Where is cybercrime really coming from? | Caleb Barlow

Translator: Leslie Gauthier Reviewer: Camille Martínez

Traducteur: Morgane Quilfen Relecteur: Ines Boufahja

Cybercrime is out of control.

La cybercriminalité est hors de contrôle.

It's everywhere.

Elle est omniprésente.

We hear about it every single day.

Nous en entendons parler quotidiennement.

This year,

Cette année,

over two billion records lost or stolen.

plus de deux milliards de documents ont été perdus ou volés.

And last year, 100 million of us, mostly Americans,

L'année dernière, 100 millions d'entre nous, surtout des Américains,

lost our health insurance data to thieves -- myself included.

ont perdu leurs données d'assurance santé face à des voleurs, moi y compris.

What's particularly concerning about this is that in most cases,

Ce qui est particulièrement inquiétant est que, dans la majorité des cas,

it was months before anyone even reported that these records were stolen.

il a fallu plusieurs mois avant que ces dossiers soient déclarés volés.

So if you watch the evening news,

Si vous regardez le 20 heures,

you would think that most of this is espionage or nation-state activity.

vous pourriez penser

que la majorité est de l'espionnage ou de l'activité d’États.

And, well, some of it is.

C'est en partie vrai.

Espionage, you see, is an accepted international practice.

L'espionnage est une pratique internationale acceptée.

But in this case,

Mais dans ce cas,

it is only a small portion of the problem that we're dealing with.

ce n'est qu'une petite part du problème auquel nous faisons face.

How often do we hear about a breach

Quand on parle d'une brèche,

à quelle fréquence est-ce suivi par :

followed by, "... it was the result of a sophisticated nation-state attack?"

« c'est le résultat d'une attaque sophistiquée d'un État » ?

Well, often that is companies not being willing to own up

Souvent, ce sont des entreprises qui ne veulent pas admettre

to their own lackluster security practices.

leurs piètres pratiques de sécurité.

There is also a widely held belief

Il y a aussi une croyance commune

that by blaming an attack on a nation-state,

selon laquelle en accusant un État d'une attaque,

you are putting regulators at bay --

vous éloignez les régulateurs --

at least for a period of time.

au moins un certain temps.

So where is all of this coming from?

D'où viennent les attaques ?

The United Nations estimates that 80 percent of it

Les Nations Unies ont estimé que 80%

is from highly organized and ultrasophisticated criminal gangs.

sont issus de gangs criminels très organisés et ultra sophistiqués.

To date,

A ce jour,

this represents one of the largest illegal economies in the world,

cela représente une plus importantes économies illégales au monde,

topping out at, now get this,

atteignant, écoutez bien,

445 billion dollars.

445 milliards de dollars.

Let me put that in perspective for all of you:

Laissez-moi remettre cela dans son contexte :

445 billion dollars is larger than the GDP

445 milliards de dollars, c'est plus que le PIB

of 160 nations,

de 160 nations,

including Ireland, Finland, Denmark and Portugal,

y compris l'Irlande, la Finlande, le Danemark et le Portugal,

to name a few.

pour ne citer qu'eux.

So how does this work?

Comment cela fonctionne-t-il ?

How do these criminals operate?

Comment ces criminels opèrent-ils ?

Well, let me tell you a little story.

Laissez-moi vous raconter une petite histoire.

About a year ago,

Il y a environ un an,

our security researchers were tracking

nos chercheurs en sécurité suivaient la piste

a somewhat ordinary but sophisticated banking Trojan called the Dyre Wolf.

d'un cheval de Troie du système bancaire assez ordinaire mais sophistiqué :

le Dyre Wolf.

The Dyre Wolf would get on your computer

Le Dyre Wolf arrivait sur votre ordinateur

via you clicking on a link in a phishing email

quand vous cliquiez sur un lien dans un mail de hammeçonnage

that you probably shouldn't have.

que vous ne devriez pas avoir.

It would then sit and wait.

Puis il attendait.

It would wait until you logged into your bank account.

Il attendait que vous vous connectiez à votre compte bancaire.

And when you did, the bad guys would reach in,

Quand vous le faisiez, les méchants arrivaient,

steal your credentials,

volaient vos identifiants

and then use that to steal your money.

puis les utilisaient pour voler votre argent.

This sounds terrible,

Cela semble horrible

but the reality is, in the security industry,

mais en réalité, dans l'industrie de la sécurité,

this form of attack is somewhat commonplace.

ce type d'attaque est commun.

However, the Dyre Wolf had two distinctly different personalities --

Cependant, le Dyre Wolf avait deux personnalités différentes --

one for these small transactions,

il en avait une pour ces petites transactions

but it took on an entirely different persona

mais revêtait une tout autre personnalité

if you were in the business of moving large-scale wire transfers.

si vous faisiez des virements de montants importants.

Here's what would happen.

Voici ce qui se produisait.

You start the process of issuing a wire transfer,

Vous commencez à faire un virement bancaire

and up in your browser would pop a screen from your bank,

et, dans votre navigateur, apparaît une fenêtre de votre banque

indicating that there's a problem with your account,

indiquant qu'il y a un problème avec votre compte,

and that you need to call the bank immediately,

que vous devez immédiatement appeler la banque,

along with the number to the bank's fraud department.

avec le numéro du département anti-fraude de la banque.

So you pick up the phone and you call.

Vous décrochez le téléphone et appelez.

And after going through the normal voice prompts,

Après avoir passé les invites vocales habituelles,

you're met with an English-speaking operator.

vous obtenez un opérateur qui parle français :

"Hello, Altoro Mutual Bank. How can I help you?"

« Bonjour, Altoro Mutual Bank. Comment puis-je vous aider ? »

And you go through the process like you do every time you call your bank,

Et vous suivez le processus, comme à chaque appel à la banque,

of giving them your name and your account number,

vous donnez votre nom et votre numéro de compte,

going through the security checks to verify you are who you said you are.

vous passez les tests de sécurité pour vérifier votre identité.

Most of us may not know this,

La plupart d'entre nous l'ignorent,

but in many large-scale wire transfers,

mais pour les virements importants,

it requires two people to sign off on the wire transfer,

il faut que deux personnes valident le virement,

so the operator then asks you to get the second person on the line,

l'opérateur vous demande donc de lui passer la seconde personne

and goes through the same set of verifications and checks.

et lui fait passer les mêmes tests et vérifications.

Sounds normal, right?

Cela paraît normal, non ?

Only one problem:

Un seul problème :

you're not talking to the bank.

vous ne parlez pas à la banque.

You're talking to the criminals.

Vous parlez aux criminels.

They had built an English-speaking help desk,

Ils ont conçu un centre de service francophone

fake overlays to the banking website.

qui se superpose au site de la banque.

And this was so flawlessly executed

Cela a été si parfaitement exécuté

that they were moving between a half a million

qu'à chaque tentative,

and a million and a half dollars per attempt

ils déplaçaient entre un demi million et un million et demi de dollars

into their criminal coffers.

dans leur coffre criminel.

These criminal organizations operate

Ces organisations criminelles opèrent

like highly regimented, legitimate businesses.

comme des entreprises très bien régies et légitimes.

Their employees work Monday through Friday.

Leurs employés travaillent du lundi au vendredi.

They take the weekends off.

Ils s'accordent le week-end.

How do we know this?

Comment le savons-nous ?

We know this because our security researchers see

Nous le savons car nos chercheurs en sécurité voient

repeated spikes of malware on a Friday afternoon.

des augmentations des malwares le vendredi après-midi.

The bad guys, after a long weekend with the wife and kids,

Les méchants, après un long week-end avec femme et enfants,

come back in to see how well things went.

reviennent voir comment cela s'est passé.

The Dark Web is where they spend their time.

Ils passent leur temps sur le web profond.

That is a term used to describe the anonymous underbelly of the internet,

C'est un terme utilisé pour décrire la partie anonyme d'internet

where thieves can operate with anonymity

où les voleurs peuvent opérer en parfait anonymat

and without detection.

et sans être détectés.

Here they peddle their attack software

Ils y colportent leur logiciel d'attaque

and share information on new attack techniques.

et partagent des informations sur les nouvelles techniques d'attaque.

You can buy everything there,

Vous pouvez tout acheter là-bas,

from a base-level attack to a much more advanced version.

d'une attaque de bas niveau à une version bien plus avancée.

In fact, in many cases, you even see

En fait, dans de nombreux cas, vous pouvez voir

gold, silver and bronze levels of service.

des niveaux de service or, argent ou bronze.

You can check references.

Vous pouvez vérifier les références.

You can even buy attacks

Vous pouvez même acheter des attaques

that come with a money-back guarantee --

avec une garantie satisfait ou remboursé --

(Laughter)

(Rires)

if you're not successful.

au cas où vous ne seriez pas satisfait.

Now, these environments, these marketplaces --

Ces environnements, ces marchés

they look like an Amazon or an eBay.

ressemblent à Amazon ou à eBay.

You see products, prices, ratings and reviews.

Vous voyez des produits, des prix, des notes et des commentaires.

Of course, if you're going to buy an attack,

Bien sûr, si vous voulez acheter une attaque,

you're going to buy from a reputable criminal with good ratings, right?

vous allez l'acheter à un criminel réputé et bien noté, n'est-ce pas ?

(Laughter)

(Rires)

This isn't any different

Cela ne diffère pas

than checking on Yelp or TripAdvisor before going to a new restaurant.

de vérifier Yelp ou TripAdvisor avant d'aller dans un nouveau restaurant.

So, here is an example.

Voici un exemple.

This is an actual screenshot of a vendor selling malware.

C'est une vraie capture d'écran d'un vendeur des programmes malveillants.

Notice they're a vendor level four,

C'est un vendeur de niveau 4

they have a trust level of six.

qui a un niveau de confiance de 6.

They've had 400 positive reviews in the last year,

Il a eu 400 commentaires positifs l'année dernière

and only two negative reviews in the last month.

et seulement 2 négatifs le mois précédent.

We even see things like licensing terms.

Nous voyons des termes de licence.

Here's an example of a site you can go to

Voici un exemple de site où vous pouvez aller

if you want to change your identity.

si vous voulez changer d'identité.

They will sell you a fake ID,

Ils vous vendront de fausses cartes d'identité et faux passeports.

fake passports.

But note the legally binding terms for purchasing your fake ID.

Mais notez les termes légaux pour l'achat de votre fausse carte d'identité.

Give me a break.

Sérieusement.

What are they going to do -- sue you if you violate them?

Que vont-ils faire -- vous poursuivre en justice ?

(Laughter)

(Rires)

This occurred a couple of months ago.

Cela est arrivé il y a quelques mois.

One of our security researchers was looking

Une chercheuse en sécurité travaillait

at a new Android malware application that we had discovered.

sur une nouvelle application malveillante Android que nous avions découverte.

It was called Bilal Bot.

Elle s'appelait Bilal Bot.

In a blog post,

Dans un post de blog,

she positioned Bilal Bot as a new, inexpensive and beta alternative

elle décrivait Bilal Bot comme la nouvelle alternative bon marché et bêta

to the much more advanced GM Bot

du GM Bot bien plus avancé

that was commonplace in the criminal underground.

qui était commun dans la clandestinité criminelle.

This review did not sit well with the authors of Bilal Bot.

Ce commentaire n'a pas beaucoup plu aux auteurs de Bilal Bot.

So they wrote her this very email,

Ils lui ont écrit ce mail,

pleading their case and making the argument

plaidant leur cause et argumentant

that they felt she had evaluated an older version.

qu'ils avaient l'impression qu'elle avait évalué une ancienne version.

They asked her to please update her blog with more accurate information

Ils lui ont demandé de mettre à jour son blog

avec des informations plus exactes

and even offered to do an interview

et ont même proposé une interview

to describe to her in detail

pour lui décrire en détails

how their attack software was now far better than the competition.

comment leur logiciel d'attaque était maintenant meilleur que la compétition.

So look,

Voyez-vous,

you don't have to like what they do,

pas besoin d'apprécier ce qu'ils font,

but you do have to respect the entrepreneurial nature

mais il faut respecter la nature entrepreneuriale

of their endeavors.

de leur travail.

(Laughter)

(Rires)

So how are we going to stop this?

Comment allons-nous mettre un terme à cela ?

It's not like we're going to be able to identify who's responsible --

Ce n'est pas comme si nous pouvions identifier qui est responsable --

remember, they operate with anonymity

souvenez-vous, ils opèrent en parfait anonymat

and outside the reach of the law.

et en dehors du cadre de la loi.

We're certainly not going to be able to prosecute the offenders.

Nous n'allons pas pouvoir poursuivre les contrevenants en justice.

I would propose that we need a completely new approach.

Je pense qu'il nous faut une approche entièrement nouvelle.

And that approach needs to be centered on the idea

Cette approche doit être centrée sur l'idée

that we need to change the economics for the bad guys.

que nous devons changer l'économie pour les méchants.

And to give you a perspective on how this can work,

Pour mettre en perspective comment cela peut fonctionner,

let's think of the response we see to a healthcare pandemic:

pensons à la réponse que nous voyons pour les pandémies sanitaires :

SARS, Ebola, bird flu, Zika.

le SRAS, Ebola, la grippe aviaire, Zika.

What is the top priority?

Quelle est la priorité ?

It's knowing who is infected and how the disease is spreading.

Savoir qui est infecté et comment la maladie se propage.

Now, governments, private institutions, hospitals, physicians --

Les gouvernements, les institutions privées, les hôpitaux, les médecins --

everyone responds openly and quickly.

tout le monde répond ouvertement et rapidement.

This is a collective and altruistic effort

C'est un effort collectif et altruiste

to stop the spread in its tracks

pour stopper net la propagation

and to inform anyone not infected

et informer ceux qui ne sont pas infectés

how to protect or inoculate themselves.

sur comment se protéger.

Unfortunately, this is not at all what we see in response to a cyber attack.

Malheureusement, ce n'est pas du tout la réponse à une cyberattaque.

Organizations are far more likely to keep information on that attack

Les organisations ont plus de chances de garder les informations sur l'attaque

to themselves.

pour elles-mêmes.

Why?

Pourquoi ?

Because they're worried about competitive advantage,

Car elles ont peur de l'avantage compétitif,

litigation

des contentieux

or regulation.

ou de la réglementation.

We need to effectively democratize threat intelligence data.

Nous devons démocratiser les données de renseignement sur les menaces.

We need to get all of these organizations to open up and share

Nous devons obtenir de ces organisations qu'elles s'ouvrent et partagent

what is in their private arsenal of information.

ce que contient leur arsenal privé d'informations.

The bad guys are moving fast;

Les méchants vont vite,

we've got to move faster.

nous devons aller plus vite.

And the best way to do that is to open up

La meilleure façon de le faire est de s'ouvrir

and share data on what's happening.

et de partager les données sur ce qu'il se passe.

Let's think about this in the construct of security professionals.

Réfléchissons-y du point de vue des professionnels de la sécurité.

Remember, they're programmed right into their DNA to keep secrets.

Souvenez-vous, garder des secrets fait partie de leur ADN.

We've got to turn that thinking on its head.

Nous devons inverser cette façon de penser.

We've got to get governments, private institutions

Nous devons obtenir des gouvernements, des institutions privées

and security companies

et des entreprises de sécurité

willing to share information at speed.

qu'ils veuillent partager rapidement les informations.

And here's why:

Voici pourquoi :

because if you share the information,

si vous partagez les informations,

it's equivalent to inoculation.

cela équivaut à une inoculation.

And if you're not sharing,

Si vous ne partagez pas,

you're actually part of the problem,

vous faites partie du problème

because you're increasing the odds that other people could be impacted

car vous augmentez les risques que d'autres soient affectés

by the same attack techniques.

par les mêmes techniques d'attaque.

But there's an even bigger benefit.

Il y a un bénéfice plus important encore.

By destroying criminals' devices closer to real time,

En détruisant plus rapidement les appareils des criminels,

we break their plans.

nous ruinons leurs plans.

We inform the people they aim to hurt

Nous informons les gens à qui ils comptaient nuire

far sooner than they had ever anticipated.

bien plus tôt qu'ils ne l'avaient anticipé.

We ruin their reputations,

Nous ruinons leur réputation,

we crush their ratings and reviews.

nous détruisons leurs notes et leurs commentaires.

We make cybercrime not pay.

Nous faisons en sorte que la cybercriminalité ne paye pas.

We change the economics for the bad guys.

Nous changeons l'économie des méchants.

But to do this, a first mover was required --

Mais pour ce faire, il fallait que quelqu'un fasse le premier pas --

someone to change the thinking in the security industry overall.

que quelqu'un change la façon de penser à travers l'industrie de la sécurité.

About a year ago,

Il y a environ un an,

my colleagues and I had a radical idea.

mes collègues et moi avons eu une idée radicale.

What if IBM were to take our data --

Et si IBM prenait nos données --

we had one of the largest threat intelligence databases in the world --

l'une des plus grandes bases de données sur les menaces au monde --

and open it up?

et la rendait accessible ?

It had information not just on what had happened in the past,

Elle contenait non seulement des informations sur le passé,

but what was happening in near-real time.

mais aussi sur l'instant présent.

What if we were to publish it all openly on the internet?

Et si nous publiions tout cela ouvertement sur internet ?

As you can imagine, this got quite a reaction.

Vous l'imaginez, cela a suscité une réaction.

First came the lawyers:

Les avocats sont venus :

What are the legal implications of doing that?

quelles sont les implications légales ?

Then came the business:

Puis l'entreprise :

What are the business implications of doing that?

quelles sont les implications commerciales ?

And this was also met with a good dose

Cela a aussi été accueilli

of a lot of people just asking if we were completely crazy.

par beaucoup de gens demandant si nous étions complètement fous.

But there was one conversation that kept floating to the surface

Mais il y a eu une conversation qui finissait par faire surface

in every dialogue that we would have:

dans tous les dialogues que nous avions :

the realization that if we didn't do this,

la prise de conscience que si nous ne le faisions pas,

then we were part of the problem.

nous faisions partie du problème.

So we did something unheard of in the security industry.

Nous avons fait une chose jamais faite dans l'industrie de la sécurité.

We started publishing.

Nous avons commencé à publier.

Over 700 terabytes of actionable threat intelligence data,

Plus de 700 téraoctets de données exploitables sur les menaces,

including information on real-time attacks

y compris des informations sur des attaques en temps réel

that can be used to stop cybercrime in its tracks.

qui peuvent être utilisées pour stopper net la cybercriminalité.

And to date,

A ce jour,

over 4,000 organizations are leveraging this data,

plus de 4 000 organisations mettent à profit ces données,

including half of the Fortune 100.

y compris la moitié de Fortune 100.

And our hope as a next step is to get all of those organizations

Notre espoir pour la prochaine étape est que toutes ces organisations

to join us in the fight,

se joignent à nous dans cette lutte

and do the same thing

et fassent la même chose :

and share their information

partagent leurs informations :

on when and how they're being attacked as well.

quand et comment elles sont attaquées.

We all have the opportunity to stop it,

Nous avons tous l'opportunité d'y mettre un terme

and we already all know how.

et nous savons déjà comment.

All we have to do is look to the response that we see

Nous n'avons qu'à observer la réponse que nous avons

in the world of health care,

dans le monde de la santé

and how they respond to a pandemic.

face à une pandémie.

Simply put,

Dit simplement,

we need to be open and collaborative.

il nous faut être ouverts et collaborer.

Thank you.

Merci.

(Applause)

(Applaudissements)