Pékin suspend Alibaba Cloud pour ne pas avoir signalé plus tôt la vulnérabilité Log4j
Divers médias chinois rapportent qu'Alibaba Cloud subit des retombées de la part des régulateurs gouvernementaux après avoir informé la vulnérabilité Log4J d'Apache devant le ministère de l'Industrie et des Technologies de l'information (MIIT).
Selon 21st Century Business Herald, l'administration de la cybersécurité du MIIT mettait fin à son alliance de partage d'informations avec Alibaba Cloud pendant six mois, mentionnant spécifiquement la raison d'une telle action comme la déception de signaler Log4J à temps.
Chen Zhaojun, ingénieur en sécurité chez Alibaba Cloud, a été le premier à découvrir la vulnérabilité Log4J et à notifier Apache. Il a informé Apache le 24 novembre, et un tiers a également informé le même MIIT via rapport.
Selon The Protocol, la Chine a récemment promulgué une nouvelle loi obligeant toutes les entreprises à signaler les vulnérabilités (comme Log4J) aux régulateurs de l'État dans les deux jours. Malheureusement, ce récent revers du MIIT survient des mois après que le gouvernement chinois a imposé des réglementations plus strictes en matière de divulgation des vulnérabilités.
Alibaba a été accusé d'une amende de 18,2 milliards de yuans et 33 autres applications mobiles ont rencontré des objections de Pékin pour leurs politiques de collecte de données. Dans le même temps, Alibaba et Tencent ont fait l'objet d'un examen minutieux du gouvernement, tandis que Didi a fait l'objet d'un examen majeur de la cybersécurité.
Le ministère belge de la Défense a récemment subi une cyberattaque en raison de la vulnérabilité Log4J. point de contrôle ; une société de sécurité israélienne a confirmé qu'elle avait jusqu'à présent interdit plus de 4,3 millions de tirs d'exploitation, dont 46% de ces intrusions par des groupes malveillants connus.
Selon Check Point :
Cette vulnérabilité peut entraîner le contrôle à distance de l'appareil, ce qui entraînera de graves risques tels que le vol d'informations sensibles et l'interruption du service de l'appareil, avait précédemment déclaré le MIIT dans une déclaration publique publiée le 17 décembre, ajoutant qu'il n'avait été informé que de la faille. le 9 décembre, 15 jours après la divulgation initiale.
En septembre, le gouvernement a lancé des "bases de données sur la sécurité du cyberespace et les vulnérabilités professionnelles" pour notifier les vulnérabilités de sécurité dans les réseaux, les applications mobiles, les systèmes de contrôle industriels, les voitures intelligentes, les appareils IoT et d'autres produits Internet que les acteurs de la menace pourraient cibler.
En novembre, l'administration chinoise du cyberespace a dévoilé un nouvel ensemble de réglementations classant les données et présentant de nombreuses séries de sanctions en cas de violation de la politique de cybersécurité.
Le MIIT a confirmé avoir reçu un rapport d'un tiers sur le problème au lieu d'Alibaba Cloud. Cependant, Alibaba Cloud a refusé de commenter la suspension.