Faille de sécurité chez Nvidia : le mystère des relations personnelles

Le départ discret, en août dernier, du directeur de la sécurité de longue date de Nvidia est passé presque inaperçu. Deux mois et demi plus tard, c'est le président-directeur général Jensen Huang qui a quitté ses fonctions, au cœur de questions croissantes concernant ses relations extraconjugales. Ces révélations ont débuté avec une dirigeante de Megaspeed, une société singapourienne de centres de données soupçonnée par les enquêteurs américains de détourner des puces Nvidia vers la Chine, avant de s'étendre à deux autres liaisons impliquant des employés de l'entreprise.

Au moment de son départ, David Reber, qui avait occupé le poste de responsable de la sécurité pendant quatre ans pour un total de sept années chez Nvidia, invoquait des raisons de santé. Il indiquait sur LinkedIn fin août qu'il ne s'agissait pas d'une réorientation prévue, mais que la famille et la santé devaient primer. Il y révélait également avoir reçu un diagnostic de maladie de Parkinson à début précoce plus de deux ans auparavant.

Un nouveau profil sans transparence

Saša Zdjelar a succédé à Reber. Avant cela, il avait passé dix-sept ans chez ExxonMobil à Houston, quittant l'entreprise en tant que manager informatique senior, puis une année chez Salesforce et plusieurs années chez ReversingLabs, une firme spécialisée en cybersécurité. Jeudi, Zdjelar n'a pas répondu aux sollicitations concernant cette transition ou ce que l'équipe de sécurité savait des événements.

Aucun lien public n'existe entre les changements de rôle de Reber ou Zdjelar et l'affaire Megaspeed. Toutefois, il est légitime de s'interroger sur ce que l'équipe de sécurité de Nvidia connaissait de l'examen gouvernemental visant Megaspeed ainsi que des relations de Huang, et si des préoccupations avaient été exprimées. Reber n'a pas non plus donné suite aux demandes d'information jeudi, tandis que Nvidia reste silencieuse sur ces points précis.

Limites structurelles de la surveillance interne

Toutes les relations personnelles ne relèvent pas nécessairement de la sécurité. Les liaisons avec des subordonnés sont généralement gérées par les ressources humaines, le service juridique et le conseil d'administration. En revanche, une liaison avec une dirigeante d'une entreprise sous enquête fédérale constitue une situation distincte. Megaspeed a nié tout acte répréhensible. Selon des spécialistes, de telles affaires peuvent créer des vulnérabilités que les services de renseignement étrangers cherchent à exploiter.

Détecter ce type d'exposition reste complexe. La collecte d'informations par les services de renseignement repose souvent sur la conversation quotidienne plutôt que sur le piratage, rendant l'identification des risques difficile pour les équipes de sécurité. Nicholas Eftimiades, ancien haut fonctionnaire du renseignement ayant formé plus de 1 000 professionnels de la sécurité d'entreprise, souligne cette difficulté opérationnelle.

Certains membres internes de Nvidia étaient manifestement informés de parties du dossier. Le principal avocat de l'entreprise était engagé dans l'enquête gouvernementale sur Megaspeed il y a plus d'un an, selon The New York Times. Nvidia a précisé contacter régulièrement les autorités. Les rapports sur les relations de Huang avec des employés suggèrent que des collègues étaient au courant, même si ce comportement n'est pas explicitement interdit par le code de conduite de l'entreprise. The Times a cité cinq employés affirmant qu'il entretenait une relation avec une vice-présidente lui rapportant directement, tandis que Reuters a fait état d'une seconde liaison citant deux sources. Il demeure incertain que ces informations soient parvenues à la sécurité.

Le coût négligé de la protection

Même si l'information avait atteint l'équipe de sécurité, les ressources allouées sont souvent limitées, note Eftimiades, auteur en 2020 de « Chinese Espionage Operations and Tactics ». Contrairement à d'autres départements, la sécurité ne génère pas de revenus, ce qui conduit fréquemment à un sous-financement. Il est courant, selon lui, que les PDG répondent aux alertes de sécurité par la formule « pas un centime de plus que la conformité ».

De nombreuses entreprises définissent la sécurité de manière trop étroite. Dans une tribune publiée dans The Hill, Don Aviv, PDG de la société d'investigations Interfor International, et l'auteur Jeremy Hurewitz ont écrit que « trop d'entreprises abordent encore la sécurité principalement comme une question de protection des installations, de prévention des cyberattaques et de réponse aux menaces physiques ». Ils soutiennent que les équipes doivent prêter davantage attention aux menaces internes, incluant le recrutement d'exécutifs et d'employés par des services de renseignement étrangers, les relations commerciales suspectes, les conflits d'intérêts et les tentatives d'obtention d'informations sensibles via des contacts personnels de confiance.

Cependant, certains aspects dépassent les capacités de toute équipe. S'exprimant de manière générale et sans viser spécifiquement Huang, Eftimiades a proposé un scénario hypothétique où un PDG se plaint de ne pouvoir agir car il affronte un conseil d'administration réticent. Cette information révèle à un agent de renseignement qui est l'obstacle. Le service demande alors « Qui est le point de blocage ? » et cherche des failles dans les communications de cette personne.

Une menace persistante et évolutive

Ce que recherche un service de renseignement rival est souvent moins la technologie que la compréhension politique, notamment qui pousse pour modifier les règles d'exportation et qui est le principal opposant. « Le monde du renseignement tend à être comme le cancer », a déclaré Eftimiades. « Une fois entré dans le corps, il cherche à se propager et à étendre son influence. »

Cette méthode n'est pas nouvelle, particulièrement vis-à-vis de la Chine, a ajouté Eftimiades. Tout dirigeant traitant avec ce pays vous dira qu'il a déjà été approché. Il mentionne également de nombreuses anecdotes diplomatiques américaines impliquant des femmes trouvées dans des chambres d'hôtel. Ce qui diffère de l'espionnage soviétique, c'est que les relations cultivées par ces services durent désormais des années, et non quelques semaines.

La technologie peut renforcer cette intelligence humaine, a indiqué Eftimiades, citant les capteurs IMSI comme exemple. Ces dispositifs imitent une antenne cellulaire pour que les téléphones voisins s'y connectent. Une version basique coûte environ 1 000 dollars et tient dans une valise, bien que les modèles de niveau gouvernemental soient beaucoup plus chers.

Eftimiades précise qu'on ignore encore si ces outils ont été utilisés contre Huang, dont le téléphone était probablement sécurisé pour détecter, voire empêcher, toute compromission. Quoi qu'il en soit, ce que l'équipe de sécurité de Nvidia savait, et sa capacité potentielle d'action, devraient devenir plus clairs à mesure que l'enquête indépendante du conseil d'administration et les investigations fédérales progressent.

En attendant, Eftimiades espère que cet épisode servira de « signal d'alarme » pour l'industrie américaine, qu'il juge majoritairement « inconsciente » des tactiques chinoises. Il estime que nous avons perdu des billions de dollars en propriété intellectuelle. « Tout ce que nous pensons faire ne fonctionne pas », conclut-il.