A l’occasion de la signature d’un accord de dénucléarisation de la Corée du Nord entre Donald Trump et Kim Jong-un à Singapour, mardi 12 juin, près de 3 000 journalistes présents ont reçu un kit de rafraîchissement. Il faut dire qu’il faisait une chaleur étouffante. Le thermomètre indiquait 30 °C lors de cette poignée de main historique. Parmi les quelques cadeaux pris en photo par la journaliste de CNN, Amanda Drury : un éventail orné de la tête de Kim Jong-un, une bouteille d’eau à l’effigie des deux dirigeants et un mini-ventilateur USB.

C’est ce dernier cadeau qui a immédiatement inquiété le journaliste du Washington Post trois fois couronné du prix Pulitzer, Barton Gellman. Le journaliste, à l’origine des révélations sur la surveillance de masse de la NSA, l’agence de renseignement américaine, s’est empressé de tweeter : « Ne le branchez pas. Ne le gardez pas. Jetez-le dans une poubelle publique ou envoyez-le à un chercheur en sécurité. »

Avant de préciser deux heures plus tard : « Peut-être que ce ventilateur n’est qu’un ventilateur. C’est un mauvais calcul, cela dit. Je devrais sans doute ajouter : si vous l’avez branché, vous êtes humain. Les auteurs de logiciels malveillants abusent de l’instinct de confiance. Jusqu’à ce que quelqu’un de compétent jette un coup d’œil, je vous recommande d’éteindre votre machine si vous le pouvez et de changer les mots de passe avec un appareil propre. »

Comme le raconte Numerama, de nombreux journalistes ont hésité à se servir de l’objet. Ils craignaient qu’un logiciel malveillant américain ou nord-coréen soit caché dans la mini-prise USB pour pirater les smartphones des journalistes présents.

Aucun élément, à cette heure, ne permet de confirmer le bien-fondé de cette inquiétude. Mais comme le rappelle BFM-TV, ce n’est pas la première fois que cette technique est utilisée pour soutirer des informations à des fins d’espionnage. Lors du G20 de Saint-Pétersbourg en Russie en 2013, des clés USB distribuées à des délégations auraient été infectées.

Ces tentatives de piratage industriel ou de contre-espionnage se fondent sur un comportement que nous avons lorsque nous trouvons une clé USB dans un lieu public : la brancher pour identifier son propriétaire. Le HuffPost cite une étude menée en 2016 dans une université américaine par le spécialiste des questions de sécurité numérique de Google, Elie Burztein : 297 clés USB infectées par un virus avaient été abandonnées sur le campus pour cette expérience ; six minutes plus tard, la première était déjà branchée.