Une succession d’incidents touchant aussi bien des services publics que des entreprises privées révèle une mutation de la menace cyber. De jeunes hackers, parfois adolescents, utilisent l’ingénierie sociale pour contourner les protections, tandis que les groupes de ransomware privilégient désormais des organisations plus petites et moins bien défendues. À cette évolution s’ajoute l’intelligence artificielle, qui permet de produire de faux documents en quelques secondes et d’industrialiser le phishing.

Pour Gérôme Billois, Partner cybersécurité et confiance numérique chez Wavestone et auteur de l’essai « Cyberattaques : Les dessous d’une menace mondiale » paru chez Hachette, le changement majeur tient désormais à la vitesse des attaques, car certaines offensives deviennent autonomes et progressent à un rythme auquel de nombreux systèmes de défense peinent encore à répondre.

Futura : Ces derniers mois, il y a eu plusieurs attaques spectaculaires contre des plateformes étatiques françaises, mais aussi des grandes entreprises, alors que ces organisations semblaient pourtant bien protégées. Comment analysez-vous cette montée en puissance ?

Gérôme Billois :  Le risque cyber est grand depuis plusieurs années, et ce sur tous les fronts. Les hackers sont de plus en plus intelligents, mais aussi de plus en plus jeunes. Le groupe ZeroBytes qui a attaqué le fisc était composé de deux adolescents de 18 et 16 ans. La plupart du temps, ils revendent les bases de données qu’ils ont subtilisées sur le dark web pour quelques milliers d’euros. En général, on les arrête assez vite parce qu’ils ne sont pas assez chevronnés pour masquer leur crime. Cette nouvelle cybercriminalité est aujourd’hui  plus visible.

Les impôts ne sont pas seuls : ces autres organismes piratés et les données qui pourraient tomber entre de mauvaises mains

Trois fuites de données touchant des organismes publics ont été révélées cette semaine, exposant potentiellement des centaines de milliers, voire des millions de Français. Alors que le gouvernement veut généraliser les dispositifs de vérification d’âge et d’identité, ces nouvelles affaires soulèvent une question embarrassante : que deviennent nos données lorsque ceux qui nous demandent de les protéger peinent eux-mêmes à le faire ?… Lire la suite

Pour autant, les groupes de ransomware n’ont pas disparu. Ils se sont repositionnés sur des cibles plus petites et plus faciles à atteindre, par exemple des PME. Enfin, il y a aussi la menace que représente l’IA.

Futura : Comment expliquer que des hackers aussi jeunes arrivent à percer les systèmes de défense des institutions, des ministères et des grandes entreprises ?

Gérôme Billois : Pour commencer, la valeur n’attend pas le nombre des années. Ensuite, il ne faut pas grand-chose pour être un bon cybercriminel. Il faut être déterminé, astucieux, avoir du temps, et essayer toutes sortes de combinaisons pour trouver la bonne. Ce sont des mécanismes intellectuels auxquels les jeunes sont habitués, notamment par le biais du jeu vidéo.  

Surtout, une nouvelle manière d’attaquer est arrivée des États-Unis avec les groupes Lapsus$ et Scattered Spider. Les hackers appellent le support informatique pour récupérer des mots de passe en prétextant les avoir perdus. Comme ce sont des adolescents et qu’ils n’ont pas froid aux yeux, ils sont prêts à tout tenter pour atteindre leurs objectifs.

Futura : Est-ce que cela veut dire que nos systèmes de sécurité ne sont plus adaptés à la menace actuelle ?

Gérôme Billois : Oui et non. Si l’on prend l’ensemble du tissu économique, il y a quand même moins de cyberattaques de grande envergure sur les groupes du CAC 40 qu’auparavant, car il y a eu beaucoup d’investissements pour muscler les défenses. En ce qui concerne les services de l’État, le Premier ministre et le ministre du Budget ont reconnu que les systèmes étaient très anciens, et donc plus adaptés au risque. Cette obsolescence est liée à des problèmes budgétaires, pas à un manque de compétences technologiques.

Par ailleurs, je rappelle qu’il suffit qu’une attaque réussisse une seule fois. Peu importe si la défense en a stoppé 1 000 avant.

Futura : Avec ces vols massifs de données, quel est le risque pour les particuliers ?

Gérôme Billois : Le risque, c’est de la fraude en cascade. Les données permettent aux hackers de créer des scénarios d’attaque beaucoup plus réalistes, qui vont tromper plus de gens. Ces informations facilitent le phishing et tous les autres types d’arnaques.

Les hackers ZeroBytes, qui ont 18 et 16 ans, ont mis en lumière l’obsolescence des systèmes de sécurité de l’État. © BFM TV

Futura : Qu’est-ce que l’IA vient changer  ?

Gérôme Billois : L’IA accélère et améliore les attaques de base. Elle va permettre de créer automatiquement des images de faux documents pour tromper les victimes, alors qu’il fallait des heures auparavant sur photoshop. 

Des sites Web peuvent tomber en 10 secondes : la nouvelle technique qui contourne les défenses et affole les experts

Au lieu d’une armée massive de botnets, un seul ordinateur peut faire planter un site web ou un service, en menant à lui seul un nouveau type d’attaque DDoS. L’ensemble des principaux serveurs est impacté et il faut moins d’une minute pour les faire tomber. Décryptage d’une technique redoutable…… Lire la suite

Ensuite, cette technologie donne la possibilité de développer rapidement de nouveaux logiciels conçus pour trouver les failles d’un système. Et en ce moment, nous sommes en train de passer à l’étape d’après avec l’apparition d’offensives autonomes, comme celles qui ont ciblé Taïwan durant l’été. Aujourd’hui, les cyberattaques vont à la vitesse de l’IA, ce qui est trop rapide pour beaucoup de systèmes de défense.

Futura : Parmi les scénarios les plus extrêmes, peut-on imaginer une attaque massive contre le système énergétique français, qui conduirait à un shutdown ?

Gérôme Billois : C’est difficilement concevable. Pour commencer, les opérateurs d’importance vitale (OIV), soit les 200 structures qui font fonctionner la France, sont très sécurisés et très isolés. C’est obligatoire depuis 2013. Les plateformes étatiques qui ont été hackées étaient ouvertes sur l’extérieur, notamment à cause des messageries, et donc forcément plus fragiles.

Ensuite, stopper la production électrique à l’échelle du pays nécessiterait une attaque d’une ampleur inédite car les systèmes sont particulièrement profonds et complexes. Après, dans l’absolu, comme tout est numérisé, tout est envisageable.

Enfin, il faudrait un hacker ou un groupe capable d’assumer une telle attaque, c’est-à-dire capable de ne pas se faire prendre après l’avoir menée.

Futura : Quel est le meilleur conseil à donner aujourd’hui à une organisation face au risque cyber ?

Gérôme Billois : Il faut arrêter de boucher les trous. Il faut identifier les systèmes les plus critiques et limiter leur surface d’exposition pour limiter leur surface d’attaque. C’est le meilleur moyen pour se protéger efficacement.