L’entreprise canadienne de cybersécurité Magnet Forensics a déposé une plainte contre son ancien collaborateur Mario Del Gaudio et la société Paradigm Shift Technology, l’accusant d’avoir détourné des secrets industriels liés à la faille de sécurité usbliter8 touchant les iPhone avec les puces A12 et A13. La faille est présente dans le BootROM et peut servir à un jailbreak sur les iPhone XS, XS Max, XR, 11, 11 Pro, 11 Pro Max et SE de deuxième génération.

Mario Del Gaudio travaillait comme prestataire chez Magnet Forensics sur une technologie interne particulièrement sensible, portant sur une faille de sécurité de type zero-day concernant les puces Apple A12 et A13. Selon la plainte, il aurait poursuivi ses recherches sur cette même faille après la fin de sa mission, cette fois pour le compte de Paradigm Shift Technology, une entreprise espagnole concurrente développant elle aussi des outils destinés à des clients gouvernementaux.

Le mois dernier, Paradigm Shift a publié sur son blog un article technique détaillant cette vulnérabilité qui a pour nom usbliter8. Cette faille au niveau du BootROM permet d’exécuter du code arbitraire dans le SecureROM des iPhone, une porte d’entrée pouvant conduire à un jailbreak sans qu’aucune mise à jour logicielle ne puisse la corriger. En effet, c’est une faille de type matérielle et non logicielle, comme l’a été checkm8 en 2019. Magnet Forensics estime que cette recherche repose en réalité sur ses propres travaux confidentiels et que sa révélation publique a réduit la valeur commerciale de la faille pour ses propres clients tout en alertant Apple.

Des obligations contractuelles violées

Magnet Forensics affirme que Mario Del Gaudio était tenu par plusieurs engagements stricts envers l’entreprise. Ces obligations couvraient la confidentialité des informations, l’interdiction de toute divulgation, la protection de la propriété intellectuelle développée en interne, ainsi que la restitution des données appartenant à l’entreprise une fois son contrat terminé.

La plainte s’appuie sur plusieurs fondements juridiques pour établir la responsabilité des deux défendeurs devant la justice américaine.

  • détournement de secrets commerciaux
  • violation d’un accord de confidentialité
  • violation d’obligations contractuelles
  • appropriation illicite de propriété intellectuelle.
  • interférence avec les relations commerciales de Magnet Forensics

Des réparations financières sont demandées

Magnet Forensics réclame des dommages et intérêts à la fois compensatoires et punitifs, ainsi que la restitution des profits générés par Paradigm Shift grâce à ces informations confidentielles. L’entreprise demande également une injonction judiciaire interdisant toute nouvelle utilisation ou diffusion de ses secrets commerciaux.

Parmi les mesures concrètes exigées figure la suppression de l’article publié le mois dernier (ce qui a déjà eu lieu pour le coup), ainsi que du code source et de la documentation technique qui l’accompagnent. Magnet Forensics souhaite également le retrait des contenus dérivés publiés sur d’autres plateformes, la restitution ou la destruction complète de toutes ses informations confidentielles, ainsi que le remboursement de ses frais de justice et honoraires d’avocats.

L’entreprise canadienne, rachetée en 2023 par le fonds d’investissement Thoma Bravo pour 1,3 milliard de dollars, avait déjà adressé plusieurs mises en demeure à Paradigm Shift Technology avant de porter l’affaire devant la justice.