En 2022, la guerre en Ukraine s’est aussi jouée dans le cyberespace. Les très nombreuses actions menées par les belligérants, et leurs impacts pour les entreprises européennes, ont été recensés dans les travaux du Panocrim du Clusif.

A l’occasion de ses 30 ans, le Clusif, association française de la sécurité du numérique, a présenté les principaux enseignements de ses travaux menés en 2022. Au-delà d’un état global de la menace cyber, ce « Panocrim » a notamment permis de faire un focus important sur l’impact de la guerre en Ukraine.

Quel rapport entre la guerre en Ukraine et la série inédite d’attaques qu’a subi le Costa Rica en avril 2022, devenant le premier Etat au monde a être mis à genoux par des cybercriminels ? Les deux ont mis sous la lumière des projecteurs le groupe Conti et ses agissements (voir encadré). Elles ont aussi illustré plus largement les effets de bord complexes que l’invasion russe pouvait provoquer dans le cyberespace. C’est un des points clés qui ressortent des travaux menés en 2022 par le Clusif, l’association française de la sécurité du numérique, alors que depuis un an les conséquences de la guerre interroge les experts.

Si l’Agence nationale de la sécurité des systèmes d’information (Anssi) estime que l’emploi du terme cyberguerre est abusif dans le cas de l’invasion russe, l’impact dans le cyberespace est cependant bien réel.

Le docteur Michel Dubois, directeur scientifique et technique au sein de la direction de la cybersécurité du Groupe La Poste, et membre du Clusif, a confirmé la variété des actions menées. « Sans parler de cyberguerre, il y a effectivement une vraie utilisation du bras armée cyber dans le conflit » a-t-il souligné avant de revenir sur l’usage qu’en faisait les belligérants.

Sabotages, déclarations d’allégeances, remplacement de FAI…

Du côté pro-russe, outre le défaçage militant de plus d’une vingtaine d’agences gouvernementales ukrainiennes, c’est l’usage de malwares spécifiquement développés pour la guerre qui a marqué. Ces « wipers » (HermeticWiper, IsaacWiper…), ont frappé les infrastructures ukrainiennes, parfois en se faisant passer pour de « simples » ransomwares, mais avec l’objectif de détruire les données des systèmes visés (wiper, faisant référence au fait d’effacer tout simplement les données). Plusieurs d’entre eux étaient présent depuis de long mois, « dormants », dans les SI ciblés.

Si l’armée russe a très tôt bombardé les datacenters ukrainiens pour briser les communications de leur cible, des hackers pro-russes ont également multiplié des actes ou tentatives de sabotages. La plus connue et visible l’a été la veille du conflit sur l’entreprise ViaSat et son réseau satellitaire KAT-SAT, qui fournissait notamment l’armée ukrainienne en connexion internet. Les effets de bords ont été nombreux en Europe : avec près de 10 000 accès internet coupés en France, ou encore des systèmes de contrôle d’éoliennes déconnectés en Allemagne. D’autres tentatives, menées sur le réseau d’électricité ukrainiens ont été cependant moins efficaces.

« En matière de connexion à internet, la Russie a un très fort focus sur la question de la souveraineté. Cela s’est vu aussi dans sa capacité après avoir conquis la ville de Kherson, à couper le FAI ukrainien pour rétablir l’accès internet à travers un opérateur russe en une nuit et contrôler ainsi les informations disponibles » note par ailleurs le Dr. Michel Dubois.

Cette offensive cyber n’est pas allé sans riposte du côté pro-ukrainien. Dès le début du conflit, des activistes biélorusses ont ainsi attaqué la société ferroviaire de leur pays, allié de la Russie, pour ralentir les déplacements et le déploiement de troupe en direction de l’Ukraine.

Une autre action très médiatique a été la création de « l’Armée IT » par le ministre ukrainien du numérique. Cette entité, appelant à la mobilisation de volontaires dans le monde entier, leur a ensuite donné des « kits d’outils cyber » et des cibles à attaquer. Ce qui n’a pas été sans conséquences pour les volontaires, souvent peu préparés à la réalité d’un conflit dans le cyberespace. Des jeunes français se sont ainsi clairement mis en danger de la sorte, d’une part parce que de telles actions sont illégales en France, mais aussi du fait des « hackbacks », les ripostes cyber de leurs adversaires, les ciblant.

Plus de 80 groupes criminels cyber mobilisés

Le célèbre groupe de hackers Anonymous a été très actif dès le début du conflit en menant une intense propagande par SMS et e-mail en faveur de l’Ukraine. Mais leurs actions se sont rapidement élargies, là aussi avec de nombreux effets de bords en dehors du pays agressé : le groupe s’en est pris aux membres de l’Otan et de l’UE, ainsi qu’aux entreprises qui avaient des activités en Russie, afin de pousser ces entités à l’action. Le piratage de la télévision russe pour passer un message anti-guerre et la création d’un embouteillage monstre à Moscou en réservant tous les taxis de la ville à la même adresse, fait partie des autres faits d’armes des hackers pro-ukrainiens.

En dehors de l’Ukraine, les conséquences en rebond au conflit cyber ont été nombreuses. Les Etats-Unis ont voté un texte de loi renforçant massivement leur cyberdéfense, alors qu’en Russie, Facebook et Twitter se voyait tout simplement interdit d’usage. Le géant des bases de données « libre » MongoDB a pour sa part radicalement effacé toutes ses bases de données localisées en Russie. Quant à la première organisation mondiale de bug bounty mondiale, HackerOne, elle a largement sanctionné ses membres à la fois russes et ukrainiens.

Au total, ce sont plus de 80 groupes cyber qui ont été identifiés comme actifs à l’occasion du conflit. Ils se répartissent de façon à peu près égale entre un soutien à la Russie et à l’Ukraine, mais la Russie semble avoir organisé un véritable système, hiérarchisé et rattaché à ses différentes entités militaires et du renseignement officielles, pour ces « suppléants cyber ». Côté ukrainien, l’organisation, plus récente, et également moins ordonnée. Enfin, le Dr Michel Dubois note l’arrivée plus tardive dans les évènements de groupes cyber qui pourraient être associé à la Chine. Ceux-ci font montre d’un grand opportunisme, attaquant des cibles variées autour du conflit, profitant de la confusion amenée par la guerre.