Failles critiques de contrôle d'accès découvertes au sein de l'agence CBP américaine

Mon, 09 Nov 2026 00:00:00 +0100

🏛️ Contexte

Rapport publié le 9 septembre 2026 par BankInfoSecurity, basé sur un audit du Bureau de l’Inspecteur général du Department of Homeland Security (DHS OIG) ouvert fin 2024 et clôturé en décembre 2025. L’audit portait sur les contrôles d’accès IT de U.S. Customs and Border Protection (CBP).

🔍 Vulnérabilités identifiées

L’ensemble des 76 000+ employés CBP pouvaient opérer un compte de service avec des privilèges élevés, permettant des modifications de credentials et de paramètres de sécurité
CBP était incapable d’inventorier ses propres comptes à privilèges
Les accès n’étaient pas systématiquement révoqués lors des départs ou changements de rôle du personnel
Les enquêteurs ont cartographié plus de 100 chemins d’attaque dans l’environnement
Les défaillances ont été attribuées à des erreurs humaines et à l’incapacité à tracer l’évolution des accès dans le temps

🎯 Périmètre exposé

Plus de 100 applications IT majeures déployées sur 4 500 sites
Systèmes contenant des données biométriques et des dossiers d’application de la loi utilisés aux points d’entrée et à la frontière sud
Systèmes qualifiés de cibles à haute visibilité pour des attaquants cherchant à perturber des opérations critiques ou voler des données sensibles

🔄 Mesures correctives

CBP a révoqué les privilèges excessifs identifiés et effectué des scans pour détecter d’autres instances de la même mauvaise configuration
L’OIG a clôturé une recommandation, mais maintient une recommandation ouverte sur l’amélioration des pratiques de surveillance, en attente de preuves d’implémentation de nouveaux protocoles d’alerte et de réponse

📎 Contexte historique

Des conclusions similaires avaient été formulées contre U.S. Citizenship and Immigration Services (USCIS) en septembre 2022
En 2021, un audit avait révélé des lacunes dans la protection des applications Mobile Passport Control de CBP, exposant des données PII de voyageurs

📄 Nature de l’article

Article de presse spécialisée relatant les conclusions d’un rapport d’audit gouvernemental officiel, visant à informer sur les défaillances de gouvernance et de gestion des identités au sein d’une agence fédérale américaine critique.