Le Pentagone pourrait assimiler les cyberattaques à des " actes de guerre "

Le Monde - International, vendredi 3 juin 2011, p. 5

Google a annoncé, mercredi 1er juin, que des centaines de comptes de sa messagerie électronique Gmail appartenant à des membres du gouvernement américain, des hauts fonctionnaires, des officiers supérieurs et des journalistes américains, ainsi qu'à des dissidents chinois et des dirigeants politiques asiatiques, ont été piratés.

La société informatique a assuré que cette intrusion de grande ampleur est initialement partie de la ville de Jinan, dans l'est de la Chine. Elle dit avoir " mis un terme " à cette pratique et " protégé les comptes " des victimes, qui ont été informés de cette fraude. En janvier 2010, Google déclarait déjà avoir été victime d'une attaque importante que des diplomates américains - selon le site WikiLeaks - ont attribuée dans des notes transmises à Washington aux autorités chinoises.

L'affaire survient alors que la Maison Blanche finalise la rédaction d'un document intitulé " Stratégie de défense pour les opérations dans le cyberespace " - en résumé Cyber 3.0 - qui constituera sa nouvelle doctrine en ce domaine. Selon le porte-parole du ministère de la défense, le colonel David Lapan, il devrait être présenté dans deux à trois semaines. Le Wall Street Journal, qui a eu accès à un texte préparatoire, indique que seule une version édulcorée (12 pages sur 30) sera rendue publique.

Rétorsion armée

Ce document est d'autant plus attendu que, peu avant la nouvelle affaire Google, de grands conglomérats oeuvrant aux Etats-Unis, tels que Sony et l'avionneur Lockheed Martin, ont aussi été victimes d'attaques contre leurs systèmes informatiques. Le 28 mai, Lockheed, qui fabrique, entre autres, les avions de combat F-16 et F-22 et les missiles Trident de l'armée américaine, a fait état d'une agression " significative et tenace ", bien qu'elle n'ait causé, aux dires de Jay Carney, porte-parole de la Maison Blanche, que des " dégâts minimes ". Cette attaque aurait mis en lumière des faiblesses dans les systèmes de sécurité et d'authentification qui équipent le système central de l'avionneur et qui lui sont fournis par la société RSA, filiale du numéro un mondial du stockage sécurisé d'archives, EMC.

Le document du Pentagone mettrait l'accent sur la notion d'" équivalence " : si une cyberattaque générait une paralysie ou destruction partielle du fonctionnement de l'Etat, de l'économie ou des systèmes civils collectifs (distribution de la nourriture, activités hospitalières, etc.), elle serait considérée comme un " acte de guerre ", cette définition ouvrirait la voie à de possibles mesures de rétorsion de l'ordre de celles prévues en cas d'attaque armée. La nouvelle doctrine insisterait aussi sur la nécessité d'une coopération accrue entre alliés, dans le cadre de l'OTAN, l'efficience d'une stratégie menée à l'échelle d'un seul pays, fût-il les Etats-Unis, ne pouvant qu'être limitée s'agissant d'un cyberconflit. Reste le cas de menaces non étatiques - bien que les stratèges du Pentagone tendent à considérer qu'aucune cybermenace d'envergure ne pourrait être menée sans le soutien d'un Etat.

Sans connaître l'origine de l'attaque, de quelle " rétorsion " armée pourrait-il s'agir ? Plus généralement, les autorités de la défense américaine insistent sur le fait que les moyens de dissuasion et de rétorsion restent " multiples " et que l'usage de la force n'interviendrait " qu'en dernier recours ".

Les cybermenaces n'inquiètent pas que Washington. A Londres s'est tenue cette semaine une conférence internationale sur la sécurité des réseaux organisée par l'Institut européen Est-Ouest. La directrice de la société de logiciels antivirus Lab Zao, Natalya Kaspersky, a estimé qu'environ 70 000 nouveaux " programmes malins " apparaissent sur le Web chaque jour, dont certains peuvent s'avérer d'une puissance insoupçonnée.

Dans tous les débats de ce type, un cas revient de manière récurrente : l'affaire Stuxnet, ce virus espion destructeur attribué aux Israéliens ou à une coopération américano-israélienne, que l'on soupçonne de s'être introduit à l'été 2009 dans le dispositif militaire nucléaire iranien, parvenant à l'endommager.

Que se passerait-il si, demain, des organisations criminelles ou des Etats voyous se rendaient capables à leur tour de causer des dégâts d'une ampleur encore insoupçonnée ? Il n'est " plus exagéré de considérer possible de mettre un Etat à genoux sans tirer un coup de feu ", a déclaré, lors du colloque londonien, le président de British Telecom, Michael Rake. Il a appelé, en conclusion, à la constitution d'une " sorte de traité de non-prolifération cybertechnologique ", sur le modèle de celui existant au plan nucléaire, pour parer aux menaces croissantes de cyberattaque.

Les Américains pourraient trouver un motif d'intérêt accru si un tel projet progressait : le financement des agences publiques luttant contre les cybermenaces devrait en effet être affecté par le plan décennal de réduction des dépenses publiques de l'administration Obama.

Sylvain Cypel

© 2011 SA Le Monde. Tous droits réservés.