Un rapport US reproche à Microsoft sa sécurité médiocre et son manque de sincérité dans sa réponse au piratage chinois

Dans un « réquisitoire cinglant », écrit l'agence Associated Press, le Cyber Safety Review Board (CSRB), créé par l'administration Biden en 2022, fustige une « cascade d'erreurs » imputables à Microsoft et ayant permis à des pirates informatiques d'État chinois de s'introduire dans les comptes de courrier électronique de hauts fonctionnaires américains. C’est notamment le cas de celui de l'ambassadeur des États-Unis en Chine, Nicholas Burns, et de la secrétaire au Commerce, Gina Raimondo.

Son rapport de 34 pages décrit des pratiques de cybersécurité « médiocres », une culture d'entreprise « laxiste » et un « manque de sincérité » dans la façon qu'a eu l'entreprise de faire face à la brèche qui a touché de nombreuses agences américaines traitant avec la Chine.

• Chez Microsoft, un rocambolesque vol de données via une clé trouvée dans un rapport de plantage

Il estime que « la culture de sécurité de Microsoft était inadéquate et nécessitait une refonte » compte tenu de l'omniprésence de l'entreprise et de son rôle essentiel dans l'écosystème technologique mondial.

Et ce, d'autant que les produits Microsoft « sous-tendent des services essentiels qui soutiennent la sécurité nationale, les fondements de notre économie, ainsi que la santé et la sécurité publiques ».

Le groupe d'experts a déclaré que l'intrusion de Storm-0558, des pirates considérés comme affilié à la République populaire de Chine, découverte en juin par le département d'État et remontant au mois de mai, « aurait pu être évitée et n'aurait jamais dû se produire », attribuant son succès à « une cascade d'erreurs évitables ». Il déplore en outre que Microsoft « ne sait toujours pas comment les pirates se sont introduits dans le système », relève AP.

Il va jusqu'à formuler des recommandations « radicales », en invitant notamment Microsoft à « suspendre l'ajout de nouvelles fonctionnalités » à son environnement d'informatique dématérialisée jusqu'à ce que « des améliorations substantielles en matière de sécurité aient été apportées ».

Il ajoute que le PDG et le conseil d'administration de Microsoft devraient instaurer un « changement culturel rapide », notamment en partageant publiquement « un plan assorti d'échéances précises pour procéder à des réformes fondamentales axées sur la sécurité dans l'ensemble de l'entreprise et de sa gamme de produits ».

Au total, les pirates chinois soutenus par l'État se sont introduits dans les messageries électroniques Microsoft Exchange Online de 22 organisations et de plus de 500 personnes à travers le monde, en accédant à certaines boîtes aux lettres basées sur le cloud « pendant au moins six semaines et en téléchargeant quelque 60 000 courriels du seul département d'État ».

Le conseil d'administration s'est par ailleurs inquiété d'un autre piratage révélé par Microsoft en janvier, qui portait sur des comptes de messagerie électronique, y compris ceux d'un nombre non divulgué de cadres supérieurs de Microsoft et d'un nombre non divulgué de clients de Microsoft, et qui était attribué à des pirates russes soutenus par l'État.