Si la rapidité avec laquelle le ransomware WannaCry s'est propagé n'est pas un phénomène nouveau, elle soulève néanmoins de nouvelles questions en matière de responsabilité – notamment la responsabilité individuelle quant à la manière dont nous devons nous protéger contre les cyberattaques et, surtout, la nécessité de tenir les gouvernements et les fournisseurs pour responsables du développement de technologies sûres. Pour endiguer la prochaine épidémie de WannaCry, il faut que les efforts concertés qui ont permis de rendre les voitures plus sûres – des ceintures de sécurité aux airbags, en passant par les voyants d’alerte moteur et les caméras de recul – soient déployés dans le domaine de la cybersécurité, afin que chacun comprenne le rôle qu’il a à jouer pour se protéger contre de futures cyberattaques.
(Image : Karen Nadine / Pixabay)
En 2010, le virus Stuxnet, qui visait l'Iran, a plongé de nombreux experts en cybersécurité dans l'univers dangereux et imprévisible des cyberattaques mondiales. Cette semaine, alors que les soupçons se portaient sur la Corée du Nord, l'attaque par le rançongiciel WannaCry a plongé le grand public dans ce même univers dangereux et imprévisible. Cette attaque a pris une telle ampleur que même les chaînes d'information locales en ont parlé, avec des titres accrocheurs évoquant un « cyber-chaos ».
Nous avons déjà assisté à d'innombrables cyberattaques par le passé ; en quoi celle-ci est-elle donc différente ? Cette attaque par ransomware nous a tous un peu trop touchés personnellement, principalement parce que nous avons pris pour acquis à quel point la technologie fait désormais partie intégrante de notre quotidien. La plupart d'entre nous agissons comme si « tout fonctionnait tout simplement ». Nous ne prenons pas conscience des innombrables systèmes qui permettent de générer une tonalité, de faire fonctionner un ascenseur ou même de distribuer des médicaments aux urgences. Lorsqu'un système est opérationnel, personne ne se demande s'il dispose d'un système d'exploitation à jour, s'il a bien installé tous les correctifs logiciels et s'il utilise des mots de passe difficiles à pirater. Au lieu de cela, nous passons un coup de fil, montons dans l'ascenseur ou prenons un comprimé.
Mais que se passe-t-il lorsque vous décrochez le téléphone pour composer le 911 et qu'il n'y a personne au bout du fil ? Ou bien l'ascenseur s'arrête entre deux étages et le bouton d'appel d'urgence ne fonctionne pas ? Ou bien vous faites une overdose de médicaments parce que votre dossier médical a disparu ? À ce stade, il est trop tard pour penser aux correctifs et aux mots de passe. Ce qui était connu est désormais inconnu, voire carrément effrayant.
Au milieu de la panique suscitée par WannaCry, les victimes s'empressaient de mettre à jour leurs logiciels obsolètes, les entreprises s'empressaient de vérifier si elles étaient visées et le grand public se sentait impuissant, craignant d'être le prochain sur la liste.
Ne nous leurrons pas : la récente attaque WannaCry ne diffère en rien, tant par sa forme que par sa structure, des nombreuses alertes liées à des ransomwares réclamant 300 dollars en bitcoins qui l'ont précédée, ni de celles qui ne manqueront pas de suivre dans son sillage. Cela a surtout mis en évidence que nous n'avons pas su assumer notre responsabilité individuelle en matière de cybersécurité et de protection en ligne. Cela doit changer. Chacun d'entre nous doit s'impliquer davantage et être plus conscient des technologies dont nous dépendons au quotidien.
Alors, quels enseignements tirons-nous maintenant que la poussière est retombée ? D'une part, cette attaque aurait pu être évitée des mois, voire des années auparavant. Oui, les avancées technologiques occupent une place prépondérante dans le débat sur la réduction des cyberattaques à grande échelle. Cependant, ce sont les personnes – celles qui assument la responsabilité de ces systèmes – qui décident de la manière dont ces technologies sont mises en œuvre et sécurisées. Un manque de responsabilité personnelle conduit les professionnels de l'informatique à développer des logiciels non sécurisés, à ne pas signaler les bogues non corrigés, voire à utiliser des logiciels vieux de plusieurs décennies, contre l'avis même des administrateurs système les plus novices.
En tant que société, nous devons assumer davantage nos responsabilités individuelles en matière de sûreté et de sécurité dans le cyberespace, tout comme nous le faisons dans le monde réel. Conduiriez-vous une voiture pendant des années sans jamais changer l'huile ? Probablement pas. Alors, pourquoi utiliseriez-vous une technologie équipée de logiciels obsolètes ? Seriez-vous prêt à retirer 200 dollars à un distributeur automatique la nuit, dans un quartier mal éclairé ? Cela semble peu probable. Alors, pourquoi consulteriez-vous des sites web douteux ou ouvririez-vous des e-mails douteux ? Personne ne vous dira de ne pas prendre le volant sans avoir fait la vidange, ni d'éviter les distributeurs automatiques la nuit. Vous savez bien que c'est une mauvaise idée.
Avant le prochain WannaCry : comment chacun d'entre nous peut apporter sa contribution
Au-delà de nos responsabilités individuelles, nous avons la responsabilité collective de veiller au bien commun. Tout comme nous avons défini des bonnes pratiques communes pour la conduite sur les routes et les autoroutes, nous avons également besoin de bonnes pratiques communes concernant notre comportement dans le monde numérique. Voici quelques exemples :
Public Sector: Government leaders urgently need a crash course in cybersecurity 101. C'est alors, et alors seulement, qu'ils pourront véritablement comprendre les capacités (et, pour être tout à fait franc, les limites) des organismes publics en cas de cybercrise. Vos spécialistes de la cybersécurité disposent-ils des compétences et des outils nécessaires pour mener à bien leur mission ? Si vous ne maîtrisez pas les principes fondamentaux de la cybersécurité, comment pouvez-vous répondre à cette question ?
Secteur privé : Une bonne cybersécurité commence au plus haut niveau. Les PDG doivent combler le déficit de responsabilité en matière de cybersécurité et instaurer une culture de la responsabilité en s'engageant à abandonner les technologies obsolètes au profit de solutions plus sûres. En termes simples, les systèmes non gérés ne bénéficient pas de correctifs, et l'absence de correctifs entraîne des cyberattaques ; par conséquent, les systèmes non gérés entraînent des cyberattaques. Les entreprises doivent repérer ces systèmes non gérés avant que les criminels ne le fassent. Vous travaillez avec un prestataire tiers ? Demandez à votre équipe juridique d'intégrer des normes de sécurité dans les contrats avant de les signer. De plus, toute entreprise qui ne dispose pas d'une équipe dédiée à la sécurité informatique, c'est-à-dire une équipe fonctionnant indépendamment de celles qui gèrent les tâches informatiques au quotidien, envoie un message clair à ses clients : la cybersécurité n'est pas une priorité pour votre entreprise.
pour le grand public. Chacun doit exiger davantage des dirigeants politiques et des PDG. Les infrastructures qui nous fournissent notre électricité et nos distributeurs automatiques de billets, ainsi que la bande passante qui achemine nos flux vidéo en direct et permet le fonctionnement de nos smartphones, de nos babyphones et de nos appareils Alexa, sont toutes le fruit d’un esprit de coopération entre les secteurs public et privé. Mais la responsabilité personnelle ne s'arrête pas là. Pour chacun d'entre nous, la cybersécurité ne se résume pas à un simple antivirus et à un petit boniment. Cela signifie que vous devez installer régulièrement les correctifs sur vos ordinateurs personnels, et non pas seulement de temps en temps, et que vous ne devez pas cliquer sur « Me le rappeler plus tard ». De cette manière, votre ordinateur ne pourra pas être facilement piraté lors de la prochaine vague de ransomware ou de botnet. Cela signifie adopter chez vous les mêmes bonnes pratiques en matière de cybersécurité que celles que vous appliquez au travail , et apprendre à vos enfants à être de bons citoyens du numérique. Cela signifie qu'il faut être un consommateur avisé en demandant des comptes aux entreprises lorsqu'elles ne respectent pas leurs obligations en matière de cybersécurité. Récompensez les entreprises qui assurent la sécurité de vos données et évitez celles qui ne le font pas.
Pour endiguer la prochaine cyberépidémie de type WannaCry – qu’elle provienne de Corée du Nord ou d’un étudiant dans sa chambre d’étudiant –, nous avons besoin d’un effort concerté d’une ampleur comparable à celle qui a permis de rendre les voitures sûres. Tout comme nous disposons de ceintures de sécurité et d'airbags, de voyants d'alerte du moteur et de caméras de recul, nous avons besoin de protections similaires en matière de cybersécurité. Ce n'est qu'ainsi que chacun d'entre nous prendra conscience de sa responsabilité personnelle pour assurer notre sécurité, celle de nos entreprises et de notre société face aux futures cyberattaques.
Pour en savoir plus :
- Les cinq questions auxquelles vous devez répondre pour adopter de bonnes pratiques de sécurité (s'ouvre dans un nouvel onglet)
- Rechercher en interne les meilleures données sur les menaces (s'ouvre dans un nouvel onglet)
À propos de l'auteur : En tant que directeur de la sécurité chez Tanium, Andre McGregor se consacre à la cybersécurité. Il possède une connaissance approfondie des techniques cybercriminelles et de contre-espionnage utilisées pour attaquer les réseaux informatiques et les infrastructures américaines. Avant de rejoindre Tanium, André a occupé le poste d'agent spécial chargé de la cybercriminalité au FBI à New York, avant d'être promu au poste d'agent spécial superviseur au siège du FBI. Au FBI, M. McGregor occupait le poste d'agent technique principal et était le responsable des interventions en cas d'incident pour plusieurs intrusions informatiques de grande envergure. Par ailleurs, il a occupé à la fois les fonctions de chargé de liaison du FBI pour les questions de cybersécurité auprès des Nations Unies et de chargé de liaison du FBI pour les questions de cybersécurité auprès du DHS, de l'US-CERT et de l'ICS-CERT. Avant de rejoindre le FBI, M. McGregor a étudié à l'université Brown, a débuté sa carrière chez Goldman Sachs, puis a occupé le poste de directeur informatique chez Advogent (Cardinal Health), où il supervisait l'ensemble des opérations informatiques à l'échelle nationale. Pendant son temps libre, André est également consultant technique et spécialiste du FBI pour la série « Mr. Robot ».
