Les points essentiels du rapport de l'ANSSI sur le panorama de la cybermenace en 2023

Introduction

Le rapport "Panorama de la Cybermenace 2023" publié par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) constitue une ressource essentielle pour comprendre l'évolution et la complexité des menaces cybernétiques auxquelles la France est confrontée.

Dans un monde de plus en plus interconnecté et dépendant des technologies numériques, la cybersécurité est devenue un enjeu majeur pour la protection des infrastructures critiques, la préservation des intérêts économiques et la défense des institutions démocratiques.

Ce rapport offre une analyse détaillée des intentions des acteurs malveillants, de l'amélioration de leurs capacités offensives et des opportunités qu'ils exploitent pour compromettre les systèmes d'information. L'objectif de cet article est de fournir un résumé concis et informatif du rapport, en mettant en lumière les principales tendances observées par l'ANSSI en 2023.

Nous aborderons les menaces les plus préoccupantes, telles que l'espionnage stratégique et industriel, les attaques à but lucratif, notamment les rançongiciels, et les opérations de déstabilisation.

Nous examinerons également les faiblesses techniques exploitées par les cybercriminels, la diversification de l'écosystème cybercriminel et les défis posés par l'organisation de grands événements comme les Jeux olympiques et paralympiques de Paris en 2024.

Enfin, nous soulignerons les recommandations de l'ANSSI pour renforcer la cybersécurité face à ces menaces croissantes.

Évolution des intentions des acteurs malveillants

Espionnage stratégique et industriel

L'espionnage stratégique et industriel a évolué pour devenir plus ciblé et furtif, avec une attention particulière portée aux individus et aux organisations non gouvernementales qui gèrent des informations sensibles.

Les techniques utilisées par les attaquants sont de plus en plus sophistiquées, visant à s'introduire discrètement dans les systèmes d'information et à y rester non détectés. Les groupes de réflexion, les instituts de recherche et les entreprises faisant partie de la base industrielle et technologique de défense (BITD) en France sont spécifiquement visés en raison de leur rôle stratégique et de la valeur des données qu'ils détiennent.

Ces acteurs malveillants ne se limitent pas aux entités sur le territoire métropolitain français ; ils étendent également leurs activités d'espionnage aux télécommunications et aux services numériques, exploitant des protocoles d'administration faiblement sécurisés et des communications non chiffrées pour intercepter des données.

L'ANSSI a observé des attaques associées à des gouvernements étrangers, notamment la Russie et la Chine, qui utilisent des modes opératoires sophistiqués pour compromettre des systèmes d'information situés en France et dans les territoires ultramarins. Pour faire face à ces menaces, l'ANSSI souligne l'importance de la détection proactive et de l'anticipation des attaques, ainsi que la nécessité d'une réponse rapide et efficace en cas d'incident.

L'agence recommande également le renforcement des mesures de sécurité pour durcir les infrastructures et les rendre plus résilientes face aux tentatives d'espionnage. Cela inclut l'arrêt de l'utilisation de protocoles d'administration faibles et la mise en œuvre du chiffrement de bout en bout pour protéger les communications.

En outre, l'ANSSI coordonne les efforts de détection et de réponse aux incidents à travers le Centre de coordination des crises cyber (C4) et sa déclinaison opérationnelle, le C4 TechOps. Cette instance interministérielle, pilotée par l'ANSSI, facilite l'échange d'informations et d'analyses sur les menaces informatiques entre les experts de diverses agences gouvernementales françaises.

En résumé, l'espionnage stratégique et industriel représente une menace significative pour la France, nécessitant une vigilance accrue, des mesures de sécurité renforcées et une collaboration étroite entre les entités gouvernementales pour protéger les informations stratégiques et industrielles sensibles.

Attaques à but lucratif

Les attaques à but lucratif, en particulier celles impliquant des rançongiciels, ont significativement augmenté en 2023, avec une hausse de 30% par rapport à l'année précédente. Cette recrudescence rompt avec la tendance à la baisse observée précédemment et a été confirmée par la section de lutte contre la cybercriminalité du parquet de Paris.

Ces attaques ont un impact direct sur la continuité des activités des organisations touchées et posent un risque sérieux pour la protection des données personnelles. Les secteurs de la santé et de l'énergie sont particulièrement ciblés en raison de leur vulnérabilité et des conséquences potentiellement graves d'une interruption de service.

Les cybercriminels ont montré une capacité à diversifier leurs méthodes d'attaque, notamment en exploitant des vulnérabilités zero-day, qui sont des failles de sécurité non connues ou récemment découvertes et pour lesquelles il n'existe pas encore de correctif. Ils utilisent également des outils largement diffusés, accessibles même à des acteurs aux compétences techniques limitées, grâce à la fuite en source ouverte de codes sources de rançongiciels et à la démocratisation d'outils offensifs.

Pour lutter contre cette menace, l'ANSSI a apporté son soutien à des opérations internationales visant à démanteler des infrastructures cybercriminelles, comme celle du réseau QakBot. Ces opérations ont pour effet de perturber les activités des cybercriminels et de les forcer à se réorganiser, ce qui peut temporairement réduire le niveau de menace. Cependant, de nouveaux implants QakBot ont été découverts, indiquant que les acteurs cybercriminels cherchent constamment des alternatives et investissent dans de nouveaux codes malveillants.

En complément des actions de démantèlement, l'ANSSI propose des services d'audit automatisé pour aider les organisations à sécuriser leurs systèmes d'information. Parmi ces services, on trouve le service Active Directory Security (ADS), qui accompagne les entités dans la sécurisation de leurs annuaires Active Directory, et le service SILENE, qui évalue leur niveau d'exposition sur Internet. Ces outils sont essentiels pour renforcer la sécurité des systèmes d'information et prévenir les attaques à but lucratif, notamment les attaques par rançongiciel.

Opérations de déstabilisation

Les opérations de déstabilisation en 2023 ont été marquées par une variété de tactiques employées par des acteurs malveillants, notamment des hacktivistes pro-russes. Ces acteurs ont fréquemment recours à des attaques par déni de service distribué (DDoS), qui visent à saturer les ressources d'un système d'information et à en rendre les services indisponibles.

Bien que les impacts de ces attaques DDoS soient souvent limités, elles représentent une forme de protestation ou de représailles en réponse à des événements géopolitiques ou des actions politiques. Par exemple, en août 2023, le groupe Anonymous Sudan a menacé la France de représailles en lien avec des événements au Niger, avant de rediriger ses attaques vers des cibles israéliennes suite à des actions militaires dans la bande de Gaza.

En plus des attaques DDoS, des compromissions de systèmes d'information ont été observées, avec pour objectif la divulgation d'informations exfiltrées ou la dégradation de l'image des organisations ciblées. Ces intrusions peuvent aboutir à la publication de données confidentielles, causant ainsi un préjudice à la réputation et à la sécurité des entités affectées.

Dans le contexte de tensions internationales, il existe un risque que des attaquants cherchent à s'introduire et à se maintenir de manière furtive sur des réseaux d'importance critique. Les secteurs de l'énergie, des transports et de la logistique sont particulièrement exposés à cette menace, en raison de leur importance stratégique et de leur impact potentiel sur la sécurité nationale et l'économie.

Bien qu'aucune opération de sabotage n'ait été détectée sur le sol français, des codes destructeurs ont été utilisés contre des entités ukrainiennes, illustrant la volonté de certains acteurs de causer des dommages directs et significatifs. Ces attaques peuvent prendre la forme de logiciels malveillants conçus pour endommager ou détruire des systèmes d'information, et elles sont souvent coordonnées avec des actions cinétiques, comme celles menées par l'armée russe en Ukraine.

Il est important de noter que les attaquants exploitent des vulnérabilités non corrigées et une maîtrise insuffisante des systèmes d'information par les victimes pour s'introduire sur les réseaux. Ces tendances soulignent la nécessité pour les organisations de renforcer leur posture de sécurité, notamment en appliquant des correctifs de sécurité, en améliorant la gestion de leurs systèmes d'information et en se préparant à répondre rapidement en cas d'incident.

Amélioration des capacités offensives

Recherche constante de furtivité

La recherche constante de furtivité par les acteurs malveillants est une tendance clairement identifiée dans le "Panorama de la Cybermenace 2023" de l'ANSSI. Ces acteurs cherchent à minimiser les chances d'être détectés, caractérisés et identifiés lors de leurs opérations malveillantes.

Pour ce faire, ils ont recours à des réseaux d'anonymisation sophistiqués, qui sont des ensembles de machines compromises communiquant entre elles pour masquer les traces des attaquants. Ces réseaux sont composés de machines compromises qui communiquent entre elles pour masquer les activités malicieuses. Ils sont utilisés pour deux objectifs principaux : la reconnaissance, qui est l'acte de collecter des informations sur des cibles potentielles, et le commandement et contrôle (C2), qui est la capacité de diriger et de gérer des opérations malveillantes à distance.

L'utilisation partagée de ces réseaux d'anonymisation par plusieurs acteurs malveillants ajoute une couche supplémentaire de complexité pour les équipes de sécurité. Cela rend difficile de distinguer et de caractériser les opérateurs derrière chaque opération malveillante, car plusieurs groupes peuvent utiliser la même infrastructure pour mener des campagnes distinctes. Cette pratique brouille les pistes et complique l'attribution des attaques à des entités spécifiques, ce qui est un défi majeur pour les organismes de cybersécurité comme l'ANSSI.

En outre, les attaquants utilisent des capacités d'interception discrètes, comme le renseignement d'origine électromagnétique (ROEM), pour capter des secrets d'authentification qui transitent en clair, leur permettant ainsi de se connecter aux réseaux des victimes sans éveiller de soupçons. Une fois l'intrusion initiale réalisée, ils accordent une attention particulière à maintenir leur discrétion sur le réseau compromis. Ils ciblent des équipements périphériques, tels que les routeurs, les passerelles de messagerie et les pare-feux, qui sont souvent moins surveillés et sécurisés que les systèmes principaux. Ces équipements périphériques peuvent être compromis et utilisés comme des relais actifs dans des campagnes d'espionnage et cybercriminelles.

Dans certains incidents, les attaquants ont choisi de ne pas déployer de codes malveillants, qui pourraient être plus facilement détectés par des solutions de sécurité. À la place, ils ont mis en place des filtres de redirection pour exfiltrer les courriels d'intérêt de manière furtive. Cette technique réduit considérablement le risque de détection par les victimes, car elle ne laisse pas de signatures typiques d'une infection par malware. Ces méthodes de furtivité sont complétées par des pratiques telles que l'exploitation d'applications et de fonctionnalités déjà présentes sur le réseau compromis (techniques de living-off-the-land), ce qui évite d'éveiller les soupçons en utilisant des outils spécifiques déployés par l'attaquant. Ces stratégies sont employées par des attaquants réputés russes et chinois pour cibler des infrastructures critiques, et elles illustrent la sophistication croissante des menaces cybernétiques auxquelles les organisations doivent faire face.

Diversification de l'écosystème cybercriminel

La diversification de l'écosystème cybercriminel est un phénomène qui s'est accentué au fil des années, et qui a été particulièrement notable en 2023. Cette diversification est principalement due à deux facteurs clés : la fuite en source ouverte de codes sources de rançongiciels et la démocratisation d'outils offensifs.

La mise à disposition publique de codes sources de rançongiciels tels que LockBit, Babuk et Conti a permis à des acteurs moins expérimentés de générer et de déployer leurs propres rançongiciels. Ces fuites ont abaissé le seuil d'entrée dans le cybercrime, permettant à des individus avec des compétences techniques limitées de lancer des attaques sophistiquées.

En parallèle, la prolifération des infostealers, des outils conçus pour voler des informations d'identification et d'autres données sensibles, a facilité l'acquisition d'accès initiaux aux réseaux des victimes. Ces outils sont souvent distribués sur des forums cybercriminels et au sein de groupes privés, ce qui contribue à l'élargissement de la base des cybercriminels potentiels.

Des groupes cybercriminels matures et bien établis, tels que CL0P, ont démontré leur capacité à exploiter des vulnérabilités zéro-day, c'est-à-dire des failles de sécurité non connues ou récemment découvertes pour lesquelles il n'existe pas encore de correctif. Ces groupes ciblent spécifiquement des logiciels d'entreprises qui sont susceptibles de contenir des données sensibles, maximisant ainsi l'impact de leurs attaques.

La dynamique de l'écosystème cybercriminel a également été influencée par la cessation d'activités de certains groupes notoires, comme Conti, et par des opérations de démantèlement réussies, telles que celle du réseau QakBot. Ces événements ont entraîné une réorganisation et une fragmentation des activités cybercriminelles, avec des groupes et affiliés qui se restructurent, forment de nouvelles alliances ou se lancent dans des initiatives criminelles indépendantes.

En somme, l'écosystème cybercriminel en 2023 est caractérisé par une diversité accrue d'acteurs, une accessibilité élargie à des outils malveillants et une capacité renforcée à mener des attaques complexes, ce qui représente un défi croissant pour la sécurité des systèmes d'information.

Conséquences de la prolifération d'outils offensifs commerciaux

La prolifération d'outils offensifs commerciaux, tels que les logiciels espions et les outils de piratage, a eu un impact notable sur la sécurité des systèmes d'information à l'échelle mondiale. Ces outils, développés par des entreprises privées, sont devenus plus accessibles et ont été acquis non seulement par des acteurs étatiques pour des opérations de surveillance et de renseignement, mais également par des acteurs non étatiques, y compris des entreprises et des individus avec des intentions malveillantes.

L'accessibilité accrue de ces outils a entraîné une augmentation du niveau de menace pour plusieurs raisons. Premièrement, elle a abaissé la barrière d'entrée pour les cybercriminels, permettant même à ceux avec des compétences techniques limitées de mener des attaques sophistiquées.

Deuxièmement, la disponibilité de ces outils a élargi le champ des possibles en termes de ciblage, permettant des attaques plus ciblées et potentiellement plus dommageables, comme l'espionnage de personnalités en Arménie par des acteurs azerbaïdjanais utilisant le code Pegasus.

La France, consciente de la menace croissante que représentent les outils offensifs commerciaux, tels que les logiciels espions, a pris des mesures significatives pour limiter leur prolifération et leur utilisation abusive. Ces outils, développés et vendus par des entreprises privées, peuvent être utilisés non seulement par des États pour des activités de surveillance légitimes, mais aussi par des acteurs malveillants pour espionner, voler des informations sensibles ou mener des opérations de déstabilisation.

Pour contrer cette menace, la France a activement soutenu la Déclaration conjointe sur les efforts pour lutter contre la prolifération et l'utilisation abusive de logiciels espions commerciaux. Cette déclaration a été adoptée lors de la deuxième édition du Sommet pour la démocratie, soulignant l'engagement international à aborder cette question de sécurité globale.

En outre, la France, en collaboration avec le Royaume-Uni, a lancé des consultations pour lutter contre la prolifération de ces outils offensifs. Ces consultations, qui ont eu lieu lors du Forum de Paris pour la paix en novembre 2023, visent à rassembler les parties prenantes internationales pour discuter et élaborer un cadre réglementaire et des normes internationales.

L'objectif est de mettre en place des contrôles efficaces sur la distribution et l'utilisation des outils offensifs commerciaux, afin de prévenir leur détournement à des fins malveillantes. Ces initiatives françaises visent à renforcer la sécurité des systèmes d'information et à préserver la sécurité nationale et internationale. Elles reflètent une prise de conscience de la nécessité d'une approche coordonnée et multilatérale pour faire face aux défis posés par la cybercriminalité et l'espionnage dans le cyberespace.

Opportunités saisies par les attaquants

Exploitation de faiblesses techniques

L'exploitation de faiblesses techniques par les attaquants informatiques est un vecteur d'attaque majeur qui a été largement utilisé en 2023. Les vulnérabilités logicielles, en particulier, ont été un point d'entrée courant pour les cyberattaquants. Ces vulnérabilités sont des défauts ou des faiblesses dans le code des logiciels qui peuvent être exploités pour accéder à des systèmes ou à des données de manière non autorisée.

Des vulnérabilités critiques ont été identifiées dans des produits de grandes entreprises telles que Microsoft, Fortinet et Ivanti. Microsoft est un géant technologique connu pour ses systèmes d'exploitation Windows et ses applications Office, Fortinet est un fournisseur de solutions de cybersécurité, notamment des pare-feu, et Ivanti se spécialise dans la gestion unifiée des services informatiques et la sécurité des terminaux.

Malgré la disponibilité de correctifs, qui sont des mises à jour logicielles fournies par les éditeurs pour corriger les vulnérabilités connues, ces failles ont été activement exploitées. Cela suggère que les pratiques d'administration de la sécurité informatique, telles que la gestion des patchs, sont insuffisantes dans de nombreuses organisations.

L'absence de mécanismes de chiffrement, qui protègent les données en les rendant illisibles sans clé de déchiffrement, a également été un point faible exploité par les attaquants. L'ANSSI, l'Agence nationale de la sécurité des systèmes d'information en France, met l'accent sur l'importance d'appliquer rigoureusement les politiques de sécurité pour maintenir les systèmes informatiques en bon état de fonctionnement.

Cela inclut l'application rapide des correctifs de sécurité et l'utilisation de mécanismes de chiffrement pour protéger les données. De plus, l'ANSSI recommande la mise en place de stratégies de sauvegarde pour préserver les données en cas d'incident, ainsi que des plans de continuité et de reprise d'activité (PCA/PRA). Les PCA/PRA sont des procédures qui permettent à une organisation de continuer ou de reprendre rapidement ses opérations après une interruption due à une cyberattaque ou à tout autre sinistre.

Organisation de grands événements

L'organisation de grands événements tels que les Jeux olympiques et paralympiques de Paris 2024 (JOP2024) implique des défis de sécurité informatique considérables. Ces événements requièrent la mise en place de systèmes d'information complexes et souvent éphémères, qui doivent être interconnectés et opérationnels sur une courte période.

La diversité des acteurs impliqués, chacun avec son propre niveau de sécurité, crée une surface d'attaque élargie et hétérogène, susceptible d'être exploitée par des cyberattaquants. Les risques associés à ces événements incluent la surveillance illégale, l'extorsion de fonds et la perturbation potentielle des opérations, ce qui pourrait avoir des conséquences sur la réputation du pays hôte et la sécurité des participants. Pour contrer ces menaces, l'ANSSI a mis en place une série de mesures de sécurisation. Cela comprend la réalisation d'audits de sécurité et la fourniture d'un accompagnement technique aux entités critiques, ainsi que l'élaboration d'un programme de sécurité spécifique pour les entités sensibles.

En outre, l'ANSSI a fourni des outils et des services pour aider à évaluer le niveau de sécurité et à gérer les crises potentielles. Un plan de sensibilisation a été déployé pour éduquer les centaines d'acteurs impliqués dans l'écosystème des Jeux sur les menaces cybernétiques spécifiques aux grands événements sportifs et pour promouvoir les bonnes pratiques de cybersécurité.

Pour renforcer la préparation, l'ANSSI a organisé plusieurs exercices de crise en 2023, permettant aux différents acteurs de se préparer collectivement à répondre efficacement en cas d'attaque informatique pendant les Jeux. En anticipation de l'activité opérationnelle accrue pendant les JOP2024, l'ANSSI a également établi un dispositif renforcé de surveillance, d'alerte et de réponse aux incidents de sécurité informatique. Ce dispositif comprend une posture spécifique conçue pour soutenir et gérer l'augmentation des opérations et des menaces potentielles durant cet événement d'envergure internationale.

Conclusion

Le rapport "Panorama de la Cybermenace 2023" de l'ANSSI met en lumière plusieurs points clés concernant l'état actuel et l'évolution des cybermenaces. Il souligne une augmentation significative des activités malveillantes, notamment l'espionnage stratégique et industriel, les attaques à but lucratif et les opérations de déstabilisation. Les acteurs malveillants continuent de perfectionner leurs techniques pour éviter la détection et l'attribution, en exploitant des vulnérabilités logicielles, notamment des vulnérabilités zero-day, et en utilisant des réseaux d'anonymisation complexes.

Le rapport met également en évidence la diversification de l'écosystème cybercriminel, avec une prolifération d'outils offensifs commerciaux et une démocratisation des outils de cyberattaque, rendant les cybermenaces plus accessibles et plus dangereuses. Les grands événements, comme les JOP2024, sont identifiés comme des cibles potentielles pour les cyberattaquants, nécessitant une préparation et une sécurisation accrues des systèmes d'information.

L'ANSSI rappelle l'importance de la vigilance et de la préparation face à ces menaces. Elle encourage les organisations à renforcer leur résilience numérique, à améliorer leurs pratiques de gestion de crise cyber et à mettre en œuvre des stratégies de remédiation efficaces. Le rapport insiste sur la nécessité d'une lecture complète pour une compréhension approfondie des menaces et des mesures à prendre pour protéger les infrastructures critiques et les données sensibles.

Pour en savoir plus, vous pouvez télécharger le rapport "Panorama de la Cybermenace 2023" ici : https://cyber.gouv.fr/publications/panorama-de-la-cybermenace-2023