Des groupes mafieux pourraient mener des cyberattaques destructrices, prévient le directeur de l’ANSSI
Á l’occasion du dixième anniversaire de l’Agence nationale de la sécurité des systèmes d’information [ANSSI] qu’il dirige, Guillaume Poupart a une nouvelle fois mis en garde contre le risque d’un « cyber Pearl Harbor ».
« Si vous coupez le métro à Paris, toute l’activité économique de l’Île-de-France s’arrête en quelques heures […] Si les distributeurs de billets ne distribuent plus de billets, on sait que dans les heures qui suivent, il y a des émeutes et de la panique », a en effet expliqué M. Poupard, dans un entretien donné à l’AFP, le 4 juin.
Si une telle perspective pouvait sembler encore lointaine à certains au moment de la création de l’ANSSI [encore que, elle a justement été mise sur pied pour contrer un tel risque], elle devient d’autant plus probable que les possibilités d’attaques sont proportionnelles aux vulnérabilités potentielles, lesquelles seront toujours plus nombreuses à mesure que se déploieront de nouvelles technologies, comme, par exemple, la 5G.
L’an passé, l’ANSSI a ainsi détecté des tentatives d’intrusion dans les systèmes informatiques d’infrastructures liées au secteur de l’énergie. L’intention des « assaillants » était, selon M. Poupard, de « préparer des actions violentes futures ».
Le directeur de l’ANSSI n’attribue jamais [du moins officiellement] l’origine des cyberattaques menées contre des entreprises et des administrations françaises. Il faut dire que l’exercice est délicat et relève le plus souvent d’une décision politique.
En outre, si des acteurs étatiques sont évidemment en mesure de mener de telles actions [« Ca ne coûte pas des milliards d’avoir une armée cyber, il suffit d’une centaine de types compétents, malins », assure M. Poupard], ils sont loin d’être les seuls.
En avril, lors de la présentation du rapport annuel de l’ANSSI, M. Poupard avait souligné que la menace progressait parce que, aussi, les attaquants « étaient de plus en plus forts ».
« Il y a des groupes mafieux qui commencent à atteindre » la taille critique nécessaire pour mener des attaques destructrices d’ampleur », a-t-il confié à l’AFP. « Et on peut imaginer que des groupes terroristes développent de telles compétences, même s’il n’y en a pas aujourd’hui », a-t-il ajouté.
Justement, à ce propos, Gilles de Kerchove, le coordinateur de l’Union européenne pour la lutte contre le terrorisme, fit par de sa crainte de voir un acte de « cyberterrorisme » dans un avenir proche.
« Je ne crois pas que le cyberterrorisme soit déjà une réalité. Mais je ne serais pas étonné qu’avant 5 ans, il y ait des tentatives d’utiliser Internet pour commettre des attentats. C’est-à-dire entrer dans le Scada [Supervisory Control and Data Acquisition], le centre de gestion d’une centrale nucléaire, d’un barrage, d’un centre de contrôle aérien ou l’aiguillage des chemins de fer », avait-il expliqué lors d’un entretien donné à La Libre Belgique.
Cependant, une étude, publiée en octobre 2018 par Thales et Verint, avait relativisé cette menace. Du moins pour ce qui concernait l’État islamique dans le mesure où il était estimé dans ce document que ses pirates informatiques étaient « plus motivés que compétents. »
Mais le plus inquiétant, dans le propos de M. Poupard, est la montée en puissance des groupes mafieux dans le monde cyber, étant donné que leurs capacités vont désormais au-delà des simples activités cybercriminelles. Et le risque est que, évidemment, ils se vendent au plus offrant.
Les groupes terroristes « n’ont pas encore de capacités propres » pour mener des attaques informatiques complexes. Mais cela peut aller vite car ils peuvent acheter cette capacité auprès de mercenaires informatiques intégrés à des groupes de plus en plus structurés, puissants, compétents techniquement, riches et protégés par des États, avait déjà averti M. Poupard en 2016.
D’où la priorité de l’ANSSI, qui est de rendre toute attaque d’ampleur « infaisable ». Et pour cela, a affirmé M. Poupard, en faisant allusion aux 200 opérateurs d’importance vitale [OIV] dont la liste est tenue secrète, « il y a des victimes (potentielles) qui ne peuvent pas être victimes ».
Ces OIV doivent respecter des mesures très strictes en matière de sécurité informatique. Et, visiblement, certains ne le font pas. « Nous n’avons jamais utilisé le bâton, mais nous ne nous l’interdisons pas. J’en ai deux ou trois dans le viseur », a prévenu M. Poupard.
Photo : ANSSI
