Ce que le signalgate nous a appris sur l’ignorance des règles de sécurité

Des fonctionnaires américains ont utilisé des méthodes de communication non sécurisées pour des discussions sensibles sur la sécurité.

Parlons de Signal. Il s’agit d’une application cryptée bien connue, largement utilisée pour la protection de la vie privée et, à bien des égards, tout à fait solide pour les gens ordinaires. Mais voici la vérité qui dérange : elle a récemment été utilisée par le secrétaire américain à la défense, Pete Hegseth, et d’autres hauts fonctionnaires pour coordonner une opération militaire visant les rebelles houthis au Yémen.

Il ne s’agissait pas d’un texte accidentel ou d’une note informelle, mais d’un chat de groupe utilisé pour planifier une attaque militaire. Parmi les participants figuraient des membres importants de l’appareil de sécurité nationale, dont le secrétaire d’État, le secrétaire au Trésor, le directeur de la CIA et même le vice-président, JD Vance. D’une manière ou d’une autre, Jeffrey Goldberg, rédacteur en chef de The Atlantic, a été ajouté au fil de discussion. Il ne s’est pas inscrit volontairement. Il n’a pas fait de piratage. Il a simplement été entraîné dans la conversation en raison d’une mauvaise gestion du fil de discussion. Il s’agit d’une défaillance de sécurité au sommet de la chaîne de commandement américaine.

Lorsque des communications aussi sensibles sortent des systèmes autorisés et sécurisés, vous introduisez un risque qui ne peut être contrôlé a posteriori. Il existe un processus. Il existe des outils spécialement conçus pour cette échelle de secret et d’importance. Signal n’en fait pas partie. Même s’il est crypté, il n’est toujours pas approuvé pour une utilisation classifiée par le gouvernement américain.

Le cryptage résout une partie du problème, mais la confiance ne vient pas seulement du cryptage. Il s’agit de protocoles validés, de contrôle d’accès et de pistes d’audit. Le gouvernement dispose de ces éléments, qui sont prêts à l’emploi pour une raison bien précise : ils fonctionnent. Dès que cette structure est ignorée, vous avez des problèmes. Et dans ce cas, de vraies vies sont en jeu.

La NSA, qui est responsable de certaines des opérations de cybersécurité les plus sophistiquées au monde, a été très claire en février : N’envoyez rien de sensible par l’intermédiaire d’applications internet grand public. Elle a notamment mis en garde contre les vulnérabilités de Signal. Lorsque les personnes censées être en charge de la défense nationale des États-Unis négligent ce type d’avertissement, le problème n’est plus d’ordre technique, il s’agit d’un manque de leadership.

Cela va au-delà de la sécurité nationale. Les chefs d’entreprise devraient en prendre note. Choisir la commodité au détriment de la sécurité est imprudent. Des outils existent pour protéger les systèmes, les équipes et la propriété intellectuelle. Dans ce cas, ce n’est pas la défaillance des outils de sécurité qui est à l’origine de la panne, c’est le fait que les dirigeants les ont entièrement contournés. Si votre équipe utilise des outils qui n’ont pas été vérifiés par vos équipes de sécurité, vous n’avez pas de stratégie de communication, vous avez une responsabilité.

Incompétence flagrante et mise en danger potentielle de la sécurité nationale

Il s’agit d’une défaillance opérationnelle évidente qui a exposé des discussions militaires sensibles à une personne extérieure au gouvernement américain. Cela ne se produit pas lorsque les pratiques de sécurité sont respectées. Cela se produit lorsque l’on ne se concentre pas vraiment sur l’exécution et que l’on ne fait pas preuve de discipline en matière de contrôle. Il n’est pas nécessaire d’être un spécialiste des opérations de renseignement pour mesurer l’ampleur de cette erreur.

Jeffrey Goldberg, le journaliste ajouté par erreur à la discussion, a été clair : ce groupe discutait de mouvements en temps réel, de plans de ciblage et de stratégie avancée. Il n’a pas été prévenu. On ne lui a rien demandé. Il a simplement été introduit dans une conversation en direct sur la planification de la sécurité nationale à laquelle participaient des hauts fonctionnaires et le vice-président. Quelques jours plus tard, l’attaque évoquée lors de la discussion a été menée à bien. Il s’agissait d’une mission réelle, pas d’une simulation, et quelqu’un qui n’avait pas d’autorisation avait un accès privilégié.

Le problème ne résidait pas seulement dans l’utilisation d’une mauvaise plate-forme. Le véritable problème était l’absence de processus de sécurité standard. Qui administrait ce groupe ? Qui vérifiait qui s’y inscrivait ? Il n’y avait pas de vérifications, pas de contrôles, mais un simple fil qui reliait certaines des fonctions les plus puissantes du gouvernement américain dans le domaine de la défense. À ce niveau, les erreurs créent une exposition. Les adversaires n’ont pas besoin de pirater quelque chose qui est déjà grand ouvert en raison d’une négligence interne. C’est là le risque.

La tentative du Conseil national de sécurité de minimiser ce phénomène en qualifiant cette initiative d’exemple de « coordination politique réfléchie » ne tient pas la route. La coordination n’a pas d’importance si le processus fait l’objet de fuites. La qualité de votre stratégie importe peu si le canal par lequel elle passe est compromis. Une seule faille dans la discipline opérationnelle peut démanteler des mois de planification sécurisée. C’est aussi vrai dans le contexte de la défense nationale que dans celui de votre entreprise.

La précision dans l’exécution commence par de petites décisions. Lorsque ces décisions consistent à supposer qu’une application grand public est « suffisante », vous avez déjà perdu le contrôle de l’opération. La visibilité, l’intégrité et la confiance dans le système s’effondrent lorsque personne n’assume la responsabilité du confinement. C’est l’échec de la direction à s’assurer que la bonne plateforme a été utilisée en premier lieu.

La sécurité repose sur une validation et un contrôle constants. Et lorsque ces contrôles sont ignorés au plus haut niveau, c’est toute l’opération qui risque d’être perturbée. L’idée qu’aucun matériel classifié n’a été compromis n’est pas pertinente. La structure était défectueuse, la boucle a été exposée, et cela suffit à classer cette affaire comme une défaillance critique de la direction opérationnelle.

Le manque de responsabilité et de leadership a contribué à la gravité de l’incident de sécurité.

Le fondement de toute organisation sûre, qu’elle soit militaire, gouvernementale ou commerciale, est la responsabilité. Lorsque les hauts responsables contournent les protocoles formels et s’écartent des meilleures pratiques opérationnelles, ils ne se contentent pas de commettre des erreurs ; ils créent un risque qui va de pair avec leur autorité. Dans le cas présent, l’utilisation d’une plateforme non autorisée pour une planification militaire hautement sensible témoigne d’un manque total de discernement de la part des dirigeants.

Le secrétaire à la défense Pete Hegseth n’a pas seulement choisi le mauvais outil. Il a donné le ton depuis le sommet en utilisant activement une application qui n’a jamais été autorisée pour les communications classifiées. Il n’y a pas eu que des erreurs techniques, il s’agissait d’un problème de hiérarchie. Lorsque les hauts responsables ne respectent pas le protocole, personne d’autre n’est incité à le faire. Il s’agit là d’une défaillance de la structure de commandement. Lorsqu’il n’y a pas d’application claire ou de conséquence visible pour cette défaillance, les choses ne s’améliorent pas, elles empirent.

Les commentaires du représentant Seth Moulton (D-MA), un vétéran des Marines, le montrent clairement : « Hegseth est tellement dépassé qu’il représente un danger pour notre pays et pour nos hommes et femmes en uniforme. Son incompétence est si grave qu’elle aurait pu entraîner la mort d’Américains ». Ce niveau de critique publique de la part d’une personne ayant une expérience à la fois militaire et législative montre à quel point la défaillance opérationnelle est prise au sérieux.

Le président Trump, quant à lui, a adopté un ton différent. Il a affirmé n’avoir aucune connaissance de ce qui s’est passé et a déclaré que tout était sous contrôle. Mais The Atlantic a révélé des détails sur le chat qui contredisent les déclarations faites récemment au Congrès. Ce décalage entre les messages et les preuves mine encore plus la crédibilité, non seulement des fonctionnaires impliqués, mais aussi des institutions qu’ils représentent.

Les cadres dirigeants le comprennent bien : le comportement des dirigeants définit fondamentalement la norme pour tous les autres. Lorsque les dirigeants rognent sur les coûts, les autres les suivent. Les systèmes internes dépendent de l’adhésion visible à la politique. Et lorsque les efforts des dirigeants ne portent plus sur la résolution du problème mais sur la minimisation de son impact en public, l’évaluation de l’entreprise ou sa crédibilité diminuent rapidement.

Dans ce cas, le problème principal n’était pas d’ordre technologique. Il s’agissait d’un manque de leadership. Personne n’a mis en œuvre les mesures de protection opérationnelles de base. Personne n’a arrêté le fil avant qu’il ne dépasse le cadre prévu. Ce n’est pas le processus fort qui a échoué, c’est le processus qui a été ignoré. Dans tout système à fort enjeu, la culture de la sécurité revient toujours au leadership.

Le signal, bien que largement utilisé pour les communications sécurisées, n’est pas adapté aux opérations officielles du gouvernement.

Signal est un choix judicieux pour les personnes soucieuses de la protection de leur vie privée. Il offre un chiffrement de bout en bout et a la réputation de ne pas stocker les données des utilisateurs. C’est pourquoi il est largement adopté dans les domaines du journalisme, de l’activisme et de la communication dans le secteur privé. Mais ses atouts en matière d’utilisation grand public ne le rendent pas automatiquement adapté aux opérations gouvernementales classifiées ou à la planification de missions critiques. Cette distinction est plus importante que la plupart des gens ne le pensent.

Le problème n’est pas que Signal essaie d’être ce qu’il n’est pas. Le problème, c’est que les décideurs attendent d’une application publique qu’elle offre une responsabilité, un contrôle d’accès et un audit de niveau professionnel, au même titre que les plates-formes de communication classifiées. Signal n’a jamais été conçu pour une utilisation gouvernementale officielle, en particulier à l’échelle et à la sensibilité de la planification militaire impliquant les principaux responsables de la sécurité nationale des États-Unis.

En fait, la National Security Agency (NSA), qui est responsable du renseignement sur les signaux et des normes de cybersécurité au sein des organismes gouvernementaux américains, a émis des directives claires au début de l’année 2024 : Le signal présente des vulnérabilités et ne doit pas être utilisé pour transmettre des informations compromettantes ou opérationnelles. De plus, la NSA a conseillé aux employés de ne pas initier ou maintenir de connexions via l’application avec des contacts inconnus, et surtout pas dans le cadre d’un chat de groupe ouvert et non géré.

Les récentes découvertes des chercheurs de Google ont également confirmé que des acteurs de la menace liés à la Russie ciblaient activement les utilisateurs de Signal pour compromettre leurs comptes. Cela inclut la surveillance, l’extraction de métadonnées et des tentatives d’accès direct. Il s’agit de menaces crédibles et réelles qui contournent le chiffrement en exploitant des processus d’intégration faibles, des vulnérabilités au niveau de l’appareil et des erreurs humaines.

Le choix d’un outil comme Signal pour planifier une frappe militaire crée des voies d’exploitation que des adversaires sophistiqués tentent déjà d’utiliser. Un bon cryptage ne remplace pas une architecture de communication complète, validée et approuvée par le gouvernement.

Du point de vue des dirigeants, cette décision soulève des questions plus profondes. Pourquoi un outil de communication non autorisé a-t-il été utilisé à la place d’autres outils spécialement conçus et approuvés pour la sécurité nationale ? Pourquoi n’y a-t-il pas eu d’application interne pour empêcher cela ? Si les équipes utilisent par défaut des outils avec lesquels elles sont à l’aise, même s’ils ne sont pas adaptés à la tâche, cela indique un manque d’attention de la part des dirigeants.

Pour les dirigeants de tous les secteurs, la leçon est claire : les outils sécurisés doivent correspondre à la portée et aux implications du travail effectué. La sécurité découle de l’infrastructure, de la discipline d’accès, de l’intégration avec la surveillance et de la confiance dans la protection du système à tous les niveaux. Les outils tels que Signal sont utiles. Mais les utiliser en dehors de leur champ d’application ne permet pas de sécuriser la communication, cela fait de la sécurité une question de chance.

L’importance cruciale du respect des protocoles informatiques et de cybersécurité

Les protocoles de sécurité ont une raison d’être. Lorsqu’ils sont respectés, les systèmes fonctionnent avec un minimum de risques. Lorsqu’ils sont ignorés, même par les personnes les plus haut placées, les systèmes sont exposés. Ce qui s’est passé lors de cette atteinte à la sécurité nationale n’était pas une défaillance technologique. Il s’agissait d’une défaillance dans la discipline des processus. L’équipe dirigeante a choisi d’utiliser des outils en dehors de la pile approuvée et, ce faisant, elle a supprimé les mesures de protection mises en place par les équipes d’experts en sécurité.

Les administrateurs informatiques et les professionnels de la cybersécurité passent des années à concevoir des cadres pour gérer les risques, contrôler l’accès et protéger les communications sensibles. Il ne s’agit pas de structures théoriques. Elles sont basées sur des menaces réelles, des vulnérabilités réelles et des réalités pratiques sur la façon dont les systèmes peuvent être compromis. Choisir de les ignorer introduit un risque qu’aucun chiffrement ou mise à jour logicielle ne peut résoudre par la suite.

Les fonctionnaires impliqués dans l’incident de Signal ont abandonné les systèmes mêmes qui étaient censés contenir le risque opérationnel. Ils sont sortis des environnements de communication approuvés et ont entraîné des utilisateurs non autorisés dans des discussions sensibles, sans contrôle. Ce type de comportement n’est pas le reflet d’une mauvaise formation, mais d’une absence de respect opérationnel pour les systèmes et les personnes mis en place pour assurer la sécurité de l’exécution.

Les équipes dirigeantes doivent prendre cette question au sérieux. Si les dirigeants de votre organisation ne donnent pas le ton en matière de conformité à la cybersécurité, l’adhésion au protocole devient facultative. Cela expose l’ensemble de l’entreprise, et pas seulement les départements individuels, à un risque élevé. Plus vous vous éloignez des cadres testés, plus vous vous en remettez au hasard et à l’hypothèse que personne ne vous observe.

L’avertissement central de l’Agence nationale de sécurité le confirme. Signal, bien que crypté, est considéré comme un canal vulnérable et inapproprié pour les communications sensibles ou stratégiques. Les conseils de l’agence mettent l’accent sur la sécurité technique et la discipline comportementale : ne transmettez pas de matériel sensible, n’établissez pas de connexions non vérifiées et ne présumez pas que la plateforme vous protégera.

Les équipes dirigeantes sont censées influencer ces normes par l’exemple, et non par l’exception. Ignorer les protocoles n’est pas une preuve de leadership, c’est une preuve de vulnérabilité. La communication sécurisée doit être intentionnelle. Si les cadres sont en place et ignorés, la responsabilité incombe d’abord aux dirigeants.

Dans ce cas, ce n’est pas une application ou une ligne de code qui a échoué. Ce qui a échoué, c’est le suivi de la direction et le respect des limites du protocole. Cet échec peut être évité, mais seulement si les décideurs de haut niveau agissent avec le même niveau de vigilance en matière de sécurité que celui qu’ils attendent de leurs équipes.

Principaux enseignements pour les dirigeants

• Les outils non autorisés compromettent la sécurité des opérations : De hauts responsables américains ont utilisé Signal, une application cryptée grand public, pour coordonner une action militaire, contournant ainsi les systèmes de communication approuvés et exposant des informations classifiées. Les dirigeants doivent imposer le respect strict de plateformes sécurisées et approuvées pour les flux de travail sensibles.
• L’échec opérationnel découle d’un protocole ignoré : L’inclusion accidentelle d’un journaliste dans une planification militaire de haut niveau révèle une défaillance dans les garanties opérationnelles de base. Les décideurs doivent maintenir des processus de sécurité clairs et respecter la chaîne de commandement afin d’éviter que l’erreur humaine ne compromette des actions critiques.
• La discipline des dirigeants n’est pas négociable : La mauvaise gestion au plus haut niveau a mis en évidence un manque de responsabilité des dirigeants et d’application de la culture en matière de protocole. Les dirigeants donnent le ton – la conformité ne fonctionne que lorsque les dirigeants la modèlent et la renforcent de manière cohérente.
• Le cryptage n’est pas un substitut à une infrastructure sécurisée : Malgré le cryptage de Signal, la plateforme ne dispose pas des contrôles, de la surveillance et de l’autorisation de classification nécessaires pour une communication de niveau gouvernemental ou d’entreprise. Les dirigeants doivent adapter les outils de communication à la sensibilité et à l’ampleur de leurs opérations.
• Le respect des protocoles relève de la responsabilité des dirigeants : La violation n’a pas été causée par une défaillance technique, mais par des décideurs qui ont choisi de contourner les systèmes informatiques et de sécurité établis. Les équipes dirigeantes doivent considérer les protocoles de sécurité comme des impératifs opérationnels, et non comme des lignes directrices facultatives.