Une faille logicielle de Microsoft a permis aux hackers d'accéder à l'agence américaine des armes nucléaires.

L'attaque informatique, qui exploitait une vulnérabilité de type zero-day dans les versions locales de SharePoint, a touché la National Nuclear Security Administration (NNSA), une branche semi-autonome du Département de l'Énergie responsable de tout, depuis la construction des ogives nucléaires jusqu'à leur démantèlement et la réponse aux urgences radiologiques, rapporte Bloomberg.

Bien qu'aucune donnée classifiée ou sensible n'ait été compromise, la violation est le dernier signal d'alarme dans une série d'incidents de sécurité liés à des logiciels d'entreprise largement utilisés et montre jusqu'où les attaquants sont prêts à aller.

Une vulnérabilité connue avec des conséquences très médiatisées

L'attaque a commencé le 18 juillet et n'a affecté que ceux qui utilisaient SharePoint sur leurs propres serveurs — pas les clients utilisant la plateforme M365 basée sur le cloud de Microsoft.

Microsoft a imputé la violation à des hackers parrainés par l'État chinois, nommant des groupes comme Linen Typhoon, Violet Typhoon et Storm-2603 comme responsables. Ces groupes auraient exploité des faiblesses dans SharePoint pour pénétrer dans les systèmes gouvernementaux, voler des identifiants et potentiellement maintenir un accès à long terme.

Ce n'était pas seulement la NNSA qui a été touchée. Le ministère de l'Éducation, le département des recettes de la Floride, l'Assemblée générale du Rhode Island et même les gouvernements nationaux en Europe et au Moyen-Orient ont également été affectés, selon Microsoft.

Microsoft publie un correctif—mais des questions subsistent

Depuis, Microsoft a publié un correctif pour la vulnérabilité et a déclaré qu'elle travaille en étroite collaboration avec les clients concernés. Mais cet incident ajoute aux inquiétudes croissantes concernant les risques liés au maintien des systèmes anciens sur site — surtout lorsque ces systèmes sont liés à quelque chose d'aussi critique que la sécurité nationale.

Ce n'est pas la première fois que le ministère de l'Énergie ou la NNSA est impliqué dans une brèche liée à un logiciel. En 2020, les deux ont été touchés par le piratage massif de SolarWinds, qui était également lié à des attaquants étatiques et a révélé des faiblesses dans la gestion des logiciels des fournisseurs par les agences fédérales.