Des ingénieurs de la Silicon Valley inculpés pour le vol de secrets commerciaux de Google et de la technologie

En résumé

• Le procureur fédéral a inculpé trois anciens ingénieurs de Google pour vol de secrets commerciaux et obstruction.
• Les accusés risquent jusqu’à 10 ans de prison pour chaque chef d’accusation de secret commercial et jusqu’à 20 ans pour obstruction.
• Les procureurs allèguent que des secrets commerciaux ont été acheminés vers des destinations non autorisées, y compris depuis l’Iran.

Le procureur fédéral a arrêté trois ingénieurs de la Silicon Valley accusés de voler des secrets sensibles liés à la sécurité des puces, provenant de Google et d’autres entreprises, et de les acheminer vers des destinations non autorisées, notamment l’Iran, ce qui soulève des préoccupations de sécurité nationale.
Un grand jury fédéral du tribunal de district du Nord de la Californie a rendu une inculpation contre Samaneh Ghandali, Soroor Ghandali et Mohammadjavad Khosravi. L’inculpation a été déposée mercredi et rendue publique jeudi à San Jose, selon une déclaration du DOJ.
Alors qu’elle était employée chez Google, Samaneh Ghandali aurait « transféré des centaines de fichiers, y compris des secrets commerciaux de Google, vers une plateforme de communication tierce », vers des canaux portant le prénom de chaque accusé, indique le DOJ.
Une copie de l’inculpation rendue publique n’était pas immédiatement disponible au moment de la rédaction. Decrypt a contacté le bureau du DOJ concerné pour obtenir plus d’informations et de commentaires.

Les trois auraient utilisé leur emploi chez Google et deux autres entreprises non nommées pour accéder à des fichiers confidentiels liés aux processeurs mobiles. Selon le DOJ, le matériel volé comprenait des secrets commerciaux liés à la sécurité des processeurs et à la cryptographie, et des matériaux de Google ont été ensuite copiés sur des appareils personnels et des appareils de travail associés aux autres entreprises où les accusés étaient employés.
Les procureurs allèguent que les accusés ont tenté de dissimuler leurs actions en supprimant des fichiers, en détruisant des enregistrements électroniques et en soumettant de fausses affidavits aux entreprises victimes, niant avoir partagé des informations confidentielles en dehors de l’entreprise.
Dans un épisode décrit dans l’inculpation, le DOJ affirme qu’en décembre 2023, la veille de son voyage en Iran, Samaneh Ghandali aurait photographié une vingtaine d’images de l’écran d’un ordinateur de travail d’une autre entreprise affichant des informations secrètes.
En Iran, un appareil associé à elle aurait accédé à ces photographies, et Khosravi aurait accédé à d’autres secrets commerciaux.

Selon le DOJ, les systèmes de sécurité internes de Google ont détecté une activité suspecte en août 2023 et ont révoqué l’accès de Samaneh Ghandali. L’inculpation affirme qu’elle a ensuite signé un affidavit déclarant qu’elle n’avait pas partagé d’informations confidentielles de Google en dehors de l’entreprise.
Les trois accusés sont poursuivis pour complot et vol de secrets commerciaux en vertu du droit fédéral, ainsi que pour obstruction à la justice en vertu d’une loi criminalisant la modification, la destruction ou la dissimulation frauduleuse de dossiers ou d’autres objets afin de nuire à leur utilisation dans une procédure officielle.
L’accusation d’obstruction prévoit une peine maximale de 20 ans de prison.
Risques et implications en matière de sécurité
Les observateurs soulignent que cette affaire illustre comment l’accès interne à des systèmes avancés de semi-conducteurs et de cryptographie peut avoir des implications pour la sécurité nationale.
« Les employés ayant un accès légitime peuvent discrètement extraire des propriétés intellectuelles très sensibles au fil du temps, même avec des contrôles en place », a déclaré Vincent Liu, directeur des investissements chez Kronos Research, à Decrypt.
Le risque pour les entreprises de semi-conducteurs et de cryptographie provient souvent de « collaborateurs de confiance, et non de hackers », a-t-il ajouté, décrivant le risque interne comme une « vulnérabilité persistante et structurelle nécessitant une surveillance constante et une segmentation stricte des données ».
Dans de tels cas, « l’interne est la surface d’attaque », a expliqué Dan Dadybayo, responsable stratégique chez Horizontal Systems, un développeur d’infrastructures cryptographiques, à Decrypt. « Les pare-feu n’ont pas d’importance lorsque le vecteur d’exfiltration est un accès légitime », a-t-il dit, arguant que lorsque les ingénieurs peuvent déplacer « l’architecture, la gestion des clés ou la conception de la sécurité matérielle hors des environnements contrôlés, le ‘périmètre’ s’effondre ».
Si des IP sensibles de processeurs et de cryptographie atteignaient l’Iran, Dadybayo a indiqué que les régulateurs réagiraient probablement de manière agressive.

Il a évoqué « un renforcement de l’application des règles d’exportation présumée, où l’accès à la connaissance lui-même compte comme une exportation » et « des exigences de segmentation, de surveillance et de licences plus strictes au sein des entreprises américaines », ajoutant que les puces avancées et la cryptographie « ne sont plus considérées comme des biens commerciaux neutres » mais comme « des instruments de pouvoir géopolitique ».

Ce cas met également en lumière les lacunes entre la conformité formelle et la résilience réelle.
« Dans la plupart des organisations technologiques, les risques de vol d’informations sont supposés être atténués par l’obtention de certifications SOC 2 et ISO », a déclaré Dyma Budorin, président exécutif de Hacken, une société de sécurité et de conformité en cryptographie, à Decrypt.
De tels cadres « mesurent souvent la maturité de la conformité, pas la résilience réelle face à un attaquant déterminé — surtout un interne ».
La certification, a-t-il expliqué, prouve que des contrôles existent « au moment de l’audit », mais « ne prouve pas que des données sensibles ne peuvent pas être volées ».
Parce que ces normes prescrivent des sauvegardes communes, Budorin a soutenu qu’elles peuvent rendre les défenses prévisibles.
Pour des attaquants sophistiqués, « conforme » signifie souvent prévisible, a-t-il ajouté, avertissant que la véritable sécurité nécessite « une validation continue, une surveillance comportementale et des tests adverses », sinon les organisations risquent d’être « conformes sur le papier tout en étant gravement exposées en pratique ».