Paris prévoit des cyberattaques massives

(Paris) Dans son bureau sis aux étages supérieurs du siège du Comité d’organisation des Jeux olympiques (COJO), le chef de la cybersécurité des Jeux d’été de Paris, Franz Regul, exprime une certitude : « Nous serons attaqués. »

Aujourd’hui, partout dans le monde, les gouvernements et entreprises ont des équipes comme celle de M. Regul, installées dans des locaux spartiates bourrés de serveurs informatiques et d’écrans où des voyants lumineux signalent les attaques informatiques. Au mur du centre d’opération de Paris, il y a même un clignotant rouge qui alerte des attaques les plus graves.

Juillet et août seront chauds

Selon M. Regul, il n’y a pas eu de perturbation grave jusqu’à présent. Mais à mesure qu’approchent les Jeux olympiques, le nombre et la gravité des tentatives de piratage augmenteront de façon exponentielle, dit-il. Les entreprises et les gouvernements ne peuvent prédire le moment des attaques, mais M. Regul, lui, sait exactement quand le pire arrivera : ce sera en juillet et en août.

Auparavant, la sécurité lors de grands évènements comme les Jeux olympiques portait sur les menaces physiques, comme le terrorisme. Mais la technologie joue un rôle croissant dans les Jeux, et les organisateurs craignent désormais aussi les cyberattaques.

Les menaces sont multiples. Selon les experts, les pirates informatiques russes, chinois, nord-coréens et iraniens ont désormais des capacités pouvant désactiver non seulement les réseaux informatiques et le WiFi, mais aussi la billetterie, les cartes d’identité et même les chronomètres des épreuves.

Ces craintes ne sont pas hypothétiques. Lors des JO d’hiver de 2018 à PyeongChang, en Corée du Sud, une attaque a failli faire dérailler les Jeux avant même leur début. Elle a commencé au moment où les spectateurs arrivaient à la cérémonie d’ouverture.

D’emblée, il était clair que quelque chose n’allait pas. Le réseau WiFi, essentiel aux journalistes et aux photographes couvrant l’évènement, est tombé en panne, tout comme l’application officielle des Jeux donnant aux spectateurs leurs billets et des informations sur les transports. Certains d’entre eux ne pouvaient pas entrer dans le stade. Les drones des réseaux télévisés ont été cloués au sol, et les écrans censés télédiffuser la cérémonie sur tous les sites se sont éteints.

Une nuit à repousser l’attaque

Mais tout a repris, et les Jeux ont pu commencer. Durant toute la nuit, des dizaines de techniciens en cybersécurité ont combattu les pirates, repoussé l’attaque et réparé les dégâts. Le lendemain matin, la catastrophe avait été évitée, et les épreuves ont commencé.

Depuis, la menace sur les Jeux olympiques s’est aggravée. L’équipe de cybersécurité des Jeux d’été de Tokyo en 2021 a fait face à 450 millions de tentatives d’« évènement de sécurité ». À Paris, ce nombre sera de huit à douze fois plus grand, prévoit M. Regul. Des milliards d’attaques.

Devant cette menace, l’équipe de cybersécurité française a adopté une terminologie militaire. Des « jeux de guerre » mettent à l’épreuve les hommes et les systèmes, et la « doctrine défensive » en constante évolution intègre les « enseignements tirés » par les « vétérans de la Corée ».

Les cyberattaques peuvent avoir des origines très variées. Des criminels peuvent voler des données pour rançonner une victime. Des militants peuvent tenter d’attirer l’attention sur une cause. Mais la plupart des experts estiment que seuls les États-nations ont la capacité de mener une attaque majeure.

L’attaque de 2018 à PyeongChang a d’abord été attribuée à la Corée du Nord, le voisin quérulent de la Corée du Sud. Mais les agences américaines et britanniques et des experts indépendants ont ensuite conclu que le véritable coupable – la Russie, selon un large consensus – avait utilisé des techniques faites pour brouiller les pistes.

Encore et toujours la Russie

Cette année, la Russie demeure la principale menace.

L’équipe russe a été exclue des Jeux olympiques à la suite de l’invasion de l’Ukraine en 2022 (un petit groupe de Russes pourront participer comme athlètes neutres). Les relations entre la France et la Russie sont au plus mal, le président Emmanuel Macron accusant récemment Moscou de dénigrer les Jeux de Paris par une campagne de désinformation.

En 2019, selon Microsoft, des pirates informatiques liés au Kremlin ont attaqué les réseaux informatiques d’au moins 16 organisations sportives et antidopage nationales et internationales, dont l’Agence mondiale antidopage (AMA), qui se préparait à annoncer des sanctions contre la Russie liées à son programme de dopage.

Trois ans plus tôt, aux JO d’été de Rio de Janeiro, la Russie avait ciblé des responsables antidopage. Selon des accusations portées par des procureurs fédéraux américains et visant plusieurs responsables du renseignement militaire russe, des agents avaient alors piraté les réseaux WiFi d’hôtels où logeait le personnel antidopage afin d’accéder aux bases de données et courriels de l’AMA.

M. Regul, patron de la cybersécurité à Paris, refuse de nommer quels pays il soupçonne de planifier des attaques. Il se borne à dire que son équipe se prépare à contrer des méthodes spécifiques aux pays qui représentent « une forte menace ».

Jeux de guerre

Le COJO de Paris a mené plus tôt cette année des « jeux de guerre » en collaboration avec le Comité international olympique (CIO) et la société Atos, partenaire technologique des Jeux, pour se préparer aux attaques. Des « pirates éthiques » ont été engagés pour attaquer les systèmes, et des « primes aux bogues » ont été versées à ceux qui ont découvert des vulnérabilités.

Dans le passé, des pirates ont ciblé des organisations sportives avec des courriels piégés envoyés par de fausses personnes, des mots de passe volés et des logiciels malveillants. Depuis 2023, les nouveaux employés du COJO de Paris sont formés en prévention des cyberattaques par courriel, notamment l’hameçonnage.

Selon Ciaran Martin, qui a dirigé le Centre national de cybersécurité britannique, les antécédents de la Russie en font « la plus évidente menace perturbatrice » des Jeux de Paris. La programmation des épreuves, la télédiffusion et la billetterie pourraient être visées, estime-t-il.

« Imaginez : tous les athlètes arrivent à l’heure prévue, mais la billetterie est en panne » et la moitié des spectateurs sont bloqués à l’entrée, dit M. Martin, qui enseigne aujourd’hui à la Blavatnik School of Government de l’Université d’Oxford. « On retarde l’évènement ? Ou on fait concourir devant un stade à moitié vide les athlètes de l’élite mondiale réunis pour l’évènement le plus important de leur vie ? Le fait même de se retrouver devant une telle décision est un échec. »

Lisez cet article dans sa version originale (en anglais ; abonnement requis).