La révolution des télécommunications, de l’information et des communications se traduit désormais en valeur marchande. La dernière étude menée par McKinsey montre qu’Internet représente en France 3,2% de croissance du PIB (60 milliards €) et plus d’un million d’emplois (2009). Jamais Sun Tsu, général et stratège chinois du VIème siècle avant J-C. qui décrivait l’information comme le nerf de la guerre, n’avait été autant d’actualité. À l’origine de création de richesses (25 milliards € de chiffre d’affaires pour le e-commerce en 2009), l’information fait l’objet de plus en plus convoitises, souvent illégales : le rapport de Symantec mentionne plus de 286 millions de programmes malveillants en 2010.

Les formes d’attaques se développent : phishing (hameçonnage), pourriel, déni de service, défiguration de sites web, cybersquattage, hoax, virus, ver, cheval de Troie, botnet, bombe logique, scareware, espiogiciel… (pour plus d’informations, voir le 4ème forum international sur la cybercriminalité, 2010). Les pirates du 21ème siècle ne sont plus les hackers ou white hat d’autrefois. Ces passionnés d’informatique dont l’objectif était d’explorer les limites des systèmes informatiques ou logiciels pour révéler, améliorer et résoudre leurs failles. Aujourd’hui, nous faisons face à des black-hats, des cybercriminels qui cherchent à nuire, à détruire et surtout à profiter frauduleusement de la création de valeurs issue des NTIC.

La cybercriminalité, soit l’ensemble des infractions pénales commises via les réseaux de communications électroniques et les systèmes d’information ou contre ces derniers, est désormais une menace prise très au sérieux par les autorités publiques. Les États, et notamment la France, se dotent de moyens législatifs pour lutter contre ces nouvelles menaces (LOPPSI II), tentent d’anticiper les évolutions (Plan de développement de l’économie numérique 2012), renforcent leurs organismes de lutte contre la cybercriminalité (ANSSI, OCLCTIC)… Ces actions menées par les États seront-elles suffisantes ou auront-ils toujours un temps de retard sur les pirates comme c’est déjà le cas avec HADOPI ?

Ce qui est certain, c’est que rien ne sera possible sans une prise de conscience du grand public et des entreprises. Il est important de sensibiliser tous les acteurs de la vie économique. En France, les CCI et les gendarmeries proposent ce genre de formations gratuitement. Pour autant, il ne faut pas tomber dans une paranoïa exagérée. La recrudescence de la concurrence, induite par la mondialisation de l’économie, conduit souvent à une disproportion dans l’utilisation de certains termes. Ainsi, il n’est pas rare de parler de guerre économique ou de cyberguerre. Cependant, en droit international, le terme de guerre est restreint à une opposition entre deux États. Hors, en ce qui concerne la cybercriminalité, dans la très grande majorité des cas, les États ne sont pas mis en cause directement. Même en 2007, lorsque les systèmes d’information des institutions publiques et bancaires estoniennes ont été la cible d’attaques, aucune preuve n’a permis d’incriminer directement un autre État.

Une exception peut être faite avec l’apparition du virus Stuxnet en 2009. Ce cheval de Troie vise une faille dans une application de Windows développée par Siemens pour affecter un programme ayant trait au contrôle notamment des centrales nucléaires. Demandant six à neuf mois de développement pour une équipe de six à dix personnes, il ne peut être l’œuvre d’un hacker voir même d’une organisation cybercriminelle classique selon Symantec. Son objectif est clair : paralyser ou mettre hors service certaines infrastructures nucléaires ; la cible est identifiée : l’Iran ; les auteurs restent méconnus. Certes, le New York Times a révélé que Stuxnet aurait été testé dans les centres de recherche de la sécurité israélienne au sein de Dimona le désert du Néguev. Certes, la plupart des médias a décrit Israël et la CIA comme les créateurs du virus, des experts ont trouvé des similitudes entre le code du virus et l’hébreu… Cependant, si aucune preuve tangible et aucune certitude ne peuvent être affirmées, nous ne sommes peut-être pas si loin de la cyberguerre.

Steven Coissard et Clémentine Hottier, école supérieure de commerce, IDRAC, Lyon- 12 avril 2011 -