C’est un scénario digne d’un épisode de la série Mister Robot. En Angleterre, des patients qui devaient se faire opérer ce mardi 12 mai doivent retourner chez eux, avec une intervention chirurgicale repoussée à une date indéterminée, tandis que les ambulances, elles, vont chercher des malades à la mauvaise adresse. La Banque centrale russe et plusieurs ministères du Kremlin annoncent avoir subi plusieurs cyber-assauts. Dans les gares allemandes, les panneaux d’affichage des trains échappent à tout contrôle. En Espagne, le réseau interne de l’opérateur téléphonique Telefonica est totalement paralysé. Le géant américain de la livraison Fedex est bloqué, des chaînes de production de l’usine française Renault sont fermées. Les bibliothécaires belges doivent enregistrer leurs documents à la main. Partout sur la planète, le virus “ Wannacry” sème le désordre. Sur les écrans, le même message apparaît, traduit dans la langue du pays dans lequel il sévit : “Oups, vos fichiers ont été encryptés !” Sur la fenêtre, un compte à rebours s’installe : c’est le temps qu’il reste à l’infortuné utilisateur pour délivrer 300 dollars en bit-coins aux hackers. Ce rançongiciel frappe partout : 150 pays sont touchés, 300 000 ordinateurs sont infectés, des milliers d’entreprises sont paralysées. Le bilan est lourd, mais il aurait pu être bien plus important si l’attaque n’avait pas été enrayée, presque par hasard, par un jeune britannique, Marcus Hutchins.
Il n’en reste pas moins que l’ampleur du piratage est sans précédent dans l’histoire d’internet. Pourtant, les spécialistes ne semblent pas surpris par cette offensive mondiale. Matthieu Suiche, hacker professionnel et fondateur de l’entreprise de cybersécurité Comae, fait partie des trois français qui ont mis au point un moyen de contrer la seconde réplique de l’attaque. L’imminence d’une telle secousse était prédictible selon lui : “Cela devait arriver, après les informations divulguées le 14 avril avril par les Shadow Broker”. Ce groupe de pirates, à l’origine et aux motivations troubles, avait en effet divulgué plusieurs failles de sécurité concernant Windows. Des informations qu’ils auraient trouvé dans les fichiers de la NSA.
Wannacry inaugure-t-il une ère de la cyberpiraterie mondialisée ? Ou n’est-ce qu’un symptôme plus violent de la menace que représente la criminalité virtuelle? Les antécédents, quoi qu’il en soit, sont bien visibles. En 2016, Yahoo, avait dû faire face au piratage de 500 000 de ses comptes. L’expérience avait montré qu’en matière de cybersécurité, l’union ne fait pas toujours la force. Il suffit de la vulnérabilité d’un maillon pour détruire toute la chaîne. Lorsque le gestionnaire américain de nom de domaine Dyn s’est fait pirater, ce sont Netflix, Twitter, Airbnb, et Paypal qui en ont payé le prix : l’accès à chacun de ces sites était impossible, à cause d’un déni de service distribué (ou DDoS attack pour Distributed Denial of Service attack). Ce type de hacking consiste à envoyer une énorme quantité de requêtes, de sorte à saturer le serveur, empêchant ainsi tout accès aux sites internet. Ce genre d’attaque est beaucoup plus facile à mettre en oeuvre du fait de l’utilisation croissante d’objets connectés.
Phishing, rançongiciel, vers informatiques, cheval de Troie… Les hackers ont plus d’un tour dans leur sac pour percer nos défenses. “Les techniques de hacking changent d’une année à l’autre. les pirates sont très opportunistes, ils exploitent les vulnérabilités pour développer de nouvelles méthodes,” met en garde Edgar, en charge de la veille sécurité dans un grand groupe de télécom français (invoquant la politique de confidentialité de son employeur, il souhaite rester anonyme, nous avons modifié son nom.) “En 2016, le ransomware, c’était le mode d’attaque numéro 1.”
Dans deux cas sur trois, la victime payerait la rançon, malgré l’appel de l’Agence Nationale de la Sécurité des Systèmes Informatiques (ANSSI) à ne pas le faire, estime Thierry Karsenti, expert en cybersécurité, dans un entretien au Parisien. Dans les entreprise, le phishing, ou hameçonnage a aussi la côte.“Les hackers envoient par mail des pièces jointes aux salariés. Si vous l’ouvrez le virus rentre dans votre ordinateur, et peut infecter tout le réseau.” explique Philippe Chabrol.
Mais qui sont donc ces hackers redoutables ? “Il y a trois profils, explique Philippe Chabrol. Vous avez le geek solitaire qui aime les défi, des groupes d’activistes comme Anonymous ou Wikileaks, et le hackers qui offrent leurs services aux réseaux purement mafieux.” Pour traquer les pirates, des spécialistes en cyber sécurité doivent faire preuve d’une grande réactivité. Pour espérer le contrer, ils doivent comprendre comment l’attaquant évolue, et quels outils il a utilisé. “L’attaquant a toujours l’avantage, parce qu’il lui suffit d’être bon une fois, alors que les défenseurs doivent être bon tout le temps, à chaque attaque ”, résume Edgar.
Prévenir plutôt que guérir
Que le web puisse être dangereux, cela ne fait plus de doute pour personne. Mais si les particuliers ont bien conscience de l’existence d’une menace, la plupart se sent impuissante à la contrôler, et se résigne à vivre avec une épée de Damoclès virtuelle au-dessus de la tête. Bénédicte Mangau, 20 ans, est consciente des limites de son antivirus Avast. « Je sais qu’il y a un risque à prendre quand on utilise un ordinateur relié à internet, tout comme il est possible de se faire écraser par une voiture quand on traverse. On n’a pas le choix, sinon on ne vit plus. » Les réflexes de protection des particuliers se réduisent au minimum : l’installation d’un antivirus gratuit. Les mises à jour, les sauvegardes ? On les fait parfois, lorsqu’on a le temps. Pour beaucoup, il est difficile de croire que des hackers puissent s’intéresser à eux. A quoi bon barricader son écran lorsqu’on mène une modeste existence ? Les attaques, c’est bon pour les riches et les puissants. “J’ai l’impression que ça ne m’arrivera pas, je ne suis pas connue !” rigole Marie-Agnès Schmitt, une Lorraine de 54 ans.
Or la particularité de la sphère numérique réside dans l’effacement des frontières, géographiques comme structurelles. « On a tendance à parler uniquement des Organismes d’Intérêt Vitaux (OIV) comme les centrales nucléaires, en se disant que c’est vital. C’est une erreur. Chacun est vulnérable, une entreprise, une mairie, une usine… Aujourd’hui, tout le monde est connecté, acteurs publics comme acteurs privés. Donc tout le monde est menacé« assure David Assou, spécialiste de la question de la sécurité dans le concept des smart-cities. Camille, 23 ans et étudiante en communication, en a fait l’expérience. Elle a perdu 450 € après s’être fait hacker sa carte bleue: “Je suis allée sur mon compte bancaire et j’ai vu que quelqu’un avait fait une opération pour essayer de me prélever 1 000 €. Comme j’ai un plafond de 200 euros, cela n’a pas fonctionné. Mais après avoir fait plusieurs petits virements, le pirate a réussi à me prélever 450 € vers un compte aux Caraïbes.” Camille n’est pas un cas isolé. Ce genre d’attaque assez fréquente s’explique généralement par un manque de vigilance lors d’un achat en ligne. Il est impératif de vérifier qu’un cadena vert précède l’url, lui-même introduit par la mention “https”, qui signifie que le site est sécurisé.
Du côté des entreprises, le constat n’est guère plus optimiste. La plupart du temps, le piratage informatique est un sujet tabou. Une cyberattaque, ce n’est pas idéal pour l’image de marque. La sécurité est rarement une priorité une priorité pour les patrons d’entreprise, à moins qu’un piratage ne conduise à une tardive prise de conscience. « Bien souvent, c’est quand elles ont subi une attaque que les entreprises se tournent vers nous », confirme Justine Gretten, salariée de Mail In Black, une société qui propose un service de sécurisation des boîte mails grâce à un système de filtrage des expéditeurs. “La demande augmente d’un coup après des périodes de crise, comme on a pu en vivre en 2016 par exemple. C’est vraiment la politique de l’autruche : tant qu’on n’a pas de problème, on ne change rien et on ne pense pas aux risques…”
Or pour faire face à une cyberattaque, une entreprise doit avoir mis en place une véritable stratégie de défense en amont, quitte à faire appel à des spécialistes.“Les services de nettoyage, de gardiennage ou de restauration, ce sont des assistances auxquelles une entreprise souscrit facilement, parce que ce n’est pas son cœur de business. Pour la sécurité cela devrait être pareil,”préconise Edgar, qui appelle à plus de collaboration : “Les acteur de la sécurités sont parfois dans un vocabulaire trop technique, et peut-être trop sur le ton du « y a qu’à, faut qu’on”. Les chefs de projets ne savent pas quoi en faire et laissent tomber les recommandations”, diagnostique-t-il.
Transition numérique, transition sécuritaire ?
Face au tout numérique, la question de la sensibilisation de la préservation des données se fait de plus en plus vitale, pour les entreprises comme les particuliers. “Nous changeons de culture, il faut le prendre en compte dans nos habitudes”, martèle Philippe Chabrol. Si le secteur de l’innovation se porte plutôt bien, le pendant sécuritaire, lui, est à la traîne. “Le niveau de sécurité n’est pas considéré comme essentiel dès le départ. Or ce n’est pas quelque chose d’optionnel ! Pour tout objet connecté, Il faut vraiment qu’à chaque nouvelle version soit posée la question de l’amélioration de la sécurité par rapport à la version précédente.” insiste Edgar, avant de nuancer : “Tout est une question de juste niveau. Une industrie peut se plomber si on lui impose des règles trop strictes. Le produit final peut être archi-sécurisé, s’il arrive un an et demi trop tard, ou s’il est 50 % plus cher que la concurrence, cela ne fonctionnera pas. Il faut aussi que l’utilisateur puisse s’approprier facilement les fonctions de sécurités mises en place ”.
Le défi de l’éducation à l’heure du tout numérique
De l’avis de tous les acteurs de la cyber-sécurité, la première chose à mettre en place est donc une véritable éducation des comportements des particuliers comme des professionnels. “Paradoxalement, plus les générations sont connectées, plus elles ont un comportement naïf, faisant une confiance aveugle aux réseaux sociaux par exemple. Dès l’école, au travail, partout, il faut inculquer les bons réflexes : sauvegarder ses fichiers en cas d’attaque, faire des mises à jour régulières pour corriger les failles des systèmes, sécuriser ses mots de passe, reconnaître les mails suspects…” énumère David Assou. De l’utilisation de serious-game aux campagnes de sensibilisation en entreprise, des initiatives sont déjà prises à ce sujet.
La France manquerait également d’un cadre administratif et législatif clair. Signe de ce retard, le terme “cybercriminalité” n’existe même pas dans le code pénal français, contrairement à la plupart des pays européens. “Avant d’avoir de solutions, un budget, il faut avoir une organisation fiable. Il y a bien l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) qui s’est emparée de l’affaire. C’est elle notamment qui aide à protéger les OVI. Mais c’est loin d’être suffisant” assure David Assou. Selon lui, quelques initiatives émanant des hautes sphères de l’Etat sont tout de même encourageantes. Il retient notamment la création par l’ancien ministre de la défense Jean-Yves Le Drian d’une quatrième armée, spécialisée dans la cyberdéfense. Il salue également la perspective de rédaction d’un nouveau Livre Blanc ciblant les cyberattaques comme des menaces prioritaires : “Toute la défense et la sécurité de notre pays est organisée budgétairement, en terme de moyens, d’identifications des risques et des menaces dans les Livres Blancs”, justifie-t-il.
Mais, même dans les conditions optimales de protection, une certitude demeure : le risque zéro n’existe pas. La veille des services de sécurité consiste surtout, selon Edgar, à jouer les “pompiers numérique”, prêts à contenir la menace. Il s’agit de réagir vite et bien : “On ne peut pas être totalement imperméable. La vraie question n’est donc pas de savoir si l’on va être attaqué, mais quand on le sera ? Sera-t-on prêt à réagir ?”. Or, selon David Assou, la réactivité des administrations est loin d’être opérationnelle : “Les plans de sécurité, appelés Plan de Continuité de l’Activité (PCA) et Plan de Reprise de l’Activité (PRA), souvent, ne sont pas à jour. C’est pourtant eux qui permettent de ne pas plonger dans l’anarchie. Si le site de la Mairie de Paris se fait pirater, le PCA permettra par exemple de maintenir la collecte des déchets, de trouver une solution pour l’éclairage public…” Le constat s’est vérifié de manière criante depuis le 12 mai dernier.
Il ne paraît donc pas exagéré de voir dans la cybercriminalité la principale menace du XXIe siècle. La possibilité d’une paralysie mondiale des infrastructures n’est plus un scénario de science-fiction. Wannacry permettra peut-être une remise en question sur notre capacité à nous défendre. Pour Edgar, la responsabilité indirecte de la NSA dans le développement de la cyberattaque est alarmant : “C’est assez perturbant de voir qu’on a une agence gouvernementale qui n’est pas capable de protéger ses secrets et ses armes numériques. C’est un peu une boîte de Pandore.”
Emilie Salabelle et Sarafina Spautz