La BBC achète un réseau botnet pour tester les cyber-attaques
Des journalistes de l’émission Click ont voulu démontrer combien il est facile de mener des attaques pirates. Quitte à passer outre la loi ?
Pour les besoins de l’émission Click consacrée aux nouvelles technologies, des journalistes de la BBC ont décidé de jouer aux apprentis cyber-criminels (voir vidéo). Ils ont en effet acheté sur Internet un botnet, c’est à dire un ensemble d’ordinateurs zombies connectés en réseau qui permet de lancer des attaques malveillantes comme du phishing ou des spams.
But de la démonstration : prouver qu’il était facile de se procurer un botnet. Les journalistes de la BBC sont parvenus à acquérir l’accès à 22 000 ordinateurs zombies. Les reporters n’ont pas révélé le prix de cet achat, mais des experts en sécurité IT estiment qu’un réseau d’une telle ampleur peut se vendre entre 5000 et 7000 euros.
Mais les journalistes de la BBC sont allés plus loin en faisant la démonstration de l’efficacité de ce réseau botnet lors de l’émission Click diffusée sur la BBC le 14 mars dernier.
En utilisant le réseau botnet, les apprentis pirates ont réussi à inonder de spams, ces e-mails indésirables, des comptes Hotmail et Gmail, spécialement créés pour l’occasion.
La BBC a-t-elle bien respecté la loi anglaise ?
L’équipe de journalistes a également utilisé son botnet pour mener une deuxième attaque, sur le modèle d’un déni de service (Denial of Service – DoS), sur un site détenu par la firme Prevx, un éditeur de solutions de sécurité, qui avait donné son accord pour la mise en place de cette opération.
La forte montée en charge provoquée par les PC zombies a eu pour résultat de surcharger la bande passante du site et de provoquer de forts ralentissements.
Mais une polémique sur l’utilisation de ce botnet par la BBC est en train de naître. Sur son blog corporate, l’éditeur d’outils de sécurité Sophos se demande si la démarche est légale. En achetant et en utilisant des ordinateurs zombies, la BBC n’aurait-elle pas enfreint la Computer Misuse Act, la loi britannique codifiant les activités cyber-criminelles ?
Les journalistes ont en effet pris le contrôle de PC de particuliers, tous n’étant pas situés au Royaume-Uni, envoyés des spams, tout en payant des cyber criminels pour obtenir un botnet.
De son côté, la direction de la BBC a précisé que ses journalistes n’ont volé aucune donnée confidentielle présente dans les PC hackés. Ils ont même prévenu les propriétaires des PC zombies en affichant sur leur machine infectée un fonds d’écran les invitant à mieux protéger leur ordinateur. Pour le moment, aucune procédure judicaire n’a été initiée contre la BBC.