Urgence Cybersécurité : Le Sénateur Wyden Accuse Microsoft de Négligence Grave Suite à une Fuite de Données Massives
Washington, D.C. – Le sénateur américain Ron Wyden a lancé une offensive contre Microsoft, demandant à la Federal Trade Commission (FTC) d’enquêter sur ce qu’il qualifie de négligence grave en matière de cybersécurité. Cette demande fait suite à une cyberattaque majeure sur l’opérateur hospitalier Ascension en mai 2024, qui a exposé les données médicales et d’assurance privées de près de 5,6 millions de personnes.
Selon les informations révélées par Wyden, l’attaque a été initiée lorsqu’un employé d’Ascension a cliqué sur un lien malveillant affiché par le moteur de recherche Microsoft Bing. Ce simple clic a permis aux pirates d’accéder au réseau de l’entreprise et, au serveur Microsoft Active Directory, utilisé pour gérer les comptes utilisateurs.
Wyden souligne que la vulnérabilité n’est pas due à une nouvelle faille, mais à la persistance de Microsoft à supporter des technologies de chiffrement obsolètes, notamment le protocole RC4. bien que Microsoft reconnaisse que RC4 est dépassé et représente moins de 0,1% de son trafic de données, la désactivation complète de ce protocole est complexe, car elle pourrait perturber le fonctionnement de nombreux systèmes clients. La société prévoit de désactiver RC4 dans certains produits Windows au premier trimestre de 2026 et promet des “mesures de réparation supplémentaires”.
Cette affaire relance le débat sur la responsabilité des géants technologiques dans la protection des données sensibles. Wyden avait déjà interpellé Microsoft suite à une précédente cyberattaque en juillet 2023, impliquant des pirates liés à la Chine et ayant compromis des milliers de courriels de responsables américains.
Contexte et Implications:
Les cyberattaques sur le secteur de la santé sont en constante augmentation, et les conséquences peuvent être dévastatrices, allant du vol d’identité à la compromission des soins aux patients. La dépendance à des technologies obsolètes, même si leur suppression est techniquement difficile, représente un risque majeur.
Cette situation met en lumière la nécessité pour les entreprises et les organisations de :
Mettre à jour régulièrement leurs systèmes et logiciels: L’request rapide des correctifs de sécurité est cruciale pour se protéger contre les vulnérabilités connues.
Former les employés à la sensibilisation à la cybersécurité: La formation des employés à identifier les liens et les pièces jointes suspects est une première ligne de défense essentielle.
Adopter des protocoles de chiffrement robustes: Le chiffrement des données, tant au repos qu’en transit, est indispensable pour protéger les informations sensibles.
Mettre en place une stratégie de gestion des risques: Identifier, évaluer et atténuer les risques de cybersécurité est une étape fondamentale pour assurer la sécurité des données.
L’enquête de la FTC, si elle est menée, pourrait avoir des implications significatives pour Microsoft et pour l’ensemble de l’industrie technologique, en renforçant la pression pour une meilleure sécurité et une plus grande responsabilité.
