Quelques jours après le déclenchement d'opérations militaires au Mali, la France a été la cible de cyberattaques fomentées par des pirates informatiques. Ces attaques très artisanales n'ont pas entamé les systèmes de sécurité de l'armée française. Mais, de nombreux experts s'alarment sur le niveau de protection de la France face aux cyber-attaques.
"La menace la plus importante pour les Etats-Unis, c'est un Pearl Harbor informatique!" Voilà l'alerte formulée par Léon Panetta en octobre dernier alors qu'il occupait encore le poste de secrétaire d'Etat américain à la Défense. La France, elle aussi, est exposée à la menace cybercriminelle. Ainsi, le 12 janvier dernier, au lendemain du déclenchement des opérations militaires françaises au Mali, plusieurs sites de l'armée ont subi des cyberattaques. Le site de la Délégation à l'information et à la communication de la défense (Dicod) a été visé par une manoeuvre de "déni de service" -qui consiste à mettre hors service un site en le submergeant de demandes de formulaires. Une attaque classique, qui a été déjouée par l'hébergeur du site, Prosodie.
En revanche, un autre site du ministère de la Défense, dédié aux chercheurs en histoire militaire, est tombé quelques jours plus tard, après que les pirates sont parvenus à dérober des mots de passe. Ces deux attaques n'ont pas impacté les activités stratégiques du ministère. Elles n'en démontrent pas moins deux choses: un, que la France est une cible d'organisations de cyber-terroristes; deux, qu'elle est potentiellement vulnérable.
Une nouvelle ère militaire
"Si certains pensent que les scénarios de cyber-attaques relèvent du fantasme, alors avec ce que nous voyons tous les jours, nous pouvons dire que la réalité dépasse la fiction", déclare Jean-Michel Orozco, président de Cassidian Cyber Security, une filiale du groupe EADS. "La menace aujourd'hui est réelle. Avec peu de moyens, un groupe d'individus déterminé est capable de faire exploser un générateur par une simple cyber-attaque."
Le ministère de la Défense dit avoir pris la mesure de la menace depuis l'attaque du ver Conficker en 2009. "Cette attaque qui n'était pourtant pas méchante a été mal gérée, parce que plusieurs services ont surréagi chacun de leur côté (...) désormais, il existe une autorité unique capable de coordonner l'action de défense", explique un cadre du ministère.
"L'Iran se prépare depuis 1984"
Que faire alors face à des attaques plus sophistiquées, fomentées par des groupes activistes, voire par des Etats? La cyber-arme peut potentiellement infliger des dégâts décisifs à l'occasion d'un conflit militaire. "La cyber-arme est devenue la force de dissuasion du pauvre pour certains Etats", estime Jean-Michel Orozco. Les spécialistes estiment que l'Iran a déjà formé une unité militaire opérationnelle de près de 2000 "cyber-warriors". "L'Iran travaille sur ce sujet au moins depuis 1994, alors que les pays occidentaux n'ont pris conscience de la menace que très récemment", explique Eric Filiol, ancien militaire, et directeur du Master Network and Information Security à l'université de Laval (Mayenne).
Newsletter
Industrie et service
Chaque jour à 13h, l’essentiel de l’actualité industrielle.
En France, le livre blanc de la défense de 2008 a donné une première impulsion dans l'organisation de la cyber-défense. Depuis 2009, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) qui dépend directement du Premier ministre, coordonne et vérifie que les entreprises et infrastructures stratégiques ne sont pas vulnérables. Près de onze secteurs sont classés "d?intérêts vitaux" et sont soumis à des directives de sécurités très strictes : télécoms, énergie, ferroviaire, spatiale, aéroports... Ainsi, des entreprises comme France Telecom, SFR, EDF ou encore la SNCF doivent rendre des comptes sur les dispositifs qu'elles mettent en place pour assurer leur sécurité interne.
La Cyber-défense, un poste régalien
Or, ces infrastructures militaires ou privées classées "d'intérêt vitaux", sont de plus en plus connectées sur des réseaux qui ne sont plus protégés, explique Eric Filiol. "En France, personne n'est capable de livrer une cartographie des points de connexions stratégiques qu'il sera nécessaire de défendre en cas de conflit (...) la France doit absolument mettre en place une doctrine et se réapproprier les moyens d'une souveraineté informatique. La sécurité reste et doit rester du domaine régalien", selon lui.
"Les anti-virus proposés par de grandes sociétés informatiques sont facilement contournables, c'est d'ailleurs l'exercice de base de notre Master qui forme des élèves aux techniques d'intrusion et d'attaques informatiques", ajoute-t-il. De nombreux rapports parlementaires ont déjà mis en évidence la vulnérabilité de l'Etat français. L'attaque du ministère français des Finances en mars 2011 n'avait pas surpris Bernard Carayon, député UMP du Tarn. A l'époque, il avait déclaré : "cette affaire extrêmement grave souligne la vulnérabilité des systèmes d'information publics que j'ai dénoncée dans plusieurs rapports parlementaires".
De son côté, le ministère de la Défense explique disposer de ses propres infrastructures gérées en interne, complètement déconnectées des réseaux privées. Il a également mis en place des procédures de protection : téléphones avec logiciels de cryptage, réseaux informatiques en circuit fermés, hygiène informatique extrêmement strictes... Il est ainsi interdit d'utiliser une clé USB non homologuée par le ministère.
Les entreprises en première ligne
Mais les intérêts stratégiques ne sont pas les seuls visés, les intérêts économiques sont en première ligne et sont déjà livrés à des attaques plus ou moins insidieuses sous forme d'espionnage voire de racket et de sabotage. "Notre tâche est de mettre en place des systèmes de défense et de surveillance pour les industries dites critiques et les opérateurs d'intérêts vitaux contre des attaques létales", explique le président de Cassidian Cyber Security. Des entreprises comme Areva (nucléaire), Thales ou MBDA (industries de défense) sont particulièrement concernées. Ces attaques potentielles peuvent être commanditées par des entreprises concurrentes, mais souvent par des organismes privés pour le compte de gouvernements.
Chaque année dans le monde, les entreprises investissent plus de 60 milliards d'euros pour défendre leurs systèmes informatiques, d?après Symantec. Dans son rapport 2012, Mc Afee estime que les cyber attaques organisées par ou contre des Etats devraient néanmoins se poursuivre avec un degré de sophistication toujours plus important.
