Prolifération et diffusion des solutions de cyberespionnage

Par Thierry Berthier

Il existe souvent de grandes symétries entre les événements qui ont lieu dans l’espace physique et ceux de l’espace numérique…

Durant la nuit du 5 au 6 juillet 2015, au moins 180 détonateurs, une dizaine de pains de plastic et une quarantaine de grenades ont été dérobés sur la base militaire de Miramas. L’équipe de malfaiteurs à l’origine de ce casse s’est contentée de découper le grillage d’accès pour s’introduire ensuite dans 9 igloos semi-enterrés dédiés au stockage des munitions. L’absence de vidéosurveillance sur les lieux et l’absence d’une garde permanente des bâtiments ont grandement facilité le travail de casseurs particulièrement bien renseignés… Le contexte actuel de menace terroriste fait craindre le pire sur les motivations et sur l’usage futur de ces explosifs.

À la même période, c’est la société italienne de cybersécurité active Hacking Team qui était victime d’une cyberattaque massive provoquant le vol et la mise en ligne de ses données d’entreprise mais surtout du code source de sa solution de cyberespionnage RCS (Remote Control System). La société Hacking Team construit et commercialise des logiciels de surveillance (spyware) permettant d’infecter une machine ciblée, de collecter puis d’en exporter les données. Galileo, l’un de ses produits phare est particulièrement apprécié par de nombreux services de sécurité et de police (y compris la DEA américaine) comme l’atteste l’imposant listing du fichier client mis en ligne par les hackers en début de semaine. Les solutions proposées par Hacking Team s’avèrent très efficaces sur des objectifs de collecte de données fermées et de surveillance furtive. Elles peuvent être utilisées dans un cadre militaire ou civil, du bon coté de la force comme du mauvais… On doit alors s’interroger sur le niveau de sécurité du système d’information de Hacking Team qui a subi un vol de plus de 400 Go de données et codes source sensibles sans broncher…

À l’image du vol des explosifs Miramas, la mise en ligne de la solution RCS pose un réel problème de sécurité. Un groupe terroriste ou mafieux peut désormais en disposer très simplement et gratuitement pour pister ses propres cibles. Eric Rabe, Directeur du marketing et de la communication de Hacking Team vient d’ailleurs de déclarer :

“It is now apparent that a major threat exists because of the posting by cyber criminals of HackingTeam proprietary software on the Internet the night of July 6.” He further added, “HackingTeam’s investigation has determined that sufficient code was released to permit anyone to deploy the software against any target of their choice […] Suspension of system is an important step to protect on-going police and intelligence investigations. […] HackingTeam is evaluating if it is possibile to mitigate the danger. We expect too that anti-virus companies are upgrading their programs to detect the compromised RCS.”

Ce n’est pas le premier cas de diffusion de solutions « agressives » de cybersurveillance vers l’espace public puisque la suite FinFisher du groupe allemand Gamma International a connu le même type de fuite il y a quelques mois… Il devient urgent de s’entendre sur la nature de ces produits de surveillance : doit-on les considérer comme des armes ou comme de simples produits logiciel ? Si RCS est classée comme une arme ou un matériel assimilé, alors les lois internationales sur l’exportation d’armement doivent s’appliquer et le contrôle doit être renforcé en urgence. L’utilisation malveillante d’une solution comme RCS ou FinFisher contre une entreprise ou une administration peut provoquer des dommages particulièrement importants tout en s’inscrivant dans la durée et la furtivité. Dans le cadre d’un conflit armé ou dans celui de la lutte contre le terrorisme, la récupération de RCS peut fournir une forte capacité de renseignement gratuite, simple et efficace à l’ennemi. Les dissymétries technologiques de surveillance et d’acquisition de données disparaissent alors au profit du plus faible. Lorsque l’on sait que les solutions de cyberespionage sont souvent vendues plusieurs centaines de milliers d’euros aux clients officiels, on imagine aisément l’intérêt que représente la mise en ligne gratuite d’un produit aussi sophistiqué que RCS…

Ainsi, de manière systémique, les capacités de cyber-renseignement se diffusent au gré des opérations de hacking vers le public. Chacun peut organiser la surveillance d’une cible à partir de moyens logiciels professionnels performants et gratuits. Cette évolution rapide doit être mise en perspective avec les récentes lois sur le renseignement qui ont suscité de nombreuses réactions courroucées en France, et en particulier sur Contrepoints… Dans les faits, chacun peut aujourd’hui espionner gratuitement son prochain en restant sous les radars des antivirus et des lois de la République. L’avènement du « cyber-renseignement pour tous » doit questionner nos pratiques numériques : sommes-nous prêts à restreindre nos projections algorithmiques individuelles afin de préserver notre libre-arbitre ? Doit-on au contraire accepter l’information ubiquitaire globale qui s’oppose par nature à toute forme de « privacy » ?