Les cybermenaces n'ont jamais été aussi graves et pourraient entraîner dans les années à venir des dommages cataclysmiques affectant tous les secteurs, préviennent des experts et officiels français.
Réunis lundi à Paris pour un colloque à l'occasion de la publication de la Revue stratégique de cyberdéfense française, pour la rédaction de laquelle près de 200 personnes et institutions ont été consultées au cours des six derniers mois, ils ont insisté sur les risques que font peser sur le fonctionnement des sociétés modernes les actions de pirates, cyber-malfaiteurs et États de plus en plus offensifs, difficiles à contrer, voire à identifier.
"Ce qui me frappe", a indiqué Louis Gautier, secrétaire général de la Défense et de la Sécurité nationale, qui a supervisé les travaux de la Revue, "c'est depuis 2014 l'augmentation considérable des niveaux d'intensité et de sophistication des attaques".
"Nous avons désormais à faire avec des acteurs robustes, qui sont en lien directement ou non avec des États", a-t-il ajouté.
Le "rançongiciel" Wannacry, qui a contaminé au printemps plus de 200.000 ordinateurs dans le monde, entraînant des pannes majeures dans de grandes entreprises et administrations dans de nombreux pays, ou le virus NotPetya, qui a paralysé des entreprises ayant des intérêts en Ukraine, sont un avant-goût du genre d'attaques auxquelles il faut se préparer.
"La plupart des crises intérieures ou internationales et des conflits inter ou intra-étatiques ont désormais une dimension cyber", estiment les auteurs de la Revue dans leur introduction. "Le constat d'une exposition accrue de nos sociétés de plus en plus numérisées et interconnectées au risque de crises cyber majeures résultant d'attaques massives ou produites par des contaminations systémiques s'impose".
Pour Bruno Marescaux, sous-directeur de l'Agence nationale de la sécurité des systèmes d'information (Anssi), "il y a clairement un durcissement de la menace. De plus en plus d'acteurs ont compris tout l'intérêt qu'ils pouvaient avoir en termes d'efficacité, de bras de levier, d'impunité à utiliser le cyberespace comme un moyen d'action".
- 'Industrialisation de la cyber-criminalité' -
S'il y a quelques années, les opérations majeures de piratage, de cyber-espionnage ou de sabotage informatique étaient l’œuvre d'Etats, de mafias organisées ou de groupes de pirates maîtrisant des techniques avancées, il est désormais possible à n'importe qui, en quelques clics, de se procurer des moyens d'attaque redoutablement efficaces.
"C'est ce que les anglo-saxons appellent +crime as a service+", explique Jacques Martinon, magistrat à la direction des Affaires criminelles et des grâces. "La sophistication des outils qu'on peut trouver relativement facilement sur des réseaux comme le darknet (partie obscure de l'internet non référencée par les moteurs de recherche) augmente".
"Cela abaisse la nécessaire connaissance informatique, le ticket d'entrée intellectuel, à un niveau assez bas", ajoute-t-il. "Nous assistons à une industrialisation de la cyber-criminalité".
Le chef d'état-major du commandement cyber de l'armée française ("ComCyber"), le capitaine de vaisseau Bertrand le Sellier de Chezelles, assure quant à lui que "les gens que nous avons en face sont de plus en plus malins. Ils s'adaptent à nos contre-mesures, aux systèmes que nous mettons en œuvre. Nous avons de vraies difficultés à contrer leurs actions".
La multiplication exponentielle, dans un proche avenir, du nombre d'internautes et d'objets connectés (les estimations sont de 200 millions d'objets connectés en 2020) va multiplier de façon inquiétante le nombre de points d'entrée possibles pour les cyber-assaillants.
"Le niveau de sécurité d'une chaîne est celui de son maillon le plus faible" explique Philippe Duluc, directeur technique de la partie "Big Data" et sécurité de la société de services numériques Atos (PA:ATOS). "Et lorsque la chaîne comporte des millions de maillons, ça devient extrêmement compliqué. Le hackeur n'a qu'un maillon à attaquer alors que celui qui assure la sécurité de cette chaîne doit s'occuper de tous les maillons."
Au cours de la décennie précédente, il fallait en moyenne 350 jours à un organisme pour détecter la présence d'un pirate dans son système. "Aujourd'hui, nous sommes passés à 150 jours", assure Philippe Duluc. "C'est mieux... Mais c'est quand même 150 jours !"