Cyberterrorisme, cyberguerre, la réponse des Etats

Cyberattaques visant tel Etat, attaque massive de serveurs, vols de coordonnées bancaires... Ces exactions se multiplient. Mais quels sont les moyens légaux à la disposition des pouvoirs publics pour lutter contre le cyberterrorisme ? Réponse.

Cyberattaques, attaques massives de serveurs, cent milles, un million, dix millions d’ordinateurs infectés. Des dizaines de milliers de coordonnées bancaires dérobées, l’Etat X victime d’une cyberattaque, faille DNS, malware …Ces expressions sont désormais devenues quotidiennes dans les médias spécialisés et deviennent récurrentes dans les médias grands publics. Or, à la lecture ou à la vue de ces reportages, on peut se demander si les pouvoirs publics ont les moyens de réagir face à cette nouvelle criminalité.Commençons par définir et examiner le dispositif légal en place.

Quelles menaces et quel dispositif légal ?

La définition du cyberterrorisme est sujette à controverse. On peut cependant dire qu’il s’agit d’utiliser des moyens de technologie pour commettre des actes réprimés par les lois des Etats. Sur le plan des définitions légales, le cyberterrorisme consiste à commettre des actes prévus et réprimés par le code pénal dans le but de désorganiser tout ou partie des éléments vitaux d’un pays, que ce soit les moyens de communications, les transactions économiques ou encore la distribution d’énergie. Les motivations peuvent être d’ordre pécuniaire ou idéologique. Le dispositif légal français couvre tous les types d’attaques susceptibles d’être commises. Ce qui distingue le cyberterrorisme de la délinquance ordinaire, c’est la différence d’échelle. L’attaque sera de grande ampleur et déployée grâce à des moyens importants.Les articles 323-1 et suivants du code pénal répriment l’intrusion frauduleuse dans un système d’information. Le fait d’accéder ou de se maintenir frauduleusement dans tout ou partie d’un système d’information est punissable d’un an de prison et de 15.000 euros d’amende. La modification ou la suppression de données résultant de l’accès frauduleux aggrave la peine encourue à deux ans de prison et 30.000 euros d’amende.Le fait d’empêcher le fonctionnement d’un système d’information est puni de trois ans d’emprisonnement. Il n’est pas nécessaire d’accéder au système pour que cette infraction soit constituée. Tel sera le cas d’un envoi massif de requêtes à un serveur pour l’empêcher de fonctionner. Enfin, l’introduction frauduleuse de données dans un système d’information, la suppression ou la modification illicite de données est punissable de trois ans d’emprisonnement et de 45.000 euros d’amende. C’est ce type d’attaque qui sera privilégié par des terroristes pour mettre en difficulté l’Etat qu’ils prennent pour cible. Accessoirement, ils peuvent se livrer à des envois de spam, interdit par l’article 22 de la loi n°2004-575 du 21 juin 2004 pour la confiance en l’économie numérique, à des fins de propagandes par exemple. De plus, pour se procurer l’argent nécessaire, ils commettront des escroqueries et des abus de confiance en pratiquant le « phishing » et le « scam ».L’escroquerie est alors punissable de cinq ans de prison et l’abus de confiance de trois. L’amende encourue pour chacune de ces infractions est de 375.000 euros et le fait de les réaliser en bande organisée aggrave la peine encourue.Cependant, on peut trouver ces peines légères et inadaptées à la répression et à l’éradication du terrorisme. En fait, en cas d’actes de terrorisme, c’est-à-dire d’infractions comme celles décrites ci-dessus mais utilisées pour troubler gravement l’ordre public ou semer la terreur par intimidation (article 421-1 du Code Pénal), la peine initialement encourue est aggravée.Ces aggravations sont prévues à l’article L421-3 du Code pénal. Par exemple, le fait de bloquer un système informatique sera puni de 6 ans d’emprisonnement au lieu de trois. Cependant si des décès sont consécutifs à ces actes, la réclusion criminelle de trente ans ou à perpétuité sera encourue.

Lutte contre le cyberterrorisme

La lutte contre les actes de cyberterrorisme s’organise d’abord au niveau national. Dans la plupart des pays développés, les forces de police possèdent une unité spécialisée en cybercriminalité et une autre dans la lutte contre le terrorisme. Il suffit donc de coordonner les deux unités pour rendre la répression efficace. En France, c’est le pôle anti-terroriste du Tribunal de Grande Instance de Paris, composé de huit magistrats spécialisés dans la lutte anti-terroriste, qui assure cette fonction. Il a le pouvoir de coordonner l’action des forces de police et peut recourir aux services de l’Office Central de Lutte contre la Criminalité liée aux Technologies de l’Information et de la Communication (O.C.L.C.T.I.C.). Sa structure opérationnelle compte des équipes capables de détecter et de rechercher les auteurs des infractions d’intrusion dans les systèmes d’informations.Les Etats-Unis, eux, se sont dotés d’une infrastructure spécifique dans la lutte contre le terrorisme. Le National Counter Terrorism Center (NCTC), créé en août 2004 par l’ordonnance présidentielle n° 13354, coordonne l’action des unités opérationnelles notamment des célèbres Central Intelligence Agency (CIA) et Federal Bureau of Investigation (FBI). Au niveau international Interpol, la célèbre organisation internationale des polices, a également pris en compte la menace du cyberterrorisme et joue un rôle de coordination. Ainsi, il distribue les informations sur les cyberterroristes et sur les attaques grâce à son système de communication I-24/7, permet aux polices nationales d’identifier les individus suspects grâce à ses bases de données, et peut apporter son expertise technique en procédant à l’analyse d’ordinateurs aux fins de recherche et de préservation des preuves.

Cyberguerre

Les actes de cyberguerre sont, sur le plan technique, relativement similaires à ceux de cyberterrorisme. Ils consistent à lancer des attaques contre des systèmes d’information vitaux comme ceux d’un ministère de la Défense ou à effectuer des défigurations de sites Web institutionnels à des fins de propagande. Plusieurs affaires très médiatisées se sont produites ces dernières années [1], cependant un conflit entièrement informatique ne s’est pas encore produit. Dans ce type de conflits, les « combattants » sont protégés par l’Etat attaquant, et l’Etat victime ne pourra pas les poursuivre pénalement. De plus comme l’intégrité territoriale ne sera pas attaquée, le droit international public ne trouvera pas d’application et l’ONU aura des difficultés à agir. Il est facile pour un Etat attaquant de dénier mener ce type d’attaque.A ce jour, la réponse des Etats réside dans les institutions chargées de défendre le cyberespace national. En France, la toute nouvelle Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI), créée par le décret n° 2009-834 du 7 juillet 2009 et qui succède à la Direction Centrale de la Sécurité des Systèmes d’Information (DCSSI), a clairement inscrit la cyberdéfense dans ses missions. Un centre de veille et d’alerte, le COSSI est chargé d’évaluer la menace et de la combattre en temps réel. Le COSSI est notamment chargé de coordonner les réactions aux incidents touchant la cyberdéfense. La création de l’ANSSI fait suite aux recommandations du Livre Blanc sur la défense nationale du 17 juin 2008, qui préconisait la création de cette institution et qui recommandait une augmentation significative des moyens consacrés à la cyberdéfense. A l’horizon 2012, l’ANSSI devrait compter 250 agents. Les Etats-Unis ne sont pas en reste, puisque le Général Keith. B. Alexander vient d’être nommé commandant du nouveau « Cyber Command » au sein du centre de commandement stratégique du Pentagone. Ces entités sont pour le moment chargées de défendre le cyberespace, mais la question est de savoir si elles auront des capacités de riposte. En tout cas, l’ONU semble totalement absente de ces débats. Compte tenu des enjeux et avant le déclenchement d’un cyber conflit, on peut souhaiter que l’ONU s’empare du sujet et que des conférences internationales soient engagées afin de mettre en place un droit international du cyberespace. Par Nicolas Magnin, juriste spécialiste de la SSI

Note

[1] : L’Estonie a dénoncé une attaque russe contre ses systèmes d’information stratégique suite à une décision du gouvernement estonien de déplacer un monument russe en 2007. La Chine est régulièrement soupçonnée de mener des attaques contre les systèmes d’information d’Etats occidentaux. Pour aller plus loinLa Lettre Technique de l’Ingénieur Sécurité des Systèmes d’Informations n° 9 Octobre 2007Le site de l’ANSSILe document relatif à la création de l’ANSSILe site d’InterpolLes mesures prises par Interpol contre le terrorismeLes mesures prises par Interpol contre la cybercriminalité