La ville de Columbus poursuit un expert ayant révélé l’ampleur d’une cyberattaque

 (10tv.com)
1 points par GN⁺ 2024-09-01 | 1 commentaires | Partager sur WhatsApp
  • La ville de Columbus, dans l’Ohio, a intenté une action en justice contre l’expert en cybersécurité Connor Goodwolf, qui rendait publics la nature et le volume des données divulguées, et le tribunal a accepté la demande de temporary restraining order de la ville
  • L’affaire a pris de l’ampleur le 18 juillet, lorsque le service informatique de la ville a détecté des signes anormaux dans ses systèmes puis coupé la connexion à Internet ; le groupe de hackers Rhysida a affirmé détenir 6,5 To de données et en a publié 45 %
  • Le maire Andrew Ginther a déclaré le 13 août que les données dérobées étaient probablement corrompues ou chiffrées et donc inutilisables, mais Goodwolf a contesté ces propos le même jour en montrant à 10TV des exemples de données personnelles accessibles
  • Les informations publiées ensuite incluaient aussi le fait que la Columbus police crime matrix, contenant des informations sur des témoins, victimes et suspects figurant dans des rapports de police des dix dernières années, ainsi que des rapports de policiers infiltrés, était téléchargeable
  • En vertu de l’ordonnance du tribunal, Goodwolf ne peut pas accéder aux données volées de la ville, les télécharger ni les distribuer ; la ville réclame au moins 25 000 dollars de dommages et intérêts et formule des griefs notamment pour atteinte à la vie privée, négligence et conversion civile

La plainte contre Goodwolf et l’ordonnance d’interdiction temporaire

  • Un juge du comté de Franklin a fait droit à la demande de la ville de Columbus et approuvé une ordonnance d’interdiction temporaire contre l’expert en cybersécurité Connor Goodwolf
  • Ces dernières semaines, Goodwolf avait indiqué à 10TV et à d’autres médias les types d’informations publiées sur le dark web ; le nom qu’il utilise en interview n’est pas son nom légal
  • En vertu de l’ordonnance, Goodwolf doit cesser d’accéder aux données volées de la ville, de les télécharger et de les distribuer
  • La ville réclame au moins 25 000 dollars de dommages et intérêts, le montant final devant être fixé lors du procès
  • Dans sa plainte, la ville affirme que les actes de Goodwolf ont causé un « préjudice irréparable » et une « inquiétude généralisée dans toute la région du Central Ohio »
  • La ville formule quatre griefs : dommages liés à une activité criminelle, atteinte à la vie privée, négligence et conversion civile
  • Selon les dossiers de la Franklin County Common Pleas Court, la dernière conférence préparatoire au procès est prévue le 18 septembre 2025
  • 10TV a sollicité un commentaire de Goodwolf, mais il a refusé de répondre

Déroulement de la fuite de données et communications contradictoires

  • La ville de Columbus a indiqué que le problème avait été identifié pour la première fois le 18 juillet, lorsque son service informatique a découvert des « preuves d’anomalies » dans ses systèmes
  • La ville a ensuite coupé sa connexion à Internet
  • Deux semaines plus tard, le groupe de hackers Rhysida a revendiqué l’attaque en affirmant détenir 6,5 To de données, puis a publié 45 % des données dérobées
  • Le 13 août, le maire Andrew Ginther a déclaré que les données volées par les hackers étaient probablement corrompues ou chiffrées, et donc inutilisables
  • Le même jour, Goodwolf a déclaré à 10TV que ce n’était pas vrai, en montrant quels types de données personnelles étaient accessibles
  • Goodwolf a ensuite continué à informer sur la publication des données de la ville sur le dark web et a récemment révélé que la Columbus police crime matrix était téléchargeable
    • Cette base de données contient des informations sur des témoins, des victimes et des suspects figurant dans des rapports de police des dix dernières années
    • Elle contient aussi des rapports de policiers infiltrés

L’argument de sécurité publique avancé par la ville

  • Le City Attorney Zach Klein a déclaré que cette mesure ne visait pas à étouffer les droits de Goodwolf au titre du First Amendment
  • Klein a expliqué que le problème n’était pas ses propos, mais le fait d’aller sur le dark web pour collecter et télécharger des informations, puis les distribuer aux médias ou à d’autres personnes
  • Interrogé sur les raisons pour lesquelles la ville n’avait pas agi plus tôt, il a expliqué que les types de données concernés s’étaient élargis au point de menacer des enquêtes criminelles
  • Klein a déclaré que les informations téléchargées et partagées par Goodwolf constituaient une menace pour la sécurité publique, et que la mesure visait à protéger les policiers, les victimes et les témoins
  • La ville affirme que Goodwolf menace de publier les données volées via un site web qu’il créerait lui-même
  • Goodwolf avait précédemment déclaré à 10TV qu’il prévoyait bien de créer un site web, mais uniquement pour permettre aux utilisateurs de vérifier si leur propre nom figurait dans la fuite de données

À lire aussi

1 commentaires

 
GN⁺ 2024-09-01
Avis sur Hacker News

  • En tant qu’ancien pentester, je suis globalement d’accord avec Goodwolf, mais publier les données réelles est presque toujours une mauvaise idée. C’est aussi pour cela que les programmes de bug bounty ont des limites de périmètre.
    La ville semble lui en vouloir d’avoir partagé des données liées à des enquêtes en cours et à des rapports de policiers infiltrés ; selon ce qu’il a exactement partagé, il pourrait être difficile de reprocher à la ville sa réaction. Indépendamment de l’endroit où se trouvent déjà les données, les récupérer pour les transmettre à quelqu’un d’autre n’est clairement pas une bonne chose.
    Si l’objectif était de prouver à des journalistes que ces données existaient et pouvaient être téléchargées, il y avait plusieurs moyens de le faire sans accéder aux données réelles : captures d’écran de messages de forum, transmission de liens, description des types de données, etc. S’il n’a fait que cela et que la ville a réagi ainsi, c’est clairement un abus ; mais il n’est pas absurde en soi d’ordonner à quelqu’un de ne pas diffuser à des journalistes des données liées à des enquêtes en cours.
    Je comprends toutefois l’erreur : avant d’entrer dans le secteur, j’aurais pu penser que ce genre de chose relevait du white hat hacking. Signaler une fuite, c’est bien, mais la manière de la signaler compte énormément.
    Cela dit, mon expérience date de 2016 et n’a duré qu’environ un an, donc les choses ont peut-être changé. Mais même aujourd’hui, je serais assez surpris qu’un pentester considère acceptable de distribuer effectivement des données issues d’une compromission, quelles qu’elles soient.
    La ville affirme que Goodwolf a menacé de créer lui-même un site web pour publier les données volées de la ville, mais Goodwolf avait dit à 10TV qu’il prévoyait de créer un site permettant seulement de vérifier si un nom figurait dans la fuite. Ce n’est pas la même chose qu’un site de vérification de fuite de mots de passe, et cela permettrait à n’importe qui de saisir un nom pour voir si cette personne est témoin dans une enquête criminelle.

    • On ne sait pas très bien quoi a été partagé ni comment. Dans l’article sur la fuite de données lié à celui-ci, Goodwolf semble avoir téléchargé les données pour en vérifier le contenu et les avoir montrées à un journaliste, mais pas les avoir réellement publiées ni distribuées de façon à ce que le journaliste les conserve durablement.
      C’est un peu comme si Boeing disait « nous n’étions pas au courant des problèmes du 737 MAX » et qu’un employé répondait « si, vous saviez, voici la vérité » en montrant à la presse une capture d’écran d’une note confidentielle.
      Je suis d’accord pour dire que créer un site web où l’on peut rechercher des noms afin de vérifier s’ils sont liés à des enquêtes policières est une mauvaise idée, mais il ne l’a pas réellement fait : il n’en avait que le projet.
    • D’après l’article que j’ai lu, Goodwolf n’a pas publié les données. Les hackers les ont publiées, la ville a menti, et Goodwolf n’a fait que récupérer des données accessibles publiquement pour démontrer aux journalistes que la ville mentait.
      À moins que cet article ne déforme gravement la situation, cela ne ressemble à rien d’autre qu’à une énorme atteinte aux libertés civiles, la ville faisant de Goodwolf un bouc émissaire. Tous les préjudices qu’ils invoquent sont la conséquence de leur propre négligence.
    • Ce n’est pas qu’il a « publié » l’information : elle était déjà publique. Le dark web n’est pas un endroit nécessitant une connexion spéciale sur invitation ; ce sont des sites web ordinaires auxquels n’importe qui peut accéder si l’on sait où chercher. Même avec TOR, c’est pareil.
    • Il n’est pas difficile de blâmer la ville. Ces décideurs exercent une forme de violence qui décourage les personnes prêtes à aider sur de très graves problèmes de cybersécurité. Et ce genre de problèmes existe partout.
      Dans une société saine, la personne qui a décidé ces poursuites aurait été offerte en sacrifice à un volcan — métaphoriquement, bien sûr.
    • Ce sont des données que des criminels avaient déjà mises publiquement à disposition.

  • La déclaration de Klein — « Ce n’est pas une question d’expression. Non. C’est une question d’actes concrets : aller au clavier, accéder au dark web, collecter des informations, les télécharger sur son ordinateur puis les distribuer à la presse ou à d’autres personnes » — est fausse.
    C’est une question de mensonge aux citoyens sur la nature et le format des données qu’ils n’ont pas su protéger.

    • C’est amusant de voir des politiciens parler du dark web comme d’un monstre tapi dans la nuit qui s’en prend aux enfants. Littéralement, ce n’est qu’un ensemble de sites web.

  • C’est absurde. Les chercheurs n’ont fait que souligner à quel point le dispositif de sécurité de la ville de Columbus, dans l’Ohio, était mauvais.
    Le 13 août, le maire Andrew Ginther a déclaré que les données volées par les hackers avaient été corrompues ou chiffrées et seraient probablement inutilisables. Quelques heures plus tard, Goodwolf a dit à 10TV que ce n’était pas vrai et a montré les types d’informations personnelles auxquelles il avait pu accéder.
    Toute la direction de la ville devrait faire l’objet d’un vote de révocation. Ils se sont ridiculisés faute de sécurité, ont menti aux habitants avec un discours du genre « c’est chiffré, bro ! fais-moi confiance, je suis politicien ! », se sont fait légitimement prendre, et maintenant ils jettent encore de l’huile sur le feu avec ce procès idiot payé par les contribuables.

    • D’accord. S’il n’y a personne dans une très grande ville pour raconter une autre version, c’est apparemment ainsi que les collectivités locales fonctionnent généralement. Tout le monde vit sur le postulat qu’ils ont « fait de leur mieux à leur connaissance », comme si cela les dégageait de toute responsabilité.
      J’ai vu beaucoup de choses étranges au fil des années, et exonérer quelqu’un de toute responsabilité sur la seule base de sa propre explication de la façon dont la sécurité est censée fonctionner relève, au mieux, de l’ignorance volontaire. Si les collectivités locales doivent détenir des données personnelles, elles doivent en répondre. En 2024, « je ne savais pas » n’est pas acceptable ; en réalité, cela ne l’est plus depuis au moins dix ans.

  • On dirait une ville embarrassée qui poursuit en justice le gêneur ayant expliqué à tout le monde à quel point elle racontait n’importe quoi.
    Poursuivre un chercheur en sécurité qui a examiné le contenu d’informations déjà publiées ne protège personne.

    • Cela me rappelle un épisode de Dark Net Diaries. Des chercheurs avaient été engagés par un État pour réaliser un test d’intrusion physique dans un tribunal isolé, et se sont fait attraper. Les pentesters ont coopéré avec les agents de sécurité et la police locale en expliquant la situation.
      Puis quelqu’un d’autre est arrivé sur place en revendiquant sa compétence, a fait un scandale, a passé un coup de fil quelque part, et les pentesters ont été arrêtés sur place pour intrusion.
      L’État les a laissés dans une prison de comté, et il me semble qu’après avoir été ridiculisé, il a tenté d’engager des poursuites civiles et pénales contre l’entreprise et les pentesters.
      Les charges ont fini par être abandonnées, mais la réputation des pentesters a été abîmée pendant un certain temps.

  • C’est exactement le genre d’affaire où l’EFF ou l’ACLU devrait intervenir pour aider à la défense contre ce type d’ordonnance restrictive stupide et instrumentalisée.

  • Ce résumé me semble meilleur :
    https://arstechnica.com/security/2024/08/city-of-columbus-su...

  • Groupe de hackers : pas poursuivi.
    Site web public ayant hébergé les dossiers piratés : pas poursuivi.
    Fonctionnaires qui ont menti : pas poursuivis.
    Personne ordinaire qui a pointé les trois : poursuivie.

  • https://archive.is/dEBJT
    Bloqué dans l’UE.

  • J’ai vécu plusieurs années à Columbus, et c’est tout à fait plausible. Le fait d’être une ville démocrate dans un État à majorité républicaine tend à rendre l’administration assez éhontée dans son instinct d’autoprotection.

  • Si l’affirmation « Ce n’est pas une question d’expression. C’est une question d’actes concrets : aller sur le dark web au clavier, collecter des informations, les télécharger sur son ordinateur et les distribuer à la presse ou à d’autres personnes » est exacte, alors, sauf s’il manque quelque chose dans l’article, les fonctions de Chrome ou Firefox qui avertissent d’une possible fuite de mot de passe deviendraient elles aussi illégales.
    La réalité, c’est que cette ville a tort.