OPINION. Les villes deviennent des cibles potentielles pour des groupes de hackers enclins à déstabiliser les services publics. Par Philippe Boyer, directeur de l’innovation à Covivio.
L'auteur de thrillers Robert Ludlum est connu pour ses romans d'espionnage. On lui doit notamment la saga des Jason Bourne. Parmi les missions de ce personnage de fiction, celui-ci aurait fort bien pu avoir pour instructions de déjouer le hacking d'une ville avant que des terroristes ne propagent un virus entraînant la paralysie des services publics. Sauf que Jason Bourne n'existe pas, alors que le hacking d'une ville, lui, existe bel et bien, à tel point qu'un nouveau cas vient de se produire.
13 bitcoins de rançon
Les faits remontent à quelques semaines, à Baltimore aux Etats-Unis. Moyennant une rançon de 13 bitcoins (au cours actuel du bitcoin, environ 100000 euros), les hackers ont réussi à propager un virus dans les ordinateurs de cette ville du Maryland bloquant ainsi des milliers de machines servant aussi bien au relevé des compteurs d'eau qu'à la gestion des hypothèques ou encore la délivrance de permis de conduire.
Décidé à ne pas céder à ce chantage numérique, les autorités s'en sont remises au FBI et à Google, demandant à ce dernier que les accès aux boîtes mails Gmail des employés de la ville soient bloqués afin d'endiguer la propagation du virus connu sous le nom d'EternalBlue, à l'origine un outil de piratage développé par la NSA, l'agence de renseignement américaine. Profitant d'une faille sur les systèmes d'exploitation Microsoft, ce virus fut à son tour dérobé par un groupe de hackers répondant au doux nom de « Courtiers de l'ombre » (Shadow Brokers »).
Black Hats
Passé dans les mains de ces « Black Hats » (en argot informatique, un « black hat » ou « chapeau noir » est un hacker mal intentionné, par opposition aux « White Hats » ou « chapeaux blancs », hackers aux intentions louables), EternalBlue refit surface à plusieurs reprises, notamment en 2017, à l'occasion d'une attaque connue sous le nom de «Wannacry».
La propagation de ce logiciel de type ransomware, exclusivement créé pour prendre en otage des données personnelles, ayant eu pour conséquences de paralyser des grandes entreprises (Vodafone, FedEx, Renault, Telefónica...) ainsi que des administrations telles que le NHS, systèmes de santé britannique ou encore le ministère de l'Intérieur russe.
Newsletter
Ma Tribune
L’actualité qui compte pour vous, chaque jour dans votre boîte mail.
Sous sa forme d'origine ou plus élaboré, EternalBlue n'en finit pas de faire parler de lui. Baltimore ces jours-ci mais avant elle, San Antonio au Texas ou Allentown en Pennsylvanie furent également les cibles de pirates bien décidés à hacker ces villes.
Les villes, nouvelles cibles des hackers
Au-delà des risques de hackings à l'encontre d'Etats, d'entreprises, de bâtiments ou de simples particuliers, les villes sont à présent devenues des cibles. Dans un monde urbain où lampadaires et feux de signalisation sont de plus en plus connectés, la protection des données et des réseaux est devenu un enjeu majeur de cybersécurité.
Ce risque de villes hackées existe : nos villes intelligentes deviennent des cibles potentielles pour des groupes de hackers enclins à déstabiliser les services publics. C'est encore ce scénario qui s'est produit au mois de juillet 2014 quand un groupe de pirates informatiques connu sous le nom de DragonFly, s'apprêtait à lancer une attaque simultanée contre plusieurs grandes sociétés nord-américaines et européennes en charge de l'approvisionnement de villes en électricité, eau et gaz sans oublier de cibler les systèmes informatiques de plusieurs compagnies aériennes.
Déjoué in extremis, ce « hacking » à grande échelle aurait pu avoir d'importantes conséquences financières et humaines dont celle de paralyser la vie de plusieurs millions de personnes. Même cause, mêmes effets lorsque Cesar Cerrudo, un consultant argentin spécialiste de la sécurité des réseaux informatiques, fit la démonstration qu'il était en mesure, à partir d'un ordinateur portable et d'un drone connecté, de contrôler plus de 200.000 capteurs installés dans la chaussée et ainsi prendre potentiellement le contrôle d'une partie des infrastructures urbaines de grandes villes comme Washington, New York, San Francisco....
Ce « hacking » a été rendu possible par une insuffisance de cryptages de logiciels commercialisés par une grande société connue pour son expertise en villes intelligentes. Le comble de cette expérience pour le moins déstabilisante étant que quelques mois après, Cesar Cerrudo réussi à pirater une nouvelle fois le système de gestion du transport public démontrant au passage que les correctifs mis en place n'étaient pas suffisants.
Que faire ?
Il faut être clairvoyant : le risque zéro n'existe pas. Non seulement le nombre d'attaques augmente mais les attaquants ont des profils variés, impossibles à segmenter dans des catégories figées. Un adolescent peut pirater les mails de la chancelière allemande pour s'amuser. Un groupe anonyme peut s'en prendre à des moyens de transport, à des villes, à des installations industrielles, et cela sans raison apparente sauf celle de tester et de déjouer les protections mises en place.
Voilà la réalité du cyberespace où, derrière chaque ordinateur, il peut exister une délinquance agile, inventive et sans frontières qui se joue de toutes les lois. Alors, que faut-il envisager pour relever ce challenge de la cybersécurité des villes à l'heure où nombre d'élus sont interpellés par leurs concitoyens pour imaginer une « autre » ville, plus connectée, plus inclusive ?
Outre qu'une bonne dose de modestie s'impose du fait de l'agilité et de l'imagination sans borne des hackers, quelques pistes peuvent être évoquées :
Prévenir les risques : en transposant la recommandation de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) faite aux entreprises, les villes auraient, elles aussi, intérêt à se doter de nouvelles fonctions liées au management et à l'analyse du risque cyber. Comprendreavant dedécider, tel est l'objectifde cette démarche afin que lesélus appréhendentleursrisquesnumériquesaumêmetitrequ'ils le font déjà pour leurs autres risques, qu'ils soient financiers ou juridiques,
Anticiper les usages : un autre prérequis consiste à maitriser ses données. Le cœur de la ville connectée ne tient ni aux types de capteurs installés ni aux versions des logiciels mais bien aux codes et algorithmes qui permettent, au final, de rassembler et de traiter la masse d'informations reçues. Ne pas avoir la main sur ces données, afin de mieux les sécuriser, c'est potentiellement accentuer son risque aux hackings,
Mutualiser les expertises : sous la forme de partenariats public-privé, le fait de se fédérer et de partager ses expériences autour de projets communs dédiés à la cybersécurité doit permettre aux villes de se confronter aux meilleures pratiques pour, à leur tour, améliorer leurs protections.
