Vulnérabilité de Sécurité Majeure Chez Microsoft
Une vulnérabilité majeure menaçant la sécurité de millions d'utilisateurs a été découverte chez Microsoft. Un chercheur en sécurité a en effet trouvé un moyen d'usurper n'importe quelle adresse email d'employé de la firme, rendant possible des tentatives d'hameçonnage très crédibles. Malgré le signalement du problème, le géant technologique n'a toujours pas déployé de correctif à l'heure actuelle.
Une faille critique exposée sur les réseaux sociaux
C'est le chercheur en sécurité Vsevolod Kokorin, connu sous le pseudonyme "Slonser", qui a révélé publiquement l'existence de cette vulnérabilité la semaine dernière sur le réseau social X (anciennement Twitter). Il affirme avoir signalé la faille à Microsoft, mais l'entreprise aurait rejeté son rapport, indiquant ne pas être en mesure de reproduire le problème.
Frustré par cette réponse, Kokorin a alors décidé de prendre la parole sur X, sans toutefois dévoiler les détails techniques qui permettraient à des hackers malveillants d'exploiter la faille. D'après ses explications, la vulnérabilité ne fonctionne que lorsque l'email usurpé est envoyé vers des comptes Outlook, ce qui représente néanmoins un bassin d'au moins 400 millions d'utilisateurs dans le monde selon les derniers chiffres de Microsoft.
Microsoft reste silencieux malgré les relances
Kokorin indique avoir effectué un dernier suivi auprès de Microsoft le 15 juin, mais n'a reçu aucune réponse. Contacté par TechCrunch, le géant technologique n'a pas non plus donné suite à une demande de commentaires mardi. À ce stade, impossible donc de savoir si quelqu'un d'autre a découvert cette faille, ni si elle a déjà fait l'objet d'une exploitation malveillante.
Je ne m'attendais pas à ce que mon message suscite une telle réaction. Pour être honnête, je voulais juste partager ma frustration car cette situation m'a attristé. Beaucoup de gens m'ont mal compris et pensent que je veux de l'argent ou quelque chose comme ça. En réalité, je veux juste que les entreprises n'ignorent pas les chercheurs et soient plus amicales lorsque vous essayez de les aider.
– Vsevolod Kokorin, chercheur en sécurité
Microsoft accumule les problèmes de sécurité
Si l'ampleur exacte de la menace représentée par cette faille reste inconnue pour le moment, elle s'inscrit dans une série de problèmes de sécurité rencontrés par Microsoft ces dernières années. Des failles qui ont déclenché des enquêtes de la part des régulateurs fédéraux et des législateurs du Congrès américain.
La semaine dernière, le président de Microsoft Brad Smith a ainsi dû témoigner lors d'une audience à la Chambre des représentants, après le vol par la Chine d'une série d'emails du gouvernement fédéral américain sur les serveurs de l'entreprise en 2023. Lors de son intervention, Smith a promis un effort renouvelé pour donner la priorité à la cybersécurité chez Microsoft, après une série d'embarrassants ratés dans ce domaine.
Quelques mois plus tôt, en janvier, Microsoft avait ainsi confirmé qu'un groupe de hackers lié au gouvernement russe avait réussi à s'introduire dans les comptes emails de l'entreprise afin de dérober des informations sur ce que les dirigeants savaient des hackers eux-mêmes. Et la semaine dernière, ProPublica révélait que Microsoft n'avait pas tenu compte des avertissements concernant une faille critique, qui a ensuite été exploitée lors de la campagne de cyber-espionnage russe visant l'éditeur de logiciels SolarWinds.
Un correctif désormais urgent pour protéger les utilisateurs
Face à l'accumulation de ces problèmes de sécurité et à la pression croissante des autorités, il apparaît désormais urgent pour Microsoft de déployer un correctif pour cette nouvelle faille majeure révélée par Vsevolod Kokorin. Sans réaction rapide, ce sont des centaines de millions d'utilisateurs Outlook dans le monde qui restent exposés à des risques d'hameçonnage très crédibles et potentiellement dévastateurs.
D'autant que Microsoft semble peiner à reproduire et investiguer correctement le problème, malgré les efforts du chercheur pour fournir tous les détails techniques nécessaires. Une situation frustrante qui n'est malheureusement pas rare pour les "chasseurs de bugs" cherchant à responsabiliser les géants technologiques. Mais chaque jour qui passe sans correctif est un risque supplémentaire de voir la faille massivement exploitée par des cybercriminels.
Les mois à venir seront donc décisifs pour observer la réaction de Microsoft et sa capacité à muscler enfin sérieusement la sécurité de ses produits et services. Les utilisateurs, les chercheurs et les autorités scruteront les actions de l'entreprise, qui jouera une grande part de sa crédibilité et de la confiance dans ses outils sur sa gestion de ce nouveau défi cybersécurité majeur.
