La ville de Columbus poursuit le spécialiste qui a révélé l’ampleur de la cyberattaque

• Le tribunal de première instance approuve une ordonnance restrictive contre un spécialiste en cybersécurité ayant révélé la fuite de données de la ville

  • Un juge du comté de Franklin a approuvé une ordonnance restrictive temporaire visant Connor Goodwolf, le spécialiste en cybersécurité qui a révélé le mois dernier la nature et le volume des informations exposées lors de la cyberattaque contre la ville
  • Au cours des dernières semaines, Goodwolf a accordé des interviews à 10TV et à d'autres médias, détaillant quelles informations se trouvaient sur le dark web

• Déroulement de la cyberattaque contre la ville

  • La ville a coupé sa connexion à Internet le 18 juillet après que son service informatique a détecté des signes d’anomalie dans ses systèmes
  • Deux semaines plus tard, le groupe de hackers Rhysida a affirmé être à l’origine de l’attaque et détenir 6,5 téraoctets de données
  • Rhysida a ensuite publié 45 % des données dérobées à la ville

• Impact de la fuite de données

  • Le 13 août, le maire Andrew Ginther a déclaré que les données volées par les hackers étaient corrompues ou chiffrées, donc inutilisables
  • Cependant, Goodwolf a affirmé dans une interview à 10TV que cette déclaration était fausse, en montrant des informations personnelles auxquelles il pouvait accéder
  • Goodwolf a récemment indiqué que la matrice criminelle de la police de Columbus pouvait être téléchargée. Cette base de données comprend, à partir des rapports de police des dix dernières années, des informations sur les témoins, les victimes et les suspects

• Ordonnance restrictive et action en justice

  • La ville a demandé puis obtenu une ordonnance restrictive temporaire contre Goodwolf. Elle réclame au moins 25 000 $ de dommages-intérêts, le montant total devant être déterminé au procès
  • Le tribunal a ordonné à Goodwolf de cesser d’accéder aux données volées de la ville, de les télécharger et de les diffuser
  • La ville affirme que Goodwolf a causé un « préjudice irréparable » et une « inquiétude généralisée dans l’ensemble du centre de l’Ohio »

• Position de la ville

  • L’avocat de la ville, Zach Klein, a souligné que cette affaire ne visait pas à restreindre la liberté d’expression de Goodwolf
  • Klein a expliqué que cette mesure visait à empêcher la diffusion de données susceptibles de compromettre une enquête criminelle
  • Il a ajouté qu’ils s’efforcent de protéger les policiers, les victimes et les témoins, et que les informations téléchargées et partagées par Goodwolf constituent une menace pour la sécurité publique

• Le projet de Goodwolf

  • Goodwolf a déclaré qu’il prévoyait de publier les données volées de la ville via un site web qu’il a créé. Il affirme toutefois que ce site ne servirait qu’à permettre aux personnes de vérifier si leur nom figure dans la fuite de données

• Réaction de la ville

  • Le bureau de Klein a déclaré respecter la décision du juge, la qualifiant de mesure positive pour empêcher la diffusion de données confidentielles volées concernant le personnel et les victimes
  • La ville a engagé quatre chefs de poursuite contre Goodwolf : dommages liés à des actes criminels, atteinte à la vie privée, négligence et conversion civile
  • L’audience préparatoire finale est prévue pour le 18 septembre 2025

Le résumé de GN⁺

• Cette affaire porte sur la réponse judiciaire visant un spécialiste en cybersécurité qui a révélé des informations importantes liées à la fuite de données de la ville
• En démontrant, contrairement aux déclarations de la ville, que les données volées par les hackers étaient exploitables, Goodwolf a déclenché une controverse
• La ville affirme que les actes de Goodwolf menacent la sécurité publique et a engagé des poursuites
• Cette affaire rappelle une nouvelle fois les enjeux juridiques et éthiques liés aux fuites de données et souligne l’importance de la sécurité des données

[GN⁺]

Commentaire sur Hacker News

• En tant qu’ancien pentester, je compatis avec Goodwolf, mais publier les données réelles est presque toujours une mauvaise idée

  • C’est la raison pour laquelle les programmes de bug bounty ont un périmètre limité
  • La ville semble en colère parce que Goodwolf a partagé des données liées à l’enquête en cours et à des rapports de police confidentiels
  • Récupérer les données puis les transmettre à d’autres n’est clairement pas une bonne idée
  • Il y avait beaucoup de façons de prouver aux journalistes que les données existaient et pouvaient être téléchargées sans y accéder : prendre des captures d’écran des messages du forum, envoyer le lien aux journalistes, décrire le type de données, etc.
  • S’il a fait cela et que la ville réagit quand même ainsi, c’est clairement un abus
  • Ordonner de ne pas diffuser aux journalistes des données concernant une enquête en cours n’est pas déraisonnable
  • Personne ne voudrait que des affaires personnelles soient diffusées plus largement
  • Je compatis beaucoup avec lui, car c’est une erreur facile à commettre
  • Avant d’entrer dans le secteur, je pensais que c’était ça, le white hat hacking
  • Sensibiliser à une intrusion est clairement une bonne chose, mais la manière de le faire compte énormément
  • J’ai travaillé dans ce secteur pendant environ un an en 2016, mais même aujourd’hui je ne pense pas que diffuser de vraies données compromises serait toléré pour quiconque travaille comme pentester

• Goodwolf menace de créer son propre site web pour publier les données volées de la ville

  • Goodwolf a déclaré à 10TV qu’il prévoyait de mettre en place son site web afin que les gens puissent vérifier si leur nom figurait dans la fuite de données
  • Ce n’est pas la même chose que mettre en place un site pour vérifier si un mot de passe a fuité
  • Cela pourrait permettre à quelqu’un de saisir le nom d’une personne pour voir si elle est témoin dans une enquête criminelle
  • Klein a déclaré : « Il ne s’agit pas de liberté d’expression, mais d’un acte concret consistant à accéder au dark web avec un clavier, à recueillir des informations, à les télécharger sur un ordinateur, puis à les distribuer à la presse ou à d’autres personnes »

• Il s’agit du fait que la ville a menti au public sur son incapacité à protéger les données

  • Les chercheurs ne font que souligner à quel point les systèmes de sécurité de Columbus, Ohio, sont mauvais
  • Le 13 août, le maire Andrew Ginther a déclaré que les données volées par les hackers étaient probablement inutilisables parce qu’elles avaient été corrompues ou chiffrées
  • Quelques heures plus tard, Goodwolf a montré que ce n’était pas vrai et a présenté le type d’informations personnelles auxquelles il avait pu accéder
  • Toute la direction de la ville devrait être licenciée
  • Ils ont été pris sans sécurité, ont menti au public, puis, quand ce mensonge a été légitimement dénoncé, ils ont jeté de l’huile sur le feu avec cette procédure absurde
  • Une ville paniquée attaque en justice la personne agaçante qui a fait savoir à tout le monde à quel point elle est dysfonctionnelle
  • Poursuivre un chercheur en sécurité qui examine le contenu d’informations rendues publiques ne protège personne
  • C’est un cas parfait pour que l’EFF ou l’ACLU aide à se défendre contre cette injonction stupide et instrumentalisée

• J’ai vécu à Columbus pendant plusieurs années

  • C’est tout à fait exact
  • Il y a quelque chose, dans une ville bleue d’un État rouge, qui la rend très audacieuse quand il s’agit de se protéger elle-même

• À ajouter à la liste :

  • Syndicat de hackers : pas poursuivi
  • Site web public hébergeant les dossiers piratés : pas poursuivi
  • Fonctionnaires menteurs : pas poursuivis
  • Joe Schmoe, qui a signalé ces trois choses : poursuivi