Microsoft recrute des ingénieurs chinois pour diriger un projet de renseignement

Selon ProPublica, Microsoft fait appel à des ingénieurs en Chine pour assurer la maintenance des systèmes informatiques du ministère de la Défense américain. Ces ingénieurs sont soumis à une surveillance minimale de la part des employés américains, ce qui expose certaines des données les plus sensibles du pays aux pirates informatiques.

Un projet secret du Pentagone recrute des ingénieurs chinois en ligne. Photo : Pro Publica

Selon l'enquête, il suffisait à l'ingénieur chinois de soumettre une candidature en ligne et de rencontrer le recruteur via l'application Microsoft Teams. Cet ingénieur pouvait alors envoyer des commandes à des serveurs situés aux États-Unis, créant ainsi une opportunité d'insérer du code malveillant à l'insu de son superviseur.

« Si quelqu'un exécute un script appelé « fix_servers.sh » et qu'il fait réellement quelque chose de malveillant, [l'escorte] ne saura rien », a déclaré à ProPublica par courrier électronique Matthew Erickson, un ancien ingénieur de Microsoft qui a travaillé sur le système d'escorte.

L'accord, qui a été crucial pour que Microsoft remporte des contrats de cloud computing du gouvernement fédéral il y a plus de dix ans, repose sur des citoyens américains disposant d'habilitations de sécurité pour surveiller le travail et servir de barrière contre l'espionnage et le sabotage.

Mais ces travailleurs, appelés « escortes numériques », manquent souvent de l'expertise technique nécessaire pour encadrer des ingénieurs étrangers aux compétences bien plus pointues, a constaté ProPublica. Certains sont des vétérans de l'armée avec peu d'expérience en programmation et sont payés à peine plus que le salaire minimum.

Lors d'entretiens, d'anciens responsables gouvernementaux ont déclaré n'avoir jamais entendu parler du service d'escorte numérique. Le programme semble si peu connu que même l'agence informatique du ministère de la Défense peine à trouver des personnes compétentes à son sujet.

« Personne ne semble savoir quoi que ce soit sur ce programme, donc je ne sais pas quoi faire ensuite », a déclaré Deven King, porte-parole de la Defense Information Systems Agency.

Les experts en sécurité nationale et en cybersécurité contactés par ProPublica ont également été surpris d’apprendre l’existence d’un tel accord, en particulier à un moment où la communauté du renseignement américain, les principaux membres du Congrès et l’administration Trump considèrent les capacités numériques de la Chine comme une menace majeure pour le pays.

Suite à un rapport de Pro Publica selon lequel Microsoft utilisait des ingénieurs en Chine pour aider à maintenir les systèmes de cloud computing du ministère américain de la Défense, la société a déclaré avoir apporté des modifications pour garantir que cela ne se reproduise plus.

« Les ingénieurs étrangers – de n’importe quel pays, y compris la Chine – ne devraient « jamais » être autorisés à entretenir ou à accéder aux systèmes du Pentagone », a écrit le secrétaire américain à la Défense Pete Hegseth sur X.

En réponse aux journalistes sur cette question le 18 juillet, le directeur de la communication de Microsoft, Frank X. Shaw, a répondu : « En réponse aux inquiétudes soulevées plus tôt cette semaine au sujet des ingénieurs étrangers supervisés par les États-Unis, Microsoft a apporté des modifications à nos services de support pour les clients du gouvernement américain afin de garantir qu'aucune équipe d'ingénierie basée en Chine ne fournisse de support technique pour le cloud gouvernemental du ministère de la Défense et les services connexes. »