Les cybercriminels de l’espace : mythe ou réalité

Tout le monde sait que les auteurs de science-fiction adorent imaginer que des astéroïdes ou d’autres morceaux de la Lune vont s’écraser sur la Terre. Le film Moonfall, qui va sortir dans toutes les salles près de chez vous en février, ne se concentre pas sur ce désastre naturel mais plutôt sur quelque chose qui ressemble à une menace artificielle qui repose sur la technologie. Vous allez certainement entendre le nom de Kaspersky parmi les solutions de sécurité utilisées dans ce thriller de l’espace.

Ne vous inquiétez pas, cet article ne contient pas de spoiler. Nous cherchons plutôt à savoir à quoi ressemblerait une menace informatique venant de l’espace dans le monde réel. Les auteurs de science-fiction l’ont compris depuis longtemps : selon eux, quelqu’un utilise souvent son ordinateur portable personnel pour dérouter un missile, pour envoyer un ordre unique qui lui permet de pirater un centre de contrôle et de détruire une armée entière de drones, ou encore pour déchiffrer au dernier moment le code d’un sas et dire à toute son équipe « Bon, il ne nous reste plus qu’à essayer les 600 milliards de combinaisons possibles ! » Dans d’autres cas, ce sont des extraterrestres qui, à l’aide de signaux radio, pénètrent dans le matériel de recherche spatiale des terriens et qui en profitent pour pirater Internet et les personnes qui y sont connectées. Plutôt impressionnant, n’est-ce pas ?

En réalité, nous n’allons pas voir de sitôt des attaques informatiques à grande échelle réussissant à s’en prendre aux technologies spatiales. Pourtant, nous avons des doutes parfois. Certaines personnes qui croient en la théorie du complot ont accusé les cybercriminels d’être à l’origine des derniers échecs de lancements de sondes russes sur Mars. Cela semble assez logique : après tout, en 1971, la sonde spatiale soviétique Mars 3 était la première à se poser sur Mars, et a même déployé le tout premier rover sur Mars. Vous pensez donc que les choses ne peuvent que s’améliorer. Mais un quart de siècle plus tard, en 1996, la fusée Mars 96 de quatre étages a pris feu peu de temps après le décollage. Il y a ensuite eu un autre échec en 2011, lorsque la mission spatiale russe Phobos-Grunt, qui emportait Yinghuo 1, le premier microsatellite chinois qui devait être placé en orbite autour de Mars, a raté son lancement et n’a pas survécu.

Évidemment, les rapports officiels de ces accidents ne parlent à aucun moment des cybercriminels. Mais si vous lisez cet entretien de l’ancien directeur général de Lavochkin Research and Production Association, il apparaît clairement qu’il y avait de gros problèmes de sécurité et que le logiciel des vaisseaux spatiaux qui se dirigeaient vers Mars pouvait facilement être saboté avant le lancement.

C’est à cause de toutes ces histoires, qu’il y a quelques années de cela mon collègue et moi-même avons abordé le sujet de l’espace lors d’une conférence sur la cybersécurité. En général, les autres interventions étaient intéressantes, mais les experts nous ont ramené à la réalité lorsqu’il s’agit d’attaques informatiques. Ils ont expliqué que les stratégies de piratage traditionnelles ne fonctionnent pas sur les systèmes de contrôle spatiaux. Lors d’une approche classique, les cybercriminels achètent un contrôle publiquement disponible, télécharge le micrologiciel du fabricant, l’analyse facilement, fait quelques tests puis lance une attaque sur le vrai système en exploitant les vulnérabilités trouvées. Mais les technologies de l’espace sont uniques. Vous devrez analyser le même système pendant plusieurs années avant de trouver une solution pour le pirater, et il vous sera impossible d’en trouver un autre pour faire vos tests.

Cela signifie que les principales vulnérabilités ne « rodent pas », mais qu’elles sont sur Terre. C’est ce que les experts en systèmes spatiaux nous ont dit. Ce n’est pas propre à un thriller, mais plus à une comédie. Imaginons que vous recevez les données secrètes d’un satellite et que vous devez les envoyer à un client. Comment faire ? Vous utilisez votre connexion Internet ordinaire et toutes ses failles ? Si vous voulez agir autrement, vous pouvez avoir recours à des méthodes plus anciennes : des messagers qui transportent des mallettes pare-balles.

Voici une autre histoire terrestre. En septembre 2018, des agents du FBI ont évacué le Sunspot Solar Observatory du Nouveau-Mexique et l’ont fermé pendant une semaine. Y avait-il des extraterrestres ? Après tout, c’est comme ça que le roman de science-fiction de Robert Charles Wilson, Blind Lake, et que la nouvelle d’Ondřej Neff, White Cane 7.62, commencent. Non, la raison était beaucoup plus simple : un des concierges de l’observatoire utilisait la connexion Wi-Fi de l’établissement pour télécharger de la pédopornographie.

Cela ne signifie pas pour autant que la cybersécurité spatiale ne rencontre aucun problème et que nous pouvons nous détendre et nous moquer de ces théories loufoques des films sur l’espace. En fait, beaucoup de choses ont changé au cours de ces dernières années. Dans les nouveaux systèmes spatiaux, le matériel informatique analogique d’une des technologies de ce genre cède la place à des solutions numériques de plus en plus standardisées et fabriquées par des fournisseurs très connus. Cela n’est pas surprenant. Après tout, les géants de l’informatique prétendent être les leaders de l’espace au 21^ème siècle.

Space X en est l’exemple même, soutenue par Elon Musk en personne, le fondateur de PayPal. Blue Origin est une des autres entreprises actives dans la construction spatiale, en sous-orbital pour le moment, et son créateur n’est autre que le fondateur d’Amazon, Jeff Bezos. Il y a aussi SpaceShipOne, entreprise fondée par Paul Allen, co-fondateur de Microsoft avec Bill Gates. SpaceShipOne est ensuite devenue SpaceShipTwo lorsqu’elle a été reprise par Richard Branson. Google essaie aussi de trouver sa place dans cette course de l’espace avec la compétition Lunar X Prize pour la fabrication d’un rover lunaire. Plus tard, Mark Zuckerberg, que nous n’avons pas besoin de présenter, a fait équipe avec Yuri Milner, le fondateur de Mail.ru et du fond d’investissement DST Global Venture, pour créer le projet de sondes interstellaires Breakthrough Starshot. Au cours de la prochaine décennie, la sonde Starshot devrait être lancée pour se rendre à l’exoplanète la plus proche de la Terre, Proxima Centauri b.

Évidemment, si nous devions faire aujourd’hui ce transfert de l’industrie informatique vers l’espace, nous emmènerions avec nous tous les problèmes existants, qu’il s’agisse de cette insupportable pratique Agile ou des guerres entre cybercriminels.

Tout cela affecte avant tout la communication des satellites. Par exemple, il y a quelques années de cela, la mafia brésilienne a eu l’idée d’utiliser des satellites militaires américains. Les criminels ont réalisé que pour recevoir gratuitement une communication de qualité et anonyme, il leur suffisait d’assembler une antenne assez simple.

Une autre caractéristique a beaucoup de valeur pour les cybercriminels : l’inaccessibilité physique des satellites. Imaginons qu’un groupe de cybercriminels contrôle des botnets. Pour déjouer une des leurs attaques, les forces de l’ordre doivent pouvoir tracer l’adresse du centre de commande et contrôle, puis se rendre chez le fournisseur pour saisir le serveur en question. Mais comment pourraient-elles saisir un serveur qui se trouve physiquement au fond de la jungle et dont l’adresse flotte dans l’espace ? Aucune chance. C’est pourquoi les groupes d’APT, comme Turla, arrivent à utiliser des liens de satellites piratés pour leurs activités.

Il est tout à fait possible que le lancement de nouvelles constellations de satellites en orbite basse (OneWeb, Starlink et Sfera) aide les cybercriminels. Les experts en sécurité détectent déjà dans ces projets de l’espace les mêmes problèmes que ceux que l’industrie informatique terrestre rencontre depuis bien longtemps. Les fabricants essaient de réduire les coûts autant que possible, et c’est pourquoi ils utilisent des composants économiques et largement disponibles pour assembler et entretenir ces grandes constellations de satellites. La plupart de ces composants n’ont pas été analysés à la recherche de vulnérabilités puisque cela voudrait dire que les fabricants doivent dépenser plus d’argent. D’autre part, les cybercriminels peuvent facilement trouver ces composants sur Terre et identifier les vulnérabilités dont ils ont besoin pour lancer une attaque, voire pour les déployer en amont. De plus, il n’y a toujours aucune norme nationale quant à la cybersécurité des satellites.

Je souhaiterai conclure cet article en partageant un autre scénario, notamment pour les gens qui ont l’habitude de dire « Cela ne me concerne pas. Je n’ai pas des millions d’euros que l’on voudrait me voler, ni de serveur que l’on pourrait pirater. » Si vous appartenez à ce groupe de personnes, je vous conseille de regarder le film russe de science-fiction Invasion, qui décrit de façon très réaliste une attaque qui s’en prend aux personnes ordinaires. L’intelligence artificielle de l’espace qui a pris le contrôle des télécommunications commence par appeler tous les êtres humains, en imitant la voix de leurs supérieurs et de leurs proches, pour leur demander de faire certaines choses. Les gens acceptent et se transforment en une armée obéissante de zombies.

Si nous laissons de côté l’origine extraterrestre de ce piratage, cette attaque a des éléments qui nous sont familiers : il suffit de combiner les méthodes modernes utilisées pour les escroqueries au téléphone avec une collecte plus détaillée des données personnelles (oui, cela se fait déjà), une simulation vocale (ça existe déjà), et des attaques qui ciblent les satellites pour pirater les systèmes de communication, ce qui est loin d’être impossible ; mais vous l’avez certainement déjà compris à ce stade.

Pour résumer, ne vous endormez pas sur vos lauriers et ne pensez pas que les cybercriminels de l’espace ne vont pas s’en prendre à vous. Finissez votre bol de céréales galactiques Crunch, buvez votre jus de fruits et mettez à jour votre antivirus de l'espace.