Fortinet, TikTok et Kiabi : les alertes cyber à retenir au 19 janvier 2025

La cybersécurité ne se résume pas aux attaques spectaculaires. Les alertes de la mi-janvier 2025 montrent plutôt une succession de fragilités concrètes : un équipement de sécurité qui devient lui-même une porte d’entrée, des comptes clients protégés par des mots de passe réutilisés, des services d’intelligence artificielle détournés et une application mondiale prise dans un bras de fer géopolitique. Pour les organisations comme pour les particuliers, la leçon est la même : la sécurité dépend à la fois de correctifs techniques, de bonnes pratiques et de décisions politiques.

Au 19 janvier 2025, cinq dossiers illustrent ces enjeux. La vulnérabilité concernant Fortinet demande une réaction rapide de la part des administrateurs réseau. La situation de TikTok aux États-Unis rappelle quant à elle que la circulation des données est devenue une question de souveraineté. Enfin, l’incident signalé par Kiabi et l’affaire opposant Microsoft à des cybercriminels soulignent que les identifiants et les outils d’IA sont désormais des cibles à part entière.

Les principaux faits à connaître

Pourquoi la faille Fortinet préoccupe les entreprises

Fortinet est un acteur majeur des équipements de sécurité réseau. Ses pare-feu sont placés à un endroit stratégique : ils filtrent les communications entre un réseau interne et Internet, appliquent des règles d’accès et peuvent servir de point de passage pour des connexions à distance. Lorsqu’une vulnérabilité critique affecte ce type d’équipement, l’enjeu dépasse largement un simple bug logiciel.

La faille identifiée sous la référence CVE-2024-23113 fait l’objet d’une campagne d’exploitation ciblant des systèmes Fortinet. Des chercheurs en cybersécurité ont constaté que des attaquants pouvaient s’en servir pour accéder à des réseaux d’entreprise. Fortinet a confirmé l’existence de cette vulnérabilité et l’Anssi, l’Agence nationale de la sécurité des systèmes d’information, a émis une alerte à ce sujet.

L’identifiant CVE est un numéro de référence international attribué à une vulnérabilité connue. Il aide les administrateurs, les éditeurs et les équipes de sécurité à parler précisément du même problème. Il ne faut toutefois pas confondre l’existence d’un correctif avec la protection effective des organisations : tant qu’un équipement exposé n’est pas mis à jour, il peut rester vulnérable.

Dans ce cas, la priorité consiste à appliquer sans délai les correctifs préconisés par l’éditeur. Les responsables informatiques doivent aussi recenser les équipements concernés, notamment ceux qui seraient accessibles depuis Internet, et contrôler les éventuels signes d’activité inhabituelle. Une intrusion via un pare-feu peut donner à un attaquant un accès particulièrement précieux, car l’appareil se trouve à la frontière du système d’information.

Pour les salariés et les clients d’une entreprise, cet épisode rappelle aussi une réalité moins visible : la cybersécurité repose sur des infrastructures dont ils n’ont pas toujours conscience. Une faille dans un équipement réseau peut, si elle est exploitée, exposer des services internes, interrompre une activité ou faciliter l’accès à des données sensibles. La rapidité de réaction des équipes techniques est donc déterminante.

TikTok aux États-Unis : que valide réellement la Cour suprême ?

Le dossier TikTok est d’une autre nature, mais il s’inscrit lui aussi dans les débats sur la sécurité numérique. La Cour suprême des États-Unis a confirmé la validité de la législation visant l’application, après le recours déposé par TikTok. Cette loi exige que TikTok soit cédé à une entité non chinoise, faute de quoi son maintien sur le marché américain est compromis.

La date du 19 janvier 2025 est centrale : à partir de ce jour, l’application, utilisée par près de 170 millions de personnes aux États-Unis, ne doit plus être disponible sans solution conforme aux exigences prévues par la loi. TikTok a défendu ses pratiques en matière de confidentialité, mais cette argumentation n’a pas convaincu la justice américaine.

La décision ne vise pas seulement un réseau social populaire. Elle cristallise une inquiétude plus large des autorités américaines concernant la protection des données des utilisateurs et les risques pour la sécurité nationale. Derrière la question de l’application se trouvent plusieurs sujets : qui contrôle une plateforme, où circulent les données, quelles obligations peuvent être imposées à son propriétaire et jusqu’où un État peut-il aller pour limiter un service numérique étranger.

Il convient de distinguer l’interdiction d’un service de l’interdiction de ses utilisateurs. La loi s’appuie notamment sur la capacité des intermédiaires numériques à distribuer ou à maintenir une application. Dans les faits, si les boutiques d’applications et les prestataires concernés cessent de la proposer ou de la soutenir, les utilisateurs peuvent se retrouver face à une application indisponible ou dégradée, même sans être personnellement visés par une sanction.

L’avenir de TikTok demeure donc suspendu à une éventuelle issue politique ou à une solution de cession. Ce dossier pourrait faire école : les grandes plateformes ne sont plus seulement évaluées pour leurs fonctionnalités ou leur audience, mais aussi au regard de leur structure capitalistique et de leur pays de contrôle.

Fuite de données chez Kiabi : le danger du bourrage d’identifiants

Kiabi a signalé une cyberattaque ayant conduit à l’accès aux données personnelles de 20 000 clients. Parmi les informations concernées figurent des adresses postales, des dates de naissance et des coordonnées bancaires. L’enseigne de prêt-à-porter a informé les clients touchés et les a invités à modifier leurs informations de sécurité.

L’incident s’inscrit dans une tendance bien connue : le bourrage d’identifiants. Cette méthode consiste à tester automatiquement, sur un site donné, des combinaisons d’adresses e-mail et de mots de passe déjà compromises lors d’autres fuites. Elle exploite une habitude très répandue, la réutilisation du même mot de passe sur plusieurs services.

Autrement dit, un pirate n’a pas nécessairement besoin de deviner un mot de passe ni de pénétrer directement le système d’une entreprise. Si un internaute utilise ailleurs des identifiants déjà divulgués, l’attaquant peut tenter de les réemployer sur son compte marchand. C’est pourquoi les services en ligne doivent combiner plusieurs protections : détection des tentatives automatisées, limitation des essais, surveillance des connexions anormales et authentification renforcée lorsque c’est possible.

Pour les clients concernés, changer le mot de passe du compte est une première étape, mais elle ne suffit pas si ce même mot de passe est utilisé ailleurs. Il faut le remplacer sur tous les services associés et rester attentif aux messages frauduleux. Des données telles qu’une adresse, une date de naissance ou des coordonnées bancaires peuvent rendre un hameçonnage plus crédible, même lorsqu’elles ne permettent pas à elles seules de vider un compte bancaire.

Microsoft poursuit le détournement allégué de ses outils d’IA

L’intelligence artificielle générative ouvre des possibilités considérables, mais elle crée également de nouveaux terrains d’abus. Microsoft a engagé une action en justice contre un groupe accusé d’avoir infiltré ses systèmes Azure OpenAI et détourné des outils tels que DALL-E afin de générer du contenu illicite.

L’affaire met en lumière un défi qui concerne l’ensemble des fournisseurs de modèles d’IA : il ne suffit pas de concevoir un système capable de produire du texte ou des images. Il faut aussi contrôler les accès, détecter les comportements anormaux, limiter les tentatives de contournement et réagir lorsqu’un service est utilisé à des fins nuisibles.

Une procédure judiciaire ne constitue pas à elle seule une décision sur le fond des accusations. Elle montre néanmoins que Microsoft cherche à utiliser les voies légales, en complément de ses mesures techniques, pour identifier et empêcher les personnes qui contournent les protections de ses services. Pour les entreprises qui intègrent de l’IA, le message est clair : l’adoption de ces outils implique des règles d’usage, une surveillance et une capacité à traiter les abus.

Ce type de détournement pose aussi une question de responsabilité. Les garde-fous mis en place par les plateformes réduisent certains risques, mais aucun dispositif n’est infaillible. Les acteurs technologiques, les autorités et les utilisateurs doivent donc articuler innovation, prévention et recours contre les usages manifestement malveillants.

Darktrace se renforce dans la réponse aux incidents cloud

L’acquisition de Cado Security par Darktrace illustre un mouvement de fond dans la cybersécurité : l’importance grandissante de l’investigation dans le cloud. Cado Security développe une plateforme capable de collecter automatiquement des données depuis différents environnements cloud. Son intégration doit permettre de mieux comprendre les effets d’un incident et d’accélérer la réponse des équipes chargées de la sécurité.

Dans un environnement informatique traditionnel, une enquête après intrusion peut s’appuyer sur des postes de travail ou des serveurs identifiables. Dans le cloud, les ressources sont souvent distribuées, temporaires et gérées par plusieurs services. Rassembler rapidement les traces utiles est alors essentiel pour déterminer ce qui s’est passé, mesurer l’étendue d’un incident et éviter qu’il se reproduise.

Darktrace prévoit d’intégrer ces capacités à sa plateforme ActiveAI. L’opération traduit une volonté d’associer détection, investigation et réponse. Les organisations ne cherchent plus seulement à recevoir une alerte lorsqu’un comportement paraît anormal : elles veulent aussi disposer d’éléments exploitables pour décider vite, isoler un risque et remettre leurs services en fonctionnement.

Ce qu’il faut surveiller dans les prochains mois

Ces cinq actualités renvoient à un même impératif : la cybersécurité est devenue une question de continuité économique, de protection des personnes et de souveraineté numérique. La vulnérabilité Fortinet doit être suivie au niveau opérationnel, par l’application des correctifs et la vérification des systèmes exposés. L’incident Kiabi rappelle, lui, que les internautes ont un rôle direct à jouer dans la protection de leurs comptes.

Le cas TikTok devra être observé sur le terrain politique et juridique. Son évolution dira beaucoup de la manière dont les États-Unis entendent encadrer les plateformes étrangères considérées comme sensibles. Il pose également une question plus universelle : les utilisateurs sont-ils suffisamment informés des conditions dans lesquelles leurs données sont collectées, hébergées et potentiellement soumises à des législations étrangères ?

Enfin, le contentieux lancé par Microsoft et l’acquisition réalisée par Darktrace montrent deux réponses complémentaires aux risques numériques. La première associe protections techniques et action en justice contre les abus. La seconde cherche à mieux comprendre les attaques lorsqu’elles se produisent, en particulier dans le cloud. Dans les deux cas, l’objectif n’est pas de promettre un risque zéro, mais de raccourcir le délai entre la détection d’une menace et une réaction efficace.