Ce qu'il faut savoir sur les logiciels espions

« Un accès total au téléphone d'une personne est la chose la plus proche d'avoir accès à son esprit », affirme Eva Galperin, experte en cybersécurité. Elle décrit l'urgence de la situation face aux dangers émergents des logiciels espions, des logiciels conçus pour nous espionner en accédant à nos machines à notre insu. Elle implore les développeurs d'antivirus de reconnaître la menace de ces programmes pour décourager ceux qui en abusent et protéger les victimes.

Voyageons dans le passé ensemble,

à l'époque d'avant, en 2017.

J'ignore si vous vous en souvenez

mais les dinosaures
régnaient sur le monde.

Je faisais de la recherche en sécurité

et je venais de passer cinq ou six ans

sur le sujet des moyens
utilisés par les APT -

l'acronyme anglais pour
menace persistante avancée,

qui émane des États -

espionnent les journalistes
et les activistes,

les avocats et les scientifiques

et généralement tous ceux qui
disent ce qu'ils peuvent aux puissants.

Mes recherches duraient
depuis un certain temps

quand j'ai découvert
qu'un de mes collègues,

avec qui je travaillais depuis toujours
sur ce sujet,

était prétendument un violeur en série.

La première chose que j'ai faite

fut de lire un tas d'articles sur ça.

En janvier 2018,

j'ai lu un article contenant le témoignage
de certaines victimes supposées.

Ce qui m'a particulièrement frappée
dans cet article

fut l'ampleur de leur peur.

Elles étaient vraiment effrayées.

Elles avaient posé des caches sur
l'appareil photo de leur téléphone

et de leur ordinateur.

Elles craignaient qu'il ne soit un hacker

et viennent espionner leurs données

afin de détruire leur vie.

C'est pour cela qu'elles s'étaient tues
si longtemps.

J'étais furieuse.

Je voulais que plus personne
ne ressente jamais cela.

J'ai donc agi comme je le fais souvent
quand je suis en colère :

j'ai tweeté.

(Rires)

J'ai tweeté ceci :

Si vous êtes une femme victime
d'un abus sexuel par un hacker,

et que ce hacker vous a menacée
d'espionner vos machines,

contactez-moi

et je veillerai à vérifier votre machine
de fond en comble.

Et je suis allée déjeuner.

(Rires)

10 000 tweets plus tard,

(Rires)

j'ai compris que j'avais lancé
un nouveau projet.

Chaque matin, au réveil,
ma messagerie était saturée

d'histoires d'hommes et de femmes

qui me racontaient la pire chose
qui leur soit arrivée.

J'ai été contactée par des femmes
espionnées par des hommes,

par des hommes espionnés par des hommes,

par des femmes espionnées par des femmes,

mais la grande majorité des personnes

étaient des femmes qui avaient été
abusées sexuellement par des hommes

et qui les espionnaient.

Un cas particulièrement intéressant

concerne un homme qui m'a contactée

car son compagnon avait dénoncé
son homosexualité

à sa famille coréenne
extrêmement conservatrice.

Il n'y a donc pas que le seul scénario
d'hommes qui espionnent des femmes.

Je souhaite vous faire part
de ce que j'ai appris de cette expérience.

J'ai appris que les données fuitent.

Comme de l'eau.

Dans des endroits indésirables.

Les humains fuitent.

Vos amis lâchent
des informations sur vous.

Votre famille lâche
des informations sur vous.

Vous allez à une réception,

quelqu'un vous tague présent à cette fête.

C'est un des moyens
utilisés par les agresseurs

pour obtenir des informations

que vous ne souhaitez pas qu'ils sachent.

Il n'est pas rare que des agresseurs
approchent des amis ou la famille

en demandant des infos sur leur victime

sous prétexte qu'ils sont inquiets
pour leur « santé mentale ».

Une forme de fuite que j'ai rencontrée

est appelée : « compte compromis »

Vous avez un compte Gmail,

un compte Twitter,

un compte Instagram,

un compte iCloud,

un identifiant Apple,

un compte Netflix, Tiktok --

j'ai dû chercher ce qu'était Tiktok.

S'il y a un login,

il était toujours compromis

parce que votre agresseur
n'est pas toujours votre agresseur.

C'est très habituel pour des couples
de partager leurs mots de passe.

De plus, dans une relation intime,

on se connaît en profondeur

et on peut deviner les questions
de sécurité.

On peut lire par-dessus l'épaule

et déchiffrer le code
de déverrouillage du téléphone.

On a un accès physique au téléphone

ou à l'ordinateur.

Cela crée autant d'occasions

pour bidouiller les comptes des autres,

ce qui est très dangereux.

La bonne nouvelle est que
nous avons des conseils

pour verrouiller les comptes.

C'est un conseil qui existe déjà
et qui recommande ceci :

utilisez des mots de passe complexes
uniques pour chacun de vos comptes.

Utilisez des mots de passe
plus robustes et uniques

comme réponse aux questions de sécurité

afin d'empêcher quiconque connaissant
le nom du chien de votre enfance

de changer votre mot de passe.

Enfin, réglez le système
d'authentification à double facteur

à son niveau le plus haut -
si vous le trouvez pratique.

Ainsi, même si un agresseur parvient
à mettre la main sur vos mots de passe,

il n'aura pas le second facteur

et ne pourra donc pas
entrer dans votre compte.

Vous devez aussi

vérifier les paramètres
de sécurité et protection de la vie privée

de tous vos comptes.

La plupart des comptes ont ce paramètre

qui vous indique quelles machines
sont actives sur le compte

et depuis où.

Par exemple, je suis ici,

sur mon compte Facebook depuis La Quinta,

où nous avons cette conférence,

et si, par exemple,

je regarde mes logins Facebook,

et je vois que quelqu'un a accédé
à mon compte depuis Dubai,

je trouverais cela suspect

car je n'ai pas visité Dubaï récemment.

Mais parfois, il peut s'agir
d'un RAT [Remote Access Tool],

c'est-à-dire un outil
d'administration à distance.

C'est le terme que nous utilisons
pour parler de logiciel espion.

Une des raisons qui rendent
tentant l'accès à vos machines

pour les gouvernements

est la même que celle qui rend tentant
l'accès à vos machines

par des partenaires malintentionnés
ou des anciens partenaires.

Nous portons sur nous
des traceurs toute la journée.

Nous portons des machines
qui contiennent tous nos mots de passe

pour tous nos moyens de communication

y compris les communications
chiffrées de bout en bout.

Tous nos courriels, tous nos contacts,

tous nos selfies sont réunis
dans un seul endroit,

et souvent avec
nos informations financières.

Dès lors, avoir un accès total
à un téléphone,

c'est quasiment comme accéder
à l'esprit de son propriétaire.

Les logiciels espions mettent
cet accès à disposition.

Comment cela fonctionne-t-il ?

Les logiciels espions

sont des programmes
conçus par des sociétés,

achetés par des agresseurs.

Ceux-ci installent le programme
sur la machine qu'ils veulent espionner

souvent car ils ont un accès physique

ou en poussant leur cible
à l'installer à leur insu

en disant, par exemple :

« C'est un programme très important
à installer sur votre machine. »

Ensuite, ils paient la société qui
leur a vendu le programme d'espionnage

pour accéder à un portail

qui leur donne accès
à toutes les informations de la machine.

Cela coûte environ 40 dollars par mois.

Ce genre d'espionnage
est vraiment bon marché.

Les sociétés savent-elles

que leurs logiciels

sont utilisés pour abuser des personnes ?

Absolument.

La lecture du matériel
de promotion de Cocospy,

un de ces produits espions,

est explicite dès la première
page de leur site :

« Cocospy vous permet d'épier
votre épouse facilement. »

« Ne vous inquiétez plus
de ses déplacements,

à qui elle parle ou des sites
internet qu'elle visite. »

Ça fait froid dans le dos.

HelloSpy, un autre de ces produits,

a une page marketing avec un seul message

sur la prépondérance de l'infidélité

et sur l'importance cruciale
de prendre son conjoint sur le fait,

avec une photo d'un homme

qui vient de prendre sa partenaire
la main dans le sac

et l'a frappée.

Elle a un œil au beurre noir
et du sang sur le visage.

Je pense que c'est assez explicite

quel est le parti pris de HelloSpy
dans ce cas précis.

Et qui sont les clients
qu'ils souhaitent atteindre.

Si vous avez un logiciel espion
dans votre ordinateur ou votre téléphone,

c'est difficile de savoir
si c'est le cas ou pas.

Une des raisons pour cela

est que les vendeurs d'antivirus

ne reconnaissent pas ces logiciels
comme étant malveillants.

Ils ne les considèrent pas
comme des chevaux de Troie

ou toutes les autres choses
dont on espère normalement

une alerte de leur part.

Voici des résultats de cette année
de VirusTotal.

Pour un des échantillons
que j'ai examinés,

j'avais un résultat de 7 sur 60

des plateformes qui détectaient
le logiciel espion que je testais.

Avec celui-ci,
j'ai obtenu 10 détections,

10 sur 61.

Ce sont des résultats vraiment mauvais.

J'ai réussi à convaincre
quelques vendeurs d'antivirus

de classer les logiciels
espions comme malveillants.

Tout ce que vous avez à faire,

si vous craignez d'avoir ces logiciels
sur votre ordinateur,

est de télécharger le programme,

scanner et regarder le résultat :

« Il y a un logiciel potentiellement
non voulu dans votre machine. »

Il vous offre la possibilité de l'enlever

mais cela ne se fait pas automatiquement.

Une des raisons pour cela

est la dynamique des agressions.

Souvent, les victimes d'un abus
ne sont pas convaincues

de vouloir, ou pas, alerter leur agresseur

en leur supprimant l'accès.

Elles sont parfois inquiètes
que leur partenaire devienne violent,

ou encore plus violent

que ce qu'il était déjà.

Kaspersky est une des premières sociétés

à s'être engagées à prendre
cette menace au sérieux.

En novembre 2019,

ils ont publié un rapport disant

que depuis qu'ils suivent les logiciels
espions chez leurs utilisateurs,

ils ont constaté une augmentation de 35%.

De même, Lookout a publié un engagement

à prendre cette menace plus au sérieux.

Malwarebytes, enfin, a publié
un engagement semblable

en affirmant avoir
détecté 2 500 programmes

la première fois
qu'ils ont fait une recherche

et qui peuvent être classifiés
comme logiciel espion.

En novembre, j'ai contribué
au lancement d'une coalition

appelée coalition
contre les logiciels espions,

formée par des universitaires,

des gens qui sont sur le terrain,

et des praticiens qui aident les victimes
de violences domestiques à en échapper,

et des vendeurs d'antivirus.

Notre objectif est de faire connaître
au public l'existence de ces programmes

et de convaincre les vendeurs d'antivirus

de changer leurs normes

de gestion de ces logiciels si effrayants

avec l'espoir que si je reviens dans un an

sur cette scène pour vous parler de ça,

je pourrais vous dire
que le problème est résolu,

que vous n'avez plus qu'à télécharger
n'importe quel antivirus

et qu'il fera une détection de routine
des logiciels espions.

C'est mon espoir.

Merci.

(Applaudissements)