Un concours de hacking bien réel mais des dégâts limités

Difficile de connaître les résultats exacts du concours de hacking lancé par le site Defacers-Challenge.com et programmé pour le dimanche 6 juillet 2003 (voir édition du 4 juillet 2003). Et pour cause : Zone-H.org, le site censé comptabiliser les serveurs piratés, a lui-même été victime d’une attaque incapacitante (Denial of service) une heure environ après le début du concours programmé à 9 heures, heure locale du site estonien. Cependant, en une heure, Zone-H a recensé plus de 700 attaques abouties. Nous ne sommes donc pas très loin des 1 000 sites par heure à défigurer ? ou 6 000 en six heures ? fixés par le règlement du concours. Cependant, aucun grand nom de l’Internet n’apparaît dans la liste des sites piratés fournie par Zone-H dont les administrateurs, rappelons-le, se sont toujours déclarés étrangers à ce concours. Ce que confirmait Eleonora[67], le webmaster de Defacers-Challenge.com.

Cet arrêt temporaire des serveurs de Zone-H a obligé les organisateurs du concours à modifier les règles. La fin de l’épreuve a ainsi été reportée jusqu’à minuit au lieu de 15 heures. Et pour faire face à la défection de Zone-H, Defacers-Challenger.com a créé deux adresses e-mail chez Yahoo et Hotmail ainsi qu’une page de formulaire pour y communiquer les sites piratés. Les résultats du concours, et notamment les pseudonymes des gagnants, ne seront communiqués que mardi 8 juillet. Pour le moment, il est donc difficile d’estimer les conséquences de ce défi. Mais le battage médiatique généré autour de cette affaire a eu des conséquences sur l’organisation de l’événement, à tel point que certains participants ont finalement décidé de boycotter le concours. De manière passive pour certains, en ne participant simplement pas à l’épreuve, ou active pour d’autres, en s’attaquant à Zone-H. Ce qui fait dire à ses administrateurs que « certains defacers ont démontré leur manque d’éthique ».

Une menace en suspens

Une chose est sûre, il ne s’agissait finalement pas d’un canular. Et si, apparemment, aucun site important (sites gouvernementaux, établissements financiers, grandes entreprises ou associations, grand médias, habituellement visés par ce type de manoeuvre) n’a été atteint officiellement, la programmation répétée de ce genre d’événement pourrait poser problème. « Carton rouge à tous ceux qui ont sous-estimé l’affaire », déclare l’équipe de Zone-H. « A cause de la publicité extravagante, nombre de defacers ont décidé de participer au concours en préparant d’avance leurs attaques avant, finalement, de boycotter le concours. Mais devinez ce qui va arriver aux serveurs infiltrés mais dont les pages Web n’ont pas été défigurées ? » Si le concours est terminé, la menace reste bien présente. Il est donc plus que jamais important de contrôler la configuration des serveurs : effectuer les mises à jour de sécurité, renouveler régulièrement les mots de passe, vérifier les origines des connexions récentes, ne pas laisser les services non nécessaires installés sur le serveur et s’assurer que ceux qui sont installés ne soient pas accessibles depuis l’Internet. Bref, la routine…