L’année 2020 fut extraordinaire à beaucoup d’égards et particulièrement active en matière de cyber-menaces. Multiplication des ransomwares, recul de l’hygiène numérique et, évidemment, l’intrigante attaque Sunburst… Alors, à quoi s’attendre de la part de la menace cyber en 2021 ? Nos quatre prédictions pour une année 2021 qui débute sur les chapeaux de roue.
Si 2020 était un film consacré à la cybersécurité, ce serait un western tant les cyber-menaces ont semblé tirer de tous les côtés. Montée en puissance des cyberattaques sur les établissements de santé, les villes, les systèmes industriels, le secteur du maritime ou encore les infrastructures de l’eau… l’année a été dense en matière de cybersécurité. Sans compter le cliffhanger de dernière minute avec l’attaque Sunburst, dont le degré de sophistication et la liste de victimes alarment. Quelles leçons tirer de 2020 ? Quelles menaces guettent en 2021 ? Comme chaque année, nous nous prêtons au jeu des prédictions. Et on n’a jamais autant espéré se tromper.
Covid et télétravail, des portes d’entrée pérennes
Les signaux (pas si faibles) de 2020
En cybersécurité aussi, context is king. Ce principe a été particulièrement suivi en 2020, où l’on a pu noter de nombreuses cyberattaques opportunistes. Exploitation des failles dues au télétravail ou cyberattaques surfant sur l’épidémie de Covid-19… Après le séisme qui avait ravagé Haïti en 2010, les cyber-malveillants s’étaient déjà montrés prompts à profiter d’une crise (ils avaient alors imité des mails de l’OMS). En 2020, ils s’en sont donnés à cœur joie avec le coronavirus et la quête, légitime, d’informations des internautes. Campagnes d’hameçonnage, diffusion de logiciels malveillants, usurpation de l’identité d’un site officiel… : l’ONUDC a listé dans un rapport publié en mai les principales cyber-menaces spéciales Covid-19 identifiées. Et selon Interpol, fin mars 2020, plus de 2 000 nouveaux domaines intégrant le terme Covid étaient identifiés comme malveillants et plus de 40 000 classés en risque élevé. Sans compter l’explosion des arnaques à la livraison, dopées par l’essor du e-commerce.
Il faut dire que les cyber-criminels ont été bien aidés par les différents confinements de l’année 2020, pendant lesquels l’essor du télétravail a fait oublier quelques règles de sécurité élémentaires… Ainsi, une entreprise sur quatre déclarait avoir fait des compromis avec la sécurité pendant le premier confinement. Un chiffre qui peut monter jusqu’à la moitié des employés, qui admettent prendre des libertés avec les règles de sécurité lorsqu'ils travaillent à domicile selon le rapport de Tessian The State of Data Loss Report. Et qu’il faut mettre en regard du taux d’utilisation des équipements personnels pour continuer à travailler – ce bon vieux BYOD (Bring Your Own Device), transformé en RYOOD (Retrieve Your Old Own Device), capable de mettre à mal toute la sécurité informatique de l’entreprise. Enfin, le télétravail a consacré les visioconférences. Et le phénomène du « Zoombombing » est rapidement devenu une vraie tendance. Le Conseil européen de Défense, censé être secret et infiltré par un journaliste, n’étant qu’un exemple parmi tant d’autres. Le DSI ou le RSSI qui est en vous soupire ? Vos souffrances risquent de se poursuivre en 2021.
Les scénarios pour 2021
Télétravail et j’oublie tout. Le travail hybride (mi-présentiel, mi-distanciel) s’installe durablement dans les organisations. Et avec lui le risque pour les salariés de manquer de rigueur en matière de cybersécurité. Chez soi, chacun suit ses propres règles… loin du regard de la DSI. Travailler sur son ordinateur personnel induit un autre comportement. Des onglets personnels côtoient des onglets professionnels, l’attention se relâche et le risque de télécharger un fichier corrompu augmente avec le temps. Surtout s’il semble être émis par son entreprise. Demain, il y a fort à parier que les documents et les emails issus des équipes de ressources humaines seront parmi les plus piratés ou imités en vue de compromettre le poste d’un collaborateur. Ce scénario soulève deux enjeux : tous les collaborateurs de l’entreprise doivent être suffisamment formés à la question de la cybersécurité et la DSI doit se saisir de ce sujet, pour maintenir un lien régulier avec ceux qui travaillent à distance et un rapport sécurisé avec les prestataires. Demain, les entreprises devront-elles contrôler les fournisseurs des dispositifs installés par leurs employés à domicile ? Faut-il élaborer une charte de cybersécurité contraignante encadrant les outils pour télétravailler ? Ou dans l’hypothèse où les équipements personnels ne sont pas considérés comme suffisant sécurisés, l’entreprise devra-t-elle fournir à tous ses collaborateurs un ordinateur professionnel avec toutes les garanties de sécurité ? Une autre question se posera alors, celle du prix de la sécurité…
Des menaces dopées aux intelligences artificielles
Les signaux (pas si faibles) de 2020
Les nouvelles technologies seront les leviers des conflits de demain, estime l’ISS (Institute for Security Studies). Cet organisme européen a publié en décembre 15 scénarios pour 2030, dans lequel des experts imaginent les guerres du futur. Le terme d’Intelligence Artificielle y apparaît 547 fois… Europol a listé les menaces actuelles et futures des intelligences artificielles. Selon ce rapport, l’IA est déjà utilisée pour deviner des mots de passe, casser des CAPTCHA et même… cloner des voix. Mais demain, c’est dans le monde physique que les conséquences pourraient être terribles. Et avec l’essor des opérations d’apprentissage automatique (MLOps), c’est l’industrialisation de l’IA (et de ses menaces) qui se joue actuellement.
L’année 2021 devrait être une année de forte adoption de l’IA dans les entreprises, prophétise Forrester. Et d’ici 2025, le marché des logiciels d’intelligence artificielle pèsera 37 milliards de dollars. Un marché en forte croissance, donc. En 2019 déjà, 52% des entreprises françaises utilisaient des solutions IA ou en avaient le projet, selon des chiffres Wavestone. En août 2020, une intelligence artificielle a été ainsi utilisée dans un avion militaire de l’US Air Force. Pourtant, les entreprises qui adoptent les technologies émergentes, l’IA en tête, sous-évaluent les risques et tardent à planifier leur sécurisation, selon une étude Accenture publiée en novembre 2020. Une zone grise propice aux cyberattaques.
Les scénarios pour 2021
Des objets détournés sur la route et dans les airs. Alors que les voitures autonomes intègrent de plus en plus d’intelligence artificielle pour automatiser certaines tâches, la question de la protection de la donnée est centrale. En mettant à mal l’intégrité des données de cette IA, il est possible d’en modifier les calculs, voire d’impacter certaines commandes (vitesse, trajet…). Demain, des cyber-attaquants pourraient mener des actions dans le monde physique allant du simple détournement de livraisons à la planification d’un attentat à la voiture bélier. Dans les airs, l'exploitation de drones autonomes ou le détournement d’un avion militaire piloté par une IA seraient également le point de départ de scénarios catastrophes.
Blackout sur la ville. De plus en plus connectée, la Smart City sera-t-elle demain le terrain de jeu favori des cyber-attaquants ? Tous les ingrédients sont réunis avec de multiples systèmes d’intelligence artificielle et une surface d’attaque potentielle en croissance. Et les menaces pourront aller du « simple » dérèglement des systèmes électriques (feux de circulation, éclairage public…) à la dégradation des installations de production d’énergie.
La 5G et l’IoT vont accélérer et multiplier les cyberattaques
Les signaux (pas si faibles) de 2020
La 5G a commencé son déploiement en France et en Europe. Avec une promesse : traiter plus de données, plus vite. De quoi développer un réel internet des objets (IoT), à la nature et aux applications variées (télémédecine, véhicules autonomes, bâtiments intelligents, etc.), ou encore modifier profondément la géographie des réseaux d’une entreprise. De quoi augmenter la surface d’attaque également. Parmi les risques induits par la 5G, Accenture évoque « l’hyper précision de la géolocalisation et l’explosion du volume et de la vitesse du réseau ». Il faut dire que la nature distribuée des réseaux 5G sur lesquels vont venir se greffer une multitude d’objets connectés à la sécurité douteuse réduit la visibilité des menaces. Car la technologie 5G possède son lot de vulnérabilités. Et nécessite une cybersécurité spécifique basée sur une protection intégrée, une gouvernance et la protection des données. À noter que sur cette question, l’Europe a lancé en décembre 2020 un audit pour vérifier que la cybersécurité de la 5G déployée actuellement dans plusieurs pays est bien au niveau attendu.
Les scénarios pour 2021
Une attaque via la 5G dans le domaine industriel. Vitesse des échanges plus élevée, hautes performances, fonctionnement en temps réel, voire connectivité sans fil (pour supprimer certains risques de sécurité inhérents au câblage), la 5G est présentée comme la clé de l’industrie du futur. Une connectivité plus rapide entre les hommes et les machines, même dans le cadre de sites de production très étendus, marquerait ainsi le début d’une quatrième révolution industrielle. Mais avec la 5G et l’explosion annoncée des objets connectés, la surface d’attaque semble incontrôlable avec une connexion massive de technologies peu portées sur la question de la cybersécurité. Demain, des cyber-criminels pourraient tenter de s’en prendre à une usine manufacturière qui lancerait de premières connexions pilotes en 5G. Alors que la 5G participe au système de contrôle industriel, comment assurer le propre contrôle de celle-ci ? En l’absence de réponse claire à cette question, rappelons ici que trois grandes menaces classiques guettent : l’espionnage industriel, l’arrêt pur et simple de l’activité et le détournement de la production (pour changer une préparation et altérer sa qualité). Déjà identifiés l’an passé, ces risques sont malheureusement toujours d’actualité.
Une géopolitique assumée de la cyberattaque
Les signaux (pas si faibles) de 2020
Ces derniers mois, plusieurs cyberattaques visant des intérêts stratégiques nationaux ont été attribuées à des groupes APT proches de structures étatiques (Chine, Corée du Nord, Russie…). Les élections nationales sont également l’objet de fortes spéculations. Avant le scrutin du 4 novembre 2020, les observateurs estimaient que la Russie restait la principale cyber-menace sur l'élection présidentielle américaine. Dans la bataille d’influence qu’est une élection, il suffirait d’une fake news ou d’un deepfake pour influencer les votes. Ou d’un tweet. Le piratage du compte Twitter de Donald Trump pourrait ainsi ouvrir la voie à un nouvel hacktivisme : celui de tenir de fausses paroles publiques. L’essor du vote électronique inquiète également, puisqu’en novembre 2020 également, une faille dans l’IA d’un supercalculateur a perturbé le décompte des voix des élections municipales au Brésil.
Sans compter de nouvelles menaces économiques et le risque d’une déstabilisation de l’économie d’un pays. En novembre 2020, le Cigref (association des grandes entreprises et administrations publiques françaises) a adressé un courrier au Premier ministre alors que les cyberattaques visant les grandes entreprises françaises ont augmenté en nombre et en intensité. « Elles touchent de plus en plus d’organismes, publics ou privés, et constituent une menace croissante pour l’économie », souligne la note.
Sur la première moitié de l’année 2020, l’industrie de l’eau en Israël a été la cible de plusieurs séries de cyberattaques. En avril, le réseau informatique d’une station de pompage d’eau aurait ainsi été infecté par un malware, visant à atteindre le logiciel des contrôleurs des pompes à eau. L’objectif : augmenter la quantité de chlore dans l’eau. Une telle attaque qui pourrait avoir des dégâts retentissants ; qu’ils soient mécaniques ou humains. Le Financial Times a osé le titrer, mais il semblerait bien que le « Cyber winter is coming ».
Les scénarios pour 2021
Un nouveau terrorisme cyber. Sur le front de la cyberguerre, devons-nous craindre une convergence à venir entre hackers et milices, avec la capacité de mener des cyberattaques potentiellement mortelles ? Soit en menant des actions en ligne avec un impact dans le monde “réel”, soit en coordonnant des attaques en lignes et des attaques physiques. Demain, un scénario du pire consisterait à ce qu’une organisation terroriste ou un groupuscule extrémiste provoque un attentat physique couplé à une cyberattaque désorganisant les services de secours et retardant, voire empêchant, l’accès aux soins des victimes. Le support étatique et l’ingérence qui va avec, dissimulés ou non, étant en option facultative ici.
Autant de scénarios et de futurs possibles pour les tendances cybersécurité 2021 – à suivre de très près. Et celles de 2022 ?
