Advanced Security Solutions, une jeune startup émiratie, a fait sensation en dévoilant un programme de prime aux chercheurs en sécurité d’une ampleur inédite : jusqu’à 20 millions de dollars pour tout zero-day exploit capable de compromettre un smartphone via un simple SMS. Cette annonce a aussitôt relancé le débat sur la valeur des vulnérabilités, la transparence des acteurs et les dérives potentielles de la surveillance numérique.
Un programme de récompenses sans précédent
Contrairement aux bourses classiques plafonnées à quelques centaines de milliers de dollars, Advanced Security Solutions propose une grille de primes XXL :
Le montant total de 20 millions semble d’emblée destiné à attirer l’attention des chercheurs les plus expérimentés, prêts à consacrer temps et ressources à la découverte de failles encore inconnues des éditeurs.
Une envolée historique du prix des zero-day
Il y a dix ans, Les plus belles primes proposées par les plateformes spécialisées ne dépassaient guère 1 million de dollars. Zerodium, l’un des acteurs historiques, offrait jusqu’à 1 M $ pour un exploit 0day. Aujourd’hui, les tarifs pratiqués par Advanced Security Solutions triplent, voire décuplent, ceux de leurs concurrents, témoignant d’une « course aux armements » numérique où les États et sociétés privées s’arment pour défendre leurs intérêts, mais aussi préparer des opérations offensives.
Un manque de transparence inquiétant
Si le programme promet des gains faramineux, la société reste floue sur ses véritables clients et financements :
Cette opacité soulève de fortes préoccupations : à quoi serviront exactement les exploits acquis ? Seront-ils vendus à des agences de sécurité, à des groupes privés, ou pourraient-ils alimenter des programmes de surveillance de masse ?
Les risques d’un marché sauvage
La commercialisation à grande échelle de vulnérabilités non corrigées présente plusieurs dangers :
Un enjeu éthique et législatif majeur
Les pouvoirs publics, déjà débordés par la rapidité des innovations technologiques, sont peu préparés à encadrer un tel marché. Plusieurs questions se posent :
Sans un cadre clair, le marché des zero-day risque de sombrer dans l’anarchie, creusant un fossé entre pays dotés de moyens de défense hors pair et nations moins armées.
Les défis pour l’industrie et la sécurité numérique
Face à cette prime record, les éditeurs de logiciels et constructeurs de smartphones devront renforcer leurs programmes de bug bounty et accélérer la mise à jour de leurs correctifs. Les professionnels de la cybersécurité appellent à une collaboration plus étroite :
Ce tournant pourrait inaugurer une nouvelle ère où l’on privilégie la lutte collective contre les vulnérabilités plutôt que la course individuelle aux gains. Mais le temps presse : chaque exploit non corrigé représente une faille potentielle, exploitée par des acteurs mal intentionnés.