Cela ressemble au crime parfait : des victimes, mais des commanditaires quasiment impossibles à identifier avec certitude. Jeudi 5 novembre, le Kremlin a affirmé ne pas être impliqué dans plusieurs cyberattaques ayant visé des réfrigérateurs et des congélateurs de supermarchés d’une dizaine de pays européens. Ces attaques ont pourtant été revendiquées par deux groupes de cybercriminels pro-russes, NoName057(16) et Z-Pentest, identifiés par les services occidentaux comme proches de Moscou. « Ce genre d’accusations sans fondement visant notre pays et l’impliquant dans tout et n’importe quoi, est, malheureusement, en train de devenir une tendance persistante dans les pays européens », a déclaré le porte-parole du Kremlin, Dmitri Peskov, qui estime « qu’aucun argument ni aucune preuve » ne vient les étayer.
Lundi 2 novembre, les températures de réfrigérateurs de supermarchés au Royaume-Uni, en Allemagne, en Belgique, en Estonie ou encore en Finlande ont augmenté d’une trentaine de degrés, entraînant des dégâts de plusieurs dizaines de millions d’euros. Christophe Hansen, le commissaire européen à l’Agriculture et à l’Alimentation, a dénoncé « une tentative délibérée de perturber notre chaîne d’approvisionnement alimentaire et de saper la confiance des consommateurs – un avertissement que nous devons prendre au sérieux ». Le 12 octobre, des commerces français avaient été touchés par une attaque similaire.
Ce mercredi 4 novembre, l’établissement français du sang (EFS) a confirmé avoir été visé deux jours plus tôt par une cyberattaque. Comme révélé par Le Canard enchaîné la veille, l’incident a ciblé les réfrigérateurs de l’organisation. « Des anomalies ont été signalées, entraînant une altération des paramètres de fonctionnement de chambres froides », a précisé l’EFS dans un communiqué, signalant que l’attaque touchait un de ses prestataires.
Cette dernière attaque n’a, pour l’heure, pas été revendiquée. L’enquête se poursuit. Si l’hypothèse d’une attaque ordonnée par Moscou paraît crédible, elle n’a pour l’instant pas été confirmée par une autorité européenne. Leur attribution reste complexe. Décider d’une riposte également. Entretien avec le général (deuxième section) Didier Tisseyre, ancien commandant de la cyberdéfense au ministère des Armées de 2019 à 2022.
L’Express : Les attaques contre les supermarchés ont été revendiquées par deux groupes de hackers russes, ce que le Kremlin dément. Est-ce le crime parfait ? Pourquoi est-il si difficile d’obtenir une attribution certaine dans une telle configuration ?
Général Didier Tisseyre : L’attribution est d’abord le résultat d’un processus d’étude et d’analyse, à partir d’éléments précis qui permettent de caractériser les acteurs ayant mené ce type d’attaque. C’est comme une enquête policière : un crime a été commis et il faut trouver son auteur. À qui profite-t-il ? Quelles armes ont été utilisées ? Quel est l’environnement ? Y a-t-il des traces d’ADN ? Mais le cyberespace est très complexe. Les attaquants exploitent des vulnérabilités et utilisent des fragments de code qui leur appartiennent, mais qui peuvent aussi être récupérés chez d’autres. Cela rend leur identification très ardue, car il est malaisé de reconstituer la succession des liens : ordinateurs, serveurs, faux comptes, vrais comptes, personnes dont l’identité a été usurpée. Pour mener l’enquête, on travaille sur un faisceau d’éléments, issu de la connaissance des modes d’action et des outils des attaquants, que l’on appelle le renseignement d’intérêt cyber.
Une fois la caractérisation technique faite – avec son incertitude – la question de l’attribution se pose. En France, il s’agit d’un acte politique, qui engage. Une fois qu’un groupe autonome ou rattaché à un Etat est identifié, se pose la question des conséquences : riposte-t-on, et comment ? Par des actions cyber, diplomatiques, économiques, juridiques ? Saisit-on des juridictions nationales ou internationales ? Quelles preuves peut-on apporter ?
Lorsque l’on a de fortes présomptions, on peut agir officiellement ou demander à des acteurs privés d’intervenir dans la caractérisation et l’attribution. Les Etats se heurtent aussi à un autre obstacle : l’expertise qui permet de déceler une attaque relève d’un savoir-faire que l’on n’a pas forcément envie de dévoiler.
Combien de temps en moyenne prend cette attribution ?
Le temps de l’enquête est variable, mais est en principe très long – comme celui de la préparation. Une cyberattaque est très longue à préparer, car il faut identifier des vulnérabilités et bâtir une stratégie. Je prends toujours l’exemple du braquage de banque : en amont, les assaillants repèrent les lieux (où sont les caméras, quel est le système d’alarme). Ils identifient ensuite les mesures de sécurité et les vulnérabilités, techniques, humaines, organisationnelles. L’attaquant construit un processus d’attaque. Il peut pré-positionner des bouts de code, les rendre très discrets et les cacher dans les détours des machines. À un moment, il déclenche l’attaque, soit pour voler des données, soit pour provoquer des dysfonctionnements comme ces variations de température. Il y a donc une longue préparation, puis une fulgurance de l’attaque et de ses effets.
Comme après un cambriolage, des équipes spécialisées viennent ensuite sur place et examinent le système. Elles cherchent quels fragments de code ont été positionnés, comment ils ont été déclenchés, s’ils ont été effacés, qui s’est connecté, à quel moment, de quelle manière, à partir de quelles adresses. Les interactions invisibles sont légion sur Internet : une bonne partie du volume du trafic relève d’échanges techniques entre machines et logiciels, sans information utile. Comme pour la protection physique d’un bâtiment, il y a des caméras et des systèmes de détection d’intrusion, mais ces dispositifs ne couvrent pas tout. Certaines choses ne se voient pas.
Après une attaque, il est conseillé à la victime de débrancher son ordinateur ou son serveur du réseau, mais surtout de ne rien effacer. Les intervenants doivent préserver la « scène de crime », pour que les éléments restent valables sur le plan juridique. Le temps d’analyse est à la mesure de la préparation : cela ne se compte pas en heures, mais en plusieurs jours, semaines, voire mois.
Les pays européens partagent-ils leurs éléments d’enquête ?
Après une attaque, la coordination existe d’abord entre organismes techniques : l’Agence nationale de la sécurité des systèmes d’information (Anssi), a des partenariats avec ses homologues dans d’autres pays européens pour comprendre les attaques. Il existe aussi un dispositif au niveau d’Europol, avec le parquet cyber français, et des échanges d’informations. Il y a aussi une coordination en amont : ces organismes se tiennent au courant des modes opératoires et des moyens d’identifier les attaquants. Cette identification se fait par des signatures, comme pour les antivirus mais en plus élaboré, et par des référentiels d’adresses IP de serveurs identifiés comme utilisés par des attaquants.
La difficulté tient à l’identification des acteurs : qui gère ces équipements à distance ? Le fabricant, un prestataire, un tiers de confiance ? Il faut une vision cartographique large pour retrouver ces traces et alimenter le renseignement d’intérêt cyber. C’est une enquête compliquée, qu’il est difficile de mener seul. Quand j’étais au commandement de la cyberdéfense des armées, nous avions des partenariats privilégiés avec nos homologues militaires, sur la connaissance des moyens utilisés par les compétiteurs stratégiques.
Des hackers pro-russes ont affirmé être responsables de l’attaque qui a visé les frigos de supermarchés européens. Si cette piste se confirme, qu’est-ce que cela changerait pour l’attribution et la réponse à cette attaque ?
Dans sa doctrine politique de défense cyber, la France a défini que si un Etat menait illégalement une attaque dans des systèmes de l’Etat ou d’entreprises, en provoquant des dégâts, cela pouvait être assimilé à une agression armée. Cela ouvre le droit à la légitime défense, et donc à une riposte légale. En revanche, si l’attaque est attribuée à un groupe de hackers peu connu, la nature de la réponse changera. La question est donc de savoir qui nous attaque : est-ce un Etat ou non ? Ensuite, comment a-t-il fait ? Lui a-t-on laissé la porte ouverte, ou l’a-t-il forcée ? Quels sont les dégâts ?
Une difficulté supplémentaire s’ajoute aujourd’hui au processus d’attribution : il existe un continuum entre le hacker passionné qui veut relever un défi, le cybercriminel très organisé et le groupe rattaché à un Etat. Certaines personnes vendent volontairement leurs services à des groupes de cybercriminels ou à des pays. D’autres croient participer à autre chose, et n’ont pas pleinement conscience de participer à une attaque. Ces responsables sont de natures différentes, avec des objectifs différents, et cela fait une différence considérable dans le processus d’attribution.
Que s’autorise la France en matière de riposte ?
Je ne peux pas répondre dans le détail à cette question. Mais le principe est de définir à l’avance l’éventail des ripostes possibles. L’idée est d’avoir une expertise pointue pour identifier les traces laissées par un cyberattaquant et les analyser. La France s’est dotée du C4, le Centre de coordination des crises cyber, un organisme créé en 2018, qui regroupe l’ensemble des services de l’Etat en matière de cyberdéfense. Ces entités travaillent ensemble pour analyser et identifier des mesures de légitime défense dans un cadre juridique.
Qui sont, selon vous, les plus agressifs dans ces cyberattaques : les Etats, les hackers, la Chine, la Russie ?
Je ne peux pas non plus désigner un auteur en particulier. Mais des acteurs étatiques sont aujourd’hui particulièrement désinhibés et utilisent l’ensemble des moyens à leur disposition, aussi bien informatiques qu’informationnels, pour mener des attaques hybrides contre d’autres pays. Le recours à des proxys criminels ou individuels leur permet d’éloigner la responsabilité de ces attaques, voire leur permet même, avec une certaine hypocrisie, de faire semblant de nous aider.
Source link : https://www.lexpress.fr/secret-defense/didier-tisseyre-ex-commandant-de-la-cyberdefense-francaise-lenquete-pour-identifier-les-auters-est-QQTW7EUSBVAYTM6SIITTYDRCBY/
Author : Alexandra Saviana
Publish date : 2026-11-06 17:00:00
Copyright for syndicated content belongs to the linked Source.
