(Cet article a été mis à jour le 16 septembre 2024.)
Les Jeux olympiques de Paris du mois dernier – ainsi que les Jeux paralympiques, qui s’achèvent cette semaine – ont été largement considérés comme un véritable succès, non seulement en raison du cadre idyllique offert par la ville, mais aussi grâce aux efforts complexes en matière de cybersécurité qui sont restés invisibles.
Plus de 140 cyberattaques ont visé les Jeux, dont 119 « incidents de sécurité » à faible impact et 22 intrusions dans les systèmes d'information par des acteurs malveillants entre le 26 juillet et le 11 août, selon l'ANSSI, l'agence gouvernementale française chargée de la cybersécurité, qui a opéré depuis un lieu tenu secret pendant les Jeux. Ces attaques visaient principalement des organismes publics, ainsi que les infrastructures sportives, de transport et de télécommunications. Un tiers d'entre elles ont entraîné des temps d'arrêt limités. Aucun n'a perturbé la compétition.
Les experts et les analystes vont se pencher sur les Jeux olympiques de Paris pendant les mois à venir. Ce qui est d’ores et déjà évident, c’est que les responsables français ont pris de nombreuses bonnes décisions. Si leurs efforts serviront sans aucun doute de référence en matière de cybersécurité lors des futurs événements sportifs mondiaux (tels que les Jeux olympiques de Los Angeles en 2026), les enseignements tirés peuvent également constituer un guide pratique non officiel pour toute entreprise.
Certes, la plupart des organisations ne peuvent pas recruter autant de personnel que les Jeux olympiques. L'équipe de sécurité française comptait 15 membres du Comité d'organisation de Paris 2024 (COJOP) ; environ 100 personnes supplémentaires fournies par des entreprises partenaires ; plus de 200 testeurs d’intrusion, des chasseurs de bogues, et d’autres hackers éthiques engagés pour tester le système via des exercices de « red teaming » et des simulations sur table ; des dizaines de milliers de bénévoles qui ont apporté leur soutien juste avant et pendant l’événement ; ainsi qu’un (sans doute très fatigué) responsable de la sécurité des systèmes d’information.
Ce responsable de la sécurité des systèmes d'information (RSSI), Franz Regul, occupe ce poste depuis quatre ans et collabore avec le Comité international olympique (CIO) et des organismes gouvernementaux. Il a rencontré les responsables de la sécurité des Jeux olympiques d'été de Tokyo 2020 et des Jeux olympiques d'hiver de Pékin 2022 , a analysé leurs expériences et a adapté certaines mesures de cyberdéfense afin de s'adapter à l'évolution des technologies. Plutôt que de s'appuyer sur un réseau reposant principalement sur des centres de données – une stratégie mise en œuvre à Tokyo –, Regul a opté pour un environnement basé sur le cloud « ».
« Nous avons également opté pour un système moins centralisé, avec une infrastructure opérationnelle et des collaborateurs répartis dans toute la France », a expliqué M. Regul juste avant les Jeux, lors d’un entretien accordé à Infosecurity Magazine.
Selon International Data Corporation (IDC), le célèbre cabinet d’études de marché, Regul et son équipe ont dû faire face à « l’environnement de menaces le plus complexe, à l’écosystème d’acteurs malveillants le plus vaste et à la plus grande facilité pour ces derniers de mener des attaques » de toutes les éditions des Jeux Olympiques. Les attaques ont commencé plusieurs mois avant l’arrivée des athlètes et des spectateurs, avec plusieurs campagnes d’attaques par déni de service distribué (DDoS) menées par des « s » et des tentatives visant l’infrastructure et l’administration des Jeux.
Selon les estimations d’IDC , le chiffre d’affaires généré par les services de cybersécurité en France devrait augmenter de 94 millions de dollars en 2024 (et de 57 millions de dollars dans le reste de l’Europe) en raison des Jeux olympiques, ce qui représentera un peu plus de deux points de pourcentage des dépenses totales consacrées aux services de cybersécurité.
Donc oui, je suis d'accord, la plupart des RSSI n'auront jamais le budget de Regul ni accès aux ressources gouvernementales. Il n'en reste pas moins que l'approche à plusieurs volets adoptée par Paris mérite d'être imitée, et qu'elle est tout à fait applicable, quelle que soit l'ampleur de votre programme de cybersécurité.
Nous allons ici mettre en lumière les éléments clés d'une cyberdéfense digne d'une médaille, en gardant à l'esprit la chanteuse française Yseult, qui a interprété « My Way » lors de la cérémonie de clôture à Paris. En matière de cybersécurité, du moins, il n'est pas inutile de vous inspirer de et de .
1. Faites confiance à la surveillance des menaces en temps réel
Pendant les Jeux olympiques, une attaque par ransomware « » très médiatisée visant le Grand Palais (un site olympique) et quelque 40 autres musées français a fait la une de . Dans une demande de rançon, les cybercriminels ont affirmé avoir extrait des informations financières de clients provenant des boutiques de souvenirs et d'autres sites commerciaux de ces lieux, et ont menacé de divulguer ces données dans un délai de 48 heures.
«Nous avons opté pour un système moins centralisé, avec une infrastructure opérationnelle et des collaborateurs répartis dans toute la France. »Franz Regul, responsable de la sécurité des systèmes d'information (RSSI), Comité d'organisation de Paris 2024 (COJOP)
Les autorités ont réagi à la vitesse de l'éclair, grâce à un système de surveillance des menaces à la pointe de la technologie, qui s'appuyait sur les données en temps réel d' . Les équipes chargées de la cybersécurité ont également eu recours à des référentiels d' , tels que MITRE ATT&CK , afin de se préparer à d'éventuelles cyberattaques.
Et cette attaque par ransomware, alors ? Les autorités ont détecté aucune extraction de données à ce moment-là ; selon certaines informations, aucune rançon n'aurait été versée, et les sites ont pu rouvrir leurs portes (et accueillir les épreuves olympiques) le jour même.
2. Restez informé grâce aux informations sur les menaces
Au cours des mois qui ont précédé les Jeux, les équipes chargées de la veille sur les menaces ont identifié plus de 300 sites de vente de faux billets destinés à dérober les données personnelles de consommateurs peu méfiants. Une unité spécialisée composée de 200 gendarmes a fermé plus de 50 sites et a adressé des avertissements à des dizaines d'autres.
«Les acteurs malveillants gagnent en ampleur, leur champ d’action s’étend et ils exploitent de nouveaux outils. »Sherrod DeGrippo, directrice de la stratégie de renseignement sur les menaces, Microsoft
« Les acteurs malveillants gagnent en ampleur, leur champ d’action s’étend et ils exploitent de nouveaux outils », explique Sherrod DeGrippo, directeur de la stratégie en matière de renseignements sur les menaces chez Microsoft, dans un épisode récent de « » , diffusé sur , le podcast complémentaire de « Focal Point » , intitulé « Let’s Converge ». M. DeGrippo présente les étapes à suivre pour mettre en place une équipe chargée du renseignement sur les menaces, les avantages liés à l'intégration de l'IA, ainsi que le type de renseignements qui sauront convaincre votre RSSI et votre conseil d'administration.
Même si l'équipe chargée du renseignement sur les menaces d'une entreprise lambda n'est pas aussi importante que celle de la gendarmerie française, elle peut néanmoins se révéler extrêmement efficace en s'appuyant sur la diversité de l' . Lors du recrutement, recherchez des personnes aux parcours, niveaux d’expérience et préférences en matière d’ variés,, conseille DeGrippo.
« Croyez-moi », dit-elle, « si vous confiez à quelqu’un une tâche dans laquelle il excelle et qu’il apprécie, vous êtes sûr de réussir. »
3. Tirer parti des technologies d'IA
Les responsables des Jeux olympiques ont eu recours à l'IA pour sécuriser les données sensibles et les systèmes d'information critiques, tandis que le gouvernement français a adopté une loi autorisant la vidéosurveillance assistée par l'IA à Paris. Des caméras spéciales analysaient en temps réel les mouvements de foule spécifiques ou inhabituels, les comportements suspects, les incendies et les sacs abandonnés.
Les menaces de sécurité dépassant désormais les capacités des analystes humains, l'IA de type « » devient rapidement un élément incontournable pour tout programme de cybersécurité, compte tenu de sa capacité à traiter de grandes quantités de données et à prendre des décisions éclairées. L'IA est capable d'identifier les critères de référence d'un comportement normal, puis de détecter les anomalies dans le trafic réseau et le comportement des utilisateurs.
Mais rassurez-vous, les experts soulignent que l'expertise et la supervision humaines resteront essentielles. Pour tirer le meilleur parti de l'IA générative , il faut commencer par mettre en place une bonne gouvernance. Un exemple concret : l'utilisation à grande échelle de l'IA à Paris s'accompagnait de mesures de protection – sa nouvelle loi sur l'IA n'autorisait pas le traitement des données biométriques ni l'utilisation de techniques de reconnaissance faciale (controversées et dont l'efficacité n'est pas prouvée).
4. Lutter contre la désinformation
Dès l’année dernière, des pirates informatiques basés en Russie ont mis en place de faux sites d’information et réalisé un long métrage documentaire intitulé « » ( ), dont la narration était assurée par une voix synthétisée par IA imitant celle de l’acteur Tom Cruise. Tout cela s’inscrivait dans le cadre d’une campagne de désinformation visant à ternir la réputation du CIO et à répandre des rumeurs concernant des violences attendues lors des Jeux Olympiques. Pour lutter contre ces manœuvres, la France a créé une agence gouvernementale, VIGINUM, une équipe de cybersécurité militaire composée de 50 personnes, chargée de surveiller et de dénoncer les ingérences étrangères lors des Jeux olympiques et des élections françaises.
Avec la multiplication des « deepfakes » générés par l’IA , il devient plus difficile que jamais de lutter contre les fausses informations concernant sa marque. Les dirigeants d'entreprise devront prévoir un budget et du personnel afin que les services marketing puissent assurer un suivi adéquat de l'actualité en ligne et des réseaux sociaux. Gardez à l’esprit que les cybercriminels ne ciblent pas uniquement les multinationales disposant de moyens financiers considérables ; les campagnes de désinformation et de fausses informations touchent également les PME , obligeant les petits commerces familiaux à se démener pour rétablir leur réputation entachée.
La bonne nouvelle ? Les stratégies traditionnelles de cybersécurité peuvent permettre de détecter plus rapidement les technologies de « deepfake » – pensez notamment à la mise à jour des formations sur le hameçonnage , à la formation sur le phishing et aux opérations de recherche de menaces – contribuant ainsi à contrecarrer ces nouvelles opérations d’influence.
5. Encouragez la formation de votre personnel
La formation régulière et complète du personnel est considérée comme un élément essentiel – et souvent fastidieux – de la routine de cybersécurité de toute organisation. L'équipe de M. Regel a mené une série de campagnes de sensibilisation, mettant en avant les dangers de l' , de l'ingénierie sociale et d'autres méthodes utilisées par les pirates informatiques pour s'infiltrer dans les réseaux, et incitant parfois ses collaborateurs à participer en leur offrant des lots et des cadeaux.
Parmi les autres nouvelles approches en matière de programmes de formation, on trouve des vidéos de formation à la sécurité immersives et « », à la manière d’Hollywood ( ), qui intègrent des techniques narratives cinématographiques et même des éléments de suspense afin de susciter l’intérêt des employés. Certaines études indiquent que cela pourrait aider les employés à mieux assimiler les consignes de sécurité – et à les retenir plus longtemps.
6. Tenez vos collaborateurs et vos clients informés (de manière claire et simple)
Sur le site Olympics.com, une page consacrée à la cybersécurité, destinée aux membres du personnel, aux athlètes et aux spectateurs, fournit des informations sur la manière de déjouer les escroqueries et de réagir en cas de suspicion de piratage de votre compte officiel des Jeux Olympiques. Il propose également des bonnes pratiques concernant les mots de passe, le phishing et les mises à jour des appareils.
Il est possible et nécessaire d'en faire de même pour les salariés et les clients de toute organisation. Tout site web devrait comporter des pages consacrées à la sécurité, faciles d'accès, contenant des consignes élémentaires (mais essentielles) sur la marche à suivre si vous pensez être confronté à un problème de cybersécurité.
