Cyberattaques, quels remparts face à la menace ?

Blocage du réseau internet du CHU de Nantes en janvier, vol de données de centaine de milliers de patients à l’hôpital d’Armentières en février : les hôpitaux sont une cible privilégiée des attaques informatiques depuis plusieurs années. Et le phénomène s’accentue. En 2023, comme en 2022, les établissements de santé ont représenté 10 % des attaques par rançongiciel (ou ransomware), à savoir un logiciel malveillant ou un virus qui bloque l’accès à l’ordinateur ou à ses fichiers dans le but de contraindre la victime à payer une rançon pour retrouver l’accès à ses données. Or, ce type d’attaques portées à la connaissance de l’Anssi a augmenté de 30 % en 2023 par rapport à l’année précédente.

« Le niveau de la menace informatique continue d’augmenter, dans un contexte marqué par de nouvelles tensions géopolitiques et la tenue d’événements internationaux sur le sol français », note le Panorama de la cybermenace 2023 réalisé par l’Anssi. Espionnage stratégique et industriel, attaques informatiques à des fins d’extorsion ou pour promouvoir des discours politiques, entraver l’accès à de contenus en ligne, porter atteinte à l’image… Les motivations des hackers sont variées et nombreuses. « L’écosystème cybercriminel continue de se diversifier », souligne le rapport, favorisé entre autres par « la démocratisation d’outils accessibles a des acteurs aux compétences techniques limitées ».

L’Anssi souligne que les entités particulièrement sensibles aux interruptions de service – comme c’est le cas des établissements de santé – sont des cibles privilégiées pour la cybercriminalité. D’autant que « les acteurs malveillants n’ont pas forcément besoin d’un haut niveau de sophistication pour cibler des entités de secteurs encore trop vulnérables, comme la santé et les collectivités territoriales ». Or, « les attaques informatiques à but lucratif » peuvent impacter fortement la réputation de ces établissements ainsi que la continuité de leur activité.

Failles techniques et humaines

Les cybercriminels perfectionnent sans cesse leurs techniques pour ne pas être détectés. Ils utilisent des faiblesses techniques mais aussi humaines telles que des équipements non sécurisés sur internet, des erreurs de configuration, de mauvaises pratiques d’administration ou de gestion des droits et des secrets, le hameçonnage ou encore des vulnérabilités jour-zéro (celles n’ayant pas fait l’objet de correctif) ou jour-un (dont le correctif n’a pas encore été déployé), etc. En 2023, de nombreux incidents de sécurité ont été dus à des vulnérabilités. Or, « dans une part significative des cas, des correctifs étaient pourtant disponibles pour ces vulnérabilités au moment de leur exploitation, et ces dernières avaient fait l’objet d’une publication (avis, bulletin ou alerte de sécurité) sur le site du CERT-FR* », déplore le rapport. Il souligne aussi l’exposition des victimes en raison de leur manque de maîtrise de leurs systèmes d’information. Et rappelle que « la sous-traitance de tout ou partie d’un système d’information à une entreprise de services numériques ne peut être effectuée sans s’assurer du niveau de sécurité des services fournis. En effet, la responsabilité de la sécurité d’un système d’information reste à la charge de son propriétaire, en particulier pour les opérateurs stratégiques ».

Des défis d’autant plus importants à relever en cette année d’accueil des Jeux olympiques et paralympiques en France. Pour se prémunir des risques de cybercriminalité, l’Anssi « appelle à une prise en compte de la sécurité dès la conception des projets, à la mise en œuvre d’un réseau et de postes d’administration dédiés, au durcissement des systèmes d’information, notamment via l’utilisation régulière des services d’audit automatisés de l’Anssi, et au développement de capacités de détection ». Elle conclut aussi sur l’importance d’appliquer de manière rigoureuse les « politiques de maintien en condition de sécurité des parcs informatiques, la mise en place d’une stratégie de sauvegarde des systèmes d'information, ainsi que l’élaboration de plans de continuité et de reprise d’activité ».

• * Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques.