«Cyberterrorisme, mythe ou réalité?»

Cédric Thévenet, Université de Marne-La-Vallée, 2006, 58 p.

1- Il est communément admis, lit-on en introduction, «que les terroristes utilisent internet pour communiquer. Ils font un usage régulier du World Wide Web pour publier des revendications, des fatwas, les vidéos d’exécution de leurs otages ou assurer leur propagande. Ils utilisent également le courrier électronique, les SMS et les téléphones satellites».

Si toutes ces actions témoignent de l’utilisation des technologies de l’information et de la communication (TIC), elles ne peuvent, pour autant, être qualifiées d’action cyber-terroriste. Identifier une action cyber-terroriste consiste à définir le terrorisme, et le placer en perspective avec l’attrait que peut présenter l’utilisation des TIC.

A ce jour, il n’existe aucune définition universelle du terrorisme, estime l’auteur. Il va donc de soi que la notion de cyber-terrorisme est des plus malléables. Mais on peut considérer que pour être qualifiée de terroriste, «une action doit remplir un certain nombre de critères : l’acte doit être prémédité, motivé par des intérêts idéologiques, perpétré à l’encontre de non-combattants par des minorités nationales, ethniques, ou des agents clandestins, susceptible d’engendrer un état de panique, dans le but ultime d’influencer les gouvernants. Le terme terrorisme international implique des citoyens ou des territoires appartenant à plus d’un pays. Le terme groupe terroriste signifie, tout groupe pratiquant ou ayant un ou des sous-groupes pratiquant le terrorisme international».

Le cyber terrorisme est par ailleurs, une utilisation motivée par des croyances religieuses ou politiques, d’ordinateurs ou de réseaux de télécommunication, comme arme ou cible, «ainsi que leur destruction physique, par des minorités ethniques, religieuses, ou des agents clandestins, dans le but d’exercer des violences à l’encontre d’une population non combattante, entraînant des pertes humaines ou des destructions, dans le but d’influencer l’opinion publique ou le gouvernement».

Cette définition est toutefois limitative, car elle ne considère pas les effets secondaires d’un dysfonctionnement majeur des systèmes informatisés, tels la perte de confiance en l’économie numérique, les pertes boursières, les accidents dans les transports ou encore les problèmes d’approvisionnement d’eau et d’électricité.

2- Une attaque informatique peut être définie comme une action dirigée contre des systèmes informatiques dans le but de compromettre des équipements, l’exécution des processus ainsi que leur contrôle, ou de corrompre des données.

Chaque type d’attaque cible des systèmes différents ou exploitant des vulnérabilités multiples différentes, et «implique l’utilisation d’armes adaptées dont certaines sont aujourd’hui entre les mains de groupes terroristes. Ainsi, une attaque physique implique des armes conventionnelles dirigées contre des centres informatiques ou des ensembles de câbles assurant les liaisons, tandis qu’une attaque électronique implique l’utilisation de l’énergie électromagnétique comme arme», l’attaque informatique impliquant généralement l’utilisation de code malicieux comme arme, pour infecter des ordinateurs en exploitant certaines failles logicielles.

Le Département de Défense Américain a statué sur la dangerosité des différentes menaces en classant les attaques informatiques et électroniques comme étant celles présentant le plus de risques pour les Etats-Unis d’Amérique, car elles peuvent provoquer des effets domino imprévisibles, donnant un avantage inattendu à l’attaquant.

Les attaques électroniques font le plus souvent référence à «des impulsions électromagnétiques capables d’interrompre le fonctionnement d’infrastructures informatiques, en provoquant une surcharge d’énergie sur les cartes mères, transistors, et, en règle générale, tout système relié à une antenne».

Ainsi, une attaque par impulsion électromagnétique à haute altitude, pourrait fortement perturber le fonctionnement de la société et, considérant la dépendance croissante des armées vis à vis de l’électronique, amputer gravement leurs capacités.

3- Il est difficile, pense l’auteur, d’évaluer l’intérêt ou la capacité des groupes terroristes internationaux à lancer une attaque cyber terroriste. Mais certains observateurs pensent «qu’Al-Qaida ne considère pas encore le cyber terrorisme comme une option susceptible de les aider à mener à bien leurs buts, l’organisation préférant les attaques physiques, qui infligent dégâts matériels et pertes humaines».

Au niveau de l’entreprise, affirme l’auteur, la planification extensive et la surveillance pré opérationnelle organisée par des pirates, sont deux caractéristiques importantes marquant l’imminence d’une cyber attaque. Elle consiste en «la collecte de toutes les informations utiles à l’attaque, et leur insertion dans une base de donnée d’où elles seront facilement extraites. Il s’agit lors de cette phase, de découvrir tous les noms de domaines et de sous-domaines de l’entreprise, les types de serveurs et l’endroit où ils sont hébergés, la version des logiciels qui y sont installés, les adresses de courriel des employés, leurs numéros de téléphones, les postes qu’ils occupent, bref, obtenir une connaissance aussi exhaustive que possible de la cible».

On peut penser qu’un groupe pourrait hésiter à lancer une attaque cyber terroriste, argumentant qu’il en résulterait des dommages moins immédiats et évidents, ayant donc un impact psychologiquement moindre qu’une destruction conventionnelle, comme l’explosion d’un avion, d’un bus ou d’une station de métro.

C’est dire que tant qu’une cyber-attaque ne provoquera pas de dommages physiques ou humains, elle ne sera jamais considérée comme sérieuse, tout au moins jamais aussi sérieusement qu’une attaque biologique, chimique, ou nucléaire.

Or, le haut niveau de sécurité physique mis en place en Europe et aux Etats-Unis d’Amérique pourrait, dans le futur, inciter les terroristes à exploiter les possibilités du cyber terrorisme, les mesures de contrôle et de surveillance ainsi que les nouvelles lois anti-terroristes rendant l’action physique de plus en plus difficile à conduire.

En effet, la plupart des groupes terroristes ont depuis longtemps découvert l’utilité d’internet «pour promouvoir leur cause et conduire des actions terroristes, internet permettant d’engager la lutte contre l’ennemi sans perdre de précieux candidats au suicide, il permet de diffuser à volonté messages de revendications, vidéos d’exécutions, indications sur la fabrication de bombes, guides de fabrication de produits chimiques, etc».

4- Si beaucoup d’experts s’accordent à penser que la conjonction d’une cyber-attaque et d’une attaque conventionnelle pourrait aggraver les pertes humaines, il n’en est pas de même en ce qui concerne une attaque logique pure. Certains pensent qu’une attaque sur les infrastructures sensibles pourrait sérieusement déstabiliser l’économie, d’autres au contraire considèrent que le réseau se remettrait en place rapidement sans trop de pertes.

Il semble donc que «pour être efficace, les cyber-terroristes devraient porter leurs attaques sur plusieurs cibles, simultanément et sur une longue période, afin de parvenir à développer un sentiment de terreur».

En même temps, le nombre croissant d’ordinateurs personnels connectés à internet avec des lignes à haut débit, représente un fort potentiel d’attaque pour les pirates, pour peu qu’ils puissent les exploiter.

Les pirates utilisent aujourd’hui des automates qui balayent les plages d’adresses internet (dites adresses IP) pour y découvrir des ordinateurs vulnérables.

Les vulnérabilités existent en grande partie «grâce au manque de professionnalisme des administrateurs, à la méconnaissance des systèmes informatiques par le grand public, ainsi que la très médiocre qualité des logiciels utilisés». De plus, les utilisateurs domestiques n’ont souvent que peu, voire aucune, connaissance de la conduite à tenir en cas de risque d’infection, ni les bons réflexes qui pourraient leur éviter des désagréments.

Par ailleurs, «les vendeurs de logiciels commerciaux subissent de plus en plus de critiques, parce qu’ils vendent des logiciels insuffisamment testés et porteurs d’erreurs grossières de programmation qui ouvrent la porte aux pirates. Selon Jonathan Krim du Washington Post, 80% des intrusions touchant les ordinateurs fédéraux sont attribuées à des erreurs de programmation imputables aux éditeurs».

Le procès anti-trust lancé par plusieurs Etats américains à l’encontre de Microsoft, a éveillé des inquiétudes quant aux risques inhérents à une monoculture logicielle.

Il est vrai qu’un parc informatique homogène est plus facile à administrer, «les correctifs de sécurité sont les mêmes pour toutes les machines, les modifications de configurations sont valables partout et les administrateurs n’ont pas à faire l’effort de se former sur deux systèmes différents. Mais cela signifie également que tout le parc informatique est vulnérable en même temps, aux mêmes failles et que si l’on subit une attaque, il va être impossible de stopper l’infection sans déconnecter les machines et les éteindre le temps des réparations».

Pour limiter l’impact d’une cyber-attaque, il est nécessaire de diffuser les informations la concernant de manière rapide et étendue. «Les organismes de prévention et de lutte peuvent exister dans nombre d’infrastructures publiques ou privées. Elles doivent être coordonnées pour réagir efficacement contre une attaque, en limiter les effets et rétablir les systèmes endommagés».

En même temps, il est nécessaire de chercher à prévenir, décourager, et «réduire de manière significative les cyber-attaques en assurant l’identification et la poursuite des délinquants. Dans le cas de cyber-crimes, la réponse doit être rapide et quasi certaine, la punition, quant à elle, doit être suffisamment sévère pour être dissuasive».

Si internet présente un intérêt pour les terroristes, du point de vue de la propagande, il entraîne des effets moins spectaculaires qu’une attaque cinétique visant le métro ou les aéronefs.

Le terrorisme évolue, «les plus radicaux sont souvent de jeunes convertis qui ne parlent pas ou peu l’arabe, mais qui ont reçu une bonne éducation et sont capables de se fondre dans la population sans attirer l’attention des autorités. Cette nouvelle génération de terroristes de plus en plus rompue aux secrets de l’informatique, pourrait dans quelques années, devenir une véritable préoccupation pour les services de l’Etat».

La prise en compte de la menace cyber-terroriste doit comporter deux grands axes : la lutte contre la cyber-criminalité (connaissance des acteurs et des outils) et la lutte contre le terrorisme classique (connaissance des milieux et tendances).

Pour l’heure, pense l’auteur, autant on peut attester de l’utilisation d’internet par des terroristes (propagande, financement, formation), autant rien ne permet d’attester qu’une véritable attaque cyber-terroriste ait jamais abouti.

Yahya El Yahyaoui

Rabat, 10 Juillet 2008