TV5 Monde : quand le cyber-djihadisme déstabilise le Web et le broadcast

C’est une attaque inédite visant un média audiovisuel francophone mais pas forcément sophistiquée. C’est le point de vue général partagé par les experts en sécurité IT après l’assaut visant TV5 Monde mené au nom du cyber-djihadisme.

Résumons les faits de manière succincte : mercredi, vers 22H00, un groupe pirate pro-Etat islamique (le « CyberCaliphate ») s’empare des comptes Facebook et Twitter et du site Internet de la chaîne internationale francophone TV5.

Plus intriguant : ils parviennent simultanément à couper les canaux numériques de diffusion de TV5 en mesure de capter 250 millions de foyers dans le monde (« 11 chaînes en écran noir) ».

Des messages de propagande djihadiste apparaissent sur les réseaux sociaux du média visé, son système informatique est bloqué, et c’est l’écran noir à la télévision.

Les comptes Facebook et Twitter sont repris en main dans la nuit de mercredi à jeudi. Mais il faudra attendre jeudi en fin d’après-midi pour un véritable retour de la diffusion de la chaîne, précise l’AFP. Mais le site Web TV5monde.com demeure inaccessible dans la nuit de jeudi à vendredi.

Un scénario noir qui suscite plusieurs interrogations : quel est le degré de protection du réseau informatique de TV5 Monde ? Quels investissements consentis à la sécurité IT ? Comment l’attaque a été orchestrée sur un double front (Web et canaux de diffusion numérique) ? Qui se cache vraiment derrière le « CyberCaliphate » ? On sait que ce groupe pirate a déjà sévi aux Etats-Unis à l’encontre de l’US Army et des médias.

Silicon.fr émet trois pistes d’enquête dans l’affaire TV5 Monde. Celle portant sur le « broadcast sécurisé » semble la plus intrigante. On y apprend qu’Ericsson est partenaire de TV5 pour la diffusion numérique.

Sur l’antenne de BFM TV, Yves Bigot, Directeur général de la chaîne TV, a réagi dans la journée de jeudi à l’assaut signé CyberCaliphate.

Il exprime sa stupéfaction : « On pense qu’il y a eu plusieurs attaques simultanées et coordonnées en même temps, ce qui a donné une telle puissance de frappe », commente-t-il. Un travail de sape qui aurait été préparé « depuis de très nombreuses semaines ».

Il se montre aussi surpris par le manque de fiabilité du « système d’anti-intrusion » installé sur le réseau de TV5. « On nous avait garanti qu’il était impénétrable, la preuve que ce n’était pas le cas », tranche Yves Bigot.

Mobilisation de l’ANSSI

Sur le front politique, le Premier ministre Manuel Valls évoque jeudi matin via Twitter « une atteinte inacceptable à la liberté d’information et d’expression ».

Plus tard, Bernard Cazeneuve, ministre de l’Intérieur, jouera sur un autre registre plus grave : « Beaucoup d’éléments convergent pour que la présomption d’un acte terroriste soit bien la cause de cette attaque. »

Selon Le Figaro, la Direction générale de la sécurité intérieure (DGSI), la Sous-direction antiterroriste et les cyber-policiers de la Direction centrale de la police judiciaire sont mis à contribution dans l’enquête confiée à la section antiterroriste du Parquet de Paris.

De son côté, l’ANSSI a pris le dossier en main et parlait de « mobilisation » dès jeudi matin.

Dans un communiqué de presse diffusé jeudi en soirée, l’agence nationale de sécurité IT assurait qu’une équipe de treize personnes mettait en place « les premières mesures de remédiation à l’incident » au siège parisien de la chaîne.

Il s’agit d’assurer « une remise en service rapide du système d’information sans effacer les traces d’intrusion ».

Il faudra ensuite procéder à « la reconstruction et au durcissement du système d’information » de la société audiovisuelle (qui dispose de France Télévisions comme actionnaire principal). Ce qui en dit long sur les dégâts constatés.

Dans les déclarations faîtes aux médias, Yves Bigot évoquait des systèmes « extrêmement détériorés ». Tandis qu’Hélène Zemmour, en charge des activités numériques au sein de TV5, a constaté que « les boîtes mail professionnelles étaient restées longtemps inaccessibles ».

L’ANSSI déclare à ce stade qu’il est impossible « de se prononcer, de manière certaine, sur les méthodes et l’origine de l’attaque ».