Quelles sont les cibles du cyberespionnage et pourquoi vous n'êtes pas à l'abri ?

Ne vous êtes-vous jamais demandé si un jour, quelqu'un avait écouté votre dernier appel avec votre mère, passé en revue l'intégralité de votre boîte mail, ou encore collecté vos tweets ? Voilà autant de pratiques relatives au cyberespionnage qui vont bien plus loin qu'une traditionnelle méthode vieille comme Hérode. Car si la dissimulation d'un agent secret, ou encore l'interception du courrier se font encore, c'est surtout sur le Web que cela se passe désormais.

Qui d'entre vous n'a, aujourd'hui, encore jamais acheté sur Internet voire créé un compte sur un réseau social ? L'exposition de données sur Internet n'a jamais été aussi importante, et là n'est que la partie visible d'un immense Iceberg dont se délectent les nombreux acteurs du cyberespionnage. Cette pratique est définie par l'ENISA comme « l’utilisation des réseaux informatiques pour obtenir l’accès illicite
à des informations confidentielles, généralement détenues par un gouvernement ou une autre
organisation ». Et il faut dire que ses adeptes mettent au point des méthodes toujours plus fourbes et insidieuses. Ces derniers sont prêts à tout pour récupérer la moindre information qui pourrait (ou non) leur être utile.

Initialement, les cibles du cyberespionnage sont les États eux-mêmes. Mais aujourd'hui, de nombreux autres paramètres et services sont impliqués avec pour cibles, des secteurs clefs plus ou moins stratégiques. Chaque acteur pratiquant le cyberespionnage dispose de ses propres enjeux. Mais il ne faut certainement pas exclure qu'au niveau individuel, chaque personne est aujourd'hui une proie potentielle du cyberespionnage, et nous allons vous expliquer pourquoi.

À l'origine, l'Etat cherche à espionner ses semblables

L'espionnage est une pratique qui ne date pas d'hier, et qui est loin d'être l'apanage des États. À chaque stade de sa vie, l'humain peut y être confronté au niveau individuel. N'avez-vous pas en tête l'image d'un tiers préalablement caché derrière un arbre vous observant discrètement en train de parler à ce camarade que votre meilleur ami vous avait pourtant interdit de fréquenter ? Trop tard, le voilà averti sans que vous ne le sachiez. Sur Internet, cette même image se matérialise par des malwares, des hackers, qu'il est possible d'éradiquer en protégeant son appareil. La suite de sécurité Avast Ultimate 2021 est dans ce sens idéale. Avec sa promotion actuelle, il serait dommage de ne pas l'adopter.

À une échelle plus grande, les responsables politiques, religieux ou, plus largement, détenteurs d'une forme de pouvoir, ont pratiqué l'espionnage et continuent de le faire. Pourquoi ? Car la clef, c'est de pouvoir anticiper l'autre. Adversaire ou partenaire, mieux vaut savoir, et ensuite, pouvoir. Ce précepte a traversé les siècles jusqu'à nos jours. L'avènement d'Internet n'a fait que renforcer l'attrait d'un acteur-clé, l'État, pour le « renseignement » vis-à-vis de ses semblables, mais pas seulement.

La politique et l'industrie : 2 secteurs-clés dans le viseur du cyberespionnage

Dans une optique réaliste, l'État est avant tout guidé par un désir de puissance : plus il en a, mieux il se porte. Et pour acquérir davantage de puissance dans des domaines multiples, soit de l'Industrie à l'Économie en passant par la Défense, tous les moyens sont bons à employer. Le cyberespionnage tend ainsi à être l'arme 2.0 pour parvenir à ses fins. La création dès 2004 d'une Agence européenne chargée de la Sécurité des Réseaux et de l'Information (ENISA) est l'illustration concrète de la place croissante accordée à la cybersécurité. Car, en matière de cyberespionnage, l'intention peut être louable à l'échelle nationale, dans le cas de l'industrie par exemple. Si l'on sait ce qui se fait de bien, voire mieux, ailleurs, pourquoi ne pas se donner les moyens de faire de même chez soi ? Le point de vue des victimes de ce cyberespionnage sera quant à lui tout autre.

De nombreux pays dans le monde sont accusés de telles pratiques. La Chine en est le parfait exemple. Grâce au cyberespionnage, la Chine compte bien poursuivre sa transition de pays manufacturier, essentiellement connu pour des produits de moindre qualité, à pays créateur de produits haut de gamme, imaginés, pensés et fabriqués dans l'Empire du Milieu. La place des cyberopérations dans son manifeste Made by China 2025 en est une illustration tangible.

En revanche, souvenez-vous également des multiples données classées confidentielles révélées au grand jour par l'ancien agent de la National Security Agency (NSA) Edward Snowden en 2013. Celles-ci ont permis de notamment apprendre que la propre agence de renseignement allemande espionnait quotidiennement, pour le compte de la NSA, des hauts responsables politiques ainsi que des entreprises européennes. Que ce soit en France ou en Allemagne, le scandale fut énorme, et Angela Merkel fut fortement fragilisée à l'époque.

La France et le cyberespionnage : qu'en est-il chez nous ?

Ainsi, de nombreux motifs, plus ou moins recevables selon l'opinion de chacun, sont invoqués pour « justifier » le cyberespionnage. La France n'y fait pas exception. Dans le cas de notre pays, le risque terroriste est fréquemment mis en lumière pour mobiliser davantage de moyens et éviter de nouveaux attentats. Ces derniers ayant durement frappé l'Hexagone, en particulier ceux du 13 novembre 2015 à Paris et du 14 juillet 2016 à Nice. En conséquence, ce sont plus de moyens, humains comme financiers, qui sont mis sur la table. Le budget du Renseignement en France est passé, entre 2014 et 2017, de 2 milliards à 2,7 milliards d'euros. Quant au personnel, il a augmenté de 20% avec une cible privilégiée : le spécialiste du numérique.

Il faut dire que l'un des enjeux de taille pour un État comme la France reste de protéger ses citoyens, leurs informations personnelles, ainsi que celles des entreprises. Le cas d'une violation de données de nombreux salariés au sein d'Airbus, ainsi que deux de ses sous-traitants, avait conduit à la mise en accusation d'un groupe de hackeurs agissant pour le compte de la Chine. Mais comme il l'est souvent coutume, l'attribution formelle est très complexe. Quatre cyberattaques d'ampleur ont été subies par cette entreprise classée « Opérateur d'Importance Vitale » (OIV) par l'État français en 2019. Et ces attaques ont notamment ciblé des documents liés aux certifications de sécurité des appareils mis au point par Airbus, de même que la motorisation des A350 et des A400M, ce dernier étant un avion militaire. Un fait pas si étonnant puisque l'intelligence économique et l'armée sont deux secteurs parmi les plus ciblés dans le cadre du cyberspionnage.

Mais si Airbus est relativement bien protégé, à l'instar de nombreuses grandes entreprises, les PME sont quant à elles bien plus vulnérables face au cyberespionnage. Comme le « commun des mortels », leur protection comme leurs capacités de riposte sont plus que limitées. Alors lorsqu'une nouvelle entreprise développe un logiciel de pointe dédié au cyberespionnage au plus haut niveau mondial, nous avons peut-être (sûrement) du souci à nous faire à notre échelle. Et ce besoin de protection et de sécurité en ligne passe avant tout par l'équipement d'un antivirus tel que celui d'Avast.

Le tournant Pegasus : pourquoi chaque individu est une cible ?

C'est certainement le plus grand scandale mondial de cet été 2021, et peut être même de cette année tout simplement. Rappel des faits : au mois de juillet dernier, des révélations sont faites par le collectif de journalistes Forbidden Stories (s'appuyant sur le Security Lab d'Amnesty International) à propos d'un logiciel de cyberespionnage. Celui-ci a permis de surveiller des milliers de smartphones dans le monde entier, ciblant notamment des personnalités issues de divers secteurs pour le compte de plusieurs États : principalement des journalistes, mais aussi des personnalités politiques, des activistes, des opposants politiques voire des personnes comme vous et moi. Car ce sont plus de 50 000 numéros de téléphone qui ont permis au logiciel d'espionnage Pegasus, mis au point par la société israélienne NSO, d'informer au moins 55 États ayant acquis une licence avec accord du ministère israélien de la Défense. Les alertes relevaient tous les agissements des malheureux ciblés, souvent bien malgré eux.

Pourquoi Pegasus marque-t-il un tournant ? D'autant qu'il était déjà bien connu avant 2021 y compris dans le cadre d'actions de cyberespionnage. Ce logiciel espion marque un tournant par ce qu'il ne laisse presque aucune trace sur les smartphones Android ou iOS sur lesquels il opère. Même pas besoin de cliquer sur un lien frauduleux, Pegasus est conçu pour exploiter la moindre faille zéro-day dans les systèmes d'exploitation des smartphones. De quoi s'engouffrer dans la brèche sans même nécessiter une action à distance. En d'autres termes, il s'agit du poison parfait, capable d'accéder à tous les fichiers du smartphone infecté, d'activer sa caméra comme son enregistreur vocal, voire même sa géolocalisation.

Frapper le commun des mortels pour faire pression sur un gouvernement, telle est une méthode employée par exemple par la Russie. Selon l'ENISA, en 2019, 38% des acteurs malveillants étaient rattachés à un État, et 20% du total des violations de données en ligne relevées l'étaient pour le compte du cyberespionnage. Rappelez-vous le scandale d'ingérence russe lors de l'élection présidentielle américaine de 2016. Dès 2013, la Russie fonde l'« Internet Research Agency », en réalité une véritable école destinée à former des trolls pour influencer l'opinion publique ukrainienne dans le cadre de l'annexion de la Crimée, puis la prochaine présidentielle américaine. Avec à la clef, 80 000 posts publiés rien que sur Facebook par ces mêmes « trolls ». Des publications vues plus de 126 millions de fois et qui ont contribué à discréditer la candidate démocrate Hillary Clinton. Plusieurs cyberattaques ont visé la candidate, son parti ou encore le sénateur démocrate Marco Rubio, et ce dans l'optique de pirater des adresses mail de hauts gradés et de révéler leurs correspondances.

Prenons un autre cas concret. En 2015, le cheval de Troie Black Energy est utilisé pour attaquer une centrale électrique ukrainienne, conduisant 80 000 personnes à se retrouver sans électricité durant un 6 heures, le tout un 23 décembre. Les auteurs, identifiés comme étant un groupe de hackeurs nommé Sandworm, n'en sont pas à leur coup d'essai pour le compte du gouvernement russe. Un acte qui peut être croisé avec les déclarations du président de la Fédération de Russie, Vladimir Poutine, en 2017 : « À l’image des artistes (…), les hackers sont des gens libres. S’ils sont patriotiques, ils apportent une contribution – une contribution tout à fait juste, de leur point de vue – à la lutte contre ceux qui parlent en mal de la Russie. » Et pour infecter la centrale électrique, les hackeurs ont employé la faiblesse numéro 1 de tout système de sécurité : l'humain.

Vos données personnelles sont précieuses

Nous sommes tous imparfaits. Nous avons beau faire preuve de la meilleure des vigilances, comme les ingénieurs de la centrale électrique ukrainienne, une méthode fait (trop) souvent mouche : le phishing. Vous cliquez sur un lien en pensant atterrir sur un site sécurisé ? Et vous voilà potentiellement exposé, avec vos données personnelles, aux pirates du Web l'ayant mis au point. Toujours selon l'ENISA, rien que sur l'année 2019, le phishing a représenté, dans 63% des cas, la méthode d'attaque privilégiée.

Le plan fonctionne à merveille alors, pourquoi s'en priver ? L'année 2021 bat d'ailleurs des records puisque, rien qu'en janvier, ce sont plus de 245 000 sites Internet qui ont été identifiés comme experts en phishing. Selon Anti-Phishing Working Group (APWG), mars 2021 se classe ainsi comme le quatrième pire mois de l'histoire au palmarès, avec 200 000 attaques par phishing relevées. Le problème, c'est que la fourberie est toujours mieux réalisée. Avec 24% des attaques, le secteur bancaire est notamment de plus en plus ciblé du fait de l'utilisation d'adresses mail professionnelles réelles, mais (déjà) préalablement dérobées par les pirates. De même, 83% des sites de phishing utilisent un certificat SSL, faisant faussement croire à un site légitime.

Et si ces données bancaires sont précieuses, c'est naturellement parce qu'elles rapportent de l'argent. Les hackeurs peuvent les revendre sur le Dark Web. Mais ce qui est aussi intéressant dans le cadre du cyberespionnage, c'est d'en savoir toujours plus sur la personne ciblée. Dernier exemple en date, la révélation ce 14 novembre 2021 du piratage d'informations personnelles émanant de réservations du site Booking.com par une agence d'espionnage américaine. Voilà un moyen très utile de savoir où vous aimez partir en vacances, avec qui ou à quelle récurrence. Plus encore, sur les 50 000 numéros supposément détenus par Pegasus, moins de 10% appartiennent à des personnalités publiques. Le reste étant à des personnes plus lambdas. Faut-il encore (vraiment) vous expliquer pourquoi ?

À notre échelle, nous pouvons au moins limiter l'espionnage de données en s'équipant d'un antivirus digne de ce nom. La suite de sécurité Avast Ultimate 2021 se veut un allié de choix pour se protéger au mieux.