Lesobservateurs: Quels sont les nouveaux dangers de la cybercriminalité ? Avez-vous des exemples concrets ? 

Pr Solange Ghernaouti: Parmi les dangers qui prennent de plus en plus d’importance (mais qui ne sont pas forcément nouveaux) retenons ceux liés à la fuite ou le vol d’informations favorisés notamment par des techniques d’intelligence et d’ingénierie sociale (social engineering), d’exploitation astucieuse d’informations collectées sur les personnes via, entre autres, les réseaux sociaux, pour les leurrer et les inciter à faire des actions qui permettent l’intrusion dans des systèmes informatiques, la propagation de programmes malveillants, le vol d’informations confidentielles…

De manière courante l’hameçonnage (phishing) existe pour obtenir les noms et mots de passe d’utilisateurs pour des comptes bancaires en ligne. Le courriel ressemble à un courriel authentique envoyé par la banque. Récemment, on constate une augmentation du nombre d'hameçonnage visant les cartes de crédit. La plupart des attaques sont conduites par une nouvelle approche, soit une combinaison entre le phishing classique et le « voice-phishing » ou hameçonnage vocal. Les victimes d’une escroquerie reçoivent d’abord un courriel d’un soi-disant institut financier. Les criminels les informent qu’ils recevront un coup de fil du service informatique de cet institut. Pour cela, ils leur demande d’indiquer leur numéro de téléphone. Par la suite, les escrocs annoncent à la personne que son ordinateur envoie des messages suspects. Ils offrent alors un support informatique qui leur permettra de prendre le contrôle de l’ordinateur.

Il faut rester attentifs à tout ce qui touche à des actions de manipulation d’information, propagation de rumeurs… pour nuire à une personne, déstabiliser l’économie, une entreprise, un pays.

En règle générale, que peut faire l'utilisateur d'internet moyen pour se garantir contre ces nouvelles menaces ?

• Ils existent des différentes plate-formes permettant de s’informer des nouvelles menaces et des moyens de s’en protéger.

• Le Conseil fédéral a adopté la stratégie pour une société de l’information en Suisse: Ce document présente des mesures permettant la prise de conscience des risques.

• La centrale d’enregistrement et d’analyse pour la sûreté de l’information MELANI publie des lettres d’information permettant d’informer le public des dangers actuels.

Selon vous, le dispositif civil de lutte contre la criminalité sur Internet (SCOCI) est-il suffisant pour faire face à ces nouveaux dangers. Sinon quelles autres mesures seraient à prendre ?

Dans la lutte contre la criminalité sur Internet, la Confédération dispose du service de coordination SCOCI qui se préoccupe principalement de pédocriminalité et de pornographie illégale. La Confédération ne se limite pas à des tâches d’appui et de coordination dans la lutte contre les abus sur Internet, mais elle mène des recherches en vue de détecter et d’empêcher des infractions, elle procède aux premières investigations (par exemple pour déterminer le domicile des auteurs) et elle communique ses soupçons aux autorités de poursuite pénale compétentes.

La Confédération et les cantons entendent améliorer la consultation et la coordination dans le cadre du réseau national de sécurité. Le mécanisme de consultation et de coordination du réseau national de sécurité (MCC RNS) s’occupe au quotidien de l’aspect « politique de sécurité » de l’agenda du réseau national de sécurité, de l’évaluation de la situation en matière de politique de sécurité, des besoins en renseignements de la Confédération et des cantons sur le moyen et sur le long terme, de l’analyse des risques dans le domaine de la politique de sécurité et les planifications prévisionnelles, et pilote les mesures relatives à la formation et les exercices au sein du réseau national de sécurité. Dans ce contexte, sera créé un groupe d’experts cybernétiques qui s’occupera d’évaluer les besoins au niveau de cantons pour gérer les risques qui surgissent de l’Internet.

La Suisse est-elle idéalement intégrée au niveau international dans la lutte contre la cybercriminalité ?

La Convention du Conseil de l’Europe sur la cybercriminalité [1] est le premier instrument juridique à dimension internationale qui traite des questions de cybercriminalité et de coopération internationale. Son principal objectif est de poursuivre « une politique pénale commune destinée à protéger la société contre la cybercriminalité, notamment par l'adoption d'une législation appropriée et la stimulation de la coopération internationale » [2].

Cela permet entre autre aux Etats signataires d’harmoniser leur droit pénal et procédural afin de pouvoir assurer une compatibilité juridique et favoriser l’entraide judiciaire internationale afin de pouvoir poursuivre le cybercrime qui est par définition un crime transfrontalier.

Le Conseil fédéral s'engage en faveur d'une intensification au plan international de la lutte contre la criminalité informatique y compris sur Internet. La Convention européenne est entrée en vigueur en Suisse, le 1 janvier 2012, ce qui démontre la volonté de la Suisse d’être un acteur à part entière de la lutte contre la cybercriminalité et ne pas être considérée comme un paradis digital.

Au niveau militaire, pensez-vous que la Suisse ait pris conscience des enjeux ? Sommes-nous prêts à soutenir une attaque contre des objectifs essentiels à notre défense ?

L’armée suisse a une assez bonne conscience des enjeux et dispose de quelques personnes très compétentes sur ces questions. Mais elle aura encore beaucoup de travail pour se hisser à la hauteur des enjeux que dessinent les grandes puissances qui investissent massivement dans ce domaine et sont en train de modifier le visage de la guerre.

En ce qui concerne la protection contre des attaques d’envergure la situation de la Suisse n’est pas optimale. La stratégie du Conseil fédéral sur ce sujet tend à l’améliorer dans les années qui viennent. Pour l’instant l’essentiel est de savoir gérer les conséquences d’une cyberattaque, de gérer les cyberrisques et les crises potentielles. Un exercice de conduite stratégique est actuellement en cours, il devrait livrer plus d’informations cet automne.

La guerre électronique a-t-elle évolué ces 5 dernières années ? Si oui comment ?

La « guerre électronique » a beaucoup évolué avec les progrès du traitement digital des signaux qui permet désormais de traiter instantanément de vastes secteurs du spectre électromagnétique. Il faut être attentif aux termes utilisés en matière de guerre électronique, différentes expressions ou définitions existent et le terme de guerre électronique peut comprendre différentes interprétations en fonction du contexte et de ceux qui l’emploient… Attention aux amalgames et confusions possibles…

Il existe des différences entre la guerre électronique et la cyberguerre. Cela pourrait être l’objet d’un autre interview. Toutefois, je profite de ce celui-ci pour informer que mon prochain livre, écrit en anglais et intitulé “Cyberpower: crime, conflict and sécurity in cyberspace” analyse notamment toutes les types d’actions relevant de l’expression de la criminalité, des conflits et de la guerre favorisés par les technologies de l’information et Internet. Sa sortie est le 21 mars 2013 et l’éditeur est EPFL Press (Couverture en fichier joint).

Avez-vous connaissance d'objectifs publics ou privés suisses ayant fait l'objet d'attaques ciblées ? Les réponses ont-elles été adaptées ?

Le DFAE a été l’objet d’attaques ciblées très graves et de manière répétée. Les réponses sont en cours d’adaptation.

La Suisse a-t-elle connu des tentatives d'espionnage industriel, voire de sabotage sur le modèle Stuxnet ? 

Des firmes telles que RUAG ou Mowag ont été la cible d’actions d’espionnage industriel, mais à notre connaissance aucune tentative de sabotage sur le modèle « Stuxnet » n’a eu lieu en Suisse jusqu’à présent

Nos Hautes Ecoles sont-elles protégées ?

Nos Hautes Ecoles, malgré leur haut niveau technologique, sont vulnérables au même titre que les autres infrastructures critiques du pays. Cette vulnérabilité est aussi associée au fait qu’il s’agit de lieux physiquement « ouverts » avec de multiples personnes de passage.

Les données bancaires sont-elles totalement à l'abri ?

Malgré les gros moyens dont disposent les banques, les données bancaires ne sont pas totalement à l’abri. Rappelons ici les vols de données par des employés indélicats. De plus, avec la généralisation de l’e-banking, y compris via la téléphonie mobile, il faut compter avec un accroissement important de la criminalité dans ce secteur.

La protection totale est une illusion. Il faudra toujours compter avec un certain niveau de perte de données et prévoir des mesures compensatoires. (Dédommagements des clients, assurances, etc ) La sécurité des données bancaires est avant tout l’affaire des banques et non celle de leurs clients.

Un retour au stockage exclusif de données papiers est-il envisageable dans certains domaines sensibles ?

Le retour au stockage de données papier est envisageable dans certains domaines. Mais cela pourrait être une solution s’il y avait un retour arrière et un traitement « papier et manuel » de toutes les données, ce qui est impossible et non envisageable ! Il n’y a pas d’autre choix que de prendre en compte le risque informatique (y compris d’origine malveillante) et le traiter en toute connaissance de cause. Pour en revenir au stockage papier, les problèmes sont la très grande quantité de données, leur temps d’accès, leur transmission et leur traitement (qui d’une manière ou d’une autre va demander un traitement informatique !). Prendre conscience des problèmes non résolus posés par la longévité de l’information numérique et des supports de lecteur est primordial, la conservation de données papier peut également poser des question d’archivage dans le long terme (volume, encombrement, pérennité du support papier, …Cf. cas d’inondation des archives du CIO, à Lausanne en novembre 2012 suite à une rupture de conduite d’eau).

Les Etats-Unis ont demandé que la Suisse durcisse son droit de l'internet, la Suisse est-elle devenue une île de la Tortue cybernétique ?

La Suisse est en train de renforcer son « droit de l’Internet ». Le Conseil fédéral a chargé le DDPS de créer de nouvelles bases légales réglant la protection des informations. En l’occurrence, il s’agit de mettre en place une procédure visant à la sauvegarde du secret qui soit unifiée pour les entreprises traitant des informations classifiées de la Confédération ou de l’armée.

[1] http://conventions.coe.int/Treaty/Commun/QueVoulezVous.asp?NT=185&CL=FRE, voir également http://conventions.coe.int/treaty/fr/Treaties/Html/185.htm

[2] http://www.admin.ch/ch/f/as/2011/6297.pdf