécurité nationale. Microsoft a été confronté à plusieurs attaques ces dernières années, notamment le piratage de son serveur de messagerie Exchange qui a compromis au moins 30 000 organisations en 2021, ainsi que la violation par des pirates affiliés à l'État chinois des courriels du gouvernement américain l'année dernière.

« En imposant l'AMF pour les connexions à Azure, nous souhaitons vous offrir la meilleure protection possible contre les cybermenaces. Nous apprécions votre coopération et votre engagement à renforcer la sécurité de vos ressources Azure », a déclaré Microsoft.

Plusieurs rapports remettent en cause les pratiques de sécurité de Microsoft

Fin janvier, Microsoft a déclaré dans un rapport que des pirates informatiques affiliés à l'État russe se sont introduits dans le système de messagerie électronique interne de Microsoft et ont accédé aux comptes des membres de l'équipe dirigeante, ainsi qu'à ceux des employés des équipes chargées de la cybersécurité et des affaires juridiques. Microsoft ajoute que l'intrusion a commencé fin novembre et a été découverte le 12 janvier. Microsoft attribue l'attaque au groupe de pirates Midnight Blizzard (Nobelium) et a précisé qu'un très faible pourcentage des comptes d'entreprise de Microsoft avaient été consulté.

Les violations répétées subies par Microsoft ces dernières années ont alarmé certains experts qui ont fait part de leurs inquiétudes croissantes quant à la sécurité des systèmes et services du géant de Redmond. « Le fait que l'un des plus grands fournisseurs de logiciels soit lui-même en train d'apprendre les choses au fur et à mesure est un peu effrayant. Vous n'avez pas l'assurance, en tant que client, qu'il ne se passe pas quelque chose de plus grave. Ces attaques témoignent également de l'agressivité des pirates », a déclaré Jerome Segura, chercheur principal en menace de la société de cybersécurité Malwarebytes.

L'attaque est restée en cours pendant plusieurs avant que Microsoft ne la détecte, ce que Segura a qualifié de déconcertant. À la suite de l'incident provoqué par le groupe Nobelium, un rapport du US Cyber Safety Review Board a fustigé Microsoft pour sa culture de sécurité inadéquate, ses déclarations publiques inexactes et sa réponse à des failles de sécurité évitables. Le rapport estime que les pratiques de sécurité de Microsoft ne sont pas à la hauteur.

« La Commission estime que cette intrusion était évitable et n'aurait jamais dû se produire. La Commission conclut également que la culture de sécurité de Microsoft était inadéquate et nécessite une refonte, en particulier à la lumière du rôle central de la société dans l'écosystème technologique et du niveau de confiance que les clients placent dans la société pour protéger leurs données et leurs opérations », indiquent les auteurs du rapport.

En réponse aux critiques acerbes du rapport, Microsoft a annoncé que la sécurité informatique est maintenant devenue un critère de rémunération de ses cadres. La rémunération de l’équipe de direction senior de Microsoft dépendra en partie de la réalisation des plans et objectifs de sécurité de l’entreprise. Le géant de Redmond n'a toutefois pas précisé quelle part de la rémunération des dirigeants serait dépendante de l'atteinte des objectifs en matière sécurité.

Source : Microsoft (1, 2, 3)

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de l'obligation d'activer l'authentification multifactorielle mise en place par Microsoft ?
L'authentification multifactorielle permettra-t-elle de réduire la surface d'exposition des utilisateurs ?
Que pensez-vous de critiques vis-à-vis de la culture de Microsoft en matière de sécurité ?

Voir aussi

Microsoft affirme que des pirates informatiques russes ont volé son code source après avoir espionné ses dirigeants, ce qui soulève des préoccupations quant aux pratiques de sécurité de l'entreprise

Microsoft annonce que la sécurité informatique devient un critère de rémunération de ses cadres suite à des failles de sécurité jugées « évitables », et une communication estimée insuffisante

Le réseau de Microsoft a été violé par des pirates de l'État russe qui ont exploité un mot de passe faible pour lancer l'attaque, l'intrusion a commencé fin novembre et a été découverte le 12 janvier

[smarties]

Ils ont volé du code de Windows, ils vont pouvoir contribuer à WINE pour Linux ?