Comment Internet est devenu une cyber-jungle

Qu’est-ce que le cybercrime ? C’est l’ensemble des infractions impossibles à commettre si Internet n’existait pas. Quelle est la gravité de ce phénomène ? Pour les pessimistes, c’est, au choix "la pire des menaces émergentes", la certitude à terme d’une "cyberguerre mondiale" ou "le plus grand transfert de richesses de l’histoire humaine". Le FBI affirme que, "à l’horizon, le cybercrime émerge rapidement comme la nouvelle menace qui, en matière de sécurité nationale, pourrait bien surpasser le terrorisme". Pour les optimistes en revanche, le cybercrime est "une broutille dans le cours du business" ou encore "un fétu, comparé à un Produit brut mondial de 70 000 milliards de dollars par an". Au-delà de ces considérations provenant parfois du terrain, ou à l’inverse, vues de Sirius, un constat s’impose : le cybermonde est d’ores et déjà un nouveau Far West pour une multitude de malfaiteurs

Un cyber-jungle ?

La jungle numérique a pour caractéristique première d’être noyée dans le brouillard. Tout y est flou : par exemple, les pertes qu’on prétend y subir vont de quelques milliards à quelques centaines de milliards de dollars. La raison de ce flou tient à ce que, lorsqu’elles le peuvent, les entreprises-victimes cachent ces piratages, et les pertes qu’ils entraînent.

Ces piratages prennent de multiples formes qui provoquent une grande variété de préjudices aux sociétés industrielles, financières ou de services qui les subissent. Les vols de propriété intellectuelle sont les plus fréquents et portent au choix ou simultanément sur le résultat de recherches d’une entreprise, ses innovations, ses secrets d’affaires, ses méthodes de fabrication, ses stratégies commerciales, ses contenus d’appels d’offres ou de négociations.

Ces sociétés peuvent également subir des manipulations hostiles de marchés ou de cours de bourse, voir leurs sites sabotés ou paralysés du fait d’attaques en déni de service DDoS, provoquant autant de pertes d’opportunités. Enfin, la confiance qu’elles inspirent ou leur réputation courent le risque d’être malmenées ou détruites par des piratages hostiles. Des particuliers ou des sociétés peuvent également ignorer qu’ils ont été pillés ou être dans l’incapacité d’estimer ce qu’on leura dérobé en raison de la difficulté de calculer le coût réel de la propriété intellectuelle.

Un dernier risque, enfin, du côté des sociétés de protection informatique : s’informer sur des vols de ce type en procédant à des sondages dans des entreprises, ou en leur adressant des questionnaires peut, volontairement ou pas, fournir des résultats imprécis ou trompeurs. Quel niveau peuvent atteindre ces pillages ? Nous n’avons sur ce point aucune certitude mais, parfois, une étude spécifique permet de le deviner. Début 2014, une enquête sur le site Pastebin en a donné une idée. Ce site est spécialisé dans le stockage de textes en ligne. Il est normalement utilisé par des informaticiens pour y déposer ou échanger du code et des logiciels mais aussi par des pirates qui y stockent les données confidentielles qu’ils ont dérobées. L’étude montre qu’en un an, 312 000 identifiants et mots de passe, concernant des sites, des services en ligne ou des gestionnaires de courriels ont été déposés sur Pastebin. Exemple le plus récent : la base entière des données clientèle d’un site pornographique en ligne, destinée à être vendue à des concurrents. Comme les pirates ne déposent pas l’intégralité de leurs pillages électroniques sur Pastebin qui n’est par ailleurs pas unique dans son genre, on peut estimer que, mondialement, les comptes d’utilisateurs piratés se comptent par dizaines de millions

Propagande et calculs fantaisistes : les coûts du cybercrime

Le plus souvent, les chiffres disponibles sur les dégâts et le coût de la cybercriminalité proviennent des services de communication des grandes entreprises de sécurité informatique dont on imagine qu’elles n’ont pas intérêt à minimiser la menace. En outre, ces entreprises, pour la plupart américaines, ne disposent de données sérieuses que sur les États-Unis et quelques autres pays, le plus souvent anglo-saxons. En 2013, le cybercrime aurait ainsi coûté 120 milliards de dollars à la seule économie américaine.

Le calcul des profits générés par le cybercrime est tout aussi malaisé. Lors d’un braquage, un bijoutier perd non seulement le prix d’achat de la pièce volée mais également sa marge sur son prix de vente, alors que le braqueur la cédera pour peut-être 10 % de sa "valeur d’échange" à un receleur. Il en va de même pour le milieu criminel du cybermonde dont les profits sont estimés à 104 milliards de dollars par an. La Banque mondiale estime que, pour les années 2012‑2013, le coût global du cybercrime est évalué à 300 milliards de dollars par an, soit 0,4% du Produit brut mondial annuel.

Quels prédateurs ?

Ils ne sont pas plus bavards que leurs victimes, majoritairement les entreprises. Il est cependant manifeste que l’économie souterraine constitue un important écosystème, une sorte de "cour des miracles" high-tech dans laquelle on trouve tout via des sites criminels sophistiqués, parfois analogues aux grandes plateformes marchandes de l’économie licite comme eBay.

Dans cet espace du numérique illicite, s’achète, se vend, s’échange ou se conçoit tout ce qui est lucratif : cartes de paiement, données piratées sur la sécurité, propriété intellectuelle, secrets financiers. Que l’essentiel de ces affaires soit franchement criminel, et non le fait de geeks astucieux, est confirmé par l’UNICRI (United Nations Interregional Crime and Justice Research Institute), organisme spécialisé de l’ONU. Lors de la Global Conference on Counterfeiting and Piracy d’avril 2013, UNICRI a souligné, preuves à l’appui, la proximité entre le piratage informatique et la criminalité organisée transnationale. Ces dernières années, le cyber-banditisme s’est d’ailleurs diversifié et emploie toute une gamme de métiers : codeurs/encrypteurs, diffuseurs de courriels spammés, loueurs de botnets * pour phishing* ou attaques DDoS, hébergeurs de sites illicites sur le Dark web*, etc.

Dans le concret, ce business multiforme et mondialisé fonctionne de la façon suivante : par exemple, des pirates chinois spécialisés dans le siphonage de cartes de paiement embauchent un informaticien russe, ancien du KGB désormais établi au Maroc, pour écrire un code spécifique. Ensuite, cet informaticien monte l’attaque commanditée par ses « collègues » chinois, avec l’aide d’un complice turc qui contrôle un botnet, etc. Interpol estime que, d’ici 2020, le milieu cybercriminel comptera environ un million supplémentaire de pirates de ce type.

Extrait de "Cyber-criminologie de Xavier Raufer", publié aux CNRS éditions. Pour acheter ce livre, cliquez ici.