Après les deux vagues d’explosions au Liban, le 17 et 18 septembre 2024, le bilan global s’élève désormais à 37 morts et près de 3 000 blessés. Autant de bipeurs et de talkies-walkies piégés et fournis aux mains du Hezbollah, donc. Or, les deux fabricants officiels nient avoir vendu ces appareils.
Le taïwanais Apollo explique qu’il a autorisé une société hongroise, nommée B.A.C Consulting, à fabriquer ses bipeurs Gold Apollo. Quant aux talkies-walkies, la société japonaise ICOM affirme que la production « a été abandonnée il y a environ 10 ans, et depuis lors, les produits n’ont plus été expédiés par notre société ».
Selon les premières informations récupérées par le New York Times et le Wall Street Journal, la société hongroise B.A.C n’est qu’une façade israélienne et les bipeurs seraient fabriqués ailleurs, par des agents du renseignement.
Des programmes trafiqués en amont injectés dans le bipeur
Le terme de « supply chain attack » a été utilisé pour décrire l’opération destinée à piéger le Hezbollah. Concrètement, une attaque par la chaîne d’approvisionnement vise sa victime par un chemin détourné : elle infecte un tiers, un sous-traitant, pour s’en prendre ensuite à sa cible finale.
« Il y a deux étapes dans ce cas précis pour piéger l’objet », constate Fred Raynal, à la tête de la société de cybersécurité Quarkslab, auprès de Numerama. « La première manipulation consiste à trafiquer la batterie pour y injecter un explosif. La seconde demande de modifier le logiciel de l’appareil. Celui-ci étant très basique, ce n’est pas une étape très difficile. Il faut arriver à retirer le programme et le réinstaller avec un timer ou un signal commun pour déclencher un évènement synchronisé », ajoute-t-il.
Les bipeurs ont tous reçu un message en arabe, avant d’exploser vers 15h30.
Une faille de sécurité dans le réseau du Hezbollah
Le Wall Street Journal parle d’une cargaison livrée « récemment » au Hezbollah. Les talkies-walkies auraient également été fournis il y a quelques mois, avant d’être distribués à tous les membres.
« Sans faire d’analogie rapide, il y a toujours une question d’erreur dans une supply chain attack. Une entreprise avec des données sensibles se doit de vérifier si les produits, programmes ou objets utilisés ne sont pas infectés. Lorsque l’on passe par un sous-traitant, on prend toujours le risque de faire confiance à une organisation qui elle, n’est peut-être pas sécurisée », nous explique Ivan Rogissart, directeur technique Europe du Sud pour la société Zscaler.
« On applique souvent le concept de zéro trust (zéro confiance), signifiant qu’aucune entité ne peut être considérée comme fiable par défaut pour s’assurer de ne pas rencontrer d’accident », ajoute l’expert en cybersécurité.
Beaucoup d’informations manquent encore pour comprendre les erreurs commises par le Hezbollah lors de la réception des objets électroniques, ne serait-ce que pour vérifier l’intérieur des appareils. Un responsable du Hezbollah a déclaré à Reuters que l’explosion des bipeurs est « la plus grande faille de sécurité » à laquelle le groupe avait été confronté en près d’un an de conflit avec Israël.
Les abonnés Numerama+ offrent les ressources nécessaires à la production d’une information de qualité et permettent à Numerama de rester gratuit.
Zéro publicité, fonctions avancées de lecture, articles résumés par l’I.A, contenus exclusifs et plus encore. Découvrez les nombreux avantages de Numerama+.
Vous avez lu 0 articles sur Numerama ce mois-ci
Tout le monde n'a pas les moyens de payer pour l'information.
C'est pourquoi nous maintenons notre journalisme ouvert à tous.
Mais si vous le pouvez,
voici trois bonnes raisons de soutenir notre travail :
- 1 Numerama+ contribue à offrir une expérience gratuite à tous les lecteurs de Numerama.
- 2 Vous profiterez d'une lecture sans publicité, de nombreuses fonctions avancées de lecture et des contenus exclusifs.
- 3 Aider Numerama dans sa mission : comprendre le présent pour anticiper l'avenir.
Si vous croyez en un web gratuit et à une information de qualité accessible au plus grand nombre, rejoignez Numerama+.
Si vous avez aimé cet article, vous aimerez les suivants : ne les manquez pas en vous abonnant à Numerama sur Google News.
