Pandémie et Cyber: Faire face

Un aperçu de la réalité

Télétravail

Le télétravail recommandé pour contribuer à lutter contre la pandémie, n’a fait que stimuler l’ingéniosité des criminels et qu’augmenter le nombre et l’attractivité des systèmes connectés et des flux échangés.

Les cybercriminels s’adaptent à l’évolution des opportunités et les saisissent avec une redoutable efficacité, agilité et réactivité. Ils savent rentabiliser leurs actions, qu’elles soient orientées recherche de profit ou motivées par des finalités de déstabilisation économique ou politique. Leurs cibles peuvent être autant des individus que des organisations publiques ou privées, leur terrain de jeu est mondial.

S’il est possible de connaitre la nature des cybercrimes rapportés aux instances de justice et police, il est plus difficile, voire impossible d’obtenir une cartographie exhaustive de la réalité de la cybermalveillance. En 2020, comme lors des années précédentes, les systèmes d’information des organisations ont fait l’objet d’attaques essentiellement liées à l’exploitation de leurs vulnérabilités, à des logiciels malveillants comme des rançongiciels par exemple. Les attaques en déni de service, l’usurpation de paramètres de connexion et de comptes, la compromission de systèmes de messagerie, l’ingénierie sociale ont encore été au service d’une criminalité essentiellement économique.

Recrudescence de cyberattaques

Toutefois, la recrudescence des cyberattaques ciblant par des systèmes liés à la santé (sites hospitaliers, centres de recherche, laboratoires pharmaceutiques, …) marque un virage dans la perception de la motivation des acteurs impliqués. Au-delà du gain économique potentiel que pourraient procurer des cyberattaques sur des infrastructures de santé, elles questionnent sur leurs capacités de déstabilisation et leur finalité qui pourrait relever du terrorisme, lorsqu’elles mettent en danger la vie.

Les enfants ne sont pas épargnés

Même s’il en est moins question dans les médias, il ressort des rapports d’Interpol[1] et d’Europol[2] que les périodes de confinement ont donné lieu à une augmentation des activités liées à l’exploitation sexuelle des enfants en ligne. La commercialisation de contenus d’abus sexuels de nourrissons et d’enfants a largement été observée. Un cybercrime n’est jamais virtuel. En matière de cyberpédophilie, seule leur représentation est dématérialisée et ce sont bien de vraies victimes qui sont abusées et dont la vie est détruite. Le contexte de la pandémie a également profité à ceux savent tirer parti des réseaux dits sociaux comme caisse de résonnance pour amplifier des actions de manipulation d’information, de rumeurs, de fausses informations, ou de contre-vérités en lien avec la Covid. De véritables campagnes de désinformation et de manipulation de l’opinion se sont déroulées au travers d’Internet, avec des niveaux d’impacts variables. À l’inverse, dans certains pays, ce sont des journalistes et des lanceurs d’alertes qui ont été condamnés par les autorités des pays dont ils sont les ressortissants pour avoir tenté d’informer, d’attirer l’attention sur la gravité de la situation et avoir osé proposer des récits de la pandémie différents des récits officiels.

Internet est un vecteur amplificateur et de globalisation de la criminalité.

Le risque informatique d’origine criminelle est ainsi devenu un risque structurel dont le coût est porté par la société. Pour autant, disposons-nous des mesures de lutte contre la cybercriminalité suffisantes ?

Mettre un frein à l’impunité des cybercriminels

Même s’il est regrettable que tous les cybercrimes rapportés ne fassent pas l’objet d’investigation, retenons toutefois, pour n’en citer qu’un, le succès de la coopération des forces de l’ordre advenu en 2020, concernant la France, la Suisse, l’Allemagne, les Pays-Bas et les Etats-Unis. Celui lié au démantèlement d’une infrastructure (Safe-Inet) au service de la cybercriminalité, active depuis une dizaine d’années[3]. Par le recours à des services de réseau privé virtuel, les acteurs criminels qui y recourraient pouvaient agir sans craintes d’être identifiés et en toute impunité. Ce qui contribue largement à la performance et à l’augmentation de la cybercriminalité et de facto, à l’accroissement du nombre de victimes. Élever la prise de risque pour les criminels d’être poursuivis et intensifier le nombre de barrières à la réalisation de l’action criminelle, passent par des mesures de cybersécurité et des moyens de lutte contre la cybercriminalité. Si ce succès des forces de l’ordre est appréciable, combien de plaintes sont restées sans suite et combien d’investigations n’ont jamais été entreprises ou ont abouties?

 La cybersécurité, une réponse partielle et incomplète

La cybersécurité est avant tout une affaire de gestion des risques, d’anticipation et de réactivité. Elle s’intègre dans une culture de maitrise intégrée de risques complexes. Elle s’appuie sur des mesures adaptées de sécurité, des compétences humaines et des capacités particulières qui doivent exister et être entrainées. Cela se construit dans un temps long, en amont de la survenue des problèmes, or le travail à domicile a été mis en place dans l’urgence, sans forcément prioriser et apporter des réponses convaincantes aux besoins de cybersécurité requis au regard des risques encourus. Les PMEs notamment mais pas seulement, sont alors devenues encore plus exposées et vulnérables lors de la crise sanitaire. En revanche, les entreprises, qui autorisaient déjà le télétravail ou étaient habituées au travail à distance ou qui avaient d’employés nomades, étaient en principe mieux préparées aux cyber risques que celles qui ont dû passer au télétravail dans la précipitation.

En matière de cybersécurité, l’ouverture des systèmes, la connectivité permanente et la facilité d’usage d’outils grands publics et souvent gratuits ne riment pas avec un niveau de sécurité de qualité. Il est avéré que les logiciels gratuits, y compris ceux utilisés pour réaliser des visioconférences, n’offrent pas un niveau raisonnable de sécurité mais il est désormais impossible d’ignorer qu’ils exploitent les données livrées par les des utilisateurs et celles collectées à leur insu.

Pour autant, sommes-nous suffisamment conscients des conséquences des actions d’intelligence économique, d’espionnage et de surveillance, que les pratiques numériques non sécurisées et que la perte de la maitrise des données autorisent ?

Ce que la crise du Covid nous apprend en matière de gestion des risques

Une posture de sécurité

Être en sécurité, consiste généralement à fermer des environnements, à réaliser des périmètres de sécurité, cela demande le plus souvent de restreindre des activités et de renoncer à des pratiques qui ne sont pas suffisamment bien et correctement sécurisées. Pour se protéger en cas pandémie liée à un virus biologique, il y a le confinement, le port du masque, l’adoption des comportements et des mesures d’hygiène. Lutter contre la propagation de virus informatiques (programmes malveillants, rançongiciels,…) et la réalisation de cyberattaques, nécessite de disposer d’une politique de sécurité, de mesures d’hygiène et de cybersécurité efficaces et de les accompagner de campagnes de sensibilisation et de pratiques cohérentes du numérique.

Jouer aux cyberpompiers, n’est pas suffisant

Encore aujourd’hui, en matière de cybersécurité, nous agissons en « pompiers », nous intervenons après une cyberattaque (lorsqu’elle est détectée), après un incident ou un sinistre informatique, souvent dans l’urgence (à condition de disposer des équipements nécessaires à éteindre l’incendie).

Être réactif, c’est bien, mais pas suffisant au regard des conséquences désastreuses que peuvent entrainer des cyberattaques. Il est impératif de pouvoir être plus proactif et de tout mettre en œuvre pour prévenir la concrétisation de menaces. En aucun cas, réaliser des activités sur Internet doit être synonyme d’accepter de devenir une cible de la cybercriminalité et l’objet de pratiques abusives du numérique par ceux qui le maitrisent et fournissent des services devenus de plus en plus incontournables.

De l’élevage en batterie, aux risques Cyber

L’élevage en batterie, la concentration des êtres et des risques, c’est ce qu nous donne également à observer la pandémie actuelle. Elle nous offre un mirroir de notre réalité informatique avec la concentration des données et des traitements par des acteurs hégémoniques et des grandes plateformes numériques. Le réseau Internet ne contribue plus comme à son origine à distribuer les traitements et donc à répartir les risques. Le paradigme des fournisseurs de plateformes et celui de l’informatique en nuage, ont réinventé la concentration et la centralisation. Ce qui rend entre autre possible, le vol massif des données et le piratage à grande échelle de comptes utilisateurs.

Crise sanitaire, crise d’envie d’avenir ou crise de l’anticipation ?

Besoins de ressources

Pour faire face à une crise de grande ampleur, de grande intensité et qui en plus s’incrit dans la durée, il faut y être préapré. Anticiper et prévoir un évènement, une situation ou une crise et ses conséquences, demande une posture, une volonté politique et des investissements. En sécurité comme en santé, pour gérer une crise il faut des « réserves » qui ne servent qu’en cas de crise (et qui coûtent « pour rien » le reste du temps). Ce qui est souvent considéré comme un frein à la performance et à la rentabilité économique des organisations. Les ressources nécessaires en cas de crise sont alors souvent insuffisantes, voire inexistantes, il en est de même en cybersécurité.

Gérer le risque, mais jusqu’où prévoir le pire ?

Au-delà de la crise sanitaire actuelle, sommes-nous préparés à faire face par exemple à un accident nucléaire majeur en Europe ? Disposons-nous de masques, compteurs, détecteurs, pastilles d’iode, ou encore par exemples, de capacités d’alimentation avec des produits non contaminés ? Qui aujourd’hui est en mesure d’anticiper et d’appréhender les risques complexes et interdépendants portant notamment sur les infrastructures relatives à l’alimentation électrique, dont dépendent totalement les systèmes et réseaux informatiques, qui pourraient être mise en danger par un tel accident et compromettre l’ensemble des services informatiques ?

Pouvons-nous, aujourd’hui et demain faire face à des cyberattaques de grande ampleur et intensité sur les infrastructures critiques et sur les chaînes d’approvisionnement ? Sommes-nous en mesure de maitriser des crises systémiques ? Quid d’une double crise liée à une pandémie biologique et à cyberpandémie ?

Le numérique peut contribuer à résoudre une partie du problème lié à la pandémie. Toutefois, en optant pour toujours plus d’informatisation et de cyberdépendance, avec des services et des infrastructures numériques vulnérables aux cyberattaques, l’économie et la société deviennent plus fragilisées. Sommes-nous capables d’anticiper les conséquences des impacts de la perte de la maitrise des infrastructures numériques vitales au bon fonctionnement du pays ? Ne sommes-nous pas collectivement et individuellement leurrés par le solutionnisme technologique?

Faire de la gestion de crise consiste à assurer en amont de la crise, d’être en mesure de disposer d’une organisation, des compétences, et des ressources nécessaires pour y remédier. Ce qui se traduit dans un monde hyperconnecté et interdépendant à devoir être suffisamment autonome, indépendant et souverain.

Sommes-nous en situation d’autosuffisance numérique ?

Pouvons-nous être en situation de cybersouveraineté ?

Faire face, une imminence urgente

Transition numérique ou fuite en avant technologique?

La pandémie est un accélerateur de la transition numérique déjà orchestrée et une justification de plus conduisant à la dématérialisant des activités. Il s’ensuit pour les protagonistes, une perte de contrôle de celles-ci (accompagnée généralement par une perte de sens) au profit des intermédiaires technologiques. De manière concomitante, la dématérialisation contribue à développer les applications d’analyse massive des données, le marché de l’intelligence artificielle, le surveillance, informatique généralisé (controlling) et l’économie de la surveillance.

Le monde d’après et notre rapport à la technologie

Ne serait-il pas temps de saisir le formidable élan “d’ouverture des yeux” que la pandémie à engendré pour aiguiser notre vision sur les vulnérabilités et les risques liés au numérique? Outre le nouvel ordre du monde et l’organisation algorithmique de la société instaurés, non maitrisés les risques Cyber sont des facteurs de déclin de la civilisation. Ils constituent d’ors et déjà une menace pour l’environnement, le vivant et l’humanité. Est-ce cela, que nous souhaitons laisser en héritage à nos enfants?

Ne serait-il pas temps de considérer notre asservissement au numérique et à ces multinationales emblématiques, pour remettre en question d’une part, notre servitude volontaire à les rendre toujours plus puissantes et d’autre part, notre docilité voire, notre soumission aux injonctions électroniques?

Ne serait-il pas temps tout simplement de résister, c’est à dire, comme le souligne l’origine latine du verbe, de faire face, de se tenir en faisant face?

Au-delà de savoir pourquoi et comment nous en sommes arrivés là, profitons de cette envie de comprendre pour avoir envie d’un avenir numérique différent et d’agir en conséquence.

Peut être que cela nécessitera de passer par une certaine désobéissance numérique, du moins, tant que celle-ci sera possible.

Cette menace est bien réelle et lorsque l’imminent renvoie à l’origine du terme “menacer”, il y a urgence à la prendre en considération.

 

[1] https://www.interpol.int/en/News-and-Events/News/2020/INTERPOL-report-highlights-impact-of-COVID-19-on-child-sexual-abuse

[2] https://www.europol.europa.eu/covid-19/covid-19-child-sexual-exploitation

[3] https://www.europol.europa.eu/newsroom/news/cybercriminals’-favourite-vpn-taken-down-in-global-action

 

Solange Ghernaouti

Solange Ghernaouti

Docteur en informatique, la professeure Solange Ghernaouti dirige le Swiss Cybersecurity Advisory & Research Group (UNIL) est pionnière de l’interdisciplinarité de la sécurité numérique, experte internationale en cybersécurité et cyberdéfense. Auteure de nombreux livres et publications, elle est membre de l’Académie suisse des sciences techniques, de la Commission suisse de l’Unesco, Chevalier de la Légion d'honneur.

9 réponses à “Pandémie et Cyber: Faire face

  1. Une nouvelle fois, merci, chère Madame, d’essayer de faire voir les dangers du “tout au numérique”! Puissiez-vous être entendue en 2021!
    Bonne et heureuse année.
    Suzette Sandoz

  2. Merci, Madame, pour votre analyse faite toute en profondeur et à la fois avec les indispensables nuances à apporter !
    Votre avant-dernière phrase sur « une certaine désobéissance numérique » pour parvenir à un « avenir numérique différent » est un peu sibylline. Cela devrait-il peut-être passer par une certaine « frugalité » bienvenue en la matière pour les utilisateurs du numérique que nous sommes devenus dans toutes nos activités ? Pourriez-vous nous donner plus concrètement quelques conseils ? Je vous en remercie par avance.

  3. Je rejoins Madame Sandoz, vos publications sur ce blog sont vraiment pertinentes. Nos politiciens devraient s’en inspirer !
    (surtout ceux du PLR et Udc et Mme Keller Suter qui aimeraient que nous soyons tous fichés avec la nouvelle loi qu’ils veulent nous faire voter sur l’identité numérique gérée par des entreprises privées !)

  4. Nous sommes une société qui aime tellement le “beau temps”, qu’elle a de la difficulté d’accepter même que les jours sombres puissent exister – ou alors elle développe la croyance que le génie humain et la technologie permettront de ne vivre que par beau temps. Tout le temps. Et immédiatement.

    Merci pour vos propos lucides. Qui vous lira et transformera concrètement vos réflexions en projets de société, programmes politiques, stratégies d’entreprises???

  5. Merci pour votre blog, qui touche une fois de plus à l’essentiel sur la sécurité en réseau. Toutefois, l’article d’Europol, que vous citez, laisse quelque peu songeur à la lecture du commentaire suivant:

    “The investigation carried out by our cybercrime specialists has resulted in such a success thanks to the excellent international cooperation with partners worldwide. The results show that law enforcement authorities are equally as well connected as criminals.”

    Si les autorités de surveillance sont aussi bien connectées que les criminels, à qui faut-il alors se fier? Ivan Illich ne disait-il pas déjà que pour justifier l’existence de la police, il faut des criminels, comme pour justifier celle des médecins il faut des malades? On se souvient peut-être, non sans quelques frissons, de cet échange entre un nouveau chef de la justice et son homologue à la police, dans “Le comte de Monte-Cristo” d’Alexandre Dumas:

    – Avec vous à la police et moi à la justice (dit le premier), l’honnête homme n’a plus qu’à bien se tenir.

    N’est-il par ailleurs pas consternant de constater que le site de Safe-Inet, malgré son démantèlement récent, est toujours visible sur Internet à l’adresse safe-inet.net, qui fournit même les dernières informations sur les changements de configuration et les tarifs du VPN – un peu comme si un réseau clandestin de call-girls découvert par la police continuait à afficher au grand jour ses offres de services et ses tarifs. Une page d’accueil (et quel accueil!) “Safe-Inet – Home” est même référencée sur le Web et accessible via… Facebook.

    De plus, aujourd’hui même le simple particulier peut installer Tor sur son ordinateur, faisant désormais de chaque usager un cybercriminel potentiel et propagateur de virus informatiques en puissance au même titre que de coronavirus. Même un amateur peut s’initier au cyber-hacking grâce à la prolifération des manuels de “hacking pour les nuls” et autres “how-to’s” accessibles en ligne. Nul besoin donc d’être un expert pour faire des dégâts. Malgré les dénonciations de la nouvelle administration en place à Washington, il n’a pas encore été démontré que les récentes attaques sur des infrastructures vitales du gouvernement américain, y compris militaires, soient le fait d’un gouvernement ou de puissants conglomérats industriels.

    Les idées ne coûtent pas cher, c’est certain. Pourtant, avec l’avènement de l'”open source”, serait-il si absurde de suggérer celle d’un “Wikipedia” de la cyber-sécurité où chaque intervenant aurait le contrôle complet des apports des autres, tout comme l’auteur de chaque article de l’encyclopédie en ligne est scruté avec soin par ses pairs? Après tout, la recherche, où règne la fameuse cooptation par les pairs, est-elle autre chose qu’un système de flicage de haut niveau?

    1. L’écosystème numérique se développe et profite des activités licites et illicites, des pratiques abusives et détournées du numérique …
      Les limites des mesures de cybersécurité et celles de la lutte contre la cybercriminalité devraient nous inciter à (re) penser nos pratiques numériques et à agir en tenant compte de la réalité politique, économique et technique. Nous pratiquons l’informatisation de la société en construisant des édifices (dont nous dépendons entièrement) sur des sables mouvant avec des matériaux de même niveau de robustesse que le béton du temps d’avant l’invention du béton armé, et de surplus, des matériaux fournis par des acteurs étrangers…

  6. On dit souvent que le maillon faible de la sécurité informatique c’est l’interface entre le dossier de la chaise et le clavier.

    En entreprise ou à domicile en télétravail, j’essaie de rendre attentifs les utilisateurs au fait que 90% de la gestion du risque est entre leurs mains.

    Le problème est que la mise en place de mesures de sécurité préventives implique une perte de confort dans l’utilisation des outils (multiplication des codes et autres mots de passes, contraintes et étapes supplémentaires avant de se connecter, limitation des fonctionnalités de certains outils, etc.) qui sont parfois mal acceptées par les utilisateurs, voire par la direction des entreprises, ces mesures étant ressenties comme des coûts supplémentaires et une perte de productivité.

    Ces mesures sont souvent ressenties comme des « lignes Maginot » car certains documents confidentiels qu’elles sont censées protéger se trouvent parfois en quasi libre accès dans des pays comme la Chine où la sécurité informatique n’est pas du tout considérée de la même manière qu’en Europe.

    D’une manière générale, je constate dans la pratique que la notion de protection des données et de cyber-sécurité varie grandement selon les pays et les cultures. Fortement présente en Europe, elle est subordonnée à la pratique de la libre entreprise aux USA, focalisée surtout sur les données financières, et peu comprise dans les pays de l’Est ou en Chine par exemple qui n’en voient pas l’utilité et les considèrent avant tout comme des «encoubles».

    «il est regrettable que tous les cybercrimes rapportés ne fassent pas l’objet d’investigation»

    Peut-être parce que les Etats n’ont pas intérêt à trop poursuivre les cybercriminels … parce qu’eux-mêmes en font partie ?

  7. “serait-il si absurde de suggérer celle d’un “Wikipedia” de la cyber-sécurité où chaque intervenant aurait le contrôle complet des apports des autres, tout comme l’auteur de chaque article de l’encyclopédie en ligne est scruté avec soin par ses pairs? ”

    Excellente idée, mais que pensent les blogueurs de l’appliquer à leurs blogs?
    Oui, je ne vois pas pourquoi un blogueur pourrait publier ce qu’il lui chante?
    Soit il accepte la critique, sauf bien sûr insultes et autres fakes, soit il n’a pas droit à un blog!

    On ne voit pas bien en quoi ce quotidien va révolutionner le paysage médiatique romand, d’ailleurs…
    … la même langue de bois.
    (Ca fera au moins vivre des journalistes deux ou trois ans, c’est déjà ça 🙂 )

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *