Bruce Willis revient dans le rôle de John McClane dans Live Free or Die Hard, mais cette fois, l’enjeu ne consiste pas seulement à faire exploser des bâtiments. Le méchant n’utilise pas C4. Il utilise Internet. Son objectif ? Pour paralyser l’infrastructure américaine. McClane doit mettre fin à un complot cyberterroriste et sauver sa fille, tandis que les systèmes numériques s’effondrent autour de lui.
C’est un blockbuster hollywoodien. Mais cela soulève une question effrayante pour quiconque tient son compte bancaire en ligne : une cyberattaque coordonnée est-elle capable de provoquer une véritable dévastation économique ou physique aux États-Unis ?
La réponse semble être oui. La cybersécurité n’est plus seulement un problème de service informatique. Les médias et les responsables gouvernementaux le classent désormais parmi les principales menaces à la stabilité nationale, aux côtés du terrorisme, de la prolifération nucléaire et du changement climatique. Pourquoi? Parce que tout est branché. Réseaux commerciaux, bases de données gouvernementales, comptes privés. Ils sont tous connectés. Et la connexion est une vulnérabilité.
Le paysage des menaces a changé. Les hackers ne sont plus des loups solitaires dans les sous-sols. Ils sont organisés. Ils travaillent en réseaux. Les marchés noirs prospèrent en ligne, grâce au commerce de données volées et de logiciels illicites. Les « cardeurs » vendent des informations sur les cartes de crédit en gros. Les escroqueries par phishing sont plus sophistiquées. Les logiciels malveillants (virus, chevaux de Troie, vers) constituent une industrie plus importante que l’ensemble du secteur de la sécurité informatique réuni. Ces acteurs sont mondiaux. Beaucoup opèrent depuis des pays comme la Roumanie, où l’Internet haut débit rencontre une application laxiste de la loi.
Il ne s’agit pas seulement de vol. C’est une question de pouvoir.
Des rapports récents du gouvernement britannique mettent en lumière le piratage des systèmes britanniques par des agences de renseignement étrangères – potentiellement de Chine, de Corée du Nord et d’anciens États soviétiques. Le motif ? Espionnage économique. L’objectif est de saper les économies rivales en volant des secrets commerciaux et des données industrielles, puis en transmettant ces informations à des entreprises publiques ou amies. Les tactiques consistent notamment à cibler les employés clés avec des e-mails chargés de virus, des clés USB infectées ou des CD compromis.
Les gouvernements se réveillent. L’UE, le G8 et d’autres organismes ont formé des groupes de travail sur la cybercriminalité. Le FBI gère InfraGard et partage des informations avec les forces de l’ordre locales. La Grande-Bretagne voit le danger. Mais qu’en est-il des États-Unis ?
Pour comprendre l’ampleur de la menace, regardons le cas de l’Estonie.
La cyberattaque en Estonie
En 2007, l’Estonie a été confrontée à l’une des premières cyberattaques majeures de l’histoire parrainées par un État. Ce n’était pas une invasion physique. C’était un siège numérique.
Les étincelles qui ont déclenché le premier cyberconflit majeur ne sont pas venues d’un acteur étatique de l’ombre dans une pièce sombre. Ils provenaient d’une statue.
Le 27 avril 2007, le gouvernement estonien a pris une décision pragmatique mais volatile. Ils ont transféré le Soldat de bronze, un mémorial de la Seconde Guerre mondiale datant de l’ère soviétique, d’une place animée du centre-ville de Tallinn vers un cimetière militaire à la périphérie de la ville. Cette décision visait à apaiser les tensions dans un pays où environ un huitième de la population est russophone. Mais la délocalisation a déclenché une autre sorte d’explosion.
Des protestations ont éclaté sur le terrain. Plus important encore, ils ont éclaté en ligne.
L’anatomie d’une attaque DDoS
En quelques semaines, l’infrastructure numérique estonienne a été soumise à des attaques soutenues. L’arme principale était les attaques par déni de service distribué (DDoS).
Les pirates n’avaient pas besoin de portes dérobées sophistiquées ni d’exploits complexes. Ils avaient juste besoin de volume. Utilisant des centaines, parfois des milliers, d’ordinateurs « zombies » compromis – des machines infectées par des logiciels malveillants et contrôlées à distance – ils ont bombardé les sites Web estoniens avec des milliers de requêtes par seconde.
Le résultat a été un embouteillage aux proportions numériques. les utilisateurs légitimes ne pouvaient pas passer. Les portails gouvernementaux, les sites bancaires et les médias se sont éteints ou sont devenus extrêmement lents. Les attaques n’étaient pas seulement ennuyeuses ; ils étaient perturbateurs.
Qui était réellement derrière la cyber-guerre ?
Immédiatement après, le jeu des reproches a commencé. Le gouvernement russe a émis de furieuses protestations et menacé de représailles. De nombreux experts occidentaux, avides d’un nouveau récit, ont déclaré qu’il s’agissait du début d’une « cyber-guerre », impliquant une intervention directe du Kremlin.
La réalité était plus compliquée. Les services de renseignement ont finalement suggéré que l’État russe n’avait ni organisé ni exécuté directement les attaques. Au lieu de cela, la fureur a été alimentée par une combinaison de sentiment nationaliste et de piratage informatique opportuniste. Des citoyens russes furieux, excités par la rhétorique de l’État et par une véritable colère face au retrait de la statue, ont eux-mêmes lancé les attaques.
Le gouvernement estonien a décrit cette expérience comme s’apparentant à une attaque terroriste. La distinction comptait. Une attaque terroriste est personnelle, chaotique et psychologique. Une guerre parrainée par l’État est stratégique et coordonnée. Les événements de 2007 se situent quelque part dans la zone grise, prouvant que les acteurs non étatiques pouvaient exercer un pouvoir perturbateur important.
Le coût des perturbations
L’ampleur des attaques estoniennes était modeste par rapport aux incidents méga-DDoS actuels, qui peuvent générer des térabits de trafic. Mais leur impact fut profond.
L’Estonie n’a pas perdu de données. Son infrastructure critique n’a pas été détruite. Cependant, le coût était élevé en termes de temps et de ressources. Le gouvernement a dû mobiliser d’importantes ressources humaines pour lutter contre les attaques, réparer les atteintes à sa réputation et rassurer une économie ébranlée. Elle a révélé une dure vérité : les sociétés modernes sont fragiles lorsque leurs services sont numérisés.
Ce n’était pas la première fois que des tensions politiques déferlaient sur le cyberespace. Les pirates informatiques indiens et pakistanais se livrent depuis longtemps à des campagnes DDoS et à des épidémies de virus. Les groupes israéliens et palestiniens altèrent mutuellement leurs sites Web depuis des années.
Mais le cas estonien est unique. Ce n’était pas une brève escarmouche. Ce fut un siège de plusieurs semaines qui a retenu l’attention de l’ensemble du gouvernement et attiré l’attention de la communauté internationale. Cela a montré au monde qu’une petite nation hautement connectée pouvait être mise à genoux par une nuée de claviers en colère.
Comment les États-Unis s’en sortiraient
L’Estonie, l’un des pays les plus « branchés » au monde, a réussi à résister à la tempête. Il y a eu des frictions économiques. Il y a eu des perturbations gouvernementales. Mais il n’y a pas eu d’effondrement à long terme.
La question cruciale, hier et aujourd’hui, est de savoir comment les États-Unis réagiraient à un scénario similaire. Les États-Unis sont bien plus complexes, profondément interconnectés et fortement dépendants des infrastructures du secteur privé pour les services essentiels comme l’énergie, la finance et la santé.
Si une campagne ciblée de déni de service distribué (DDoS) touchait les banques, les réseaux électriques ou les réseaux électriques américains
Le printemps 2007 a été marqué par un bilan inconfortable pour Washington. Lors d’une audience le 19 avril, la sous-commission du Congrès sur les menaces émergentes, la cybersécurité, la science et la technologie a appris que les systèmes des départements du Commerce et d’État avaient été piratés en 2006. Mais les dégâts ne se sont pas arrêtés là. Scott Charbo, le directeur de l’information du ministère de la Sécurité intérieure, risquait d’être licencié. Son mandat a été entaché par 844 incidents liés à la sécurité documentés rien qu’en 2005 et 2006.
Ce n’étaient pas des problèmes mineurs. Il s’agissait d’échecs systémiques. Les e-mails classifiés étaient acheminés sur des réseaux non sécurisés. Les ordinateurs portables personnels étaient connectés à l’infrastructure gouvernementale. Un logiciel non approuvé a été installé sans surveillance. Fuite de données classifiées. Les virus se propagent. Les pare-feu restaient ouverts. Cette année-là, le DHS a reçu un « D » sur son rapport annuel sur la sécurité informatique. Il s’agit d’une amélioration par rapport aux notes d’échec de 2003 à 2006, mais un « D » reste toujours une note d’échec. L’ensemble du gouvernement fédéral a obtenu un C-moins, contre un D-plus l’année précédente. L’écart entre promesse et performance se creuse.
La réponse a été immédiate. Le DHS a créé un nouveau rôle : celui de secrétaire adjoint à la cybersécurité et aux télécommunications, occupé par Greg Garcia. C’était une reconnaissance du fait que l’ancienne structure ne fonctionnait pas. Plus tôt, en février 2006, le gouvernement américain avait tenté de simuler le pire des cas. En partenariat avec 115 entités réparties dans cinq pays, ils ont mené une Cyber Storm. Ce n’était pas un exercice de simulation. Il s’agissait d’une simulation à grande échelle impliquant de grandes entreprises, des agences gouvernementales et des organisations de sécurité.
L’objectif était de tester ce qui se passerait si des sites Web critiques du gouvernement, des entreprises et des privés étaient attaqués. Les résultats ont été chaotiques. Les fausses attaques ont déclenché des coupures de courant dans dix États. Un logiciel commercial était infecté par des virus. Les réseaux bancaires en ligne ont échoué. L’exercice a également testé la capacité du gouvernement à gérer la désinformation que les attaquants propageraient inévitablement. Il s’agit d’un test de résistance qui a révélé d’importantes vulnérabilités dans la façon dont l’infrastructure numérique du pays a résisté à la pression. Cyber Storm II était prévu pour 2008, signe clair que le premier cycle avait révélé trop de fissures.
Tandis que la bureaucratie s’affairait, l’armée était déjà en première ligne. À la base aérienne de Barksdale, en Louisiane, 25 000 personnes ont travaillé sur la guerre électronique, la sécurité des réseaux et la défense de l’infrastructure Internet du pays. Ils n’attendaient pas la permission pour s’inquiéter de l’avenir. Ils le construisaient. Si jamais les États-Unis étaient confrontés à une cyberattaque massive, ces groupes, ainsi que les agences de renseignement et le ministère de la Défense, seraient les premiers intervenants.
US-CERT, l’équipe de préparation aux urgences informatiques des États-Unis, est au cœur de cette défense. Créée en 2003, son mandat est précis : protéger les infrastructures internet et se défendre contre les cyberattaques. Il sert de centre de coordination, d’yeux et d’oreilles de la posture de cyberdéfense du gouvernement. L’architecture est en place. Les joueurs sont identifiés. La question reste de savoir si les murs seront suffisamment hauts avant la prochaine tempête.
Les États-Unis présentent encore des vulnérabilités béantes dans leur infrastructure numérique, malgré les efforts incessants visant à combler ces failles. Mais cette fragilité conduit-elle à un chaos à la Die Hard ? Pas vraiment. Il n’existe aucune trace de décès d’une personne suite à une cyberattaque. Personne n’a été tué lorsque les réseaux estoniens ont été détruits, et personne n’est jamais mort parce qu’un ordinateur a été compromis.
Les groupes terroristes parlent de lancer des frappes sur Internet, mais la véritable menace n’est pas la destruction idéologique. C’est de l’argent. Les gangs criminels extorquent les entreprises. Les hackers en colère veulent faire une déclaration. C’est le paysage réel.
Pourquoi les cyberattaques ne font pas de victimes massives
De meilleurs protocoles de sécurité, des systèmes redondants, des logiciels de surveillance et une surveillance humaine rendent pratiquement impossible que les cyberattaques causent des pertes physiques à grande échelle. Ou même un seul. Les systèmes militaires sont particulièrement sécurisés. Un enfant de 11 ans à Pékin ne lance pas d’ICBM. Les armes nucléaires, comme de nombreux autres systèmes critiques ou classifiés, ne sont même pas connectées à Internet.
L’Estonie a prouvé que les dégâts économiques sont réels. Si des pirates coupent l’alimentation électrique ou infiltrent une grande banque ou la bourse, la souffrance est immédiate. Mais dans de nombreux cas, il est beaucoup plus facile pour un pirate informatique de pénétrer dans un système ou un réseau que de causer de réels dégâts à l’intérieur. En outre, la présence d’un personnel bien formé et de systèmes exclusifs dans les services publics et autres systèmes vitaux signifie que tout problème peut être rapidement résolu.
Les principaux dangers pour la cybersécurité demeurent les vers, les virus, les chevaux de Troie et l’exploitation des failles de sécurité, qui continuent tous à causer des milliards de dollars de pertes au secteur privé chaque année.
Les États-Unis ont-ils déjà été piratés ?
Il n’y a pas de réponse unique à cette question, car les États-Unis ont été victimes de nombreux types d’attaques de piratage au fil des ans. Parmi les attaques les plus notables figurent le piratage de l’Office of Personnel Management en 2015, qui a entraîné le vol de plus de 21 millions de dossiers personnels, et le piratage de Sony Pictures en 2014, qui a exposé plus de 100 millions de dossiers clients.
Articles et ressources connexes
Si vous souhaitez approfondir le fonctionnement et l’échec de ces systèmes, consultez les sujets suivants :
- Comment fonctionne l’infrastructure Internet
- Comment fonctionnent les serveurs Web
- Comment fonctionne le phishing
- Comment fonctionne le spam
- Comment fonctionnent les virus informatiques
- Comment fonctionne le vol d’identité
- Comment fonctionnent les pare-feu
- Comment fonctionne le cryptage
- Comment fonctionne la biométrie
Pour plus d’informations sur la sécurité Internet et d’autres sujets connexes, veuillez consulter les liens sur la page suivante.
Plus de liens intéressants
- Attaques de pirates informatiques – Mirroring Security Blog
- Signalement du piratage informatique, de la fraude et d’autres délits liés à Internet
- Équipe de préparation aux urgences informatiques des États-Unis
