Cyberattaque: face aux rançongiciels, les acteurs de la cybersécurité veulent contre-attaquer

Confrontés à des groupes criminels de plus en plus dangereux, les acteurs de la cybersécurité réfléchissent aux moyens d’une défense plus active, selon des experts participant aux Assises du secteur à Monaco. Le droit français interdit aux entreprises de contre-attaquer face à des pirates informatiques et de chercher par exemple à pénétrer directement sur les serveurs que ces derniers utilisent. Seuls les services de l’Etat -DGSE et DGSI, militaires du Comcyber- peuvent agir informatiquement contre des agresseurs. Leur doctrine d’emploi est désormais bien balisée face aux aggressions informatiques d’origine étatique ou terroriste.

Mais la question se pose désormais des actions informatiques à mener face aux grands réseaux criminels à l’origine de la vague actuelle d’attaques au rançongiciel, ont estimé plusieurs participants aux Assises. Il y a actuellement des réflexions qui portent sur la « zone grise » entre une défense 100% passive, en vigueur actuellement, et la contre-attaque pure et simple qui est prohibée, a expliqué à l’AFP Samuel Hassine, directeur cybersécurité de l’éditeur Tanium et ancien de l’Agence nationale de la sécurité des systèmes d’information, le gendarme français de la sécurité informatique. Il y a aujourd’hui un « cadre réglementaire très strict qui va être amené à évoluer », a-t-il anticipé. La question, c’est par exemple de savoir « si l’Etat, ou certains services de l’Etat, seraient en capacité de faire des contre-mesures pour ralentir l’attaquant, l’embêter un peu », a-t-il expliqué. On peut chercher par exemple à « allumer des contre-feux, ou l’attirer vers des leurres ».

Pour l’amiral (de réserve) Arnaud Coustillière, ancien directeur général du numérique des Armées et président du pôle d’excellence cyber de Rennes, il est important de faire une « attribution » des attaques, c’est-à-dire identifier et désigner les commanditaires. Or, pour faire cela, il faut parfois « faire un certain nombre d’actes techniques qui utilisent l’arme offensive », donc entrer dans le réseau des pirates, a-t-il détaillé. « Aujourd’hui, la difficulté est de savoir comment faire rentrer les conflits de l’espace numérique dans des notions de droit » existantes, ou bien « comment faire évoluer » celles-ci, a-t-il résumé.

Des entreprises qui appellent à l’aide

Sans se prononcer sur les moyens à mettre en oeuvre, le général Didier Tisseyre, qui commande le Comcyber, les militaires chargés d’agir dans le cyberespace, a en tout cas confirmé que la montée en puissance des groupes criminels obligeait à muscler la réponse étatique. « Il faut monter en gamme face à cette cybercriminalité de plus en plus élaborée, avec ces systèmes de RAAS (rançongiciels à la demande) où un attaquant loue des infrastructures d’attaque » pour mener ses opérations, a-t-il décrit lors d’une table-ronde.

« Je pense qu’il y a vraiment un besoin. (…) Certaines entreprises nous disent (…): ‘on aimerait que quelqu’un vienne nous aider’ », a-t-il relevé. Dans le cyberespace, les dangers de la contre-attaque sont grands, ne serait-ce que parce que les serveurs utilisés par les attaquants le sont souvent à l’insu de leurs propriétaires. « J’ai ainsi vu des cas où des serveurs de rebond d’attaques se situaient dans des hôpitaux ou des établissements d’hébergement pour personnes âgées dépendantes (EHPAD) », expliquait récemment au Sénat Guillaume Poupard, le directeur général de l’Anssi.

« Ne répondre qu’à ceux qui semblent vous attaquer directement, en exploitant notamment les adresses IP (qui permettent d’identifier les serveurs à l’origine de l’attaque, NDLR), risque de diriger votre riposte contre une autre victime », avait-il dit. A Monaco, Grégoire Germain, directeur général de l’entreprise de cybersécurité Harfang Lab, a également pointé du doigt les risques d’une généralisation des contre-attaques. « Si on se met à se comporter comme des voyous, il ne faut pas s’étonner d’être attaqué par des voyous », a-t-il résumé.