Les procureurs fédéraux ont arrêté trois ingénieurs de la Silicon Valley pour avoir volé des secrets commerciaux sensibles sur la sécurité des puces à Google et à d'autres sociétés et les avoir transférés vers des endroits non autorisés, notamment en Iran, soulevant des problèmes de sécurité nationale.
Un grand jury fédéral du tribunal de district des États-Unis pour le district nord de Californie a rendu un acte d'accusation contre Samaneh Ghandali, Soroor Ghandali et Mohammadjavad Khosravi. L'acte d'accusation a été déposé mercredi et rendu public jeudi à San Jose, selon un communiqué du ministère de la Justice.
Alors qu'elle travaillait chez Google, Samaneh Ghandali aurait « transféré des centaines de fichiers, y compris des secrets commerciaux de Google, vers une plateforme de communication tierce », vers des chaînes portant le prénom de chaque accusé, selon le ministère de la Justice.
Une copie de l’acte d’accusation n’était pas immédiatement disponible au moment de la publication. Décrypter a contacté le bureau approprié du ministère de la Justice pour obtenir de plus amples informations et commentaires.
Le trio aurait utilisé son emploi chez Google et deux autres sociétés anonymes pour accéder à des fichiers confidentiels liés aux processeurs d'ordinateurs mobiles. Selon le ministère de la Justice, les documents volés comprenaient des secrets commerciaux liés à la sécurité des processeurs et à la cryptographie, et les documents de Google ont ensuite été copiés sur des appareils personnels et des appareils de travail associés aux autres sociétés où travaillaient les accusés.
Les procureurs affirment que les accusés ont tenté de dissimuler leurs actes en supprimant des fichiers, en détruisant des enregistrements électroniques et en déposant de fausses déclarations sous serment auprès des entreprises victimes, niant avoir partagé des informations confidentielles en dehors de l'entreprise.
Dans un épisode décrit dans l'acte d'accusation, le ministère de la Justice allègue qu'en décembre 2023, la veille de son voyage en Iran, Samaneh Ghandali a photographié environ deux douzaines d'images de l'écran de l'ordinateur de travail d'une autre entreprise affichant des informations relatives aux secrets commerciaux.
En Iran, un appareil qui lui était associé aurait accédé à ces photographies, et Khosravi aurait accédé à d'autres documents secrets commerciaux.
Selon le ministère de la Justice, les systèmes de sécurité internes de Google ont détecté une activité suspecte en août 2023 et ont révoqué l'accès de Samaneh Ghandali. L'acte d'accusation allègue qu'elle a ensuite signé un affidavit déclarant qu'elle n'avait pas partagé d'informations confidentielles de Google en dehors de l'entreprise.
Les trois accusés font face à des accusations de complot et de vol de secrets commerciaux en vertu de la loi fédérale, ainsi que d'entrave à la justice en vertu d'une loi qui criminalise la modification, la destruction ou la dissimulation de documents ou d'autres objets pour empêcher leur utilisation dans un processus officiel.
L'accusation d'entrave est passible d'une peine maximale de 20 ans de prison.
Risques de sécurité et implications
Les analystes affirment que cette affaire illustre à quel point l’accès interne aux systèmes avancés de semi-conducteurs et de cryptographie peut avoir des implications sur la sécurité nationale.
« Les employés disposant d'un accès légitime peuvent extraire silencieusement des propriétés intellectuelles hautement sensibles au fil du temps, même avec les contrôles existants », a déclaré Vincent Liu, directeur des investissements chez Kronos Research. Décrypter.
Le risque pour les sociétés de semi-conducteurs et de cryptographie provient souvent « d'initiés internes, et non de pirates informatiques », a-t-il ajouté, décrivant le risque interne comme une « vulnérabilité structurelle et persistante qui nécessite une surveillance constante et un compartimentage strict des données ».
Dans des cas comme celui-ci, « l'employé interne est la surface d'attaque », a déclaré Dan Dadybayo, stratège de la société d'infrastructure cryptographique Horizontal Systems. Décrypter. « Les pare-feu ne sont d'aucune utilité lorsque le vecteur d'exfiltration est un accès légitime », a-t-il déclaré, affirmant que lorsque les ingénieurs peuvent supprimer « l'architecture, la logique de gestion des clés ou la conception de la sécurité matérielle des environnements contrôlés, le 'périmètre' s'effondre ».
Si la propriété intellectuelle sensible sur les processeurs et la cryptographie atteignait l’Iran, Dadybayo a déclaré que les régulateurs réagiraient probablement de manière agressive.
Il a noté qu'il y aurait « une application plus stricte des règles d'exportation présumées, où l'accès au savoir lui-même compte comme une exportation » et « des exigences plus strictes en matière de segmentation, de surveillance et de licence au sein des entreprises américaines », ajoutant que les puces avancées et la cryptographie ne sont « plus traitées comme des marchandises commerciales neutres » mais comme des « instruments de pouvoir géopolitique ».
Ce cas met également en lumière les écarts entre la conformité formelle et la résilience dans la pratique.
« Dans la plupart des organisations technologiques, on suppose que les risques de vol d'informations sont atténués par l'obtention des certifications SOC 2 et ISO », a déclaré Dyma Budorin, PDG de la société de sécurité et de conformité crypto Hacken. Décrypter.
Ces cadres « mesurent souvent la maturité en matière de conformité, et non la résilience réelle contre un attaquant donné, en particulier un interne ».
La certification, a-t-il expliqué, démontre que les contrôles existaient « au moment de l'audit », mais « elle ne prouve pas que les données sensibles ne peuvent pas être volées ».
Parce que ces normes prescrivent des mesures de sécurité communes, affirme Budorin, elles peuvent rendre les défenses prévisibles.
Pour les attaquants sophistiqués, « conforme » signifie souvent être prévisible, a-t-il prévenu, soulignant que la véritable sécurité nécessite « une validation continue, une surveillance comportementale et des tests contre les adversaires », sinon les organisations risquent d'être « conformes sur le papier tout en étant exposées de manière critique dans la pratique ».
Débriefing quotidien Bulletin
Commencez chaque journée avec les principales actualités du moment, ainsi que des fonctionnalités originales, un podcast, des vidéos et bien plus encore.
Voir l’article original en espagnol
