Il est aussi bien matériel et concret
En 2009, lors du procès, en Suède, du site de téléchargement illégal The Pirate Bay, le juge avait demandé à Peter Sunde, l’un des cofondateurs du site, quand il avait rencontré pour la première fois ses coaccusés « IRL »- « in real life », dans la vie réelle. La réponse avait fusé : « nous n’utilisons pas l’expression « IRL »(…). Nous pensons qu’Internet est réel. »
Plus de quinze ans plus tard, une série de piratages est venue rappeler qu’Internet est non seulement bien réel, mais qu’il est aussi beaucoup plus matériel, beaucoup plus concret qu’on ne le pense d’ordinaire, et que les pirates ne s’intéressent pas qu’à nos données. Dans la nuit du 11 au 12 octobre, les congélateurs de plus de 300 supermarchés français ont été piratés et règlés sur une température de plus de 30°C, provoquant la destruction de grandes quantités de nourriture. Cette cyberattaque n’a pas affamé la France. Mais la symbolique de ce gâchis alimentaire, dans le contexte de tension sur le pouvoir d’achat, l’a rendue particulièrement visible et angoissante.
Cette cyberattaque un peu particulière a aussi généré beaucoup d’incompréhensions. Pourquoi diable les congélateurs des supermarchés sont-ils connectés à Internet ? D’abord parce que cela facilite la surveillance et leur gestion, mais aussi parce que désormais tout ou presque est connecté. Internet et le monde physique sont aujourd’hui totalement imbriqués.
Chez les particuliers aussi, de plus en plus de frigos sont connectés : le marché de ces réfrigérateurs , capables de gérer des listes de courses ou de vous envoyer une alerte en cas de changement de temmpérature, pèse plus de 5 milliards d’euros à l’échelle mondiale. Aspirateurs, thermostats, interrrupteurs, ampoules électriques, caméras de surveillance, robots de cuisine, serrures, sonnettes : les objets connectés sont omniprésents dans les foyers.
Cibles moins surveillés
Dans le petit monde de la sécurité informatique, il ne se passe quasiment pas une semaine sans qu’un rapport ne détaille par le menu une grave faille de sécurité touchant l’un ou l’autre de ces produits. La découverte de ces failles et leur exploitation à grande échelle sont aussi facilitées par les progrès de l’intelligence artificielle. Bien sûr ces risques de piratage ne sont pas toujours très graves. Peu de pirates trouveraient un intérêt à s’attaquer à un distributeur de croquettes pour chat : seul un voisin revanchard aurait intérêt à changer le mot de passe de votre tondeuse connectée. Mais ces objets servent aussi parfois de porte d’entrée pour des piratages plus élaborés ou sont détournés par des hackeurs qui en prennent le contrôle pour former de vastes « botnets », des réseaux de machines qu’ils utilisent ensuite pour mener des cyberattaques.
Et lorsqu’il s’agit de systèmes industriels, les choses se compliquent très vite. Dans beaucoup d’entreprises des machines-outils utilisent des logiciels qui ne fonctionnent que sur d’antediluviennes versions de windows, ou utilisent un système bricolé par un ancien salarié et que plus personne ne sait modifier …
En juin 2017, lors de la cyberattaque NotPetya, un logiciel malveillant qui avait visé des infrastructures ukrainiennes, les dégâts avaient été massifs, y compris chez de très grandes entreprises, comme Saint-Gobain ou le logiciel danois Maresk. Attribué au renseignement militaire russe, l’attaque avait mis en lumière le fait que, dans les usines ou les ports, beaucoup d’ordinateurs utiilisaient encore windowsXP, une version déjà totalement obsolète à l’époque et particulièrement vulnérable à NotPetya.
Lorsqu’on pense à des cyberattaques étatiques, on envisage souvent les pires scénarios, ceux qu’on verrait dans un film d’action américain : un hackeur qui ouvre les vannes d’un barrage, dérègle les système d’un porte-avions, provoque une coupure d’électricité générale. Ces piratages hollywoodiens ne sont pas totalement impossibles, mais les centrales nucléaire, les banques ou les infrastures militaires sont aussi les endroits qui concentrent l’attention de l’Etat, des moyens de défense élaborés et les règles de sécurité les plus strictes. C’est aussi pour cela que les groupes de pirates étatiques se rabattent souvent sur des cibles moins stratégiques, mais beaucoup moins surveillés. Les frigos n’ont pas été les seuls à connaitre un coup de chaud récent : en août, le Pentagone a ouvert une enquête après une série d’incidents ayant touché les congélateurs de plusieurs bases militaires.
Alors que faire ? La bonne nouvelle est que les bonnes pratiques, qui limitent sérieusement le risque, sont connues, parfois très simples à mettre en œuvre : changer les mots de passe par défaut, ne pas laisser des interfaces de contrôle accessibles sur le web, appliquer les mises à jour … Les législateurs ont aussi pris les problèmes à bras-le-corps : deux directives européennes récente ont considérablement renforcé les obligations des constructeurs, qui doivent notamment s’engager à proposer des mises à jour de sécurité sur le très long terme, sous peine de fortes amendes. Encore faut-il que les dites mise à jour soient appliquées – c’est, d’après les éléments de l’enquête, le fait qu’un correctif pourtant public n’ait pas été mis en place qui a permis aux pirates de dérègler les congélateurs des supermarchés.
On le sait : la sécurité informatique est un monde de contraintes. Notamment dans les PME qui n’ont, souvent, pas de responsable de la cybersécurité. Mais la série récente de vols de données personnelles et d’attaques par rançongiciels contre des entreprises ou des hôpitaux montre qu’il est temps pour une prise de conscience plus forte et de faire de cette question une priorité, pour l’Etat, le secteur privé et les particuliers. Et puis, sans verser dans l’antitechnologisme primaire, est-il vraiment nécessaire, ou utile, de connecter à Internet nos brosses à dents ou nos fours ?
Le monde