Le piratage informatique en France : un cyberimpôt

Les attaques numériques touchent des sociétés par­fois jusqu’à la mort, mais frap­pent aus­si l’ensem­ble des inter­nautes par effet de crainte, perte de temps ou rançon­nage. Il con­vient de repenser la sécu­rité de nos com­mu­ni­ca­tions pour éviter que le cyber­im­pôt ne tue le cyberespace. 

Une étude de ter­rain menée depuis 2016 par Sys­temX sur la quan­tifi­ca­tion du risque infor­ma­tique sur l’ensemble du ter­ri­toire français, avec une soix­an­taine de petites entre­pris­es et d’associations loi 1901 vic­times d’attaques, révèle que le seuil sym­bol­ique de 1 % de prob­a­bil­ité d’être vic­time d’une attaque par chiffre­ment de don­nées, par an, est large­ment franchi. 

Aujourd’hui, réu­nir quelques dizaines de petits patrons, par exem­ple de TPE, est la qua­si-cer­ti­tude sta­tis­tique de trou­ver par­mi cet audi­toire une vic­time sur l’année.

DES CENTAINES DE MILLIONS D’EUROS DE PRÉJUDICE

Deux types d’attaques ressor­tent du paysage : d’une part les cryp­tovirus (chiffr­er vos don­nées, puis vous réclamer une rançon), d’autre part la fraude « au prési­dent » (ain­si que les faux ordres de vire­ments) trop hâtive­ment cir­con­scrite à ne relever que de l’ingénierie sociale. 

Cha­cun des deux engen­dre un préju­dice annuel chiffrable en cen­taines de mil­lions d’euros au moins. L’espionnage par voie numérique s’ajouterait à ce duo, mais sa faible détectabil­ité le main­tient dans l’ombre, hormis lorsqu’il décide de se ren­dre vis­i­ble, par exem­ple avec les cap­ta­tions de mots de passe per­me­t­tant les pris­es de con­trôle de votre messagerie. 

Le vol­ume, sou­vent sous-éval­ué, des attaques par cryp­tovirus est atténué par leur faible coût financier uni­taire, typ­ique­ment de quelques mil­liers d’euros pour une petite PME, loin en cela des sommes, par­fois suré­val­uées, lues dans les gros titres de presse. 

Le fait que la médi­ane et le mode soient quant à eux encore bien au-dessous de ce mon­tant moyen des­sine une pyra­mide des préju­dices faite d’une base très large, con­sti­tuée d’une majorité de vic­times pour lesquelles le dégât restera mod­este, sou­vent grâce à la présence de sauve­g­ardes régulières. 

Mais la pointe, avec son étroitesse, mon­tera très haut dans sa tra­duc­tion pécu­ni­aire, jusqu’à devenir létale pour des entre­pris­es aux tré­soreries sou­vent tendues. 

DES PONCTIONS UNITAIREMENT TOLÉRABLES, COLLECTIVEMENT CONSIDÉRABLES

Pareille pyra­mide explique mieux la médi­ati­sa­tion de quelques cas graves, voire mor­tels, qui for­ment la par­tie vis­i­ble de l’iceberg, mais masquent la banal­i­sa­tion insi­dieuse des attaques à bas coût : logique d’acceptabilité intel­lectuelle d’ailleurs entretenue par les pirates, dont les rançons demandées ont un mon­tant usuel de l’ordre de 2 000 à 3 000 euros, c’est-à-dire tolérable dans l’arbitrage qu’un entre­pre­neur sera ten­té d’effectuer entre endoss­er les con­séquences des pertes de don­nées ou s’en « libér­er » par rançon (libéra­tion illu­soire, puisque les obser­va­tions mon­trent la récur­rence future des répliques d’attaques pour qui aura déjà été victime). 

Qui a payé… paiera, ou tout au moins y sera exposé sans lim­ite de durée. Quoique ces répliques soient automa­tisées pour la plu­part, tel cas récent chez un arti­san a mon­tré que les pirates s’étaient ménagé un accès via le dis­posi­tif infor­ma­tique domes­tique de ce gérant pour revenir chiffr­er à nou­veau les don­nées sur son sys­tème d’information pro­fes­sion­nel dans les semaines suivantes. 

Le coût général de ces cryp­tovirus com­mence à être cerné, mal­gré une omer­ta qui a longtemps régné çà et là : de manière cocasse et para­doxale, il ressort de nos études sur le ter­rain une règle empirique que plus une entre­prise pos­sède un ser­vice com­mu­ni­ca­tion struc­turé, plus elle sera réti­cente à com­mu­ni­quer sur les attaques subies. 

LE PRÉJUDICE NATIONAL EST DIFFICILE À CERNER

Rap­porté à notre PIB nation­al, de l’ordre de 2 100 mil­liards, un tel mon­tant sem­blerait équiv­a­lent à 1 pour mille. Mais cette com­para­i­son est pour­tant impropre. 

Mes­sage de demande de rançon par cryp­tovirus (cap­ture d’écran).

En effet, d’une part le chiffre d’affaires qu’aura per­du telle entre­prise mise à l’arrêt du fait du piratage se traduira par­fois en com­man­des pour son con­cur­rent (et pour son four­nisseur, on se sou­vient d’un pirate alle­mand lié famil­iale­ment à un petit prestataire infor­ma­tique, qui espérait ain­si génér­er des clients deman­deurs de sec­ours), mais donc pas par une perte pour le PIB : les préju­dices indi­vidu­els ne s’additionnent pas pour con­stituer le préju­dice collectif. 

D’autre part, ces recense­ments de jours de tra­vail ou de com­man­des per­dus, et des frais tels que de remise en route, mesurent mal les man­ques à gag­n­er futurs, ceux qui résul­tent d’investissements annulés par l’entreprise. De même, ils ne don­neront qu’une per­cep­tion compt­able tron­quée des dégâts indi­rects à long terme causés par la mort d’une entreprise. 

Il serait plus juste de raison­ner en ter­mes de nui­sance au fonc­tion­nement économique, qui ori­ente trop d’investissements vers une sécu­rité, d’ailleurs impar­faite, plutôt que vers de l’équipement pro­duc­tif ; qui mobilise des temps/homme crois­sants au détri­ment d’autres tâch­es plus utiles, enfin qui acca­pare l’esprit des décideurs con­fron­tés à ces risques. 

UN CYBERIMPÔT

Voyons en tout cela un impôt, qual­i­fi­able de cyber­im­pôt, qui hand­i­cape l’économie, nuit aux rela­tions inter­en­tre­pris­es et dérentabilise en par­tie la numéri­sa­tion de ces sociétés. Ce cyber­im­pôt rogne le con­sti­tu­ant immatériel qu’est la con­fi­ance, qui per­met d’ouvrir un cour­ri­er élec­tron­ique sans hési­ta­tion, et avec elle la flu­id­ité de l’activité.

« Qui a payé… paiera ! »

Cet impôt s’alourdit au fil des années, en pro­por­tion de l’augmentation des attaques, et affecte l’emploi ain­si que la dynamique des pro­duc­teurs de richesses. 

Si la ten­dance à l’aggravation se main­tient, l’adage voulant que « l’impôt tue l’impôt » – hérité de Jules Dupuit (X1822) – se trans­formerait en « le cyber­im­pôt tue l’économie » ; d’ailleurs, les niveaux d’ores et déjà observés attes­tent d’un seuil inter­mé­di­aire, résum­able en blessure pour l’économie, devenant mortelle pour quelques-uns. 

Pho­togra­phies util­isées par les « fraudes aux sentiments ».

Le bit­coin est la mon­naie préférée des rançon­neurs. © FABIAN

FUITE DE CAPITAUX

Une autre matéri­al­i­sa­tion de cette ponc­tion appa­raît sous forme de sor­tie des cap­i­taux : les rançons ver­sées par les entre­pris­es, quoique dif­fi­ciles à estimer con­cer­nant les très grandes entre­pris­es, qui répug­nent à com­mu­ni­quer sur ces sujets sen­si­bles pour leur image de mar­que, con­stituent pour l’essentiel des sor­ties de cet argent hors du ter­ri­toire français. 

Ce rack­et est un trib­ut ver­sé par la France. Sur ce point cepen­dant, les torts élevés subis par l’ensemble des vic­times des cryp­tovirus se pro­lon­gent par des sor­ties de cap­i­taux quant à elles faibles. Le dégât direct général se révèle env­i­ron 35 fois supérieur à ce qu’encaissera le pirate, c’est-à-dire son « chiffre d’affaires » : ce type d’attaque casse beau­coup, saccage le pat­ri­moine d’une société, mais récupère assez peu de butin. 

Ain­si, la mon­naie « exfil­trée » de France par ce type d’attaque se compte en dizaines de mil­lions d’euros, avec un planch­er vraisem­blable de l’ordre de 20 mil­lions pour les entre­pris­es de moins de 50 personnes. 

Ajoutées aux « fraudes aux sen­ti­ments », très actives sur les réseaux soci­aux et visant en par­ti­c­uli­er les per­son­nes en sit­u­a­tion de soli­tude, et à l’ensemble des autres types d’attaques, le flux sor­tant d’argent se mesure au total en cen­taines de mil­lions d’euros par an, soit pour com­para­i­son plus de 1 % du déficit de notre bal­ance courante (de 24 mil­liards en 2016). 

VERS UNE ASPHYXIE DE L’ÉCONOMIE ?

Ces niveaux de préju­dice, indi­vidu­els comme col­lec­tifs, aux­quels s’ajoute un pretium doloris lui aus­si sous-estimé, alors qu’il s’agit de crises anx­iogènes et désta­bil­isatri­ces, ne con­stituent plus un épiphénomène mais un fait cen­tral dont la présence passe de la sim­ple gêne au hand­i­cap ou à la douleur. 

“ Ce cyberimpôt rogne la confiance ”

Toute future aggra­va­tion forte, comme la pente actuelle sem­ble l’y con­duire, con­duirait à terme à une asphyx­ie lente du tis­su économique. Cer­taine­ment serait-il bon, à l’instar de ce que pré­conise Louis Pouzin (50), en pre­mière étape de repenser à moin­dre coût le fonc­tion­nement en soi de nos réseaux de télé­com­mu­ni­ca­tion, plutôt que de se con­tenter d’apposer chez l’utilisateur final des couch­es de sécu­rité onéreuses sur un sub­strat insécurisé. 

Faute de quoi, sinon, à terme le cyber­im­pôt tuera cette fois le cyber.

---

Articles similaires :

La sécu­rité au ser­vice de l’innovation et de la trans­for­ma­tion numérique des grandes entreprises Syman­tec : La con­fi­ance dans un monde connecté Stock­er, fia­bilis­er, sécuris­er et val­oris­er vos don­nées !dat Un “grand pon­tife” des sciences Mau­rice Allais et la Physique Orchestr­er l’aménagement du ter­ri­toire à tous les niveaux