Un ingénieur
informatique a sous-traité son travail à une société chinoise, à l’insu de sa
hiérarchie, qui le complimentait pour ses bons et loyaux services. Jusqu’à ce
qu’un audit de sécurité mette en lumière cette combine.
Vous êtes un développeur grassement payé, mais votre
travail vous ennuie ? Externalisez-le en Chine ! C’est ce qu’a fait
« Bob », un ingénieur informatique dans une société américaine.
Tous les jours, il venait tranquillement au bureau et terminait son travail
à l’heure… sauf que celui-ci était réalisé par une société située à Shenyang,
une ville située dans le nord-est de la Chine. En réalité, Bob passait ses
journées à surfer sur internet : streaming vidéo et réseaux sociaux le
matin, un peu d’Ebay après déjeuner, quelques heures sur Facebook et LinkedIn
dans l’après-midi puis, avant de partir, un petit mail à son manager pour
l’informer de l’avancement de ses projets.
Il était le meilleur développeur de l’immeuble
Et la
combine fonctionnait bien, car Bob – un quadragénaire bon père de famille et
employé de longue date – était considéré comme le meilleur développeur de
l’immeuble ! Ses rapports étaient propres, bien écrits et remis en temps
et en heure. Ce qui lui a value des compliments de sa hiérarchie. Et tout ça
pour une somme relativement modique : Bob gagnait plusieurs centaines de
milliers de dollars par an, mais il ne payait que 50.000 dollars à la société
chinoise qu'il mettait à contribution.
Toutefois,
au bout de quelques années, le pot-aux-roses a été découvert, suite à un audit
de sécurité réalisé par Verizon (et qui raconte l’histoire sur son blog). En
consultant ses logs, l’employeur de Bob a découvert des connexions VPN
quotidiennes venant de Shenyang, avec les codes de connexions de Bob. C’est la
surprise générale. Comment quelqu’un de Chine pouvait-il se connecter avec le
token RSA d’un employé, alors que celui-ci est installé, en même temps, à son
poste ? Le service informatique pensait d’abord à une faille zero-day, qui
permettait d’initier une connexion VPN à partir du poste de Bob, avant de la
router vers la Chine…
Des factures PDF stockées sur le poste
Les experts
de Verizon ont finalement découvert la vérité sur le poste de travail de Bob,
qu’ils ont analysé pour chercher un éventuel malware. A la place du code
malveillant, ils ont trouvée des centaines de factures en PDF, établies par la
société chinoise. Bob était tellement confiant, qu’il n’a même pas pensé à
effacer les factures de sous-traitance de son poste de travail ! Quant à la
connexion VPN, l’explication est simple : il a envoyé son token RSA par
FedEx à la société chinoise. Bonjour la sécurité.
Article paru sur 01Net.
