Un juge de l’Ohio a émis une ordonnance de restriction temporaire à l’encontre d’un chercheur en sécurité qui a présenté des preuves qu’une récente attaque par rançongiciel sur la ville de Columbus a récupéré d’énormes quantités d’informations personnelles sensibles, contredisant ainsi les affirmations des responsables de la ville.
L’ordonnance, rendue par un juge du comté de Franklin en Ohio, est intervenue après que la ville de Columbus a été victime d’une attaque par rançongiciel le 18 juillet, qui a volé 6,5 téraoctets de données de la ville. Un groupe de rançongiciels connu sous le nom de Rhysida a revendiqué l’attaque et a proposé aux enchères les données avec une enchère de départ d’environ 1,7 million de dollars en bitcoin. Le 8 août, après que l’enchère n’ait trouvé aucun enchérisseur, Rhysida a publié ce qu’il a déclaré être environ 45 % des données volées sur le site du groupe sur le dark web, accessible à quiconque disposant d’un navigateur TOR.
Le dark web n’est pas vraiment accessible au public ?
Le maire de Columbus, Andrew Ginther, a déclaré le 13 août qu’une “percée” dans l’enquête d’analyse judiciaire de la violation a révélé que les fichiers sensibles obtenus par Rhysida étaient soit chiffrés ou corrompus, les rendant “inutilisables” pour les voleurs. Ginther a ajouté que le manque d’intégrité des données était probablement la raison pour laquelle le groupe de rançongiels n’avait pas réussi à vendre les données aux enchères.
Peu après les remarques de Ginther, le chercheur en sécurité David Leroy Ross a contacté les médias locaux et a présenté des preuves montrant que les données publiées par Rhysida étaient entièrement intactes et contenaient des informations très sensibles concernant les employés de la ville et les résidents. Ross, qui utilise le pseudonyme Connor Goodwolf, a présenté des captures d’écran et d’autres données montrant que les fichiers publiés par Rhysida comprenaient des noms d’affaires de violence domestique et des numéros de sécurité sociale d’agents de police et de victimes de crimes. Certaines données s’étendaient sur plusieurs années.
Jeudi, la ville de Columbus a poursuivi Ross pour des dommages allégués pour actes criminels, violation de la vie privée, négligence et conversion civile. La plainte affirmait que le téléchargement de documents d’un site du dark web géré par des attaquants par rançongiciel équivalait à “interagir” avec eux et nécessitait une expertise et des outils spéciaux. La plainte contestait également le fait que Ross ait alerté des journalistes sur l’information, prétendant que cela ne pouvait pas être facilement obtenu par d’autres.
“Seules les personnes disposées à naviguer et interagir avec l’élément criminel sur le dark web, qui ont également l’expertise informatique et les outils nécessaires pour télécharger des données du dark web, pourraient le faire,” ont écrit les avocats de la ville. “Les données publiées sur le dark web ne sont pas facilement accessibles pour une consommation publique. Le défendant y parvient.”
Le même jour, un juge du comté de Franklin a accordé la motion de la ville pour une ordonnance de restriction temporaire contre Ross. Cela interdit au chercheur “d’accéder, de télécharger ou de diffuser” des fichiers de la ville qui ont été publiés sur le dark web. La motion a été faite et accordée “ex parte”, ce qui signifie en secret avant que Ross en soit informé ou ait eu l’occasion de présenter son cas.
Lors d’une conférence de presse jeudi, l’avocat de la ville de Columbus, Zach Klein, a défendu sa décision de poursuivre Ross et d’obtenir l’ordonnance de restriction.
“Ce n’est pas une question de liberté d’expression ou de lanceurs d’alerte,” a-t-il déclaré. “Il s’agit du téléchargement et de la divulgation de dossiers criminels volés. L’effet est de faire en sorte que [Ross] cesse de télécharger et de divulguer des dossiers criminels volés pour protéger la sécurité publique.”
Le bureau de l’avocat de la ville de Columbus n’a pas répondu aux questions envoyées par e-mail. Il a toutefois fourni la déclaration suivante :
La plainte déposée par la ville de Columbus concerne des données volées que M. Ross a téléchargées depuis le dark web sur son propre appareil local et a diffusées aux médias. En fait, plusieurs médias ont utilisé les données volées fournies par Ross pour aller de porte à porte et contacter des individus utilisant des noms et adresses contenus dans les données volées. Comme il a été largement rapporté, M. Ross a également montré à plusieurs médias des données confidentielles volées appartenant à la ville, qu’il prétend révéler les identités des policiers sous couverture et des victimes de crimes, ainsi que des éléments de preuves provenant d’enquêtes criminelles actives. Le partage de ces données volées menace la sécurité publique et l’intégrité des enquêtes. L’ordonnance de restriction temporaire accordée par le tribunal interdit à M. Ross de diffuser des données volées de la ville. M. Ross est toujours libre de parler de l’incident cybernétique et même de décrire le type de données présentes sur le dark web, il ne peut simplement pas diffuser ces données.
Tenter de joindre Ross pour obtenir un commentaire a échoué. Les e-mails envoyés au bureau du maire de Columbus sont restés sans réponse.
Comme le montre la capture d’écran ci-dessus du site Rhysida sur le dark web vendredi matin, les données sensibles restent disponibles pour quiconque les cherche. L’ordonnance de vendredi peut interdire à Ross d’accéder aux données ou de les diffuser aux journalistes, mais elle n’a aucun effet sur ceux qui prévoient d’utiliser les données à des fins malveillantes.
À la lumière de cette affaire, il est crucial de sensibiliser le public sur les implications des cyberattaques et la manière dont les fuites de données peuvent affecter les individus bien au-delà des effets immédiats sur les systèmes gouvernementaux ou d’entreprise. En tant que citoyen et observateur, je ressens une inquiétude grandissante face à la vulnérabilité de nos informations personnelles et à la nécessité d’une meilleure protection contre ces menaces.
