Guerre en Ukraine : « Chacun doit prendre conscience du risque numérique actuel », estime le directeur de la cybersécurité stratégie chez Trend Micro

Interrogé par « 20 Minutes », Nicolas Arpagian, directeur de la cybersécurité stratégie chez Trend Micro, analyse quels sont les risques de cyberattaques dans le conflit russo-ukrainien.

Les cyberattaques dans le cadre de la guerre que mène la Russie à l’Ukraine pourraient s’intensifier et constituent une menace hors des frontières des deux belligérants. Etats, entreprises, mais aussi particuliers doivent organiser une « défense passive », comme l’explique à 20 Minutes Nicolas Arpagian, directeur de la cybersécurité stratégie chez  Trend Micro.

A votre connaissance, des cyberattaques ont-elles déjà été menées envers des organisations occidentales ?

C’est très difficile d’imputer de manière définitive les choses que nous constatons. Il y a des tentatives d’intrusions, des faisceaux d’éléments techniques convergents.

Dans cet univers, il convient d’envisager deux dimensions. Il existe d’abord la prise de contrôle ou la déstabilisation de structures informatiques, sites et serveur. Il y a ensuite la dimension informationnelle, avec des campagnes de désinformation de manière à influencer l’opinion publique.

Dans le cadre du conflit actuel, nous avons constaté que dans les jours précédent l’intrusion, le ministère des armées et des banques ukrainiennes avait été attaqués. L’idée était de commencer à créer un climat de crispation. Ce sont des attaques visibles et aux effets tangibles pour le grand public.

Que peut-on craindre actuellement à l’échelle internationale ?

Ce que l’on redoute, c’est que des cyberattaques qui étaient encore symboliques, se répandent effectivement hors des frontières ukrainiennes. Parmi les inquiétudes, existe celle concernant des « charges actives » dissimulées dans des infrastructures.

Vous voulez dire comme des bombes à retardement ?

Lorsque Vladimir Poutine promet une guerre globale, la question est d’ores et déjà de savoir si des états, qui ont manifesté leur soutien à l’Ukraine et tenté de calmer les ardeurs de Poutine, ne sont pas exposés à des actions offensives depuis n’importe où dans le monde, par des cyber mercenaires.

Ce sont des gens qui conduisent des actions dans un agenda politique, à la demande d’un commanditaire, alors que leur activité essentielle consiste généralement à de « simples » activités crapuleuses. En cas de détection, le gouvernement commanditaire peut ainsi s’exonérer de toute responsabilité. Ce que le cyber permet, c’est donc l’asymétrie : quelques individus isolés peuvent lancer des attaques. Le cyber, ce n’est pas la plaine de Waterloo avec deux armées qui se font face.

On a vu ressurgir les Anonymous depuis quelques heures…

Il s’agit d’actions diffuses de personnes qui ne se connaissent pas. On revoit la mécanique se mettre en route, comme du temps du Printemps arabe, mais ce n’est pas un gage de performance ni de sincérité. Ce n’est ni stratégique ni très complexe à mettre œuvre.

Les médias peuvent-ils être impactés ?

Oui. Un exemple : le site de 20 Minutes ou de tout autre quotidien qui peut éventuellement recevoir en même temps 5.000 visiteurs pourrait être bloqué si on lui envoyait 15.000 requêtes simultanément. On appelle cela un « déni de service ». Cela perturbe sans altérer.

Mais dans une cyber guerre, le Graal correspond à la fameuse affaire TV5 Monde où il y a eu une tentative de prise de contrôle de l’antenne en 2015. La dernière analyse existante sur ce dossier envisage une responsabilité russe. On est typiquement dans l’attaque informationnelle qui a vocation de marquer les esprits. Si quelqu’un prenait le contrôle de 20 Minutes, ce serait pour créer un effet de sidération, avec un message politique, idéologique, mais pas économique, sans volonté avérée de fragiliser l’entreprise.

Nos entreprises sont-elles protégées ?

Hier, le patron d’Euronext a encouragé ses équipes à imprimer certains documents afin de conserver une mémoire pour des informations essentielles…

La question de la vigilance dans le domaine numérique est donc primordiale.

La France s’est dotée en 2016 d’une loi de programmation militaire qui ciblait trois cents entreprises dans douze secteurs d’activité (télécoms, traitement de l’eau énergie, certains médias, alimentation…). Cette loi a suscité la directive NIS (Network Information Service) en Europe et concerne des entreprises dont la défaillance aurait des impacts au-delà de leur strict périmètre économique.

Si demain il n’y a plus d’électricité, l’entreprise fournisseur impacte malgré elle les hôpitaux, les écoles, les particuliers… Les entreprises concernées ont donc renforcé leur niveau de protection sur la gestion des accès, la duplication de leurs informations…

Nous encourageons donc toutes les entreprises, collectivités et administrations à investiguer, à se demander si les sauvegardes de leurs équipements ont été faites afin d’être en mesure de reconstituer son patrimoine si nécessaire.

Nos interactions avec les réseaux sociaux peuvent-elles devenir dangereuses ?

Viginum, créé par l’Etat français, a pour but de détecter les éventuelles campagnes de désinformation, de faire le distinguo entre une libre expression légale ou la composante d’une opération plus large de déstabilisation. Le problème est de détecter assez tôt les informations, de les analyser, de proposer un panel d’actions : ne rien faire, demander l’intervention de l’éditeur de la plateforme, une procédure judiciaire, une action diplomatique… La période électorale qui s’ouvre est propice à des campagnes de désinformation. Parmi les contraintes, celles consistant à intervenir dans des délais rigoureux…

Moi, particulier, dois-je m’inquiéter ?

Il n’est pas utile pour un état de viser les particuliers. Ils seront en dernière ligne. Mais malgré tout, chacun doit prendre conscience du risque numérique et du risque numérique actuel : effectuer des sauvegardes, multiplier ses identifiants, ne pas cliquer sur un lien louche… Et en tant que salarié, si je clique sur un lien, cela peut aussi affecter mon entreprise. En cas de doute, il faut impérativement alerter son service informatique et contribuer à une défense passive.