Contexte de l'attaque
En 2023, un individu de 28 ans affilié au groupe de cyberespionnage connu sous le nom de DOGE a ciblé l'United States Agency for International Development (USAID). L'opération a permis de pénétrer les systèmes internes de l'agence, alors que le service des ressources humaines (HR) ne disposait d’aucun enregistrement du collaborateur impliqué. Cette absence d’information a retardé la détection de l’intrusion et a facilité la compromission de données sensibles.
Mécanismes d'infiltration
Le rapport indique que l’opérateur a exploité une combinaison de techniques d’ingénierie sociale et d’accès privilégié. En se présentant comme un employé légitime, il a pu obtenir des identifiants d’accès aux réseaux internes. L’absence de trace dans les bases RH montre une faille dans la gestion des identités : les comptes créés ou modifiés n’ont pas été synchronisés avec le répertoire central, ce qui a laissé une porte ouverte aux acteurs malveillants.
Analyse des failles de processus
Deux points faibles majeurs ressortent. Premièrement, le processus de provisioning des comptes ne comporte pas de validation croisée avec le registre RH, ce qui a permis la création d’un compte « fantôme ». Deuxièmement, les contrôles de journalisation n’ont pas détecté les connexions inhabituelles, car les logs d’audit n’étaient pas agrégés en temps réel. L’opérateur a ainsi pu exfiltrer des courriels et des documents de projet sans déclencher d’alerte. Chaque étape de l’attaque s’appuie sur le manque de visibilité du service RH sur les comptes actifs.
Conséquences et recommandations
L’incident a entraîné la perte de plusieurs dossiers de projets de développement, compromettant la confidentialité des partenaires locaux. Pour réduire ce type de risque, il est recommandé de mettre en place une synchronisation obligatoire entre le système de gestion des ressources humaines et le service d’annuaire (ex. Active Directory). De plus, l’activation de l’authentification multifacteur (MFA) sur tous les comptes à privilège, ainsi que la mise en œuvre d’une surveillance continue des logs via un SIEM, permettraient de détecter rapidement les comportements anormaux. Enfin, un audit régulier des comptes inactifs ou non associés à un employé réel doit être intégré aux procédures de gouvernance IT.
