Failles critiques de contrôle d'accès découvertes au sein de l'agence CBP américaine
🏛️ Contexte Rapport publié le 9 septembre 2026 par BankInfoSecurity, basé sur un audit du Bureau de l’Inspecteur général du Department of Homeland Security (DHS OIG) ouvert fin 2024 et clôturé en décembre 2025. L’audit portait sur les contrôles d’accès IT de U.S. Customs and Border Protection (CBP). 🔍 Vulnérabilités identifiées L’ensemble des 76 000+ employés CBP pouvaient opérer un compte de service avec des privilèges élevés, permettant des modifications de credentials et de paramètres de sécurité CBP était incapable d’inventorier ses propres comptes à privilèges Les accès n’étaient pas systématiquement révoqués lors des départs ou changements de rôle du personnel Les enquêteurs ont cartographié plus de 100 chemins d’attaque dans l’environnement Les défaillances ont été attribuées à des erreurs humaines et à l’incapacité à tracer l’évolution des accès dans le temps 🎯 Périmètre exposé Plus de 100 applications IT majeures déployées sur 4 500 sites Systèmes contenant des données biométriques et des dossiers d’application de la loi utilisés aux points d’entrée et à la frontière sud Systèmes qualifiés de cibles à haute visibilité pour des attaquants cherchant à perturber des opérations critiques ou voler des données sensibles 🔄 Mesures correctives CBP a révoqué les privilèges excessifs identifiés et effectué des scans pour détecter d’autres instances de la même mauvaise configuration L’OIG a clôturé une recommandation, mais maintient une recommandation ouverte sur l’amélioration des pratiques de surveillance, en attente de preuves d’implémentation de nouveaux protocoles d’alerte et de réponse 📎 Contexte historique Des conclusions similaires avaient été formulées contre U.S. Citizenship and Immigration Services (USCIS) en septembre 2022 En 2021, un audit avait révélé des lacunes dans la protection des applications Mobile Passport Control de CBP, exposant des données PII de voyageurs 📄 Nature de l’article Article de presse spécialisée relatant les conclusions d’un rapport d’audit gouvernemental officiel, visant à informer sur les défaillances de gouvernance et de gestion des identités au sein d’une agence fédérale américaine critique. ...