Nous sommes par essence fragiles, et nous avons besoin de catastrophes pour nous en convaincre. La covid est venue nous rappeler la vulnérabilité de nos corps et de nos esprits. Nos sociétés reposent aussi sur des bases instables. Le numérique structure nos vies, notre société, nos entreprises. Il nous apporte connaissance, performance et ubiquité. Mais plus aucune personne, entreprise, ou collectivité publique ne travaille sans. Nous avons en effet délégué beaucoup de fonctions automatisables aux machines. A force de ne plus entraîner certaines de nos compétences, le cerveau commence à les perdre, comme la spatialisation avec l’usage du GPS. Un hôpital peut être bloqué, suite à la prise en otage de ses données. Ou un incendie peut faire partir en fumée le patrimoine informationnel d’une organisation. Nous sommes devenus dépendants de nos assistants numériques et des télécommunications. Il suffit d’une panne ou d’une attaque pour neutraliser nos systèmes et nos organisations.

Tout le monde n’est pas conscient de la fragilité des données hébergées. L’incendie du data center d’OVH nous l’a rappelé avec force. Au plan mondial, 3,6 millions de sites web répartis sur 464 000 noms de domaine auraient été rendus indisponibles, pour la plupart de façon temporaire mais pour certains de manière définitive. Pour les particuliers et les entreprises qui n’avaient pas prévu de plan de sauvegarde ou n’avaient effectué aucune duplication, leurs données pourraient bien être définitivement perdues.

Par ailleurs, les cyberattaques se multiplient. Et depuis quelques années, les ransomwares représentent une menace de plus en plus prégnante. En 2020, l’Anssi (Agence nationale de sécurité des systèmes d’information) avait constaté une augmentation de 255 % des signalements d’attaque par rançongiciel par rapport à 2019. Aucun secteur d’activité ni zone géographique n’est épargné. Elle observe cependant une hausse des attaques à l’encontre des collectivités locales, du secteur de l’éducation, du secteur de la santé et d’entreprises de services numériques. Les hôpitaux et autres entités du secteur de la santé représentent désormais l’une des cibles privilégiées des attaquants.

Le secteur d’activité des entreprises de services numériques (ESN, anciennement dénommées SSII) semble de plus en plus attirer les opérateurs de rançongiciels. Une ESN peut être ciblée pour atteindre une ou plusieurs victimes précises parmi ses clients. Ainsi, les attaques à l’encontre d’ESN ont un impact systémique, en ciblant des entreprises sous-traitantes ou clés d’un secteur d’activité, et pourraient déstabiliser plusieurs grands groupes (supply chain attack), un pan d’activité économique entier (rupture dans l’approvisionnement de matière première par exemple) ou encore une zone géographique spécifique.

Les coûts et dégâts causés sont variés (pertes financières, pertes d’exploitation, atteinte à l’image, perte de clients, perte de données, etc.) et incitent parfois au paiement de la rançon. D’autant que cela peut être pris en charge par certaines assurances souscrites par les organisations mais aussi favorisé par le fait que le montant de la rançon est souvent inférieur aux coûts de remédiation. Hélas, les revenus générés par les attaques par rançongiciel et l’émergence d’assurances et de sociétés de négociation renforcent leur modèle économique, laissant présager la croissance du phénomène rançongiciel dans les années à venir.

Ainsi notre « cyber-vulnérabilité » repose sur un monde numérique fragile, accessible par des voies multiples et poreuses. Des protections et des parades efficaces existent mais elles coûtent très cher. Et de nouvelles menaces tant accidentelles que criminelles ne cessent de surgir. Une prise de conscience de la fragilité intrinsèque de notre société numérique et connectée s’impose, avec toutes les conséquences qui s’imposent.