En février 2024, Matthew Van Andel , ingénieur logiciel chez Disney (et peut-être même responsable du développement logiciel), a téléchargé un outil d'IA gratuit depuis GitHub, dans l'espoir de créer des images à partir d'invites de texte. À son insu, le logiciel était un malware qui permettait aux pirates d'accéder à son gestionnaire de mots de passe et à sa vie numérique. La faille a exposé plus de 1,1 téraoctet de données internes de Disney, dont 44 millions de messages provenant de 10 000 canaux Slack , divulguant des informations sensibles sur les revenus des parcs à thème, les numéros de passeport des employés, les données privées des clients et des projets non publiés.

Le manuel du hacker : comment tout s'est déroulé

Cinq mois après le téléchargement, Van Andel a reçu un message Discord effrayant révélant que le pirate avait connaissance de sa vie personnelle et professionnelle, y compris des messages Slack privés sur des activités banales comme ses projets de déjeuner. Le pirate, s'identifiant comme faisant partie de "NullBulge" ,   Un groupe de hackers russes a prétendu avoir ciblé Disney en raison de son utilisation de l'intelligence artificielle et des contrats d'artistes. Cependant, certains experts pensent que l'auteur était un Américain agissant seul, motivé par le gain financier plutôt que par l'idéologie. Les pirates ont également affirmé avoir reçu l'aide d'un « homme de l'intérieur » de Disney, ce qui leur a permis de conserver un accès prolongé aux systèmes.

Fallout : Destruction financière et personnelle

La cyberattaque a bouleversé la vie de Van Andel. Les pirates ont volé ses informations de carte de crédit, son numéro de sécurité sociale et ont même accédé aux caméras de sécurité de son domicile. Ses comptes sur les réseaux sociaux ont été piratés et remplis de contenu obscène, et les comptes en ligne de ses enfants ont été compromis. Le bilan financier a été tout aussi dévastateur : il a perdu 200 000 dollars de bonus et son assurance maladie a été résiliée.

Le coup qui a mis fin à une carrière

Après la violation, l'enquête judiciaire de Disney a affirmé que Van Andel avait accédé à du contenu inapproprié sur son ordinateur de travail, une allégation qu'il nie avec véhémence. Disney a mis fin à son emploi, invoquant des violations de politique. Van Andel soutient que le logiciel malveillant a probablement conduit à ce malentendu, mais Disney a maintenu ses conclusions.

Une famille en crise

La famille de Van Andel a créé une page GoFundMe pour financer ses frais juridiques et son rétablissement financier. Sa sœur, Christa Maier, a souligné les conséquences inattendues d'un téléchargement apparemment innocent destiné à s'amuser avec ses enfants. Cette épreuve en cours a eu un impact sur la sécurité et le bien-être de toute sa famille.

Conseils pour les professionnels de la vente et du marketing afin d'éviter des violations similaires

Dans le monde numérique d'aujourd'hui, les cybermenaces sont omniprésentes, même dans des outils apparemment inoffensifs. Voici comment vous protéger et protéger votre organisation :

1. Vérifiez les sources : téléchargez uniquement des logiciels provenant de sources fiables. Évitez les outils gratuits provenant de plateformes inconnues ou non vérifiées comme GitHub, à moins que vous ne puissiez inspecter le code ou qu'il provienne d'un développeur de confiance.
2. Séparez les appareils : utilisez des appareils dédiés pour les activités professionnelles et personnelles. Les mélanger augmente le risque de compromettre les données professionnelles sensibles.
3. Hygiène des mots de passe : utilisez des mots de passe uniques et complexes pour tous les comptes et activez l'authentification à deux facteurs dans la mesure du possible.
4. Mise à jour et sécurisation : mettez régulièrement à jour vos appareils et applications pour corriger les vulnérabilités connues.
5. Formez-vous : Participez à des séances de formation en cybersécurité pour rester informé des dernières menaces et des meilleures pratiques.
6. Canaux de communication : soyez prudent quant à ce que vous partagez sur les outils de communication du lieu de travail, même dans les canaux privés. Les pirates informatiques ciblent souvent ces plateformes pour obtenir des informations privilégiées.
7. Signaler une activité suspecte : si vous recevez des messages inhabituels ou remarquez un comportement étrange sur vos appareils, signalez-le immédiatement à votre service informatique.

Leçons apprises : les dangers du logiciel libre

Cet incident nous rappelle brutalement les risques associés au téléchargement de logiciels gratuits provenant de sources non vérifiées. Il souligne l’importance de la sensibilisation à la cybersécurité, en particulier lors de l’utilisation d’appareils personnels pour des activités professionnelles. Disney a depuis renforcé ses mesures de cybersécurité, notamment en supprimant Slack pour la communication interne.

Réflexions finales

L'histoire de Matthew Van Andel est un avertissement quant aux conséquences à long terme des cyberattaques. Son expérience souligne l'importance de la vigilance à l'ère numérique, où même des téléchargements apparemment inoffensifs peuvent avoir des répercussions qui changent la vie. À mesure que les menaces de cybersécurité évoluent, nos stratégies pour nous en défendre doivent évoluer également.

Restez gelé ! ❄️

-Kobi.