À moins d’un an de la cérémonie d’ouverture des JO de Paris 2024, la Coupe du monde de Rugby sert de répétition générale sur le plan cyber. Pauline Mendiela, consultante en sécurité IT pour le cabinet de conseil Finegan évoque des risques décuplés pendant la quinzaine olympique.

Sur le plan cyber qu’attendez-vous de la Coupe du monde de Rugby à moins d’un an des Jeux olympiques ? 

Pauline Mendiela : C’est très une bonne préparation. On est sur deux événements de sport d’envergure internationale et très attractifs. Après la finale, près de deux millions de spectateurs auront été dans les stades, les villages dans près de neuf villes. Il y a quelques similitudes au niveau de l’organisation. Sur le plan purement cyber, la surface d’attaque est énorme. On trouve aussi une multitude de prestataires qui participent à la réussite, des diffuseurs jusqu’aux buvettes en passant par les réseaux ou les infrastructures. Il y a aussi ce qui est en dehors du périmètre du comité d’organisation mais qui peut avoir un impact sur la compétition. Par exemple, on imagine bien que la SNCF ou la RATP étaient attaquées avec un arrêt des services, ce serait dramatique en termes d’image.  

Bien qu’il puisse y avoir un parallèle, quelles sont les différences majeures ? 

PM : On retrouve beaucoup de similitudes entre ces deux compétitions mais des échelles différentes. Durant les Jeux olympiques il y a tellement de disciplines dans des lieux différents et en même temps que ça va rajouter de la difficulté en termes de surveillance, d’organisation et de protection. Il y a un certain caractère d’urgence sur ce type de compétitions. Il faut être réactif. On n’a pas trois jours pour rétablir les services. Visa est le partenaire privilégié pendant les JO pour l’ensemble des paiements. S’il y a un arrêt de leur service en raison d’une attaque cyber, on ne peut pas se permettre de perdre plusieurs jours avant de le rétablir.

Est-ce que si tout se passe bien pendant cette Coupe du monde, on pourra se permettre d’en conclure que la France est prête sur le plan cyber pour les JO ? 

PM : Ce serait un peu prématuré. Personne ne se risquera à dire qu’on est prêt et qu’on sera les meilleurs. Sur un plan géopolitique, on est sur une période très instable. Le conflit entre l’Ukraine et la Russie est encore présent. Si le comité des JO décidait d’exclure des athlètes russes, on pourrait très bien avoir des attaques catastrophiques sur des infrastructures en lien avec les JO ou sur des infrastructures nationales. Ce serait une vengeance de la part de pays qui ont une force de frappe assez importante sur le plan cyber. De plus, pendant la billetterie, il y a eu énormément de faux sites qui se sont créés le jour même. Des milliers de personnes se sont fait avoir. L’Anssi a fermé près de quarante faux sites ce jour-là. Cela nuisent de manière plus ou moins directe sur l’image de l’événement et de la France aux yeux des spectateurs. On a beau tout prévoir et être prêt, il y a toujours des failles. 

Peut-ont dire que sur le plan cyber, cette Coupe du monde est pour l’instant concluante ? 

PM : Pour l’instant il n’y a pas eu d’incident critiques majeurs durant la compétition. Au début de l’été, la FFR a subi une attaque avec du vol de données chez les licenciés, ça a réveillé un peu tout le monde. Aujourd’hui, les attaques peuvent être plus vicieuses parce que les attaquants peuvent compromettre un système, rester dans le système plusieurs semaines et lancer la charge au moment opportun sans que les outils de détections n’alertent sur le long terme. C’est ce qui s’est passé aux JO de Pyeongchang (Corée du Sud) en 2018. Ce jour là, il y a eu une interruption des systèmes d’information en raison d’une attaque lancée quelques minutes avant la cérémonie d’ouverture. Les technologies de détection n’avaient pourtant pas vu d’intrusions au préalable. On n’est pas à l’abris que cela puisse arriver durant la Coupe du monde de Rugby tant que celle-ci n’est pas terminée.

Sera-t-on au courant de toutes les attaques ? 

PM : Non on ne sait pas tout. Peut-être que des prestataires se sont fait attaquer et ont payé la rançon. Il y a quand même une partie très obscure sur le plan cyber et sur la gestion des incidents. On n’a pas de visibilité et il n’y a pas d’obligation de déclarer les événements aux autorités. S’il y a des incidents visibles, petit à petit la presse est au courant mais c’est rare que les entreprises communiquent. Cela peu impacter significativement la confiance des investisseurs donc on comprend que les entreprises ne veuillent pas forcément communiquer. 

S’il y a une attaque mais qu’elle n’impacte pas le cours de la compétition, est-ce que l’on pourra dire que c’est une réussite ?