Les oiseaux de mauvais augure prédisaient, depuis des années, l’avènement de la cyberguerre, la vraie, celle qui se fait entre états belligérants. Mais personne ne pouvait prévoir que l’Ukraine allait être le premier pays de l’histoire à expérimenter ce nouveau genre de confrontation militaire.
Après plus de deux mois de conflit, un premier constat s’impose : le pays attaqué semble plutôt bien s’en sortir. Invité virtuel à l’occasion du Paris Cyber Summit 2022 (PCS 2022), le vice-premier ministre Mykhailo Fedorov se montre confiant.
« Les hackers russes ciblent nos médias et nos infrastructures critiques, mais ils ne réussissent pas. Leur puissance cybernétique est largement surestimée. Le mythe est détruit », explique cet homme politique de 31 ans qui, depuis l’invasion russe, a remplacé ses habits de ministre de la transformation digitale par le treillis de chef de guerre numérique.
Pourtant, on ne peut pas dire que la Russie reste inactive dans le cyberespace. Dès le mois de janvier, les hackers de Poutine ont commencé à diffuser dans les réseaux ukrainiens des wipers, ces logiciels malveillants qui effacent les données des systèmes infectés. Une heure avant le début de l’invasion, ils ont également piraté des dizaines de milliers de terminaux satellitaires pour les rendre inopérants et gêner l’armée ukrainienne. Ces actions ont été officiellement attribuées à la Russie par le camp occidental il y a quelques jours.
A découvrir aussi en vidéo :
Face à ce feu nourri de l’adversaire, l’Ukraine a comme premier objectif la résilience et la continuité des services publics, voire leur développement.
« Nous avons réussi à créer des structures qui nous permettent d’avancer. Chaque semaine, nous créons un nouveau service en ligne pour les Ukrainiens », souligne Mykhailo Fedorov.
Ainsi, ses équipes ont créé un service qui permet aux citoyens se trouvant dans les zones de combat de recevoir des aides de l’État de façon électronique. Un autre permet aux habitants victimes de bombardements de déclarer et documenter des dommages avec leur smartphone, et ainsi déclencher la procédure de dédommagement. Les citoyens qui ont dû quitter leur ville et partir vivre ailleurs peuvent, de la même manière, demander des aides.
Certains services ont également une fonction militaire. Ainsi, les citoyens peuvent, au travers d’un chatbot, géolocaliser des troupes russes auxquelles ils sont confrontés, ce qui permet au gouvernement d’évaluer les mouvements de l’ennemi. Les citoyens peuvent également prendre en photo les cadavres des soldats russes.
« Nous utilisons des modèles d’intelligence artificielle capables de fouiller les réseaux sociaux et de les identifier. Ensuite, nous essayons d’avertir leurs proches », explique le vice-premier ministre.
Le but étant, évidemment, de montrer à la population russe la désinformation qu’elle subit.
80 systèmes russes endommagés
L’Ukraine dispose aussi d’une stratégie offensive, dont la partie la plus visible est l’« IT Army of Ukraine ». Créée sous la houlette de Mykhailo Fedorov, cette brigade internationale de hackers bénévoles vise des cibles informatiques russes. Les actions sont coordonnées au travers de la messagerie Telegram. Souvent, il s’agit d’attaques DDoS sur des sites Web ou des services en ligne.
Mais des attaques plus complexes sont également menées par les forces ukrainiennes, sans que l’on sache vraiment si cette légion de bénévoles est impliquée ou non.
Ainsi, à l’occasion de la célébration du 9 mai en Russie, le service de streaming RuTube a été piraté et mise hors service. Par ailleurs, des messages antiguerre ont été insérés dans les pages de programmation des chaînes de TV.
« Nous avons endommagé plus de 80 systèmes de Fédération de Russie. Les sites du FSB et du Kremlin ont été mis à terre », explique le vice-premier ministre.
L’Ukraine aurait également cherché à désorganiser la vente d’alcool en Russie en ciblant un système de taxation.
« Nous avons décidé que les gens avaient besoin d’être sobres face à la propagande », ajoute-t-il, avec ironie.
Mais on n’en saura pas plus sur les autres cyberattaques, et encore moins que les modes opératoires.
L’OTAN est satisfait
Les partenaires occidentaux observent tous ces agissements avec une certaine admiration, voire une satisfaction.
« Nous travaillons avec l’Ukraine depuis dix ans dans le domaine cyber, explique James Appathurai, un porte-parole de l’OTAN, lors d’une table ronde au PCS 2022.
Le pays participe à nos exercices, profite de nos conseils et expertises ainsi que de notre plate-forme anti-malware. C’est la preuve que ce partenariat fonctionne. »
Chez les responsables cybersécurité des entreprises, en revanche, c’est sans doute le sentiment d’effroi qui domine. Depuis le début du conflit, les alertes de cybersécurité se multiplient, laissant présager d’importantes attaques. Dans les entreprises, c’est le branle-bas de combat.
« Les équipes systèmes et réseaux ont été très mobilisées ces dernières semaines, notamment dans les secteurs bancaire et nucléaire, pour protéger au maximum les infrastructures et isoler les flux en provenance de l’Est », nous explique Jacques de la Rivière, PDG de GateWatcher, un fournisseur de sondes réseau pour grandes entreprises.
Certains responsables d’agences nationales de cybersécurité se montrent également inquiets. Si le conflit déborde sur d’autres pays, les infrastructures critiques, dont ils ont la charge, vont-elles tenir le coup ?
« Les temps sont durs pour ceux qui doivent assurer la défense des infrastructures critiques et réduire le risque d’attaque », confirme David Mussington, directeur adjoint de l’agence américaine CISA.
Certes, l’Union européenne a renforcé sa défense avec la mise en place, en 2016, de la directive NIS (Network and Information System Security). Celle-ci contraint les opérateurs de services essentiels de chaque pays membre à « assurer un niveau de sécurité élevé et commun pour les réseaux et les systèmes d’information », comme on peut le lire sur le site de l’ANSSI.
Quel est vraiment notre niveau de sécurité?
Mais la réalité est plus disparate.
En Roumanie, « le secteur financier et de l’énergie sont matures, mais ce n’est pas le cas de celui de la santé. Sur nos 700 hôpitaux du pays, plus de la moitié ont un très faible niveau de sécurité », avoue Dan Cimpean, directeur de l’agence nationale de cybersécurité roumaine.
Même son de cloche chez son homologue slovaque.
« Il y a 28 groupes bancaires en Slovaquie. Deux ont un très bon niveau. Trois sont juste au-dessus de la moyenne. Tous les autres sont en dessous », explique Rastislav Janota.
Il n’est pas sûr que la situation soit vraiment meilleure en France, même si notre pays a été précurseur dans ce type de régulation. Depuis la loi de programmation militaire de 2013, environ 250 opérateurs d’intérêt vitaux (OIV) doivent identifier les systèmes d’informations les plus sensibles et renforcer leur niveau de sécurité. Mais le font-ils vraiment ?
Il n’existe pas de rapport public qui confirme le bon respect de la vingtaine de règles de sécurité que le législateur impose aux OIV. Ainsi, selon nos informations, seule une quarantaine d’OIV serait en conformité avec la règle n°7, qui oblige la mise en place de systèmes de détection. Or, il est difficile d’organiser une défense si on ne détecte pas les attaques.