Ordinateurs, smartphones, tablettes, objets connectés, serveurs, réseaux d'entreprise… tout appareil connecté peut devenir la cible d'une attaque informatique. Mais une précision s'impose dès le départ : un hacker n'est pas nécessairement un pirate informatique malveillant.

Le mot hacker désigne à l'origine une personne qui possède une bonne compréhension des systèmes informatiques et aime en explorer le fonctionnement. Certains utilisent leurs compétences à des fins criminelles, d'autres travaillent au contraire à améliorer la sécurité des systèmes. Il est donc préférable de distinguer hacker, terme assez général, et cybercriminel, lorsqu'il s'agit d'une personne qui utilise l'informatique à des fins illégales. L'ANSSI (Agence nationale de la sécurité des systèmes d'information) définit d'ailleurs

les actes de cybercriminalité comme des infractions commises par voie numérique, parmi lesquelles le phishing, le piratage de comptes ou d'équipements et les attaques par rançongiciel.

C'est quoi, le piratage informatique ?

Le piratage informatique désigne l'accès, la modification, la perturbation ou l'utilisation non autorisée d'un système informatique, d'un réseau, d'un compte ou de données. L'objectif peut être très différent d'une attaque à l'autre :

  • voler de l'argent
  • récupérer des données personnelles
  • espionner une personne ou une organisation
  • voler des secrets industriels
  • détruire ou rendre indisponibles des données
  • installer un rançongiciel
  • prendre le contrôle d'un ordinateur
  • revendre des informations volées
  • faire pression sur une victime
  • défendre une cause politique ou idéologique
  • ou simplement rechercher une reconnaissance au sein d'une communauté

Le piratage n'implique d'ailleurs pas nécessairement une grande prouesse technique. Le maillon faible peut être l'utilisateur lui-même.

Le pirate n'est pas toujours un génie de l'informatique

L'image du jeune informaticien travaillant seul dans une pièce sombre, capable de pénétrer en quelques secondes dans n'importe quel ordinateur, appartient largement à la fiction. La cybercriminalité moderne est devenue une économie structurée.

Les cybercriminels peuvent acheter ou louer :

  • des logiciels malveillants
  • des infrastructures
  • des serveurs
  • des comptes compromis
  • des bases de données volées
  • des services permettant d'envoyer des campagnes de phishing
  • des outils d'attaque prêts à l'emploi

Certains criminels n'ont donc plus besoin de savoir programmer eux-mêmes. C'est l'une des raisons pour lesquelles la cybercriminalité peut toucher un très grand nombre de victimes.

Le « crime-as-a-service »

Cette industrialisation a donné naissance au concept de Cybercrime-as-a-Service, ou CaaS. Le principe est simple : des personnes disposant de compétences techniques développent des outils et les mettent à disposition d'autres criminels. On peut ainsi retrouver une organisation proche de celle d'une véritable entreprise :

développeurs → fournisseurs d'infrastructures → revendeurs → utilisateurs criminels → blanchiment des revenus.

Dans certains cas, le modèle est même organisé autour d'un système d'affiliation. Le développeur fournit le logiciel malveillant et l'infrastructure ; l'affilié s'occupe de trouver les victimes. Cette professionnalisation explique pourquoi certaines attaques peuvent être réalisées par des personnes qui possèdent finalement peu de connaissances techniques.

Les « script kiddies »

Le terme script kiddie désigne, dans le jargon informatique, une personne qui utilise des outils ou des scripts développés par d'autres sans réellement maîtriser les techniques qu'ils mettent en œuvre.

Le terme est plutôt péjoratif.

Un script kiddie peut par exemple utiliser un outil d'attaque disponible sur Internet sans comprendre précisément son fonctionnement. Il ne faut donc pas confondre :

maîtriser une technique informatique

et

savoir utiliser un outil qui réalise automatiquement cette technique.

Pourquoi les pirates attaquent-ils ?

Il n'existe évidemment pas un profil unique du cybercriminel.

On peut néanmoins identifier plusieurs grandes motivations.

L'argent

C'est probablement la motivation la plus évidente dans la cybercriminalité organisée.

Les criminels cherchent notamment à :


  • voler des coordonnées bancaires ;
  • détourner des comptes ;
  • extorquer de l'argent ;
  • revendre des données ;
  • déployer des rançongiciels ;
  • frauder ;
  • utiliser des identités volées.

L'ANSSI identifie notamment l'appât du gain, la déstabilisation, l'espionnage et le sabotage parmi les grandes finalités des cyberattaques.

L'espionnage

Un attaquant peut chercher à récupérer des informations confidentielles :

  • secrets industriels ;
  • recherches scientifiques ;
  • informations militaires ;
  • documents diplomatiques ;
  • données commerciales ;
  • projets stratégiques.

L'espionnage peut être réalisé par des groupes criminels, des concurrents économiques ou des acteurs soutenus par un État.

La déstabilisation

Une attaque peut avoir pour objectif de perturber le fonctionnement d'une organisation ou d'un pays.

Par exemple :

  • rendre un site inaccessible ;
  • perturber un service ;
  • dégrader une infrastructure informatique ;
  • diffuser de fausses informations ;
  • provoquer une perte de confiance.

Le sabotage

Dans ce cas, l'objectif est de détruire ou perturber un système.

Les conséquences peuvent être particulièrement importantes lorsqu'une attaque touche une infrastructure critique.

L'idéologie

Certains groupes utilisent leurs compétences informatiques pour défendre une cause politique ou sociale.

On parle alors d'hacktivisme.

Les méthodes peuvent inclure la défiguration de sites (defacement), les attaques par déni de service ou la publication de données volées.

Les hackers « chapeau blanc », « chapeau noir » et « chapeau gris »

Ces expressions sont très utilisées dans la vulgarisation informatique.

Le chapeau noir : Black Hat

Le Black Hat est le hacker malveillant. Il recherche généralement un bénéfice criminel ou cherche à causer un dommage.

Il peut :

  • exploiter une vulnérabilité
  • voler des données
  • installer un malware
  • pénétrer dans un compte
  • espionner une victime
  • déployer un ransomware

Le chapeau blanc : White Hat

Le White Hat est, à l'inverse, un spécialiste de la sécurité qui utilise ses compétences avec l'autorisation du propriétaire du système. Son travail consiste notamment à rechercher des vulnérabilités afin qu'elles puissent être corrigées.

On parle de :

  • pentest
  • audit de sécurité
  • recherche de vulnérabilités
  • bug bounty
  • recherche en sécurité

Des plateformes comme HackerOne permettent par exemple à des organisations de faire appel à des chercheurs en sécurité et de récompenser la découverte de vulnérabilités. Les programmes de bug bounty peuvent attribuer une récompense financière lorsqu'une vulnérabilité valide est signalée et corrigée.

Le chapeau gris : Grey Hat

Le Grey Hat se situe entre les deux. Il peut rechercher une vulnérabilité sans avoir reçu d'autorisation préalable, mais sans nécessairement avoir l'intention de voler des données ou de nuire.

C'est précisément là que se situe le problème. Découvrir une faille n'autorise pas automatiquement à l'exploiter. Même avec de bonnes intentions, accéder sans autorisation à un système informatique peut avoir des conséquences juridiques. Les démarches de recherche de vulnérabilités doivent donc respecter le cadre défini par le propriétaire du système et, idéalement, une procédure de divulgation responsable.

L'ingénierie sociale : pirater l'être humain plutôt que l'ordinateur

Il existe une idée reçue selon laquelle le pirate doit nécessairement exploiter une faille technique.

C'est faux.

Il est parfois beaucoup plus simple de tromper l'utilisateur. C'est le principe de l'ingénierie sociale.

Le cybercriminel cherche à provoquer une réaction :

« Votre compte bancaire va être bloqué. »
« Votre colis est en attente. »
« Votre patron a besoin de ce document immédiatement. »
« Vous avez gagné un cadeau. »
« Une activité suspecte a été détectée sur votre compte. »

La victime agit alors sous l'effet :

  • de la peur
  • de l'urgence
  • de la curiosité
  • de l'appât du gain
  • de l'autorité
  • de la confiance

C'est notamment le mécanisme du phishing. Dans de nombreux cas, le pirate n'a donc pas « cassé » la sécurité informatique : il a convaincu quelqu'un de lui ouvrir la porte.

Pirater un compte n'est pas nécessairement pirater un appareil

C'est une distinction essentielle. Un compte peut être compromis alors que le téléphone ou l'ordinateur fonctionne parfaitement.

Exemple :

Vous utilisez le même mot de passe sur plusieurs sites.

Un site est victime d'une fuite de données.

Votre mot de passe est récupéré.

Le cybercriminel essaie ensuite ce même couple identifiant/mot de passe sur votre messagerie.

Il entre dans votre compte.

Votre ordinateur n'est pas nécessairement infecté.

C'est pourquoi l'utilisation de mots de passe uniques et de l'authentification multifacteur est si importante.

Le piratage des smartphones

Les smartphones sont devenus des cibles particulièrement intéressantes.

Ils contiennent :

  • des photos
  • des messages
  • des contacts
  • des courriels
  • des documents
  • des informations de localisation
  • des applications bancaires
  • des codes d'authentification
  • parfois des données professionnelles

Ils représentent donc une véritable clé numérique donnant accès à une partie de notre vie.

Le SIM swapping : une menace bien réelle

Il ne consiste pas à cloner physiquement votre téléphone. Le cybercriminel tente plutôt de convaincre l'opérateur téléphonique de transférer votre numéro vers une nouvelle carte SIM ou eSIM qu'il contrôle. S'il réussit, il peut recevoir certains SMS destinés à la victime. Cela peut faciliter la prise de contrôle de comptes protégés uniquement par SMS. C'est une raison supplémentaire de privilégier, lorsque cela est possible, une application d'authentification, une clé de sécurité ou une passkey plutôt qu'un simple code SMS.

Le piratage des Mac

Les Mac ne sont pas magiquement protégés contre les attaques. Ils bénéficient de nombreuses protections intégrées, mais aucun système d'exploitation n'est exempt de vulnérabilités. Apple utilise notamment des mécanismes de signature du code, de contrôle des applications et de sandboxing pour limiter les possibilités d'une application compromise. Cela ne signifie pas qu'un Mac ne peut jamais être infecté.

Des malwares ciblant macOS existent. Comme sous Windows, les utilisateurs de Mac doivent donc :

  • effectuer les mises à jour
  • éviter les logiciels piratés
  • se méfier des pièces jointes
  • vérifier les applications téléchargées
  • utiliser des mots de passe uniques
  • activer l'authentification multifacteur

Et les vulnérabilités des processeurs ?

Meltdown et Spectre ont été révélées en 2018 et ont concerné plusieurs familles de processeurs.

Elles illustrent cependant un point toujours valable :

Une faille de sécurité peut se trouver dans un logiciel, un système d'exploitation, une application, un pilote ou même dans la conception matérielle d'un processeur.

C'est pourquoi les mises à jour de sécurité restent essentielles.

Comment se protéger des pirates ?

Il n'existe pas de protection absolue. La sécurité consiste plutôt à empiler plusieurs protections.

1. Maintenir ses appareils à jour

Windows, macOS, Android, iOS, navigateurs et applications doivent être régulièrement mis à jour.

Les mises à jour corrigent notamment des vulnérabilités de sécurité.

2. Utiliser des mots de passe uniques

Un mot de passe ne doit pas être réutilisé sur plusieurs sites. Un gestionnaire de mots de passe permet de générer et de conserver des mots de passe longs et différents pour chaque service.

3. Activer l'authentification multifacteur

Même si un mot de passe est volé, le pirate doit franchir une deuxième protection. Lorsque c'est possible, privilégiez les méthodes modernes comme les passkeys ou les applications d'authentification.

4. Se méfier des messages urgents

Un message qui vous pousse à agir immédiatement doit éveiller votre méfiance. L'urgence est l'une des armes favorites de l'ingénierie sociale.

5. Vérifier les liens

Ne cliquez pas automatiquement sur un lien reçu par SMS ou courriel. En cas de doute, ouvrez vous-même le site ou l'application officielle.

6. Télécharger les logiciels depuis des sources fiables

Évitez les logiciels piratés, les cracks, les générateurs de licences et les applications provenant de sites douteux.

7. Sauvegarder ses données

Une sauvegarde permet notamment de limiter les conséquences d'un ransomware, d'une panne ou d'un vol.

8. Protéger physiquement ses appareils

Un ordinateur laissé déverrouillé ou un smartphone sans code constitue une porte d'entrée particulièrement simple.

Un antivirus est-il indispensable?

Un antivirus ou une solution de sécurité peut apporter une protection supplémentaire, particulièrement sur les ordinateurs. Mais aucun antivirus ne remplace la vigilance de l'utilisateur.

Un antivirus peut détecter de nombreuses menaces, mais il ne peut pas empêcher quelqu'un de :

  • communiquer volontairement son mot de passe
  • saisir ses coordonnées bancaires sur un faux site
  • donner un code de validation à un escroc
  • installer un logiciel présenté comme une fausse mise à jour

La cybersécurité est donc autant une question de comportement que de technologie.

Le meilleur pare-feu se trouve parfois entre la chaise et le clavier

Cette vieille plaisanterie informatique conserve une part de vérité. Les systèmes modernes sont protégés par de nombreuses couches :

antivirus → pare-feu → sandbox → chiffrement → authentification → mises à jour → sauvegardes.

Mais l'utilisateur reste au centre du dispositif.

Un pirate n'a parfois besoin que d'un clic.

Quelques définitions