Sécurité Les hold-up numériques se multiplient

Les braquages de banque se tassent, pas les “cyber-casses”. Prises d’otages, extorsions, manipulations… Depuis cet été, les cas se multiplient dans le monde. La France n’est pas épargnée. Enquête

Il faut bien se plier à l’époque. Depuis que les banques n’ont plus de réserves de cash et que le risque de se faire coincer entre deux portes blindées a rendu la pratique du hold-up plus risquée qu’une ascension des Grandes Jorasses par temps de grêle, les rois du fricfrac ont décidé de passer au numérique. Pour eux aussi, l’avenir se joue sur internet.

Depuis le printemps dernier, ceux qui donnent du fil à retordre aux enquêteurs sont les malfrats à l’origine de « WannaCry ». Ce logiciel pirate est un ransomware, on dit aussi un « rançongiciel ». De quoi parle-t-on? De petits programmes qui entrent dans les serveurs comme une bande de gaillards armés et cagoulés dans une banque. Ils bloquent ensuite toutes les données informatiques et ne les libèrent que contre le paiement d’une rançon, plus ou moins élevée.

En mai dernier, WannaCry a vérolé les systèmes des centaines d’entreprises, dont des mastodontes comme Renault, qui a dû mettre à l’arrêt plusieurs de ses usines durant quelques jours. Le parquet de Paris a ouvert une enquête, confiée à l’O ce central de Lutte contre la Criminalité liée aux Technologies de l’Information et de la Communication (OCLCTIC), l’antigang de la cybercriminalité. Pas moins de 200000 victimes de WannaCry ont été dénombrées dans 150 pays, mais des dizaines de sociétés auraient cédé sans l’avouer à cette extorsion de fonds géante – 300 dollars par ordinateur à libérer. Si le préjudice total n’est pas connu, il est certainement 10 voire 100 fois supérieur à ce qu’aurait permis un « beau » hold-up.

Souvent obscurs, mal compris ou perçus comme des objets d’intérêt des seuls informaticiens, ces braquages du futur s’imposent à la vitesse grand V dans le paysage criminel. « Nous assistons à un transfert de la délinquance physique vers la délinquance virtuelle », glisse à « l’Obs » le lieutenantcolonel Jean-Dominique Nollet, chef d’unité de laboratoire de recherche au Centre européen de Lutte contre la Cybercriminalité à Europol, qui mobilise 65 personnes. Et ces nouveaux braqueurs ciblent tout, de la multinationale à la caisse de retraite en passant par la petite société familiale.

Il est des signes qui ne trompent pas. Mi-octobre, à Monaco, où tous les acteurs de la sécurité informatique se réunissent chaque année pour les Assises de la Sécurité et des Systèmes d’Information, les gardes du corps numériques récompensés venaient des rangs de la Société générale, d’Orange, mais aussi du groupe… L’Occitane! Que vient faire la multinationale de parfums et de cosmétiques, au chi re d’affaires annuel de 1,3 milliard, à cet événement qu’on croyait naïvement destiné à des hackers à casquette rivés toute la journée à leurs écrans? Le lauréat de L’Occitane, Kevin Heydon, directeur sécurité de

DES PETITS PROGRAMMES QUI ENTRENT DANS LES SERVEURS COMME UNE BANDE DE GAILLARDS ARMÉS ET CAGOULÉS.

l’information, est un ingénieur, lieutenant de réserve dans la gendarmerie. Il a compris que les Spaggiari de demain creusent désormais partout et n’épargnent pas les enseignes « tranquilles ». « Pour les vagues de “ransomware” et autres attaques mondiales, nul besoin d’être ciblé pour être victime, résume-t-il. Au-delà des grandes entreprises comme la nôtre, des PME peuvent aujourd’hui mettre la clé sous la porte à cause d’une escroquerie ou d’une arnaque qui provoque 500000 euros de défaut de trésorerie dont on ne se relève pas. » Comme les techniques évoluent sans cesse, il cite ce jour-là la dernière qui le préoccupe : un intrus pénètre dans le système informatique d’une société, modifie le relevé d’identité bancaire – un simple RIB ! – d’un fournisseur et, sans que personne ait le temps de réaliser la supercherie, 120000 euros partent non vers le compte du prestataire habituel, mais vers une destination inconnue…

Comme ils n’ont peur de rien, les nouveaux braqueurs se lancent également à l’assaut des Bourses du monde entier. Elles non plus n’ont rien de citadelles imprenables et craignent davantage les crashs que les krachs. « La dépendance du secteur financier aux systèmes d’information et les fortes interconnexions entre ses acteurs le rendent structurellement exposé aux cyber-risques », souligne l’Autorité des Marchés financiers (AMF) dans sa cartographie des risques pour 2017. Les menaces sont multiples : délit d’initié 2.0, utilisation de robots pour manipuler les cours, prises de contrôle à distance de terminaux boursiers… « Le secteur est de plus en plus impacté par la cybercriminalité », alerte Laurent Combourieu, directeur des enquêtes à l’AMF. Quelques a aires récentes annoncent les périls à venir. En février 2015, Energobank, une banque kazakhe, s’est fait hackée par des pirates russes. Après avoir pris à distance le contrôle d’un terminal de trading, les bandits ont réussi à passer pour 500 millions de dollars d’ordres, faisant ainsi baisser la parité entre le rouble et le dollar de 15% en quatorze minutes. « Plusieurs experts pensent que cet événement s’inscrit dans la préparation d’une opération de plus grande envergure », avance Laurent Combourieu. Régulièrement, des délits d’initié d’un nouveau genre secouent Wall Street. Les cibles privilégiées en sont des cabinets d’avocats ou des agences de presse financière, qui recèlent des informations à forte valeur ajoutée. Dès 2014, FireEye, une société de sécurité informatique, révélait avoir stoppé en pleine action un groupe de hackers baptisé « Fin4 », qui visait le secteur des biotechnologies américaines. Les pirates étaient parvenus à s’introduire dans les e-mails d’une centaine de personnes travaillant dans ce domaine, des avocats, des consultants, des scientifiques, afin de récupérer des informations confidentielles sur des opérations en cours. « Détenir une information privilégiée sur une entreprise de pointe dans le secteur des biotechnologies, cela peut rapporter plusieurs millions d’euros », explique un spécialiste des marchés.

Les pirates auraient agi depuis les EtatsUnis. Mais nul n’en est sûr car ces braquages numériques n’obéissent plus à une logique géographique. La planète est le nouveau terrain de jeu de ces nouveaux gangsters, qui utilisent le même arsenal que les « artisans » d’hier : faux nez, téléphones prépayés, lignes internet anonymisées…

L’a aire la plus retentissante, impliquant près d’une trentaine de traders et deux hackers ukrainiens, remonte à l’été 2015. Elle fait penser au film « Inside Man » (Spike Lee), dans lequel un gang se fond à l’intérieur d’une banque pour la piller. En entrant dans les systèmes d’information de grandes agences de relations presse financière américaines, comme Business Wire, PR Newswire et Marketwired, les pirates ont eu accès avant le reste du marché aux communiqués envoyés par les entreprises cotées. La poignée de minutes d’avance gagnée par rapport aux annonces o cielles leur permettait de parier à la hausse ou à la baisse. La fraude, étalée sur cinq années, aurait rapporté près de 100 millions de dollars à ses auteurs. Elle aurait bénéficié à plusieurs sociétés d’investissement ayant pignon sur Wall Street, mais aussi à deux fonds d’investissement français, Guibor et Omega 26, dirigés par Dominique Romano, un business angel bien connu, associé notamment de l’animateur Arthur et ancien actionnaire de Vente privée. En mars 2016, ces deux sociétés françaises ont conclu une transaction avec la Securities and Exchange Commission (SEC), le « gendarme » de Wall Street, pour mettre fin aux poursuites en échange du versement de 8 millions de dollars, sans pour autant reconnaître les faits.

Le pire est que même les institutions ne sont pas à l’abri de ces braqueurs numériques. En septembre dernier, la SEC révélait avoir été victime d’un piratage hors norme. Des petits malins s’étaient infiltrés dans l’une de leurs bases de données sécurisées, où les sociétés cotées en Bourse

UN INTRUS PÉNÈTRE DANS LE SYSTÈME INFORMATIQUE, MODIFIE LE RIB D’UN FOURNISSEUR, ET 120 000 EUROS PARTENT VERS UNE DESTINATION INCONNUE.

déposent les informations légales sur les opérations financières à venir, et aussi des informations sur leurs comptes avant qu’elles ne soient rendues publiques.

Dans ce mélange de délinquance en col blanc, d’ingénierie informatique et de méthodes mafieuses, la France n’est pas en retard. En novembre 2016, c’est le géant français du BTP Vinci qui a été l’objet d’une tentative de manipulation de cours aussi élaborée qu’inédite. Tout commence par la di usion d’un faux communiqué alarmiste sur des erreurs comptables au sein de l’entreprise. Le groupe voit son cours de Bourse dévisser en quelques minutes. Le faux communiqué est maquillé avec soin. Il indique un site internet, copie presque conforme du vrai site. Le nom du responsable de la communication est le bon, mais pas le numéro de téléphone. Le timing de l’a aire donne le vertige. Di usé à 16h05, le communiqué est repris par Bloomberg et Dow Jones à 16h06. A 16h10, le groupe Vinci dément les fausses informations auprès des agences. A 16h15, la cotation est suspendue après une baisse de 18%. Mais, en dix minutes, la capitalisation boursière de Vinci a fondu de 6 milliards d’euros, avant de finalement retrouver son cours normal. Pour l’heure, les falsificateurs courent toujours. Un obscur groupe d’activistes a revendiqué le jour même l’action dans un sabir bourré de fautes d’orthographe, au nom notamment de la lutte contre le bétonnage de Notre-Dame-desLandes. Mais « on penche plutôt pour une tentative d’arnaque », confie une source interne chez Vinci. Selon nos informations, l’enquête préliminaire sur cette manipulation serait toujours en cours, un an après son ouverture par le parquet national financier. « Par manque d’enquêteurs et engorgement des plaintes, les investigations n’avancent pas », regrette un proche du dossier.

Mais le pire est sans doute à venir… Et il est aussi e rayant que fantastique, au sens premier du mot. Il existe désormais des robots-escrocs, terriblement efficaces. Marc Goodman, ancien policier du Los Angeles Police Department passé par le FBI, souligne que « la cybercriminalité est exponentielle. Avant le voleur s’en prenait à un seul individu, il y avait un pistolet et une victime. L’interconnexion des fichiers multiplie les cibles à l’infini. » (1) Le lieutenantcolonel Nollet, à Europol, file la métaphore médicale. « Ces actions s’étendent comme une épidémie. Si personne n’est vacciné, la maladie se propage. Le mot-clé, ce doit être l’hygiène informatique. Sans mises à jour, on est vulnérable. »

En France, les brigades antigangs du Net sont dispersées entre plusieurs chapelles, qui poursuivent toutes un même but (OCLCTIC et Befti pour la police, DLCC pour la gendarmerie, DGSI pour le renseignement, Anssi pour la Défense…), mais elles ne voient pas tout. Pour Adrien Basdevant, avocat chez Lysias Partners, « le phénomène crapuleux demeure sous-évalué car il reste un tabou. Beaucoup d’entreprises choisissent de ne rien dire des attaques subies et développent leur propre sécurité. Elles préfèrent se protéger plutôt que d’aller en justice ». Selon lui, cette tendance s’inversera. L’avocat plaide pour la création d’un parquet national numérique, comme il existe un parquet national financier. Et se veut rassurant : de même qu’il y a quinze ans nul n’imaginait que l’on puisse poursuivre la fraude fiscale dissimulée dans de lointains paradis fiscaux, on verra demain les braqueurs virtuels réputés insaisissables arrêtés et condamnés à payer. Mais la chasse ne fait que commencer. Elle sera mondiale. Et sans doute infinie. (1) « Les Crimes du futur », par Marc Goodman, Nouveau Monde Editions. Lire son interview en intégralité sur le site de « l’Obs ».