Voler des données sensibles et saboter un réfrigérateur constituent des menaces distinctes et exigent des dispositifs de défense différents. Nous avons interrogé Alessandro Armando, de l’Agence nationale de cybersécurité (ANSSI), sur la manière dont nous nous mobilisons face à l’augmentation des attaques informatiques.
Le dernier épisode en date est la série d’alertes à la bombe qui a touché 19 vols en simultané, dont six en provenance ou à destination de la France. Il s’agit de swatting, c’est-à-dire d’un leurre des services d’urgence par de fausses alertes. Nous n’en sommes qu’à la moitié d’une semaine chargée sur le plan des attaques hackers, avec le sabotage des réfrigérateurs des supermarchés dans neuf pays européens et celui des systèmes de conservation du plasma de l’Institut national du sang.
Nous en avons la perception et les données le confirment : les cyberattaques augmentent dans le monde. Clusit, l’association italienne pour la sécurité informatique, en a recensé près de 5 000 au premier semestre de l’année, le chiffre le plus élevé jamais enregistré sur une période équivalente. En France, nous avons déjà en mémoire quelques épisodes marquants, comme la violation des boîtes mail de responsables politiques, dont la Première ministre, l’accès non autorisé aux systèmes de la SNCF, le rançongiciel contre une université française et le blocage de l’activité informatique d’un hôpital. Si, jusqu’à l’année passée, la majorité des cas cachait une intention militante, désormais environ 95 % des attaques sont d’un caractère purement criminel. Et l’on peut supposer (sans certitude) que certains groupes restent liés à des États hostiles. La France et l’Union européenne sont-elles prêtes pour la guerre dite hybride ?
Non è così semplice risalire al responsabile di un attacco
Dans certains cas, les attaques ont été revendiquées par des groupes criminels qui gravitent autour de la Russie, comme NoName057 et INC Ransom, mais leur implication réelle n’est pas encore confirmée. « Il est difficile d’attribuer avec certitude une attaque à un responsable précis. On peut supposer qu’elles reflètent la volonté de nations telles que la Russie, la Chine ou la Corée du Nord, car elles cadrent avec leurs objectifs, mais trouver une preuve certaine est une autre histoire », avertit Alessandro Armando, professeur ordinaire d’informatique à l’Université de Gênes, membre du Comité technique et scientifique de l’Agence nationale de cybersécurité et président du Comité scientifique de la Fondation SERICS.
« On se contente souvent d’identifier des motifs d’action, en utilisant des systèmes de cyberveille pour remonter au modus operandi de groupes criminels connus. Des éléments caractéristiques peuvent être, par exemple, les outils employés ou les modalités de demande de rançon ».
Guerra ibrida e sempre più variegata
Le secteur le plus touché demeure l’administration publique, avec le blocage des systèmes et le risque de vol de données.
Mais la nature des attaques informatiques se diversifie de plus en plus et le sabotage des systèmes de réfrigération en est la preuve. Dans le premier cas, il s’agit surtout de systèmes informatiques (IT), c’est‑à‑dire les services en ligne tels que ceux garantis par le site des impôts ou le registre sanitaire électronique. Dans le second, il s’agit de technologies opérationnelles (OT), où des infrastructures informatiques pilotent à distance des équipements physiques. « Ce sont deux catégories distinctes, qui subissent des attaques différentes et qui nécessitent des défenses différentes », confirme Armando.
« Dans le domaine IT, la cybersécurité est plus établie, alors que dans le domaine OT nous cherchons à regagner du terrain, mais des difficultés découlent du contexte opérationnel. Pensons par exemple à une centrale électrique et aux longs délais de mise à jour de ses systèmes. Ou, dans le domaine médical, aux appareils de diagnostic : ils n’ont souvent pas été conçus pour contrer les attaques cyber, mais agir sur les logiciels qui les contrôlent pour éliminer des vulnérabilités peut compromettre la certification des dispositifs ». Ainsi, ils deviennent sûrs d’un point de vue informatique mais inutilisables sur le terrain.
Ci stiamo muovendo, ma il fattore tempo è centrale
« Sûrement, la France se mobilise pour renforcer la cybersécurité et le fait plutôt bien », mais un pays tout entier qui s’organise prend son temps. Les hackers peuvent agir plus rapidement grâce à l’intelligence artificielle et cela renforce l’avantage des attaquants, du moins à court terme. « Le modèle Claude Mythos développé par Anthropic a révélé une série de vulnérabilités dans des systèmes, même très sévères, échappant au regard humain et aux outils d’analyse traditionnels. L’IA, comme beaucoup de technologies, est une arme à double tranchant, car cette technologie est aussi entre les mains des hackers. Dans le présent et dans l’immédiat, nous sommes exposés et nous devons donc accélérer le processus d’adaptation et renforcer les défenses ».
Cosa sta facendo l’Europa
Parmi les mesures que nous prenons figure la nouvelle directive européenne sur la cybersécurité, qui, en France, a été transposée et qui introduit une nouveauté majeure : « Si auparavant la responsabilité de la sécurité informatique d’une entreprise relevait du seul département IT, elle est désormais attribuée directement aux organes de gouvernance ». En d’autres termes, la cybersécurité passe sur la table des conseils d’administration et devient une priorité absolue. Celui qui gère une organisation devra s’assurer que celle‑ci dispose d’un plan d’action efficace pour la gestion du risque et que des ressources adéquates soient allouées à sa mise en œuvre.
Concrètement, les entreprises doivent inventorier les biens numériques à protéger, tels que les données ou les services réseau, identifier les vulnérabilités de leurs systèmes et évaluer une série de mesures de contremesure pour prévenir ou atténuer les effets d’un accès illicite. « Enfin, vérifier que les impacts d’une attaque n’interrompent pas l’exploitation, un facteur crucial pour les organisations qui fournissent des services critiques, tels qu’un hôpital ».
