Le gouvernement s’inquiète du développement du cybercrime « as a service »

« De très nombreuses victimes […] sont tentées de ne pas déposer plainte, compte tenu d’un risque réputationnel [sic] ».

Le ministère de l’Intérieur apporte cette précision en introduction d’un rapport (document PDF, 115 pages) intitulé « État de la menace liée au numérique en 2018 ».

« Les données statistiques ne permettent pas encore d’appréhender finement l’ensemble des faits de cybercriminalité », poursuit-il.

Des données en question se dégagent néanmoins quelques tendances fortes. Notamment le « cybercrime-as-a-service », avec l’exemple des plates-formes de location de rançongiciels.

Ces derniers sont parfois proposés en kits « prêts à l’emploi », pour quelques centaines d’euros, sur des forums spécialisés de piratage et sur le darkweb.

Les statistiques de plaintes enregistrées par les forces de sécurité « montrent une explosion du phénomène », affirme la Place Beauvau. Elle dit avoir recensé « plus de 420 procédures, toutes attaques confondues […], sans compter les nombreux faits analogues qui sont interprétés comme de simples escroqueries par les services de plaintes ».

Les entreprises touchées ont axé leur réaction sur la remise en état rapide de leurs infrastructures « au détriment de la plainte auprès des forces de l’ordre ».

Législation et marché

À mesure que le taux de pénétration d’Internet progresse en France (86,8 % fin 2017), la surface d’attaque s’élargit. En première ligne, les réseaux sociaux : 31 millions de visiteurs uniques par mois pour Facebook, 26 millions pour YouTube, 13,6 millions pour Twitter, 11,9 millions pour Instagram, 10,1 millions pour Snapchat, etc.

L’Internet des objets reste une préoccupation majeure du ministère de l’Intérieur, y compris parce que son exploitation est « susceptible d’orienter utilement les investigations judiciaires ».

Sur ce volet, le cadre français a évolué l’an dernier avec la loi portant réforme de la prescription en matière pénale. Elle allonge les délais de prescription de l’action publique, en les portant de 3 à 6 ans pour les délits et de 10 à 20 ans pour les crimes. Une modification qui influencera les procédures concernant les infractions considérées comme relevant de la cybercriminalité.

Le rapport mentionne également la loi du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme. Le texte instaure des mesures de police administrative en matière de saisie de données, de techniques spéciales d’enquête ou encore de captation de données transmises par le biais de réseaux sans fil.

Le cadre a aussi évolué au niveau européen. Tout particulièrement avec la directive NIS (Network and Information Security). Transposée par la loi 2018-133 du 26 février 2018, elle aura, sous réserve des décrets et arrêtés attendus, des conséquences sur les relations entre les acteurs de la cybersécurité au niveau national.

Le secteur représenterait, en France, « plus de 850 entreprises » pour quelque 60 000 employés. La cybersécurité dégagerait un chiffre d’affaires de 4,3 milliards d’euros, contre 4,5 milliards pour la sécurité numérique. Ce segment regroupe les « solutions, matériels et installations dédiés à instaurer la confiance pour la mise en œuvre des systèmes numériques. On parle là de biométrie, de détection, des gestion des accès…

PHAROS moins sollicité

Qu’en est-il des attaques visant les systèmes d’information ? Les assauts par déni de service distribué (DDoS) se font moins fréquents et leur usage contre les plates-formes téléphoniques (TDoS) reste marginal.

En revanche, le piratage des standards et des lignes téléphoniques progresse. Deux procédés principaux sont exploités dans ce cadre : le phreaking (prise de contrôle d’un autocommutateur pour passer des appels surtaxés) et le spoofing (usurpation d’identité).

L’utilisation accrue des outils d’anonymisation (près de 100 000 utilisateurs directs quotidiens de Tor) et la généralisation du chiffrement favorisent non seulement les attaques, mais aussi la diffusion de contenus de provocation et d’apologie au terrorisme. Pilier de la communication de l’État islamique, Telegram est un emblème en la matière.

Le ministère de l’Intérieur relève cependant une baisse globale de la production de propagande. Il l’impute à un « ralentissement des modes de production » consécutif à la prise de Raqqa (Syrie) en octobre 2017.

Ainsi le nombre de contenus à caractère terroriste remontés à la plate-forme PHAROS baisse-t-il pour la deuxième année consécutive : 6 300 signalements (6 % du total) contre 11 400 en 2016 (4 %).

Le gouvernement surveille particulièrement le « déversement de propos apologiques » sur les forums de jeux vidéo en ligne. Il prépare par ailleurs la révision de la directive européenne de services de médias audiovisuels. Le texte dispose que les services en question ne peuvent contenir aucune incitation à la haine fondée sur la race, le sexe, la religion ou la nationalité. La révision vise à inclure les plates-formes de partage de vidéos dans le champ d’application.

Un mal répandu

Sur la base d’une étude du CESIN (Club des experts de la sécurité de l’information et du numérique), le ministère de l’Intérieur déclare que 79 % des entreprises ont constaté au moins une cyberattaque en 2017 (les rançongiciels sont les plus cités, à 73 %). Pour autant, les deux tiers consacrent moins de 5 % de leur budget IT à la sécurité.

Bien qu’en légère diminution (- 3 %), le nombre d’atteintes aux systèmes de traitement automatisé de données reste significatif : 9 250 incidents déclarés en 2017, dont 79 % d’accès frauduleux et 14 % d’atteintes aux données (+ 55 % d’une année sur l’autre).

« Plus de 63 500 » faits ont été portés à la connaissance de la gendarmerie (+ 32 %). On a relevé 320 000 victimes d’escroqueries et d’infractions assimilées.

Le coût moyen d’un détournement de données s’élèverait à de 3,62 millions de dollars (Ponemon Institute, 2017). Pour une violation de sécurité, la facture serait en moyenne de 330 000 euros pour une entreprise de moins de 1 000 salariés ; elle atteindrait 1,3 million d’euros dans les structures de plus de 5000 personnes (NTT Com Security, 2016).

Crédit photo : datacorpltd via Visualhunt.com / CC BY-NC