Les Secrets de Saint Pierre

Espionnage informatique, les entreprises aux premières loges
Les Echos du 23 janvier 2014
Sandrine Cassini

Allemagne, Etats-Unis... les problèmes de piratage informatique se multiplient.

Le piratage informatique prend des proportions inquiétantes. A l'international, les scandales se multiplient. En Allemagne, une enquête est en cours sur le vol de 16 millions de comptes mail. Aux Etats-Unis, des hackers ont subtilisé les données bancaires de 110 millions des clients des magasins Target. Et, en Corée du Sud, 100 millions de cartes de crédit ont été piratées.

Même s'il le vit comme une maladie honteuse, le CAC 40 n'échappe pas à ce fléau mondial. « Il n'y a pas une seule grande entreprise qui n'ait pas été victime d'espionnage, lance Patrick Pailloux, le président de l'Agence nationale de la sécurité des systèmes d'information (l'Anssi), en marge du Forum de la cybersécurité, qui s'est tenu mardi et mercredi à Lille. « Nous traitons de plus en plus de dossiers. Il y a eu un saut il y a trois ou quatre ans », assure celui qui va devenir, selon « Le Monde », le nouveau directeur technique de la DGSE.

« La tendance, c'est le vol de patrimoine industriel : fichier commercial, appel d'offres, base clients, plans de développement », explique Vincent Marfaing, vice-président en charge de la cybersécurité chez Thales. Problème de l'espionnage : il peut être indolore. « Les attaques les plus réussies sont celles qui ne laissent pas de trace. En moyenne, il faut au moins un an à l'entreprise pour s'en rendre compte », témoigne François Lavaste, PDG d'Arkoon et Netasq, une entité de Cassidian Cybersécurity (Airbus). « Une entreprise de la grande distribution a découvert par hasard en novembre que son plan de communication 2014 était déjà chez le concurrent », raconte Laurent Heslaut, directeur de la stratégie sécurité Europe de l'Ouest de Symantec.

Trouver les maillons faibles
Pour pénétrer dans les entreprises, les méthodes les plus grossières sont les plus efficaces. Tout commence en général par de « l'ingénierie sociale ». Le hacker identifie dans l'organisation une ou des personnes considérées comme un « maillon faible ». Grâce à l'analyse de son profil Facebook, LinkedIn ou Twitter, il lui adresse un message promotionnel contenant une pièce jointe piégée. Le hacker remonte ensuite dans la chaîne d'ordinateurs pour extraire des documents. Autre méthode de pénétration en vogue, l'exploitation de failles de sécurité. « On appelle cela le "zéro day". Cela signifie que la faille n'est pas connue. Les informaticiens qui les trouvent peuvent les vendre entre 200.000 et 300.000 euros sur le marché noir », indique Bernard Barbier, ancien directeur technique de la DGSE, qui vient de rejoindre Sogeti. Tendance également remarquée en 2013, le « ransoming ». Les sommes exigées peuvent atteindre des centaines de milliers d'euros.

Mais Edward Snowden aidant, « il y a eu une prise de conscience rapide du côté du CAC 40, notamment du côté exécutif », assure Luc-François Salvador, le PDG de Sogeti, dont le chiffre d'affaires cybersécurité, qui est de seulement 30 millions d'euros, croît de 30 % par an. « Ils connaissent le problème mais ne savent pas comment agir », nuance Patrick Pailloux, l'artisan de la dernière loi de programmation militaire, qui oblige désormais les « opérateurs d'importance vitale » (réseaux télécoms ou ferroviaires, santé, distribution) à mieux se protéger.