Défense : la cyberguerre à nos portails. Avec Gérôme Billois, Asma Mhalla et Maxime Tellier

C'est une guerre sous la guerre. Elle est là, elle fait de nombreux dégâts, en silence, parfois même en secret. C'est la raison pour laquelle nous avons décidé de vous en parler ce matin. France Culture rend disponible aujourd'hui un nouveau podcast original mécanique de la cybermenace avec plusieurs épisodes pour expliquer en quoi consiste cette cybermenace, comment elle vise les démocraties et comment aujourd'hui, ces démocraties en général, mais la France en particulier, fait pour s'en prémunir. Et c'est vous qui l'avez confectionné, ce podcast, Maxime Tellier. Bonjour. Bonjour.

Et puis, pour évoquer cette menace, la manière dont celle-ci est en cours dans la guerre entre la Russie et l'Ukraine, mais pas seulement, nous sommes en compagnie d'Asma Mala. Bonjour. Bonjour. Vous êtes maîtresse de conférence à Sciences Po et spécialiste des enjeux politiques de l'économie des plateformes numériques. Et Jérôme Bioua, bonjour. Vous êtes expert sécurité au cabinet Waveston. Peut-être, justement, évoquer l'un de ces épisodes qui a eu lieu au cours de cette guerre entre la Russie et l'Ukraine. On en a probablement moins parlé, bien sûr, que les bombardements traditionnels. Une question qui touche les satellites.

Jérôme Bioua, expliquez-nous ce qui s'est déroulé au cours de cette guerre avec les satellites.

Bonjour. Oui, c'est certainement l'événement le plus frappant dans le domaine cyber de ce conflit. C'est l'attaque qui a touché les satellites de la marque Viasat. Des satellites qui étaient utilisés pour de nombreux usages, dont, évidemment, les communications pour l'armée ukrainienne. Et donc, dès le premier jour de l'invasion, il y a eu une attaque simultanée sur ce réseau de satellites, à la fois pour l'empêcher de fonctionner, en le saturant, en envoyant plein de messages, en faisant que les communications ne passaient plus, mais aussi en détruisant une partie du matériel.

Donc, en envoyant une attaque cyber dans les modems satellitaires, comme les boxes qu'on a à la maison, pour finalement les rendre inopérants. Et donc, ils arrêtent de fonctionner. Et c'est là où on voit le problème dans ces guerres numériques. C'est que, là, ça a touché, évidemment, l'Ukraine. Mais cette attaque, elle a débordé. Elle a touché aussi des simples abonnés Internet en France, plus d'une dizaine de milliers. Des champs d'éoliennes en Allemagne, où la communication a été perdue aussi. Parce que, eh bien, cette attaque, elle a débordé de son champ initial.

Autre exemple à ce moment-là. Si on devait donner des exemples de cette cybermenace et de la façon dont celle-ci se réactualise avec la guerre entre la Russie et l'Ukraine.

Alors, récemment, il y a quelques jours de ça, un opérateur ou un fournisseur d'accès Internet ukrainien, Ukrainian Telecom, a été aussi cyberattaqué. Alors, celle-ci est légèrement plus importante que les autres cyberattaques qui, en fait, ont émaillé le conflit, et qui étaient bien intérieurs, d'ailleurs, au conflit, qui font partie d'une campagne, je dirais, de cyberharcèlement dont fait l'objet l'Ukraine par la Russie depuis 2014, en réalité, vraiment. Et de ce point de vue-là, ils ont d'ailleurs développé une énorme résilience ou résistance ou des techniques de réponse à ces campagnes de cyberharcèlement.

Mais, concrètement, récemment, il y a eu cette attaque-là qui a été un peu plus importante parce qu'elle a mis, vraiment, elle a saboté une partie de ce réseau-là pendant plusieurs heures. Et donc, ça a baissé la connectivité d'un certain nombre d'Ukrainiens de plus de 80%. Et donc, celle-ci, bien que pas fondamentalement stratégique, ni d'un point de vue politique, ni d'un point de vue militaire, a fait l'objet, en tout cas, d'une campagne de communication dans le cadre de la guerre informationnelle, qui est l'autre volet, finalement, de la cyberguerre dont on parle beaucoup en ce moment.

C'est-à-dire ? Expliquez-nous.

Alors, la guerre informationnelle, en gros, ce qu'on appelle, si vous voulez, la cyberguerre, ce sont, en fait, un ensemble de modalités d'action qui vont venir, et c'est très important de le préciser, en complément des modalités de combat conventionnelles, et qui vont attaquer cette quatrième dimension qu'on appelle le cyberespace. Et donc, en fait, c'est l'ensemble des infrastructures et réseaux, mais aussi tout ce qui est intangible, invisible, c'est-à-dire tous nos usages sur les applications. Et là, vous avez deux grands volets, si vous voulez, d'actions militaires.

La première, qui est vraiment sur les contenus, le contrôle de la sphère informationnelle qui fait partie de la guerre informationnelle. C'est l'ensemble des narratives, des propagandes, des récits qui sont d'ici, dans un camp et dans l'autre. Et puis, le deuxième volet, et là, pour le coup, sur la guerre informationnelle, on est vraiment sur un conflit de haute intensité. Pour le coup, vraiment, on a un combat de narratif qui est très fort dans les deux camps, dont l'enjeu, d'ailleurs, ce sont les opinions publiques occidentales, nous.

Et puis, le deuxième volet, qui est celui-ci de basse intensité et qui, volontairement, à mon avis, est vraiment en dessous du seuil d'affrontement, c'est celui des cyberattaques que vous évoquiez et qu'on évoquait à l'instant. Et celui-là fait partie davantage, de mon point de vue, de l'ordre d'abord du narratif, de la mise sous pression d'un camp et de l'autre. Et puis, il me semble aussi que ça fait partie d'un gentleman's agreement qui date, en fait, de juin 2021, entre Biden et Poutine, suite, en fait, à une énorme cyberattaque qui avait eu lieu en mai 2021 aux Etats-Unis et qui avait bloqué pendant plus de 48 heures un grand opérateur de léoduc américain.

Et à partir de là, quand Biden et Poutine se sont rencontrés en juin 2021 à Genève, ils avaient eu une espèce d'accord tacite entre eux, disant que toutes les cyberattaques critiques, c'est-à-dire qui touchaient des infrastructures étatiques vitales, étaient absolument exclues du champ des cyberattaques entre eux deux, ou en tout cas sous réserve de mesures de rétorsion très fortes.

Maxime Tellier, ce qui est singulier également dans cette guerre entre la Russie et l'Ukraine, c'est que la Russie et l'Ukraine ne sont pas n'importe quel pays sur la carte des cybermenaces. C'est ce que vous évoquez notamment dans votre podcast.

Oui, c'est la menace est à l'est. C'est ce que dit l'un des interlocuteurs que j'ai rencontré. Alors, l'interlocuteur en question, c'est Julien Nocetti, qui est chercheur à l'IFRI. C'est-à-dire que quand on regarde toutes les menaces qui pèsent sur la France en particulier, puisque je parle beaucoup des institutions françaises dans ce podcast, on se rend compte notamment que l'économie, par exemple, du rançongiciel, donc les logiciels de rançon qui bloquent les données, et ensuite vous pouvez réussir à les débloquer si vous payez une rançon, cette économie du rançongiciel est largement basée en Russie. Voilà, après c'est vrai qu'on assiste par ailleurs.

Ça veut dire qu'elle est étatique, elle est tolérée, bref, comment expliquer ? C'était d'ailleurs le cas dans le colonial pipeline que vous venez d'évoquer à ce moment-là, parce qu'il faut expliquer que cette attaque a touché le système de comptabilité de ce pipeline, un pipeline américain extrêmement important pour les Etats-Unis. Et alors aujourd'hui, on sait s'il s'agissait d'une attaque de la part d'un groupe de criminels ou bien de la part de l'Etat russe ?

C'est une excellente question, cher Guillaume Werner, et qui pose en fait un enjeu fondamental dans les questions de cyberattaque, qui est la question de l'attribution, et qui est un sujet politique. L'attribution, c'est quand un Etat attribue une mesure hostile, un acte de guerre, en l'occurrence une cyberattaque peut l'être, depuis l'invocation d'ailleurs de l'article 5 de l'OTAN, à un autre Etat. Et donc, en ce moment, et jusque-là, et peut-être que la guerre d'Ukraine va distiller ou va commencer à initier un changement un peu paradigmatique sur ces questions-là, mais jusque-là, les Etats faisaient très attention à ne pas attribuer directement.

Et donc, en réalité, ce qui se passe dans le cas russe, et dans tout un tas d'autres cas, c'est que vous avez des nébuleuses, un magma finalement, des proxys, tout un tas de groupes qui, en fait, sont affiliés plus ou moins indirectement au renseignement. Alors, en général, c'est le GRU qui est le renseignement militaire russe, mais pas que, et qui reçoivent de façon indirecte leur ordre de commandement de l'un. Mais la question de l'attribution est très, très politiquement sensible.

Donc, dans le cas que vous évoquiez sur le Colonial Pipeline, on a toujours des formulations diplomatiques qui sont, disons, implicites et évasives, qui indiquent que c'est bien l'Etat russe, mais pas de façon directe. Autrement, ça aurait été un acte hostile officiellement déclaré.

Une sorte d'activité tolérée, Jérôme Bilois ? Tolérée, oui, et même avec un certain nombre de connivences entre un certain nombre de groupes. Alors, sur le Colonial Pipeline, on sait que c'est le groupe qui s'appelait Dark Side, qui, pour le coup, n'est pas connu pour être lié directement à l'Etat russe. Et, justement, je pense que quand ils ont fait cette attaque sur ce pipeline, ils ont franchi une ligne rouge.

Parce que, d'un seul coup, ça a complètement changé la politique de réponse des États-Unis, qui, d'une part, qui préalablement tolérait ces attaques et considérait qu'elles étaient, finalement, de la criminalité, parce qu'elles touchaient le secteur économique, mais en faisant des impacts qui, finalement, étaient, quelque part, acceptables. Et là, ils ont touché une infrastructure critique. Et là, ça a fait des queues dans les pompes à essence. Et là, d'un seul coup, ça a changé. Il faut quand même se rappeler que l'administration Biden a dit le ransomware, donc ces attaques cyber qui demandent des rançons pour libérer les systèmes, on est au même niveau de menace que le terrorisme.

Donc, ça a complètement changé la manière de prendre les choses.

Mais alors, moi, ce qui m'avait beaucoup frappé au moment de cette attaque du Colonial Pipeline, c'est qu'on n'avait pas du tout affaire à des informaticiens qui avaient hacké le système de distribution en tant que tel. Ils avaient hacké le système de comptabilité de la compagnie, ce qui veut dire qu'on peut attaquer de cette manière-là, à peu près n'importe quoi. C'est quasiment une méthode assez robuste avec des effets maximaux.

Aujourd'hui, on le voit bien, il y a énormément d'attaques cyber. Et ce qui limite le nombre d'attaques cyber, c'est le nombre de cybercriminels. Parce que finalement, tous nos systèmes numériques sont quand même malheureusement très vulnérables. Pourquoi ? Il y a deux raisons majeures. Il y en a une, déjà, c'est un sous-investissement. Dans le secteur privé comme dans le secteur public depuis une dizaine d'années, dans ce domaine de la sécurisation du numérique, ça va mieux sur les deux ou trois dernières années. Mais il y a encore un rattrapage énorme à faire. Et la deuxième raison, c'est qu'aujourd'hui, les systèmes numériques qu'on vend ne sont pas sécurisés.

C'est comme une voiture qu'on achetait dans les années 60 où vous n'aviez pas la ceinture de sécurité. Aujourd'hui, les systèmes numériques, il faut ajouter cette ceinture de sécurité et ça prend du temps.

Alors ça, vous en parlez, Maxime Tellier, dans votre podcast. Vous expliquez qu'on peut concevoir des choses avec la sécurité comme premier souci ou pas.

Oubliez de le faire. Oui, c'est un principe qu'on évoque souvent dans le monde de la cybersécurité où il y a beaucoup d'anglicisme. Security by design, c'est-à-dire qu'on conçoit un projet avec la sécurité dès la planche à dessin, si vous voulez. Mais là, l'exemple de Colonial Pipeline, c'est un bon exemple parce que ça montre aussi les techniques d'attaque des cybercriminels pour toucher un oléoduc ou un gazoduc aux Etats-Unis. Ils n'ont pas attaqué le système informatique qui fait fonctionner cet oléoduc. Ils ont attaqué le système de facturation. Et donc, c'est ce qu'on appelle les attaques à la supply chain, aux sous-traitants.

Et donc, quand vous paralysez le système de facturation, l'entreprise ne peut plus facturer ses clients et donc, ils arrêtent la livraison. Et donc, on a vu ce qui s'est passé. Et finalement, c'est la faille dans un système informatique qui peut être par ailleurs robuste. Mais s'il y a une seule faille, le niveau de l'ensemble est faible à ce moment-là.

Alors, ce qui est très intéressant aussi, c'est qu'on parle beaucoup du camp russe et de ce qui se passe côté russe. Mais c'est très intéressant aussi d'observer ce qui se passe du côté ukrainien. Et ce qui s'est passé du côté ukrainien, c'est une forme d'ubérisation finalement de la guerre avec cette fameuse IT Army qui, donc je ne sais pas s'il faut remettre un peu dans le contexte, mais le ministre numérique et le vice-président ukrainien, Fedorov, a lancé au début du conflit un appel aux bonnes volontés du monde entier pour que tout un tas de hackers, de néophytes, de fans de cyber, de je ne sais qui, puissent finalement participer à l'effort de guerre ukrainien contre le camp russe.

Et donc, en fait, toutes ces campagnes-là sont organisées à distance via des canaux télégrammes. Et donc, on a appelé ça, ils ont appelé ça l'IT Army. Et ce qui est très intéressant, c'est que sous les effets a priori convergents, on pourrait croire que c'est vraiment dans un esprit, disons, de solidarité dans le champ, en tout cas, de la cyber-guerre et des cyber-attaques. En réalité, on s'aperçoit, et c'est ce que vous disiez, que les intérêts ne sont pas si convergents que ça et que vous avez tout un tas de magmas d'acteurs privés, individuels, etc., dont l'enjeu n'est pas du tout la guerre, mais est un enjeu d'abord business et réputationnel.

Et là-dedans, on a eu toutes les actions très médiatiques et très peu utiles, en réalité, voire contre-productives, des Anonymous, qui, à un moment donné, avaient court-circuité les médias russes pour y diffuser des champs ukrainiens, etc. Donc, tout ça, en fait, n'a que très peu de valeur, d'un point de vue de la cyber-attaque, si ce n'est qu'en réalité, c'est contre-productif, parce que ça bruit les données et les réseaux pour les renseignements. Donc, en réalité, c'est même le contraire qu'on peut observer. Et puis, surtout, ça participe vraiment de cette campagne, finalement, communicationnelle et de cette guerre de l'information. Et ce qui est... Oui. Mais alors,

pour donner un autre exemple, à ce moment-là, le site du Kremlin était également hacké, ce qui rendait indisponibles les articles écrits par Vladimir Poutine. Et donc, c'était le moment ou jamais où on voulait les lire. Et on ne le pouvait pas. Ça, vous qualifieriez cela d'inutile, de nuisible ? Symboliquement, c'était quand même une tentative réussie ?

Vous l'avez dit, c'est symbolique. C'est de la camp politique. C'est de la camp politique. Ça n'avait que assez peu d'intérêt d'un point de vue militaire, en tout cas. Donc, ça participait toujours de ce narratif et la cyber-attaque et les cyber-attaques, ce volet-là de la guerre ou de la cyber-guerre est aussi enrobé d'un narratif dans un camp et dans l'autre.

Et d'ailleurs, c'est très intéressant aussi parce que les dernières séquences récentes dans l'actualité qu'on a observées, c'est d'abord les déclarations de Biden semaine dernière qui ont été largement reprises par le New York Times qui expliquaient qu'en fait, les États-Unis attendaient une vague de cyber-attaques critiques de la part de la Russie et qui donc demandaient à une élévation supérieure du niveau de cybersécurité de l'ensemble des infrastructures étatiques et privées américaines.

Ce à quoi a répondu il y a, je crois, 24 heures de ça la Russie en disant qu'elle-même s'attendait à une vague de cyber-attaques critiques de la part du camp occidental et des États-Unis sur leurs infrastructures vitales et critiques.

Comment, Jérôme Bioua, ont réussi à augmenter la sécurité sur ces infrastructures ? Parce que vous évoquiez tout à l'heure le fait que celle-ci n'avait pas été pensée d'emblée comme des données à sécuriser. Surtout, en tout cas, comment fait-on après coup pour rehausser

le niveau de la sécurité ? Il y a deux axes. Un premier axe, c'est la protection. En fait, le niveau de protection, si vous voulez, la solidité des systèmes informatiques a résisté à une cyber-attaque, elle peut être augmentée. Par exemple, vous savez, il y a des failles de sécurité qui sont régulièrement publiées. On nous demande de mettre à jour à titre personnel nos téléphones, nos ordinateurs. C'est pareil dans les entreprises. On peut mettre à jour les systèmes. Et souvent, on a un peu le pied sur le frein pour ça parce qu'on se dit si on met à jour, est-ce que ça va marcher après, etc.

Donc ça, ça a permis, et moi je l'ai vu dans de nombreuses entreprises, y compris en France, d'accélérer finalement ces opérations de sécurisation qu'on laissait un peu traîner parce qu'on avait des doutes, des craintes, etc. Ça, c'est le premier axe. Le deuxième axe, c'est l'augmentation des capacités de détection des attaques et de la surveillance des systèmes. Aujourd'hui, on va avoir dans pas mal d'entreprises des petites équipes qui sont en charge, un peu comme, vous savez, l'agent de sécurité qui est dans le bâtiment et qui a toutes les caméras de surveillance qui voient. Il y a la même chose dans le numérique.

On va avoir des gens devant des écrans qui sont en train de surveiller les systèmes. Souvent, ces personnes-là, la nuit, on n'avait pas forcément les moyens de les laisser sur place. Donc, on leur disait rentrez chez vous et s'il y a une alerte, on vous appellera, etc. Mais il y a pas mal d'entreprises qui, justement, ont décidé de passer en 24-7 ces étapes de surveillance et ainsi d'augmenter, quelque part, leur vigilance à d'éventuelles attaques pour que, si elles démarrent, elles puissent être finalement gérées très rapidement. Après, Guillaume, vous demandiez si la Russie était responsable des cyberattaques.

Alors, vous l'avez compris, en matière cyber, c'est toujours difficile d'attribuer, sachant qu'attribuer, c'est vraiment un geste politique. La France le fait assez rarement, d'ailleurs, les Etats-Unis l'ont fait. Mais il faut rappeler qu'il y a un contexte global de militarisation du cyberespace avec des capacités offensives assez redoutables aussi dans le camp occidental. Dans le podcast, on en parle, il y a eu un tournant vraiment offensif avec des doctrines offensives revendiquées par les Etats-Unis, la France, le Royaume-Uni. Donc, il y a aussi des capacités offensives du côté occidental. à ce moment-là.

Vous avez raison et en même temps, j'ai l'impression qu'on se regarde un tout petit peu en chien de faïence, l'idée étant justement de rester dans une espèce de statu quo d'attentisme parce que si on se mettait à tout d'un coup cyberattaquer des infrastructures vitales ou critiques sans être absolument sûr de pouvoir y répondre, ça pourrait être très compliqué. Il y a une dimension de dissuasion. Absolument.

Et la dissuasion, d'un point de vue offensif cette fois-ci, ça s'appelle la cybercoercition et là, de ce point de vue-là, en Europe, on n'est pas du tout au fait d'un point de vue doctrinal, ce qui a fait dire d'ailleurs à Thierry Breton le 11 mars dernier qu'il fallait peut-être commencer à s'y préparer.

À ce moment-là, vous êtes maîtresse de conférence à Sciences Po, spécialiste des enjeux politiques de l'économie des plateformes numériques. Jérôme Bioua, expert cybersécurité au cabinet Wavestone et Maxime Tellier. On vous doit ce nouveau podcast original de France Culture mécanique de la cybermenace que vous pouvez bien entendu retrouver sur le site de France Culture et sur l'appli Radio France.

7h-9h,

les matins de France Culture. Guillaume Herner. Des missiles, des chars, des bottes et des ordinateurs. La guerre ressemble désormais à cela et notre vulnérabilité vis-à-vis de ce nouveau risque est toute particulièrement accentuée, soulignée par ce nouveau podcast original original de France Culture mécanique de la cybermenace que vous avez confectionné Maxime Tellier. Nous sommes également en compagnie de Jérôme Bioua, expert cybersécurité au cabinet Wavestone et Asma Mala, maîtresse de conférence à Sciences Po, spécialiste des enjeux politiques de l'économie des plateformes numériques.

On le voit, Asma Mala, avec ce conflit en cours et il y a un certain nombre de menaces qui sont liées à la cyberguerre. Elles ont été utilisées, on en a parlé, on a parlé par exemple de la question des satellites, de la question des communications. Il y a encore d'autres risques, j'imagine, qui sont latents. Quels sont-ils selon vous ?

Alors, pour l'instant, encore une fois, il faut prendre vraiment le sujet avec prudence. On reste quand même sur des cyberattaques qui sont vraiment de faible intensité. J'insiste beaucoup pour les raisons qu'on a évoquées tout à l'heure. Maintenant, une des grandes questions en tout cas qui se posent et qui animent un tout petit peu à la communauté des cyber experts, c'est pourquoi est-ce que la Russie n'a pas attaqué de façon beaucoup plus violente et frontale le réseau de télécommunications et Internet ukrainien ? Et pour ça, il y a un certain nombre d'hypothèses et de réponses.

La première étant qu'au-delà des simples questions de faisabilité, ils n'ont aucun intérêt à le détruire entièrement parce que ça serait phacocyté leur propre capacité de communication à eux d'abord et ensuite, en cas de gain de guerre ou de victoire, ils auraient besoin de ce réseau de télécommunications et d'Internet pour tout simplement prendre le contrôle de la sphère informationnelle russe qui fait partie d'une doctrine qui date du KGB des années 70. On en parlera peut-être et qui est beaucoup plus large que la simple question des cyberattaques qui est la question du contrôle de l'information de bout en bout de la chaîne, c'est-à-dire de l'infra des réseaux jusqu'au contenu.

Et de ce point de vue-là, il se passe quelque chose d'assez intéressant en termes de stratégie russe.

C'est-à-dire ?

C'est-à-dire qu'en réalité, dès les années 70, on a estimé que l'information, contrairement à ce qu'on peut penser aujourd'hui en France et ça fait partie d'ailleurs d'un des débats qu'on a eu sur la concentration des médias, l'information n'est absolument pas du tout un bien commun, c'est une ressource stratégique qui est une arme de guerre en réalité. Et la doctrine russe qui date des années 70 et qui a été vraiment accélérée à partir du retour de Poutine en 2012, c'est le contrôle de la sphère informationnelle et celle-ci, elle est à double détente.

La première, c'est le contrôle de l'ensemble des contenus et de l'information qui est distillé sur un continuum informationnel, médias conventionnels, réseaux sociaux, etc. Et d'ailleurs, de ce point de vue, vous avez un web russe qui s'appelle Runet qui est assez autonome et qui est sous contrôle indirect ou direct du Kremlin. Et de ce point de vue-là, c'est de faire ce que j'appelle un encerclement cognitif des Russes, c'est-à-dire vraiment les mettre sous cloche en termes d'informations reçues. Et puis après, le deuxième niveau, c'est la population occidentale fait partie de ce que j'appelle moi la cyber déstabilisation.

Donc là, l'idée n'est pas tant de contrôler entièrement l'information, mais de surabonder d'informations, donc de créer de la surinformation avec son corollaire la désinformation. L'idée étant de déstabiliser notre démocratie occidentale en appuyant sur les failles démocratiques des systèmes.

Maxime Tellier. Oui, si vous voulez, il y a trois approches en matière de cyber militaire. Vous avez bien sûr la lutte informatique défensive, alors il y a l'acronyme LID. Vous avez la lutte informatique offensive, LIO. Là, ce sont des armes cyber. On peut parler de sabotage, comme on peut prendre l'analogie comme si c'était une charge explosive qui fait dysfonctionner totalement des systèmes de transport, d'énergie. Et puis vous avez la lutte informatique d'influence, la L2I. Et là, c'est vrai que la Russie est passée maître dans ce type d'attaques.

Ce sont des attaques un peu hybrides qui mêlent des attaques cyber classiques sur des systèmes d'information et ensuite des attaques informationnelles. C'est le principe du hack and leak, c'est-à-dire qu'on pirate un système d'information. On vole des données et ensuite, on les fait fuiter en les manipulant pour manipuler l'opinion publique. C'est ce qui s'est passé aux Etats-Unis en 2016. C'est ce qui a été tenté aussi avec les Macron-Lix en 2017. On en parle dans le podcast aussi. Justement, et la France,

dans tout ça, où en est-elle dans votre podcast mécanique de la cybermenace qui est disponible sur le site de France Culture ? On entend par exemple le général Didier Tissère, commandant de la cyberdéfense des armées, le COM-Cyber au sujet de la capacité offensive de la France. Il décrit ce qu'est une arme cyber et le secret qui les entoure. Un secret, explique-t-il, justifié par les risques de prolifération, notamment ?

Une arme cyber, c'est un mécanisme qui va permettre de rentrer dans le système de l'adversaire et de pouvoir provoquer un effet, éventuellement récupérer des informations. L'adversaire est en train de planifier une opération. Si on récupère les plans de cette opération, ça peut bien évidemment nous aider, c'est ce qu'on appelle du renseignement d'intérêt militaire, mais on peut aussi essayer par exemple dans ces systèmes d'armes Terre et Hermère par exemple qui sont numérisées de pouvoir les bloquer. Mais les autres armes dont dispose la France sont beaucoup mieux connues, le rafale, les bateaux, les avions, les munitions.

En matière d'armes cyber, tout cela reste très secret pour quelles raisons ? Alors c'est pour préserver l'efficacité de ces moyens. Quand on utilise un code informatique pour produire un effet, celui qui administre le système informatique peut voir ce code et peut le comprendre. Et puis après aussi, ce code-là, il peut le réutiliser et puis ça peut se retourner contre vous ou il peut l'utiliser contre d'autres personnes.

Un extrait de votre podcast mécanique de la cybermenace. Votre réaction, Jérôme Biouin, est-ce que la France est convenablement protégée

contre les cybermenaces ? Alors la France, en tout cas, se positionne fortement sur ce sujet-là et on est reconnu à l'échelle internationale comme un des États qui agit le plus. On est suivant les différents classements en 5e, 6e, 7e position. Et on voyait même à l'époque des fuites d'Edward Snowden des documents de la NSA. Quand on prenait les cartes du service d'un des services de renseignement américain et il montrait bien que la France était quand même parmi le top 5 des pays qu'il craignait. Donc oui, on se positionne. Alors après, on a encore beaucoup à rattraper. Le niveau moyen de protection, on a fait tout un benchmark sur les grandes entreprises.

Aujourd'hui, si on prend par rapport aux référentiels internationaux, on est à 46% de maturité. Donc on n'est même pas au 50% de la moyenne, on n'a même pas 10 sur 20 sur le niveau de sécurité parce qu'il y a encore énormément de retard à rattraper.

Mais si on regarde dans la course à l'international, on n'est pas non plus les plus mal placés parce que l'État a su se mobiliser dès 2014 en sortant un certain nombre de lois, en particulier des lois qui vont venir obliger les opérateurs d'importance vitale, ceux qui font que le pays fonctionne aujourd'hui, la banque, les transports, l'énergie, les télécoms, et à imposer de mettre un niveau minimum de cybersécurité pour résister finalement à ces cyberattaques qui pourraient sinon vraiment perturber de manière grave notre quotidien.

Avec ces disparités aussi de niveau de préparation entre les différents secteurs, on imagine que le secteur de la banque, de l'assurance est bien mieux préparé que les hôpitaux par exemple. Effectivement, la banque et l'assurance c'est le premier des secteurs où on atteint presque les 60% de maturité. Pourquoi ? Parce que le numérique c'est toute leur activité. Sans ordinateur, on n'a plus d'argent parce que tout est numérisé. Il n'y a plus des piles de billets dans les coffres forts des banques. Tout ça est dans des fichiers informatiques où on dit monsieur un tel il attend sur son compte en banque. Donc si ça venait à disparaître, on serait vraiment face à une catastrophe.

C'est pour ça que le régulateur, les états imposent des réglementations de cybersécurité, un niveau minimum de cybersécurité très élevé et sur d'autres secteurs, en particulier on le voit bien, le secteur de l'industrie, le secteur des services ou le secteur public, il y a quand même moins de moyens. Il y a actuellement un réveil, je dirais que moi j'observe dans ces différents secteurs mais voilà, le chemin à parcourir est encore long. Asma Malha.

Alors en termes de doctrine, disons politique, on a eu en effet en octobre dernier, octobre 2021, la présentation de la doctrine française qui s'appelle la L2I que vous évoquiez et qui en fait reste relativement évasive alors pour deux questions.

Donc lutte informatique d'influence.

Exactement. Et celle-ci essaie de trouver la ligne de crête finalement entre les actions sur le terrain des cyberopérations, le droit international et l'éthique. Donc autant vous dire que la marge de manœuvre qui reste est relativement faible. Cela étant, ça ne veut pas dire qu'on n'est pas bon en termes de doctrine, ça veut surtout dire que l'ensemble des opérations les plus importantes sont-elles clandestines.

Et tout à l'heure on parlait des proxys, des nébuleuses, des groupes qui sont affiliés à des états mais non officiellement rattachés aux états et peut-être aussi que la L2I avait l'intérêt de faire entrer Paris dans la guerre, dans la cyberguerre et dans la lutte informationnelle et informatique et que c'était surtout un signal de ce point de vue-là. Sur la partie informationnelle, on a aussi créé à peu près à la même période de la Viginum qui est aussi l'agence de veille et de protection contre la désinformation. Après, plus largement, se pose aussi la question de la coordination des différentes task forces nationales au niveau européen ou au sein de l'OTAN.

Et là, c'est des questions politiques majeures qu'on revoit aujourd'hui de l'Europe puissante, de l'Europe de la défense, comment on organise, sur quel périmètre on organise des réponses coordonnées dans les démocraties occidentales et ces points-là, ces points politiques-là sont à trancher assez vite.

Et alors, parmi les groupes qui aujourd'hui sont des groupes ou bien nationaux ou bien privés mais en tout cas dont le statut hybride apparaît comme particulièrement menaçant, il y a un groupe qui se dénomme Conti. Maxime Tellier, si vous pouvez nous le présenter.

Alors Conti, c'est le nom du rançon judiciel. qui est utilisé par ce groupe qui est russe et qui est l'un des plus gros gangs cybercriminels. On peut utiliser ces mots. On parle d'industrie, du rançon judiciel. Ce sont comme des mafias en fait qui sont très organisés. Et on en sait beaucoup sur Conti parce que récemment, c'est assez paradoxal, ils ont été aussi victimes d'une fuite, donc d'un hack and leak, ce dont je vous parlais tout à l'heure. et donc on voit, il y a les échanges internes au sein de ce groupe qui ont fuité et on voit comment ça fonctionne en fait. Et donc vous avez une hiérarchie avec des fois vous avez des discussions, un tel veut prendre des vacances, ils discutent...

C'est une entreprise, ils prennent leur RTD, ils ont le droit.

Et puis ensuite, ils discutent des cibles qu'ils veulent viser. Vous avez des gens qui sont les développeurs qui développent donc le logiciel qui va bloquer les données. D'autres qui communiquent avec la victime. Il y a même un standard, des gens qui disent voilà comment vous pouvez trouver l'argent. Il y a des négociations sachant qu'on paye en bitcoin. C'est une entreprise de service. Mais justement,

dans ce contexte-là, Maxime Tellier, ce qui est intéressant aussi, c'est de voir que ces ransomware, autrement dit, ces rançongiciels, je crois que c'est comme ça qu'on dit en français, ces rançongiciels, eh bien, ils peuvent être tellement nuisibles à des entreprises que certaines payent, certaines ont des assurances. Bref, il y a là aussi un business qui a été construit autour de ça et qui paradoxalement

favorise là aussi ce type d'initiatives. Alors, il y a eu un débat à l'automne et en début d'année sur faut-il interdire de payer les rançons. Et en France, on a décidé que pour l'instant, on pouvait payer les rançons. Il y a des assurances qui assurent ce risque, même si actuellement des assurances se retirent, notamment le groupe AXA. Ce sont des assurances qui s'appellent Kidnap and ransom, en anglais, donc kidnapping et rançon, qui à l'origine étaient pour un kidnapping physique quand on enlève une personne et aujourd'hui qui sont adaptés au monde numérique.

Il faut savoir qu'en fait, si une entreprise a fait tout ce qu'il fallait en matière de cybersécurité, que même sa sauvegarde est chiffrée et qu'elle n'a plus accès à ces données, elle ne peut plus fonctionner. Alors, dans le podcast, je prends l'exemple de l'hôpital de Dax qui a été victime d'une cyberattaque il y a un peu plus d'un an. Là, ils ont réussi à rétablir les données et puis comme c'est un groupe public, la politique est de ne pas payer la rançon. Enfin, du moins, c'est ce qu'ils ont déclaré. Mais quand une entreprise a le choix entre payer une rançon même élevée ou ne pas avoir de chiffre d'affaires, ils payent la rançon.

Je vous propose justement qu'on écoute Aline Gillet-Cober, elle est directrice adjointe de cet hôpital, l'hôpital de Dax et elle raconte l'instant de sidération dans les premières heures qui ont suivi la cyberattaque qui s'est déroulée le 9 février 2021. L'informatique était à plat, elle a pris en charge des patients qu'on l'imagine et était extrêmement difficile.

On a pris la mesure de la situation en début d'après-midi lorsqu'on a réuni la première cellule de crise où là, on a invité bien sûr tous les responsables de services et là, je pense qu'il y a eu dans l'esprit de tous un instant de sidération parce qu'on s'est demandé mais comment on va faire ? Comment on va prendre en charge les malades ? On ne savait pas pourquoi les gens arrivaient et s'ils venaient en consultation dans quel service il n'y avait plus accès à aucun agenda.

Certains pour leur rendez-vous, d'autres pour leur rendez-vous, venir être opérés donc imaginez vous êtes programmé pour une opération l'ANDA et le chirurgien n'a pas accès à votre dossier donc là, c'était très compliqué. On a essayé de déprogrammer le maximum de choses.

Un extrait de Mécanique de la Cybermenace, ce podcast original de France Culture que l'on retrouve sur le site de France Culture mais aussi sur l'appli Radio France. Jérôme Billois, votre réaction ? Pourquoi sont-ce toujours des hôpitaux

qui sont touchés ? Ce ne sont pas toujours des hôpitaux qui sont touchés. Par contre, on entend très souvent parler des hôpitaux. Pourquoi ? Parce que c'est public, on voit tout de suite quand il y a un effet et aussi parce que c'est très dangereux parce qu'à un moment, il y a un risque pour les patients. Mais il y a énormément d'autres entreprises privées, des organismes publics qui sont moins visibles, qui sont touchés. Aujourd'hui, le rançongiciel, c'est la première cause de cyberattaque en France.

C'est un écosystème qui se développe à une vitesse grand V par le fameux paiement qui est en train d'être débattue qui viserait à autoriser le paiement de ces rançons s'il était simultané à un dépôt de plainte. Il faut voir ce que ça va donner. Il faut quand même comprendre que le paiement de la rançon alimente l'économie de ces groupes de cybercriminels.

Le paiement de la rançon, Maxime Tellier l'a dit, il se fait évidemment en bitcoin. Mais ce qui m'a surpris en écoutant votre mécanique de la cybermenace ce podcast, c'est qu'il y a la possibilité de tracer aujourd'hui ces paiements. Comment fait-on ? Puisque à partir du moment où un paiement est fait en bitcoin, précisément, il est traçable mais il n'est pas nominatif.

Le bitcoin, en fait, a un immense registre de qui donne de l'argent à qui et ça est complètement visible sur internet. Mais le qui donne de l'argent à qui, ce fameux qui, c'est une suite de caractères, de lettres et de chiffres qui n'est pas associée de manière visible à l'identité d'une personne. Votre numéro de compte en banque à la banque, il est associé avec votre nom. Sur le bitcoin, le numéro de compte en banque, il n'est pas associé avec un nom. Et c'est ça qui fait l'anonymat. Mais par contre, à un moment, cet argent-là, vous voulez en profiter. Et on voit bien, les cybercriminels, ils achètent des voitures de luxe, ils se payent des mariages de dingue, etc.

Donc il faut transmettre, pardonnerie l'expression, mais quand on voit les photos, c'est vraiment ça. Il faut transformer... Ce n'est pas discret dans ce cas-là. Ce n'est pas du tout discret. S'ils envoient leurs photos de mariage. Non mais le pire, c'est qu'ils le revendiquent. Ils prennent des photos d'eux-mêmes avec des piles de billets parce qu'il y a un sentiment d'impunité dans l'écosystème cybercriminel qu'il faut absolument arriver à casser. Impunité par la protection des États.

On en parlait tout à l'heure en particulier plutôt du côté de l'Est mais aussi impunité parce que les enquêtes peuvent prendre du temps, la coopération entre le public et privé est compliquée et ce qu'il faut vraiment qu'on fasse dans les années qui viennent c'est accélérer. Et c'est aussi pour ça que ce projet de loi permet d'une certaine manière le paiement de la rançon face à un dépôt de plainte parce que quand on porte plainte les forces de l'ordre vont se mobiliser et vont pouvoir aller enquêter sur les groupes.

Il y a des cas où on a pu intervenir nous parce qu'on a une équipe de réponses à incidents où on va aider les entreprises sur place où il y a justement eu décision de payer la rançon mais où les forces de l'ordre étaient mobilisées avec un certain nombre de négociateurs spécialisés qui permettent aussi de remonter la piste des cybercriminels.

Donc il faut toujours dans ce cadre du paiement de la rançon peser la balance entre la vie de l'entreprise, le développement de l'économie et de la cybercriminalité et la capacité à aller chercher ces cybercriminels là où ils sont parce que c'est pas en cassant leurs outils informatiques qu'on les arrête c'est vraiment en leur mettant des menottes et en les mettant en prison qu'on arrive à casser les groupes.

À ce moment-là on redoute également des attaques qui pourraient avoir des répercussions énormes sur nos vies quotidiennes. Je ne sais pas par exemple les clouds quasiment aujourd'hui toutes nos ressources sont cloudées il y a je crois assez peu de clouds au bout du compte par conséquent on peut imaginer des gros clouds il y a des entreprises qui sont particulièrement célèbres pour héberger une grande partie des données qui sont stockées de la sorte bref on imagine la catastrophe qu'est-ce qui est fait à cet égard pour protéger les clouds ou alors pour envisager ce type de scénario catastrophe ?

Encore une excellente question cher Guillaume Erner alors sur vraiment les questions techniques de cybersécurité je laisserai Jérôme répondre pour le coup c'est vraiment en dehors de mon champ de compétences qu'on peut faire concrètement dans les systèmes cloud pour augmenter le niveau de vigilance et de résilience des systèmes en revanche la question d'un point de vue de la théorie politique qui est davantage mon champ elle est très intéressante parce que alors hier est sorti un sondage de l'IFOP qui explique que les français sont de plus en plus sensibles aux questions des cyberattaques et en particulier sur le vol et le leak de leurs données personnelles photos, vidéos etc.

et ce qui est très intéressant c'est toute l'ambiguïté finalement que ça pointe dans nos postures et nos positions puisque si tout d'un coup on parlait de cyberattaques et de cybermenaces à ce moment là l'opinion publique est de plus en plus mobilisée mais quand il s'agit finalement de laisser nos traces numériques nos données personnelles sur l'ensemble de nos usages en fait sur les plateformes les réseaux sociaux etc.

là de ce point de vue là le niveau de vigilance est beaucoup plus faible donc quand c'est les GAFAM ou les big tech qui les utilisent et qui les aspirent les stocks les traîtent et les transforment en valeur économique derrière là ça pose légèrement moins de problèmes et donc de ce point de vue là on a aussi une sensibilisation globale de l'opinion publique et de nous de la population sur ces questions là la sécurité n'est pas simplement dans le champ de la cyber ou de la cyberattaque et juste pour terminer si vous permettez ça pose une question politique pour le coup là qui devient beaucoup plus fondamentale que ça qui est la question de la souveraineté numérique et technologique parce qu'en effet aujourd'hui en France par exemple en Europe l'ensemble de nos infrastructures de cloud vous l'évoquez sont essentiellement pas pour l'entièreté mais essentiellement américaines chez Microsoft Amazon etc.

et donc là se pose la question de notre résilience aujourd'hui on est du bon côté aujourd'hui on a des bonnes relations transatlantiques mais demain et c'est ce qui a fait que d'ailleurs Poutine à partir de 2018 2019 a mis en place un certain nombre de lois sur la souveraineté technologique précisément pour ces questions là en cas de cyberattaque de cybermenace qui attaque la sûreté et la souveraineté nationale de mettre finalement sous cloche ou sous contrôle l'ensemble de l'infrastructure russe avec d'ailleurs un succès très relatif mais l'ambition politique est toujours là d'ailleurs

Jérôme Bioua comment fait-on pour protéger des clouds est-ce que les clouds sont suffisamment

protégés aujourd'hui ?

Alors c'est un débat très complexe parce qu'il y a le niveau de sécurité intrinsèque des systèmes et souvent honnêtement il n'est pas mauvais des acteurs comme Google Amazon ou Microsoft investissent des milliards de dollars chaque année pour sécuriser leur système et souvent ces budgets là vont même être supérieurs à ceux que peuvent mettre des entreprises et pour un certain nombre de TPE, de PME voire d'entreprises de taille intermédiaire c'est des fois plus sûr de mettre d'un point de vue pure cybersécurité ces données dans ces systèmes là parce qu'il y a plus d'ingénieurs sécurité chez ces fournisseurs par contre se pose la question effectivement quelque part de la souveraineté c'est un jour si on coupe les robinets qu'est-ce qui va se passer et la question là c'est clair mais je vais vous poser

une question naïve Jérôme Biwa un cloud c'est assez facile d'y entrer il suffit d'avoir le code ça par exemple c'est une manière assez robuste mais parfois largement employée pour réussir

à pénétrer dans ce type d'infrastructure oui mais dans l'entreprise quand vous accédez à distance il vous faut juste un mot de passe aussi et c'est le problème c'est que il peut y avoir des procédés plus et voilà mais il peut y en avoir aussi du côté du cloud et donc c'est bien l'enjeu de l'entreprise c'est de regarder finalement est-ce qu'elle va elle aussi quand elle va utiliser le cloud mettre le bon niveau de sécurité comme si elle le mettait en interne aujourd'hui malheureusement c'est pas assez le cas parce qu'on a le sentiment que le cloud est sécurisé par défaut et les entreprises souvent ne mettent pas le bon niveau d'investissement pour sécuriser leurs applications leurs usages et c'est l'ajout de ce fameux code en plus du mot de passe ce qu'on appelle l'authentification à multifacteur donc il y a quelque chose qu'on connait c'est le mot de passe le nom de votre mère on a voilà non mais justement ça c'est trop facile c'est trop fragile il faut ajouter des choses comme le code qu'on a sur le téléphone comme ce qu'on a quand on utilise notre banque au quotidien ou Asma Mala fait des gestes

je pensais à des méthodes d'authentification qui aujourd'hui posent d'énormes questions encore une fois politiques qui sont la reconnaissance faciale par le visage etc. qui sont elles beaucoup plus robustes mais extrêmement problématiques pas forcément beaucoup plus éthique

j'ai vu qu'on était capable de forcer

une reconnaissance faciale avec une photo de la personne ça ça dépend comment le système de reconnaissance faciale est fait et oui ça n'est pas très rassurant ça n'est pas rassurant du tout et juste quand c'est avec une photo ça veut dire que le système est mal fait les systèmes les plus avancés prennent une empreinte 3D du visage et finalement sont capables de détecter justement que déjà vous êtes vivant entre guillemets et puis que vous êtes aussi bien non c'est pas facile sur une photo ah bah justement si c'est une photo ça ne doit pas marcher

donc là effectivement c'est malgré tout une complexité supplémentaire Maxime Tellier on voit qu'il y a une gamme nouvelle donc en matière de criminalité il y a aussi un autre point qui est abordé c'est le fait que ces criminels risquent moins que d'autres criminels ce qui est une prime une incitation à former des individus mal intentionnels informatiques

oui bah j'ai posé la question directement à la procureure du parquet la vice-procureure du parquet J3 qui est spécialisée dans la lutte contre les cyberattaques et je lui ai demandé est-ce qu'aujourd'hui c'est plus lucratif de renseigner une entreprise que de braquer une banque elle m'a dit évidemment évidemment il vaut mieux essayer de braquer un système informatique sachant qu'il n'y a pas de violence aussi c'est-à-dire que quand vous rançonnez l'entreprise il n'y a pas de violence évidemment le code pénal punit plus sévèrement et pas de traces pas d'ADN il y a l'anonymat même si c'est l'exemple aussi du jackpotting ce sont des gens qui piratent les distributeurs automatiques évidemment vous n'utilisez pas une voiture bélier vous utilisez un logiciel

c'est de l'argent à peu de frais

tout cela est à retrouver dans mécanique de la cybermenace le nouveau podcast original de France Culture que je vous invite à télécharger en 5 épisodes 4 épisodes pardon et également vous pourrez retrouver toute une série de choses sur le site de France Culture merci à Jérôme Bioua expert cybersécurité au cabinet Wavestone et à Asma maîtresse de conférence à Sciences Po spécialiste des enjeux politiques de l'économie des plateformes numériques