« Pourquoi changer son mot de passe tous les trois mois si tout le monde peut rentrer par la fenêtre ? » — Un admin anonyme en sueur.
C’est l’histoire classique des acquisitions tech : vous achetez une belle villa ultra-sécurisée, vous virez la moitié des concierges parce que la gestion privée exige « optimisation », puis vous découvrez, trop tard, qu’on vous a crevé le jacuzzi ET changé les serrures. C’est pile ce qui est arrivé à Ivanti, la maison mère de Pulse Secure, dont le réseau VPN a involontairement offert une visite guidée à des hackers chinois en 2021. Ambiance DOM-TOM.
Des petits malins ont trouvé des failles dans le logiciel VPN de Pulse Secure, installant un backdoor tout frais pour leur usage exclusif. Résultat ? Un pass VIP vers 119 autres organisations qui, elles aussi, pensaient surfer safe… Les spécialistes en cybersécurité de Mandiant, eux, étaient déjà au courant de la foire : ils ont tapé à la porte d’Ivanti et soufflé que même des sous-traitants militaires européens et américains étaient touchés. On se croirait presque dans une série Netflix… si ce n’était pas si flippant.
Quand l’optimisation financière se mêle de cybersécurité, ce sont souvent les hackers qui trinquent… à notre santé.
Tout ceci soulève des questions aussi grosses qu’un datacenter : Clearlake Capital, investisseur principal d’Ivanti, n’a pas hésité à faire chauffer la scie à emploi depuis qu’il a racheté la boîte en 2017. Les licenciements massifs, surtout en 2022, ont décimé les rangs des experts interne, ces fameux gardiens du temple qui comprenaient tous les petits secrets du produit. Du côté d’Ivanti, pas de panique officielle : « Jamais de backdoor chez Connect Secure », nous dit la porte-parole, le cou droit comme un pare-feu. De son côté, Mandiant… n’a pas souhaité commenter. Même ambiance chez Citrix, le concurrent : là aussi, rachats financiers, coupes sombres, et cyber-attaques à gogo, preuve que l’argent ne fait franchement pas toujours le bonheur… des utilisateurs.
En 2024, l’histoire s’est répétée : l’agence américaine CISA a carrément ordonné à toutes les agences fédérales de débrancher leurs VPN Ivanti en urgence, car de nouvelles failles non corrigées faisaient déjà le bonheur de hackers. Et vous pensiez que votre vieille Livebox était fragile ?
Les VPN d’Ivanti sont donc devenus des passoires à questions existentielles sur la sécurité informatique… et surtout, sur les conséquences de la chasse éperdue aux économies promise par les fonds d’investissement. Moralité : derrière chaque sabot d’or se cache un cheval de Troie.
Certes, Ivanti a contesté les accusations de Bloomberg : qui croire, dans ce western où le far west c’est le cloud ? Une chose est sûre : la cybersécurité, bien gérée, ce n’est pas la porte ouverte à toutes les fenêtres.
Source : Techcrunch
