1982. Les services secrets américains apprennent que l’URSS s’apprête à voler un logiciel contrôlant le gazoduc transsibérien à une entreprise canadienne. Résultat : la CIA implante un malware au sein du logiciel délibérément. Lorsque l’Union Soviétique s’en empare, l’infrastructure subit une pression telle qu’elle explose. Littéralement.
Il s’agit là du premier exemple de cyberattaque référencé. Aujourd’hui, les guerres menées en ligne par logiciels et virus interposés sont légion, et font régulièrement les gros titres. À tel point qu’en matière de géopolitique, « la menace d’une cyberattaque est plus crédible que celle de la bombe atomique », estime Fabrice Epelboin.
Pillage intellectuel et souveraineté géopolitique
Pour cet enseignant à Sciences Po, spécialiste de géopolitique, l’escalade des moyens et de la fréquence des cyberattaques est comparable à une nouvelle Guerre Froide. « Le phénomène s’intensifie », constate-t-il. Les objectifs sont multiples, et vont de l’espionnage industriel au pillage intellectuel… en passant par la domination géopolitique. « Les forces ne sont pas équilibrées. Il y a encore trois ou quatre ans, les États-Unis dominaient le terrain. Depuis, la Chine a montré sa puissance. » Nulle organisation n’est à l’abri : ce sont peut-être « les grosses » qui sont principalement visées, mais toutes celles qui gravitent autour sont concernées. « Une faille au sein des services de messagerie permet aux hackeurs de récupérer bien plus que des adresses e-mail », alerte-t-il.
Manque de moyens
Alors que faire, quand on sait que la majorité des services informatiques utilisés par les professionnels – cloud compris – sont américains ? « Il y a une vraie fracture budgétaire. Les services des géants américains sont bien souvent gratuits, ou peu coûteux. Il existe des alternatives, mais celles-ci demandent un budget informatique plus conséquent. Les petites et moyennes entreprises n’ont pas forcément les moyens, financiers et humains, de choisir ces solutions en interne. »
Bien entendu, toutes les activités ne sont pas égales face aux risques. Quand on l’interroge sur les secteurs les plus vulnérables, Fabrice Epelboin évoque spontanément celui de la défense, avec l’exemple de l’espionnage d’Airbus par la NSA, ou celui du vol des données des sous-marins militaires de DCNS par un ancien officier de la marine. Mais il insiste : même pour les PME, il est nécessaire de mesurer le risque encouru, « plutôt que de se fier aux mérites vendus par une brochure marketing ». Problème : les directions informatiques sont bien souvent isolées des ComEx, et n’ont pas la possibilité d’alerter sur l’ampleur des dégâts potentiels.
Un permis pour utiliser un ordinateur ?
« Le risque de cyberattaque est réel, et la seule solution qui existe pour s’en protéger reste la vigilance. Ce qu’il faudrait, c’est l’équivalent du permis de conduire, mais pour utiliser un ordinateur : avant de rejoindre une entreprise, il s’agirait de connaître les rudiments de la cybersécurité », imagine Fabrice Epelboin.
Quand on connaît la situation dans d’autres pays, on se dit que l’idée n’a rien de farfelu. « Il n’est pas rare, dans certains pays d’Europe de l’Est, que les PME s’offrent des services de ‘dératisation’ : des équipes dédiées viennent dans les locaux des entreprises et se chargent d’enlever les micros cachés ou de supprimer les spywares installés sur les ordinateurs. Elles en trouvent dans un cas sur cinq ! C’est un marché très lié à la prolifération des cybercriminels. Nous n’en sommes pas là en France… mais nous ne serons pas à l’abri éternellement. »
