Le FBI confirme qu’une récompense de 10 millions de dollars est offerte pour toute information permettant d’identifier les auteurs du piratage du compte Gmail personnel de son directeur, Kash Patel. Mais à la lumière de nouvelles informations rapportées par le New York Times, l’affaire prend une dimension encore plus troublante. On apprend notamment que des courriels et des photos volés ont commencé à circuler en ligne sur un site se présentant comme lié à l’Iran, mais dont l’infrastructure technique semblait hébergée en Russie.

Le FBI reconnaît que le compte personnel de Kash Patel a bien été compromis et que des données ont été consultées. L’agence insiste toutefois sur un point : les informations concernées sont anciennes et ne touchent aucun contenu gouvernemental. Les documents diffusés semblent provenir d’une période antérieure à son arrivée à la tête du FBI. D’après le New York Times, les messages publiés couvriraient une période allant de février 2010 à février 2022 et porteraient surtout sur des échanges personnels, comme la recherche d’un appartement, des réservations de voyage ou encore des démarches professionnelles antérieures.

Cette précision atténue la portée immédiate sur le plan institutionnel, mais elle ne réduit en rien la portée politique et symbolique de l’incident. Le fait que le directeur du FBI ait vu son compte personnel exposé au grand jour nourrit l’idée que, même dans les plus hautes sphères de l’appareil sécuritaire américain, la frontière entre vie privée numérique et vulnérabilité stratégique reste fragile. L’affaire rappelle surtout qu’un vieux compte personnel mal protégé peut devenir un outil de déstabilisation publique.

Le groupe mis en cause est Handala, présenté comme un groupe hacktiviste pro-iranien. Forbes rapporte que des chercheurs de Sophos le suivent depuis 2023 et observent une intensification de ses activités depuis le début de l’opération militaire américaine Epic Fury. Le New York Times ajoute que Handala est associé au ministère iranien du Renseignement et de la Sécurité, et qu’il s’est fait connaître par des opérations dites de “hack and leak”, c’est-à-dire des intrusions suivies de diffusion sélective de documents volés. Mais un élément complique le portrait : selon des outils de cybersécurité cités par le quotidien, le site ayant diffusé les fichiers était hébergé sur un serveur en Russie, un pays qui a lui aussi un lourd passé en matière d’opérations de piratage et de diffusion ciblée de données.

Autre détail préoccupant, le site utilisé pour diffuser les fichiers aurait pu lui-même représenter un risque pour les visiteurs. Le New York Times indique que VirusTotal a signalé la possibilité que la plateforme serve aussi à implanter des logiciels malveillants sur les appareils des internautes qui s’y rendaient. Autrement dit, la fuite n’aurait pas seulement été conçue pour embarrasser Kash Patel, mais aussi pour attirer, exposer et possiblement infecter des curieux, des journalistes ou des analystes cherchant à consulter les documents publiés.

Le contenu mis en ligne semble par ailleurs n’être qu’un échantillon. Le New York Times mentionne que certaines images d’annexes visibles sur le site ne figuraient pas dans la première salve de documents rendus publics, ce qui laisse penser que les auteurs détiennent peut-être davantage de matériel. Parmi les pièces évoquées se trouverait notamment une version de son curriculum vitæ datée de 2016, où il est question d’une distinction reçue de la CIA, dont les détails seraient classifiés. Cette stratégie de diffusion partielle entretient la pression, tout en laissant planer la menace de révélations additionnelles.

Dans Forbes, plusieurs experts avancent que cette attaque pourrait être liée à la récente pression exercée par Washington contre le groupe. Le 19 mars, le département de la Justice a annoncé la saisie de domaines liés à Handala. Pour Michael Bell, chef de la direction de Suzu Labs, l’attaque contre Patel ressemble à une mesure de représailles. Son jugement est sévère : selon lui, les pirates ont choisi la cible la plus facile, soit un compte personnel qui n’aurait pas été suffisamment verrouillé après de précédentes tentatives d’intrusion. Il y voit moins une démonstration de sophistication qu’un échec de sécurité opérationnelle.

Cette affaire relance enfin une question de fond. Lorsqu’une personnalité publique occupe une fonction aussi sensible, ses comptes privés ne sont plus vraiment privés. Ils deviennent une extension de sa surface d’attaque. Des experts cités par Forbes rappellent que l’authentification à deux facteurs ne suffit plus pour les profils à haut risque et qu’il faut désormais privilégier des mesures plus robustes, comme les clés physiques de sécurité. Le cas Patel devient ainsi un exemple concret d’une réalité bien connue en cybersécurité : en temps de conflit, les comptes personnels des dirigeants peuvent devenir des cibles de premier plan, non pas pour accéder à des secrets d’État, mais pour embarrasser, intimider, déstabiliser et envoyer un message.

Source : New York Times, Forbes, NBCNews,

******

Du lundi au vendredi, Bruno Guglielminetti vous propose un regard sur l’essentiel de l’actualité numérique avec 120 secondes de Tech.

Ou encore…

Écoutez la plus récente édition de Mon Carnet,
le magazine hebdomadaire de l’actualité numérique.