Ghernaouti-Hélie, S.

Serveur académique lausannois

vendredi 27 novembre 2009 15SÉLECTION PAGEL’économiesouterraineinduite ducybercrimeSÉLECTION SOLANGE GHERNAOUTI-HÉLIE«La majoritédes acteurs Internetsont à la fois victimeset bénéficiaires de la cybercriminalité»De nos jours, les virusse professionnali-sent et sont des vec-teurs de la crimina-lité économique,contribuant à réaliser des profits.Quelle que soit la charge de noci-vité véhiculée par les programmesmalveillants, ils sont désormaisorientés vers la recherche de gainsfinanciers. Ils sont terriblement so-phistiqués, de moins en moins vi-sibles, de plus en plus profitables etdifficilement détectables. Les ré-seaux constitués de machines«zombies», infectées par un pro-gramme malveillant et pilotées àdistance par un pirate, sont des bot-nets. Ils contribuent à la diffusiondu spam et en même temps, les bot-nets s’étendent grâce au spam. (...)La production et la diffusion de pro-grammes malveillants (malwareou maliciels: virus, cheval de Troie,porte dérobée (backdoor), renifleurde clavier, botnets, etc.) ainsi que lesoutils de piratage, autorisent le dé-veloppement d’une véritable éco-nomie souterraine autour d’unmarché très profitable. Cela contri-bue simultanément à alimenter lachaîne de valeurs liées aux techno-logies de l’information pour les en-treprises licites. Citons deux exem-ples. Le marché des virus, porté parle monde criminel, favorise celuides antivirus. Il profite à l’enrichis-sement des fournisseurs et ven-deurs d’antivirus et conseillers ensécurité qui, eux, réalisent des af-faires en toute légalité. Le spamquant à lui, contribue à la profita-bilité des:- fournisseurs de solutions antis-pam;- fournisseurs d’accès Internet;- opérateurs de télécommunication;- entreprises qui utilisent le spamcomme outils de marketing et depublicité que certains considèrentcomme agressive sans pour autantêtre illégale, mais auxquelles les in-ternautes se sont adressés pour réa-liser un achat suite à un message despam reçu ;- entités illégales qui ont, par lespam, pris le contrôle de la machinede l’utilisateur, installé des program-mes malveillants, dérobé des don-nées personnelles, usurpé l’identitéde l’internaute pour réaliser d’au-tres méfaits, etc.Il existe un véritable paradoxe dansla mesure où la majorité des acteursde la chaîne Internet peuvent pro-fiter, à divers degrés, des flux mal-veillants tout en étant victimes dela criminalité.Force est de constater que la cyber-criminalité peut générer des coûtset être une source de bénéfices pourcertaines entreprises tout à fait lé-gales. Ainsi, la cybercriminalitéqu’elle passe par la diffusion de pro-grammes malveillants ou l’intro-duction non autorisée dans des or-dinateurs, par des attaques visant ànuire à la concurrence ou par del’espionnage économique, entraînedes coûts de protection, de réactionet de répression. Cela développeune véritable économie autour:- du conseil en sécurité, du conseiljuridique;- de l’audit et de l’évaluation de lasécurité informatique;- du développement et de la ventede solutions de sécurité (matériels,logiciels spécialisés, détection d’in-trusion, système pare-feu (firewall),tests de pénétration, chiffrement,etc.);- du développement et de la ventede solutions, matériels, logiciels spé-cialisés en matière d’investigationinformatique (outil de surveillance,de collecte et d’analyse de traces nu-mériques, etc.);- de la formation en sécurité, endroit, en sciences criminelles;- de la recherche publique et privéedans des disciplines comme cellesprécédemment citées mais aussi ensciences humaines et sociales ou eninformatique par exemple.Sans évoquer la médiatisation desaffaires cybercriminelles et la récu-pération politique pour alimenter lediscours de l’insécurité et favoriserl’adoption de nouveaux textes delois ou des techniques et des procé-dures de surveillance et de contrôle,force est de constater qu’une écono-mie légale de l’insécurité et de la sé-curité informatique existe et profiteà certains acteurs. Elle répond à l’éco-nomie souterraine de la cybercrimi-nalité qui enrichit des entités au dé-triment de la société tout entière. Eneffet, les coûts engendrés par la cy-bercriminalité, qu’ils soient directe-ment liés au fonctionnement des ins-tances de justice et police ou qu’ilssoient indirects du fait de la défiancedes acteurs et des dysfonctionne-ments des organisations victimes,par exemple, sont supportés par lasociété.Ceux qui créent des programmesmalveillants, ceux qui les diffusent,les vendent ou les mettent en œu-vre, sont extrêmement bien orga-nisés. En effet, ils sont le plus sou-vent hyperspécialisés. De plus, larépartition des tâches et des risquesainsi que la distribution des respon-sabilités criminelles sont tellementefficaces, qu’il devient difficile,voire impossible, d’identifier et delocaliser un criminel lorsqu’un acteillégal est observé. L’organisationdu travail est en effet suffisammentoptimisée en fonction de tâches spé-cifiques (création de logiciels mal-veillants, location ou vente de boot-nets, usurpation d’identité oucréation de fausses identités, ven-tes d’identités usurpées ou de faus-ses identités, vols de numéros decartes de crédits, fabrication de faus-ses cartes de crédits, vente, diffu-sion du spam, intermédiaires detoutes sortes, etc.), pour que lemonde criminel soit efficace et ef-ficient tout en étant extrêmementdynamique, mobile et flexible, pours’adapter rapidement aux cibles etéchapper aux contre-attaques et in-vestigations policières.Le risque criminel possède une di-mension globale qui touche dansson intégralité une organisation (ac-tionnaires, dirigeants, personnel,outil de production, etc.). Celle-cidoit savoir préserver son intégritéface au risque criminel, comme ellese protège d’ailleurs des risques decorruption par exemple. Elle doitêtre rentable et compenser le man-que à gagner engendré par le ris-que cybercriminel par le coût desmesures à mettre en place pour lemaîtriser. Un modèle économiquedoit alors être pensé pour suppor-ter de manière optimale le coût dela protection des infrastructures, dela sécurité des systèmes, réseaux,données, services et personnes, brefde tout ce qui constitue le patri-moine de l’entreprise ou d’une ad-ministration. Ce modèle, qui a iné-vitablement un impact sur le coûtde production, veillera à préserverle développement de l’activité, parune redistribution des valeurscréées par l’organisation.Les organisations ne peuvent plusnégliger les dangers réels qui lesmenacent et ont un véritable de-voir de protection de leurs infra-structures, de leurs flux, de leurs se-crets industriels et commerciaux etde leur trésorerie. Elles doivent sepréparer à la menace cybercrimi-nelle qui un jour ou l’autre seconcrétisera.La diffusion d’une certaine cultureet d’une approche pluridisciplinairede la sécurité et de la maîtrise du ris-que informatique d’origine crimi-nelle est obligatoire. En effet, pourles organisations comme pour lesEtats, leur dépendance aux techno-logies de traitement de l’informa-tion associée à l’interdépendance desinfrastructures ainsi qu’à la vulné-rabilité des systèmes informatiques,requiert une vision stratégique etglobale de cette problématique. Lesorganisations et plus largement lasociété, doivent se doter de mesures,procédures et outils qui permettentune gestion efficace des risques tech-nologique et informationnel.Les ressources disponibles en ma-tière de sécurité ne manquent pas.Le marché de la sécurité se porteplutôt bien, il est en pleine expan-sion. Mais les offres sont-elles pourautant adaptées aux besoins ? Sont-elles implantées et gérées correcte-ment ? Ce n’est pas certain, d’autantqu’elles s’appliquent à un environ-nement en perpétuelle mutation,qui comporte une dimension hu-maine difficilement contrôlable. Lesdégâts les plus graves ont parfoispour origine par exemple, une ges-tion défectueuse, une simple négli-gence (le mot de passe est sur unpost-it collé dans un coin de l’écran),l’incompétence (erreurs lors de laconception ou de la mise en œu-vre des technologies) ou encore l’at-tribution de pouvoirs excessifs ac-cordés à des administrateurs sys-tème. De plus, une entité commer-ciale (fournisseurs, distributeurs,etc.) évitera d’avoir à supporter lecoût de la sécurité. Il est en effet plusrentable, pour certains acteurs éco-nomiques qui ne sont pas contraintspar la loi de fournir des solutions sé-curisées, que les coûts soient impu-tés aux consommateurs (achats sup-plémentaires de produits, frais deformation, remplacement du ma-tériel infecté, etc.) ou à la société.C’est notamment le cas lorsqu’uneentreprise licencie des personnessuite à sa mise en faillite du fait d’undéfaut de sécurité ou d’une attaqueinformatique. Au-delà du discours politiquementcorrect que constitue l’engagementdu secteur privé à lutter contre lacybercriminalité, allant jusqu’à l’oc-troi de primes parfois faramineu-ses pour inciter à livrer des infor-mations permettant de capturer uncybercriminel (notion de cyberfar-west), ces mêmes acteurs conti-nuent à commercialiser des solu-tions informatiques comportantdes failles de sécurité. De plus, lessolutions de sécurité elles mêmes,puisqu’elles sont aussi informati-ques, n’ont pas de solidité garan-tie et sont porteuses de vulnérabi-lités exploitables. (…)Dans la mesure où Internet est de-venu, à juste titre ou non, un élé-ment incontournable de l’écono-mie nationale voire planétaire, neconstitue-t-il pas une infrastructurecritique, au même titre que le sontles systèmes de distribution électri-que? En effet, la capacité des entre-prises à produire de la richesse et àdévelopper des services est de plusen plus liée aux technologies et ser-vices de l’Internet.Par ailleurs, les infrastructures in-formatiques et de télécommunica-tions appartiennent de manière quetrès partielle à ceux qui en dépen-dent. Même les infrastructures di-tes publiques appartiennent pourune large part à des sociétés privées.Dans ce contexte de dépendance etd’interdépendance des infrastruc-tures informatiques et électriques,des infrastructures privées et publi-ques, qui est donc responsable de lasécurité? Est-il plus judicieux deparler de sécurité informatique oude sécurité des infrastructures cri-tiques? Est-ce uniquement unequestion de terminologie ou s’agit-il d’un déplacement des enjeux, dumarché et du champ d’applicationde la sécurité? Difficile en premierlieu de répondre et d’identifier dansce glissement sémantique les dé-fis que doivent relever les dirigeantsen matière de sécurité et de maîtrisedes risques informatiques. La ten-tation est grande de changer l’ob-jet de l’étude sans pour autant ré-pondre à la question fondamentaleinhérente à toute démarche sécu-rité, à savoir : qui contrôle la sécu-rité? Cette question nécessite d’appor-ter entre autres des réponses concrè-tes aux interrogations suivantes :Comment garantir la sécurité?Quelle confiance accorder à des ou-tils et services de sécurité produitspar des tiers? Comment couvrir lerisque informatique par une assu-rance? Quels sont les outils, métho-dologies et compétences nécessai-res à l’appréciation du risqueinformatique afin de mettre enplace des mesures efficaces et co-hérentes de sécurité qui permettentde le maîtriser ou de transformerce risque en opportunité d’affaires?Autant de questions ouvertes quidépassent la dimension purementtechnologique d’Internet et de sasécurité. Elles méritent un vérita-ble débat de société. (...)La criminalité par Internet touche la société, les individus, les organisa-tions, les Etats, par manipulations d’opinion, espionnage, terrorisme,harcèlement, escroqueries et fraudes financières. Dans son ouvre «Lacybercriminalité. Le visible et l’invisible», Solange Ghernaouti-Hélie, pro-fesseure à HEC Lausanne et à l’Université de Genève, experte internatio-nale en sécurité, identifie les motivations et méthodes des criminels quiont pénétré l’espace virtuel. Du panorama des risques, dans l’activitéquotidienne des internautes, le livre passe aux guerres de l’informationet aux attaques majeures sur le Net. Le propos s’élève par des réflexionssur le numérique dans la société contemporaine et pose des questionsfondamentales. Qui est finalement responsable de la sécurité informati-que? Qui contrôle tout le système? Que peut faire l’individu pour que sadignité et les données intimes sur sa vie soient protégées?Solange Ghernaouti-Hélie est docteure en informatique de l’Université ParisVI. Professeur à l’Ecole des HEC de Lausanne, elle est également professeurinvité au département de sociologie de l’Université de Genève pour un coursde Master «Internet et Société». Experte en sécurité du numérique auprès d’ins-tances onusiennes, gouvernementales et institutions privées, elle est l’auteured’une vingtaine d’ouvrages.Elle donnera le 3 décembre une conférence «Le défide la protection des droits de l’Homme et du citoyen dansun contexte de filature numérique et de sécurité informa-tique globalisée». Uni de Lausanne, bâtiment Internef, au-ditoire 27, dès 14h30. Infos: www.hec.unil.ch/sghSOLANGE GHERNAOUTI-HÉLIE«La cybercriminalité. Le visible et l’invisible»Presses polytechniques et universitaires romandes»,vol 61, automne 2009, 128 pages.UN MODÈLEÉCONOMIQUE DOIT ÊTREPENSÉ POUR SUPPORTERDE MANIÈRE OPTIMALELE COÛT DE LAPROTECTION DESINFRASTRUCTURES, DE LASÉCURITÉ DES SYSTÈMES,RÉSEAUX, DONNÉES,SERVICES ET PERSONNES.BREF DE TOUT CE QUICONSTITUE LEPATRIMOINE DEL’ENTREPRISE OU D’UNEADMINISTRATION.LA PRODUCTIONET LA DIFFUSIONDE PROGRAMMESMALVEILLANTSET LES OUTILS DEPIRATAGE AUTORISENTLE DÉVELOPPEMENTD’UNE VÉRITABLEÉCONOMIE SOUTERRAINEAUTOUR D’UN MARCHÉTRÈS PROFITABLE. CELACONTRIBUE À ALIMENTERLA CHAÎNE DE VALEURSLIÉES AUX TECHNOLOGIESDE L’INFORMATION POURLES ENTREPRISES LICITES.TOP 5 DES VENTES ÉCONOMIE-FINANCECinq meilleures ventes de la semaine dernière dans l’ensemble du réseau1. Survivre aux crises J. Attali Fayard2. La face cachée des banques E. Laurent Plon3. La prospérité du vice: une introduction (inquiète) à l'économie  D. Cohen Albin Michel/Documents4. Confessions d'un banquier pourri Crésus (Pseudo) Le Livre de Poche4. UBS: les dessous d'un scandale M. Zaki Favre

L'économie souterraine induite du cybercrime, publié dans "l'AGEFI", 27 novembre 2009

https://serval.unil.ch/resource/serval:BIB_CA6FCCB27F62.P001/REF.pdf

L'économie souterraine induite du cybercrime, publié dans "l'AGEFI", 27 novembre 2009

Abstract

Similar works

Full text

Available Versions

Serveur académique lausannois