Intrusions informatiques : une tribune aberrante publiée par Le Monde

Quand la presse se tire une balle dans le pied (encore une fois)

Mais qu'allait-il faire (Le Monde) dans cette galère ? C'est un peu la question que l'on se pose à la lecture d'une tribune publiée le 4 janvier par « le quotidien de référence ». Pourquoi donc avoir publié ce texte ?

A la lecture d'un tel raté, on en vient à se demander quel est le process de décision dans le journal du soir pour approuver la publication d'une tribune. Est-elle relue par les journalistes experts du domaine ou simplement par la rédaction en chef ? S'agit-il d'un choix délibéré de publier n'importe quoi pourvu que cela fasse le buzz. Où suffit-il que les auteurs se soient vu accrocher à un moment de leur vie quelques breloques sur le plastron pour que l'on estime au sein du journal que le contenu ne peut être que de qualité ?

Mystère et boule de gomme.

Quoi qu'il en soit, Le Monde a publié ce 4 janvier une tribune titrée « Qu’elles soient étatiques ou criminelles, les intrusions informatiques doivent être combattues par une stratégie nationale et globale ». Elle est signé de « Bernard Barbier, ancien directeur technique de la DGSE, de Jean-Louis Gergorin, ancien chef du Centre d’analyse et de prévision du Quai d’Orsay et de l'amiral Edouard Guillaud, ancien chef d’état-major des armées ».

Sur le papier, ça claque. Sauf qu'en fait, rien ne va dans cette tribune. Ni le contenu, ni les signataires. Et cela ne va tellement pas, qu'en la publiant, Le Monde se décrédibilise.

Commençons par les signatures. Il faut réécrire les bios pour bien comprendre ce qui se joue ici. Trois personnes vont nous parler de cybersécurité, d'intrusions informatiques, de piratage. Elles vont nous expliquer que tout cela, c'est très mal. Soit. Mais qui me parle et d'où ?

Bernard Barbier a été patron du service technique de la DGSE pendant sept ans, de 2006 à 2013. Cette période, en matière de sécurité informatique, de DPI et autres actions pas très nettes de la France dans ce domaine, nous la connaissons bien à Reflets. C'est sous le règne technique de Bernard Barbier qu'Amesys a déployé ses outils dans des pays riants comme la Libye, le Maroc, l'Arabie saoudite, le Qatar, on en passe. C'est sous sa direction que, si elle existe, la théorie abracadabrantesque de Reflets s'est étendue. Voilà donc une personne particulièrement qualifiée pour venir nous expliquer ce que l'éthique doit être dans le domaine cyber. Bernard Barbier, c'est aussi le monsieur qui était à la tête du service de la DGSE à l'origine d'un fameux logiciel malveillant tellement bien camouflé qu'il a été attribué bien rapidement aux espions français : Babar. Oui. Babar, comme le gros éléphant des contes pour enfants. Si, si... Et donc, Bernard Barbier, qui a dû participer aux réunions autorisant le développement de Babar, signe une tribune dans Le Monde, titrée : « Qu’elles soient étatiques ou criminelles, les intrusions informatiques doivent être combattues par une stratégie nationale et globale ».

Mais ce n'est pas tout. Non, il y a mieux. En matière d'éthique on va frôler des sommets. Accrochez-vous. Le deuxième signataire est Jean-Louis Gergorin. Contrairement à ce qui est indiqué, Jean-Louis n'est pas un simple gros expert de l'analyse des crises internationales auprès du Quai d'Orsay. C'est aussi, comme le rappelle Wikipedia, dans l'affaire Clearstream 2, « l'un des deux principaux protagonistes et pour laquelle il a été condamné à 3 ans de prison (dont 6 mois fermes) ». Le monsieur qui vient donner des leçons de déontologie en matière de sécurité informatique dans les colonnes du Monde a été reconnu coupable de dénonciation calomnieuse, usage de faux, recel d'abus de confiance et vol, et condamné à 3 ans de prison, dont 6 mois ferme, et 40 000 Euros d'amende par la cour d'appel de Paris. Le rôle terrible de Jean-Louis Gergorin dans l'affaire Clearstream 2 a été longuement relaté par Denis Robert. Vous pouvez lire quelques articles de l'époque sur ce sujet ici, là et encore là. Ou mieux, son livre Clearstream, l'enquête.

Enfin, le texte est signé par Edouard Guillaud. Ce dernier s'est illustré en « commandant l'ensemble des forces armées françaises dans le cadre de l'opération Harmattan ». En d'autres termes, c'est lui qui dirigeait pour le compte de Nicolas Sarkozy, la guerre française en Libye visant à renverser le colonel Kadhafi. Et peut-être, il est permis de s'interroger à la lecture des nombreux articles de Mediapart sur le sujet, pour faire disparaître quelques informations gênantes. Kadhafi, le même dictateur sanguinaire que le président Sarkozy recevait en grande pompe quelques années auparavant à Paris pour lui vendre... Oh ! ... Un outil de surveillance massive via Amesys, société amenée sur le terrain avec l'aval appuyé de... La DGSE où trônait un certain Barbier Bernard. Quel hasard quand même...

On peut éventuellement imaginer que peut-être, Bernard Barbier a une vague connaissance technique de ce que peut être le piratage informatique. Sa formation très lointaine et son boulot à la DGSE peuvent lui donner quelques notions de ce qui se passe sur le terrain. Le vrai, pas celui décrit dans la presse lorsqu'un DDoS ou un bête piratage avec une vague APT fait s'ébaudir quelques journalistes qui n'ont jamais croisé une faille zero day de dingo de leur vie. Soyons magnanimes. Mais les deux autres ? Deux retraités d'un âge avancé qui doivent avoir du mal à connecter la souris sans fil à leur ordinateur ? Jean-Louis Gergorin dont les prouesses en matière cyber ont consisté à modifier un fichier Excel subtilisé à Denis Robert par un mythomane, pour y insérer des noms fictifs et tenter de dégommer des ennemis personnels ?

Nés avant la honte, comme disent les jeunes ! Et le journal de référence qui trouve que ces signataires sont légitimes ? Comment doit-on l'interpréter ? qu'est-ce que cela dit du journalisme ? Quelle portée cela a-t-il sur notre profession dans le grand public ?

Paye ton ransomware

Que nous disent nos « experts » en cybertrucs dans leur tribune ? Le contenu rattrape-t-il la pauvreté de leurs bios et l'incongruité de leur pseudo légitimité à s'exprimer sur le sujet ?

Premier point, les trois pieds nickelés de la cybersécurité estiment que le danger réside dans les rançongiciels, les ransomwares. C'est à pleurer. Si vous êtes expert en sécurité informatique et que vous ne pouvez rien contre les ransomwares, il faut penser à suivre une petite formation. Mais il y a mieux.

Nos trois experts nous parlent d'une « rupture stratégique ». Rien de moins. Il s'agit de du pownage « Solarwinds ». Selon eux, c'est un truc de dingues : « Il s’agit de la modification non détectée d’une mise à jour d’un logiciel de gestion de réseaux. L’ajout d’un « cheval de Troie », nommé « Sunburst », de mars à mai, a permis de prépositionner au cœur des systèmes les plus critiques un implant, qui, à ce jour, ne paraît avoir été utilisé qu’à des fins d’espionnage. Il aurait pu tout aussi bien être un vecteur de sabotage ».

En gros une bête APT. Cette attaque ne met pas en lumière les capacités techniques hors du commun des méchants russes (ce sont ceux qui sont accusés) mais elle révèle surtout, et cela n'est absolument pas abordé par les trois compères, la paralysie d'énormes structures particulièrement bien protégées mais totalement inefficaces pour se défendre. Explications.

Les victimes ne sont pas de petites PME. Elles ont des moyens conséquent, tant humains que matériels pour se protéger. Des équipes conséquentes. Sans doute de bonne qualité. Des outils de protection en pagaille. Acheté auprès des meilleurs éditeurs. Et pourtant... Comme bien d'autres, elles ont laissé du contenu s'exfiltrer pendant des mois sans réagir. Il n'y a sans doute personne pour analyser les milliers d'alertes quotidiennes produites par la multitude d'outils déployés. En gros, les décideurs, dans ces grosses infrastructures, sont payés à acheter de la dette technique que les opérationnels vont devoir gérer au quotidien. Une catastrophe.

Vas-y Jojo, appuie sur le gros bouton rouge !

Pour lutter contre toutes ces attaques, de bêtes ransomwares et des APT, les trois auteurs recommandent de pouvoir répliquer. C'est un peu le truc habituel du militaire. Envoyer la purée pour écrabouiller les ennemis sous un tapis de bombes. On verra après ce qui reste. Le gros bouton rouge... « La doctrine française de cyberdéfense doit prévoir la possibilité de riposte proportionnée à toute attaque contre des infrastructures jugées essentielles aussi bien civiles que militaires ».

Vivement qu'on explose tous ces Popov qui nous attaquent. Et puis, on est les meilleurs. Aucun risque d'escalade et de bordel généralisé. Les réseaux sont sous contrôle...

Ah, à propos... Pour ceux qui n'auraient pas compris... Il y a moyen de passer commande à un expert pour se protéger des attaques informatiques. Un vrai. Un expert publié dans Le Monde. Bernard Barbier, est le patron de BBCyber SA qui, selon Challenge, « aide les grands groupes et les start-up de la "cyber" à se mettre en ordre de marche pour répondre à la concurrence américaine, chinoise ou israélienne ». Quelle aubaine. Il fait aussi partie de l'advisory board de la société Tehtris. Et grace aux produits de cette boite, on peut maîtriser « les risques » et dompter « enfin l’inconnu » en matière d'attaques informatiques. On en reste bouche bée.