CYBERSECURITY  
New Security Magazine 154 – avril 2020

« Tout ce qui se passe dans le monde réel connait une suite dans le cyberespace »

Miguel De Bruycker, directeur du CCB, analyse les projections en matière de cybersécurité

La cybercriminalité se porte bien. Même en pleine crise de corona, elle est active dans du phishing et des fake news. Les criminels jouent avec l’angoisse des gens et le besoin en matériel médical (comme des masques de protection et du gel hydroalcoolique). En Belgique, le Centre pour la Cybersécurité Belgique (CCB) suit cela de près. Avant même que le Covid-19 n’envahisse l’Europe, nous avions passé en revue avec Miguel De Bruycker, managing director du CCB, les tendances et les projections en matière de cybersécurité pour cette année et celles à venir.

Fondé en 2014, le CCB est un service public fédéral qui relève du premier ministre et qui travaille à la cybersécurisation de la Belgique. Le cœur de métier du CCB est l’analyse de mouvements suspects et menaçants dans le cyberespace. Quels sont les cyberincidents et les développements techniques qui influenceront notre société et la vie économique dans la prochaine décennie ? Quelles stratégies de sécurisation les gouvernements et les entreprises vont-ils développer pour éviter que de tels incidents ne causent de problèmes majeurs et une rupture ? Top Security a présenté une liste de projections de Check Point Software Technologies Ltd, un spécialiste de la cybersécurité, à Miguel De Bruycker, directeur du CCB.

‘L’escalade de la ‘Guerre froide’ dans le cyberespace’

Miguel De Bruycker: « Le cyberespace est devenu un élément de notre monde réel. Dans ce monde réel, on ne peut pas parler de Guerre froide. Certes, il y a des conflits commerciaux mais je ne perçois pas de guerre froide comme celle que nous avons connue il y a 30 ans. Il y a un certain nombre d’éléments reconnaissables mais les termes de guerre et de froid ne sont pas corrects. La Guerre froide et le cyberespace ne vont pour moi pas de pair, ce qui ne veut pas dire que ce sera exclu dans l’avenir. Tout ce qui se passe dans le monde réel connait une suite dans le cyberespace. Il ne faut progressivement plus considérer le cyberespace comme un domaine distinct. Il fait partie de notre quotidien, de notre vie privée, de notre vie professionnelle et du tissu géopolitique. Les tensions que nous connaissons dans la vie réelle ont un écho dans le cyberespace. Dans la vie privée entre deux personnes. Voyez la sextorsion : un couple se sépare, l’un des deux partenaires possède une photo dénudée de l’autre. Il ou elle en fait un mauvais usage en la diffusant sur internet. Dans la vie économique : l’espionnage industriel via internet entre des concurrents qui se font de l’ombre, se volent des clients ou de l’information ou des procédés de production. Au niveau géopolitique : les conflits entre des états ou des régions se poursuivent dans le cyberespace. »

‘Fake news 2.0’

« Ce phénomène va se poursuivre en 2020, notamment comme ‘moyen de renforcement’. Dans le contexte géopolitique, des pays essayent depuis longtemps d’exercer des influences via des groupements. Il s’agit de soutenir un groupement qui se rebelle contre un régime en place dans un pays. Cela se fait au niveau politique, économique et parfois même militaire en fournissant des armes pour renforcer le groupement dans l’espoir qu’il puisse agir dans la région ou le pays et avoir une influence politique. Cela se poursuit désormais aussi via le cyberespace parce qu’il fait partie de notre monde réel. Ce monde virtuel distinct, accessible il y a quinze à vingt ans pour quelques heureux, fait maintenant partie de notre quotidien. Dans tout ce que nous faisons : nos achats, nos opérations bancaires, notre vie sociale, notre communication, … et même dans notre profession. Voyez Industrie 4.0. Toute notre industrie numérique est en train de s’intégrer à notre monde réel. De nombreux éléments du monde réel comme la gestion des conflits et l’influence géopolitique vont poursuivre leur développement progressif sur internet.

Nos élections ne sont pas aussi médiatisées qu’aux Etats-Unis. En Europe, l’influence politique est gérée autrement. La manière dont les partis politiques interagissent est différente. Nous avons moins de culture d’influence dans le monde réel et il y en aura donc aussi moins dans le cyberespace. Mais cela continuera d’exister. Lors des dernières élections, ce fut assez limité en Belgique. Il y a eu de l’activité et cela va sans doute augmenter mais cela restera proportionnel à ce que l’on voit dans le monde réel en Belgique. »

« La cybercriminalité est en train de se professionnaliser, de se diversifier, de se spécialiser. »

‘Augmentation des cyberattaques contre les entreprises d’utilité publique et l’infrastructure critique’

« Un acteur menaçant part toujours d’intentions et d’opportunités. Il faut un motif comme point de départ. Une attaque est rarement effectuée au hasard. Attention : il peut s’agir d’un divertissement et d’une question de réputation. Mais ceux qui agissent pour le plaisir et leur réputation ont en grande partie disparu de l’arène. La complexité des attaques est aujourd’hui si élevée que ces acteurs sont moins à l’avant-plan. On perçoit une forte augmentation de tout ce qui touche à la cybercriminalité. La motivation est financière, le but est gain d’argent. Il y a plusieurs manières pour y arriver mais il s’agit surtout de vol et d’extorsion. Le vol d’information et le vol d’argent. Il y a l’extorsion par un rançongiciel ou le vol d’information auprès d’une personne ou d’une entreprise, puis les menaces visant à rendre les données publiques ou à les transmettre à des tiers. La cybercriminalité est en train de se professionnaliser, de se diversifier et de se spécialiser. La spécialisation est significative au sein de la cybercriminalité.

La croissance est importante. La question est de connaître leurs motifs pour attaquer des infrastructures critiques en Belgique. Absolument. La motivation est financière. Ils se penchent plus sur les chiffres d’affaires que sur la criticité au niveau national. Ce peut être un élément mais pour eux, il n’y a aucune raison de s’attaquer spécifiquement à ces secteurs parce qu’ils doivent trouver un équilibre. Ils savent qu’une action est synonyme de réaction. S’ils attaquent lourdement des cibles sensibles, ils savent qu’une réaction toute aussi puissante suivra comme mesure de protection. Ils pourraient donc rencontrer des difficultés à moyen ou long terme. Ils essaient dès lors de trouver un équilibre entre le plus de bénéfices possible et le moins de risques pour pérenniser leur activité. Ils feront rarement sauter leurs propres ponts. Pourquoi dès lors s’attaquer à une entreprise ou une organisation gérant une infrastructure critique quand on sait que cela va entraîner des effets secondaires jusqu’au niveau politique, alors qu’il est possible de gagner le même montant en visant une entreprise qui, façon de parler, produit des viennoiseries et qui d’après son chiffre d’affaires a les moyens de payer ? Pour ces acteurs, l’objectif est le profit, pas l’infrastructure critique.

Tout ce qui est ‘state actor’ est géopolitiquement dirigé. Jadis, il y avait dans ce segment un groupe de grands acteurs bien définis et connus. Le club s’est étendu au fil du temps et le nombre de parties participantes a fortement augmenté. On voit émerger des acteurs qui n’avaient aucune capacité il y a dix ans.

A côté de cela, il y a les cybercriminels ‘state sponsored’ qui peuvent toucher notre infrastructure critique. La menace est légèrement plus élevée, bien qu’il faille ici aussi examiner la proportionnalité. Ils vont peut-être développer un accès pour avoir un doigt sur le bouton. Mais de là à appuyer sur le bouton, c’est une autre histoire. Cela pourrait être interprété comme un acte de guerre, une attaque effective. Lorsqu’en 2007, l’Estonie fut victime de la première cyberattaque contre un état (le prétexte fut le déplacement du Soldat de Bronze et des tombes de guerre à l’époque soviétique, ndlr) impliquant apparemment la Russie, bien que cela n’ait jamais été prouvé, beaucoup de questions se sont posées au sein de l’Otan pour savoir s’il s’agissait d’une violation de l’Article 5. L’Article 5 signifie une attaque militaire contre un Etat membre de l’Otan. On s’est demandé s’il fallait déclencher une réaction mutuelle et mettre en place une réponse avec les pays de l’Otan prêts à réagir. Mais la mise en place depuis un certain pays et la réalisation effective… exige d’avoir une proportionnalité. Celui qui surréagit a le monde et de nombreux éléments internes contre lui.

Quand on parle de cyberattaques envers les entreprises d’utilité publique et les infrastructures critiques, il est bon d’en examiner les intentions et les opportunités. Qui récolterait quoi en termes d’intention et d’opportunités en lançant une action qui serait proportionnelle au niveau coûts/bénéfices ? J’aimerais relativiser cela. Des deux grands groupes de parties, le rapport coûts/bénéfices n’est pas tellement profitable pour plonger soudainement la moitié de la Belgique dans l’obscurité. Mais l’infrastructure critique doit bien entendu être protégée correctement. Pour le CCB, les fournisseurs de services essentiels et les opérateurs d’infrastructures critiques forment un groupe auquel il faut offrir une protection supplémentaire, une prestation de service adéquate. Et une réponse appropriée. Quand une entité nous contacte pour gérer une cyberattaque, un des critères est de savoir si l’entreprise ou l’organisation est reprise dans notre liste d’infrastructures critiques. Si c’est le cas, nous essayons de mettre plus de moyens en place pour réagir plus rapidement. Nous ne pouvons pas réagir de la même manière pour tout le monde. Il faut diversifier les ressources que nous avons. »

‘Augmentation des attaques ransomware ciblées’

« Les criminels y voient là une manne financière. Si vous arrivez à paralyser une grande entreprise et que vous lui dites ‘vous me payez autant de bitcoin’, l’entreprise prendra un temps de réflexion. Un certain nombre d’entreprises ont payé plusieurs dizaines de milliers d’euros pour obtenir la clé de décryptage pour libérer les fichiers cryptés et solutionner le problème. Des ponts d’or. Pour la ‘cybercrime scene’, il devient de plus en plus difficile d’accéder à l’argent, de voler de l’information bancaire technique. On essaie alors de tromper les gens. Nous appelons cela le ‘Microsoft SCAM’. Un matin, vous recevez un coup de téléphone, un ‘appel de Microsoft’ qui vous induit en erreur. Une forme de fraude. Les individus ne voient pas l’interlocuteur et lui font confiance, parce qu’il est sympathique et serviable. Pénétrer techniquement dans un système devient de plus en plus difficile, même les systèmes bancaires sont hautement sécurisés. Les criminels essaient alors d’autres manières. Avec les attaques par rançongiciel, il suffit d’accéder d’une seule manière à l’entreprise. Une fois au cœur du système de réseau, le rançongiciel est lancé et une rançon peut être demandée. »

‘Le phishing, pas uniquement via e-mail’

« Les attaques de rançongiciel sont l’une des principales menaces de cette année et peut-être des prochaines. Elles sont couplées au phishing, au smishing (sms-phising) et au vishing (voice-phishing). On essaie de tromper les gens via d’autres canaux. Une des caractéristiques d’internet est qu’il s’agit d’un ‘open and free space’. Tout le monde peut utiliser internet librement et anonymement. Vous pouvez faire en sorte de ne pas être traçable. C’est une des grandes forces d’internet. Vous bénéficiez d’un échange d’information gratuit. Mais c’est aussi un risque. Quand vous recevez un e-mail, vous n’avez jamais la certitude qu’il a été envoyé par le bon expéditeur. Tout le monde peut créer une adresse mail au nom de quelqu’un d’autre et envoyer des mails à des connaissances, des êtres chers ou à l’entreprise de la personne qui s’appelle effectivement comme cela sans que celle-ci s’en doute. Un message, même par sms, via lequel vous pouvez créer un compte avec un mot de passe pour profiter de remises intéressantes. Le maillon faible la tendance à utiliser toujours le même mot de passe. Une fois que le cybercriminel a récupéré le mot de passe, il cherche où la victime est connue, sur quels sites web elle est active. Il essaie de se connecter avec la même adresse mail et le mot de passe. Dans la moitié des cas, le cybercriminel arrive à rentrer quelque part. Voilà pourquoi il faut, tant au niveau national qu’européen, bien réfléchir à ceci : faut-il introduire des formes de communication authentifiées ou ‘trusted sender’ ? Je pense qu’il faudra le faire dans l’avenir. Je suis en train de rédiger un document sur les trois grands concepts qui peuvent changer la cybercriminalité dans son ensemble. Mais cela prendra du temps. Les solutions ne seront pas disponibles à court terme, plus à moyen terme. La question est de savoir s’il y a assez de volonté politique pour introduire effectivement cela. Il y aura des coûts. Je pense que ce pourra être réalisé et introduit dans cinq ans. Le déploiement peut avoir lieu en plusieurs phases pour disposer d’ici un an ou deux des premiers éléments qui pourraient faire une différence. »

« Les criminels sont très attirés par les appareils mobiles. Ils contiennent toute votre vie, vous les avez toujours sur vous. Ils sont toujours allumés et ils permettent d’accéder à vos données sensibles, à l’endroit où vous vous trouvez et avec qui vous communiquez. »

‘Le développement des attaques de logiciels malveillants sur les appareils mobiles’

« Les rançongiciels et le phishing mais aussi les attaques de logiciels malveillants sur les appareils mobiles et l’IoT vont prendre de l’ampleur. Dans notre pays, les principales attaques de logiciels malveillants ont lieu sur des dispositifs de stockage. De nombreuses personnes et PME utilisent des systèmes NAS (Network Attached Storage, ndlr). Ils achètent une petite boîte, installent le logiciel sur leurs systèmes et créent des environnements clouds avec leur téléphone mobile. Tout est conservé, dédoublé et sécurisé. Ce système simple et fantastique permet de partager rapidement une grande quantité d’information depuis n’importe quel appareil. Mais c’est aussi une porte vulnérable pour les criminels. Ils ont développé un logiciel malveillant qui peut infecter des milliers de tels systèmes dans le monde. On les retrouve aujourd’hui dans un botnet (un réseau de programmes informatiques qui fonctionnent automatiquement et de manière autonome, ndlr). La menace d’infection et de logiciels malveillants sur les smartphones est en augmentation. Jadis, elle était exclusivement présente sur les systèmes Windows, à plus de 99 pourcent. Mais ce temps est révolu. Les criminels essayent de s’introduire dans les webcams, les routeurs, les caméras de surveillance, … Pourquoi ? Parce que ces systèmes utilisent massivement des NAS. Ces systèmes sont vendus en masse car il y a de plus en plus d’appareils domestiques. L’installation de systèmes de chauffage bon marché dépend de la configuration de votre wifi. Voilà pourquoi il est essentiel de sécuriser aussi ces systèmes. Bien souvent, ils sont connectés à internet. Vous pouvez voir à distance, via votre smartphone, qui sonne à votre porte. Vous pouvez augmenter votre chauffage à distance. Les appareils mobiles sont très attirants pour les criminels. Ils contiennent toute votre vie. Vous les avez toujours sur vous. Ils sont toujours allumés et ils permettent d’accéder à vos données sensibles, où vous vous trouvez et avec qui vous communiquez. Ces appareils offrent aux criminels un accès au contenu de vos e-mails, à vos données comme OneDrive ou Google Drive, à vos principaux fichiers, votre appareil photo, votre micro, MyRobotnet. Les attaques de logiciels malveillants sur l’IoT au niveau professionnel se situent à un niveau supérieur et ne sont pas faciles à mettre en œuvre. »

Les cybercriminels font preuve d’une immense créativité. Mieux : ils deviennent plus rusés et plus professionnels. Pour le CCB et ses collègues étrangers, il s’agit de garder un doigt sur le pouls pour détecter rapidement tout nouveau développement.

Par Gianni D’Angelo

Photos CCB

ccb.belgium.be