Ouvert à toutes les entreprises et institutions, ce club fort de 700 membres a pour principal objectif principal de favoriser les échanges d'idées et les retours d'expériences par des groupes de travail, des publications et des conférences thématiques. Ce panorama annuel a concerné la cybercriminalité, mais aussi les événements sociétaux en relation avec la sécurité de l'information. Il est l'œuvre d'un groupe de travail constitué par des membres et des non-membres de l'association (une trentaine de personnes au total), experts externes issus du ministère de l'intérieur ou de le l'ANSSI, "de qui l'association est partenaire, ainsi que cette année de la CNIL", précise Jean-Marc Grémy, président de l'association, en introduction. "2018, et dans une moindre mesure 2017, marquent un tournant dans la cybercriminalité. Nos objets connectés, toujours plus nombreux, deviennent les nouvelles cibles des cybercriminels. Et dans le même temps l'Internet prend une dimension géostratégique".

Loïc Guézo, secrétaire général adjoint et animateur du groupe de travail "Panocrim" du CLUSIF

La géopolitique et l'attribution sont évoquées au "Panocrim" du CLUSIF depuis déjà 5 ans. Loïc Guézo, secrétaire général adjoint, animateur du groupe de travail et par ailleurs directeur du développement chez Trend Micro, rappelle la perte de repères progressive qui contribue à la difficulté de l'attribution d'une attaque : "ce qu'on craignait, notamment après les révélations Vault7 de Wikileaks en 2017 est là : tout le monde attaque tout le monde et l'attribution technique devient quasi impossible, sauf erreur de l'attaquant". Il souligne que 2018 a été une année marquante par les nombreux actes d'accusation du FBI couvrant des opérations lourdes des années précédentes (élections présidentielles de 2016 et ingérence russe, attaque de Sony Entertainment en 2014, ransomware Wannacry en 2017 et vols bancaires attribués au pirate nord-coréen Park Jin Hyok, piratage chinois des fournisseurs de services informatiques depuis plus de 10 ans).

Il estime que "le sujet cyber est désormais devenu éminemment politique. En témoigne l'Appel de Paris, lancé à l'UNESCO par Emmanuel Macron, enjoignant notamment le monde à respecter les processus électoraux et à lutter contre la prolifération des moyens d'attaque. Par ailleurs, la particularité des prochaines menaces semble d'être de plus en plus liée au facteur humain : manipulation d'images, amplification par les réseaux sociaux ou la presse... et en ligne de mire, les nouvelles possibilités de l'IA pour du morphing temps réel désormais indétectable".

Attaques au cœur des métiers

Les pandémies WannaCry et NotPetya en 2017 avaient démontré que les systèmes industriels étaient vulnérables aux risques liés à la cybercriminalité portant sur l'IT classique. Avec la numérisation des entreprises et l'essor du cloud computing, l'exposition de ces équipements s'est encore accrue en 2018, alors même que les attaques sont toujours plus ciblées et sophistiquées, avec l'ambition de maximiser leur impact sur le monde réel. C'est ce qu'a illustré Vincent Mignon, du groupe ADP, en revenant sur le cas du malware Triton, un framework d'attaque conçu pour interagir avec les contrôleurs du SIS (Système Instrumenté de Sécurité) de Triconex.

De nombreux intervenants sont revenus sur diverses attaques sectorielles, comme Christophe Thomas d'Aturys à propos du transport maritime, qui, selon lui, présente de nombreux intérêts pour les hackers : cibles diverses et isolées, impacts forts sur le plan économique, écologique et humain. En 2018, trois ports ont été les cibles de rançongiciels, mais les navires représentent eux aussi des cibles intéressantes, car ils sont un assemblage de composants du monde industriel, du transport pur et du grand public.

Vincent Mignon a évoqué le transport aérien, qui connaît des cyber attaques toujours plus nombreuses et toujours plus massives. En réponse à ces risques croissants, les différentes parties prenantes s'organisent et se structurent pour améliorer la cyberrésilience globale de l'ensemble du secteur.

Dans le domaine de la santé, les impacts potentiels des cyberattaques sont importants et engendrent une "perte de chance" pour les patients. Pour Erwan Brouder, CEO de BSSI Conseil et Audit, "le secteur est une cible privilégiée pour les cybercriminels, que ce soit pour l'appât du gain (chantage, extorsions...) ou le cyberterrorisme (atteinte directe de personnes physiques)".

Enfin, les banques, cibles de premier plan pour les cybercriminels, subissent des attaques de plus en plus astucieuses et le flux d'attaques n'a pas faibli en 2018. Gérôme Billois, associé cybersécurité chez Wavestone, ajoute "au-delà des attaques classiques, 2018 à vue une augmentation du niveau d'expertise et de détermination des attaquants. Par exemple, la Bank of Chile a été ciblée par un groupe qui, pour ne pas être détecté pendant la réalisation de virements frauduleux, a crée une diversion en infectant 9 000 PC et 500 serveurs". Mobilisant massivement le personnel de la banque, l'infection a détourné l'attention et permis aux cybercriminels de réaliser des virements frauduleux vers des comptes à l'étranger.

Fuites et réseaux sociaux

On ne compte plus le nombre de fois où Mark Zuckerberg, le fondateur et CEO de Facebook, s'est excusé en 2018. "Les réseaux sociaux sont devenus tentaculaires. Ils recèlent de nombreuses données et présentent un risque élevé d'attaque informatique. En outre, la difficulté à assurer la confidentialité des données complexifie la surveillance de ces réseaux", explique Olivier Hérisson, de la société ON-X, qui rappelle également qu'il n'est pas nécessaire de posséder un compte pour que Facebook dispose de données sur une personne sans pour autant qu'elle puisse les supprimer.

Et de dresser un tableau des nombreux scandales qui ont émaillé l'année et conduit le CEO de Facebook devant le Sénat américain, de violation de données majeures en collecte de données personnelles sans consentement en passant par cette propagande pour le génocide des Rohingas en Birmanie, pointée du doigt par l'ONU car elle aurait été insuffisamment contrôlée. Mais Facebook n'a pas le monopole des scandales : Bing, Apple, Google+ ou encore Netflix sont également concernés. "Il apparait clairement que l'actualité des réseaux sociaux dépasse aujourd'hui largement le cadre de la cybersécurité et devient un enjeu sociétal majeur", conclut Olivier Hérisson.

(cliquez pour agrandir)

Du côté des fuites de données, l'année a aussi été un "bon cru", de British Airways à Marriott en passant par Quora, T-Mobile ou encore Myfitnesspal, avec des chiffres vertigineux (500 millions pour Marriott). Mais pour Nicolas Levain, de la société emagine, "ce n'est pas la quantité de données volées ou exposées qui importe, mais sa nature et donc les conséquences potentielles".

Quelques éléments positifs

Invitée, Sophie Nerbonne, directrice de la conformité à la CNIL, a fait un rapide bilan de l'application du RGPD depuis le 25 mai : "nous disposons désormais du dispositif législatif complet", s'est-elle satisfaite tout en soulignant l'importance fondamentale de ce texte, "qui est majeur. Il prône un modèle de développement respectueux du droit et des libertés des personnes, dans lequel la sécurité est fondamentale". Au bilan "l'appropriation par les professionnels est tangible. Ils sont nombreux à avoir nommé un DPO : 50 000 organismes pour 16 000 personnes à ce jour, ce qui est à comparer aux 5 000 CIL qui existaient auparavant. Nous avons enregistré 1000 signalements en 2018 et du côté des particuliers, nous constatons une très forte prise de conscience et des actions via des collectifs, contre de grands acteurs de l'Internet".

Par ailleurs, un certain nombre de cybercriminels ont été arrêtés et/ou condamnés en 2018. Ainsi le pirate français Jonathan Verron, alias RexMundi, connu pour le vol de la base de données de Domino's Pizza, a été arrêté en Thaïlande. Le forum Black Hand a été démantelé, le cerveau de Carbanak arrêté, ou encore Scan4you condamné. Et un agent de la DGSI qui revendait des informations sur le darknet contre des bitcoins a également été arrêté. Pour Loïc Guézo, "le temps de la justice n'est pas celui de la cybercriminalité et même si la planète est grande, la collaboration internationale commence à avoir de vrais résultats".

Signalons que François Beauvois, commissaire de police et chef de la division anticipation et analyse, sous-direction de la lutte contre la cybercriminalité, est venu détailler les dispositifs que la police met en place pour lutter contre la cybercriminalité, et qu'un intervenant du ministère de l'Intérieur est venu évoquer les nouveaux modes opératoires des cybercriminels. De la fin annoncée des mots de passe aux données qui pleuvent du cloud en passant par les attaques sur les API, de nombreux autres sujets, que nous ne détaillerons pas, ont complété ce panorama.

Benoît Herr