A quoi ressemblerait un "Pearl Harbor" numérique ?

Atlantico : Peu d’attaques informatiques massives et visibles contre un pays en particulier sont à dénombrer, d’après Sharon Weinberg sur le site de la BBC (voir ici). Y a-t-il déjà eu des précédents, et pourquoi sont-ils si peu nombreux ?

François-Bernard Huyghe : Il faut s’entendre sur ce que l’on qualifie « d’attaque ». On compte énormément d’attaques d’espionnage, destinées à dérober des données sensibles qui ont une valeur. Dans ce domaine, les Etats-Unis sont souvent victimes. D’autres sont plus symboliques, destinées à humilier un adversaire, soit en marquant son passage à la manière des Anonymous ou de la Syrian Electronic Army, soit en procédant au déni partagé d’accès, qui consiste à utiliser énormément d’ordinateurs zombis pour engorger un site internet. Ces attaques sont courantes et relativement faciles à mener, elles sont extrêmement énervantes, mais ne mettent pas un pays à genoux. Dans tous les conflits actuels on l’observe, il suffit de regarder ce qui se fait entre Israël, la Palestine, les Etats-Unis, la Syrie, le Hezbollah, etc.

L’expression de « Pearl Harbour informatique » est née dans les années 1990. Il s’agit d’une sorte de fantasme américain. Comme, dans notre société, tout dépend des ordinateurs, une opération menée par des hackers terroristes ou amateurs pourrait détraquer tous les systèmes indispensables à notre vie : contrôle des avions, services bancaires, indemnisation des chômeurs, approvisionnement énergétique... Ce serait donc une attaque de pure anarchie qui viserait à paralyser un pays en empêchant des services de fonctionner normalement. Outre une prise de contrôle de feux rouges dans une ville américaine, on n’a jamais vu d’attaque de ce genre et d’une telle ampleur. Une prise de contrôle des services informatiques des urgences parisiennes coûterait des vies humaines, cependant cela ne s’est jamais produit.

Pourquoi ce « Pearl Harbour informatique » ne s’est-il jamais produit ?

Tout d’abord, parce que c’est un fantasme. On en a changé plusieurs fois la terminologie : « Waterloo informatique », puis « Cybergédon » en référence à l’Apocalypse... Les colporteurs de telles théories sont des think tanks américains spécialisés dans les questions de sécurité qui, d’une certaine façon,  ont intérêt à « vendre » de la peur. Beaucoup de budgets en dépendent, ce qui a créé une constante en matière de sécurité informatique, consistant à dire qu’il faut protéger ses infrastructures vitales et sociales.

Deuxièmement, ce n’est pas si facile. Les services de sécurité travaillent beaucoup sur la notion de résilience : on ne peut pas éviter les attaques, mais on peut faire en sorte de répartir les risques sur plusieurs ordinateurs.

Et troisième raison qui laisse à penser que de telles attaques n’arriveront pas : quel intérêt aurait-on à faire cela ?

En effet, quel serait l’intérêt de paralyser les systèmes informatiques d’un pays ou même d’une ville ?

On comprend très bien l’intérêt des Américains et des Israéliens à paralyser le système d’enrichissement d’uranium des Iraniens avec le virus Stuxnet. La logique est évidente : l’action est ciblée, et répond à des objectifs stratégiques très clairs. En revanche, quel serait l’intérêt pour un Etat de créer le chaos dans les systèmes de distribution d’électricité à Paris ou dans le trafic aérien à l’aéroport de Washington ? Si cela n’est pas accompagné d’un message politique fort, soumettant l’autre pays à des revendications, cela n’a pas beaucoup de sens. Il est difficile de dire si des Etats sont prêts à employer ce genre de moyens avec les risques que cela comprend.

Car il vaut mieux viser juste. Les systèmes sont tellement interconnectés qu’il est difficile d’attaquer un pays sans en toucher un autre, ou en évitant un « retour de feu ». Le virus Stuxnet, conçu pour toucher un système industriel bien déterminé, a tout de même terminé dans la nature ! On peut très facilement se tirer une balle dans le pied. Si l’attaque informatique précède une invasion militaire, alors elle a un sens. Mais seulement dans ce cas bien précis.

S’il devait s’agir d’un groupe privé dont le but unique serait de provoquer un maximum de dommages, là encore il est permis de se demander qui pourrait avoir une telle volonté. On n’a jamais vu de groupe extrémiste, de droite ou de gauche, le faire, d’autant plus qu’une telle action ne rendrait pas très populaire son initiateur.

Cependant, la destruction avec un maximum de dégâts était l’objectif des terroristes qui se sont sacrifiés le 11 septembre 2011. Cela est-il si imaginable dans une attaque numérique ?

Cela pourrait se comprendre si c’était pour accompagner une offensive militaire ou une vague d’attentats. Les djihadistes ne l’ont jamais fait, à l’exception de quelques actions à portée symbolique contre des banques israéliennes. S’ils le faisaient, ils pâtiraient d’un déficit symbolique, car leur message passerait moins bien. Donc on ne devrait pas assister à des coupures massives, par ce biais, de réseaux électriques ou de chauffage, parce que cela est techniquement difficile, et que personne n’y a réellement intérêt.

En revanche, on verra toujours de petits groupes de hackers – antisionistes, par exemple – qui pirateront une banque, une compagnie aérienne ou un ministère, pas tant pour instaurer le chaos que pour humilier symboliquement. Des numéros de cartes bancaires israéliennes ont par exemple été diffusés, sans aller au-delà. La Syrian Electronic Army, quant à elle, s’est presque livrée au canular d’étudiant en faisant croire que la Maison Blanche avait été attaquée et que Barack Obama était blessé. Résultat, la Bourse de New York a baissé pendant quelques minutes.

Quels dispositifs stratégiques faudrait-il attaquer pour affaiblir durablement un pays ?

Si vous entrez dans un conflit militaire, vous penserez assez logiquement à faire ce qui se faisait déjà pendant la Seconde Guerre mondiale : vous enverrez des paras derrière les lignes pour couper les lignes téléphoniques, ou bien vous essaierez, comme la Russie en Géorgie, d’économiser des missiles en envoyant des virus dans les systèmes de radars, les télécommunications ou les sites officiels. Les risques de déborder sur le domaine civil étant très importants, il faut veiller à bien cibler les actions : ministère de la défense, télécommunications, radars, transports terrestres et aériens, approvisionnement énergétique… Ceci étant, cela reste de l’accompagnement, un simple « bonus » équivalent à ce que ferait un bon commando derrière les lignes ennemies. Pendant la Seconde Guerre mondiale, les Allemands changeaient les panneaux routiers de sens pour faire perdre du temps aux Alliés… On est dans cet ordre d’idée.

Propos recueillis par Gilles Boutin