« Il y a une vraie mobilisation, et nous sommes dans les temps »

« Un an, ce n’est pas trop tard ! ». Sur la scène d’un amphithéâtre de la Défense (Hauts-de-Seine), l’expert de l’Agence nationale de la sécurité des systèmes d’information (Anssi) l’assure : pour préparer les Jeux olympiques et paralympiques (JOP) de Paris, en 2024, il est encore temps de s’y mettre. Et justement : l’Anssi, responsable de la sécurité numérique de l’Etat, a convié quelques dizaines de décideurs en lien avec les Jeux (collectivités, fédérations sportives, opérateurs de transport, etc.), mercredi 5 juillet, pour faire un point d’étape sur la question de la protection numérique de l’événement, pour les sensibiliser aux risques et évoquer les mesures de bases pour les déjouer.

« Les JO sont un événement hors-norme en matière de cybersécurité. Je pense que nous sommes dans les temps. Il y a une vraie mobilisation, et ça, c’est très rassurant », assure Vincent Strubel, le directeur de l’agence, désignée par la première ministre comme responsable de la cybersécurité des JO.

Un budget d’un peu plus de dix millions d’euros a été alloué à l’agence par la loi relative aux Jeux olympiques pour faire réaliser des audits de sécurité. « On a fait le tour des stades, des collectivités qui vont accueillir des épreuves et on audite tout le système numérique qui sous-tend les JO. Ce travail est bien engagé », se félicite M. Strubel. Une première cartographie de tous les acteurs impliqués a été réalisée et des réunions entre l’Anssi et le comité d’organisation ont lieu toutes les semaines.

Lire aussi : JO 2024 : comment le comité d’organisation se prépare aux cyberattaques

Le pire scénario… pour s’entraîner

L’agence a aussi réalisé, en juin, avec notamment le ministère de l’intérieur et le comité d’organisation, un ambitieux exercice. « C’était un scénario qui visait à tester ce qui peut se produire de pire : une cérémonie d’ouverture totalement perturbée et des attaques dans tous les sens », explique le directeur de l’Anssi. L’idée était, pour les différents acteurs étatiques, de « tester toutes les interactions, qui fait quoi, qui parle à qui », précise M. Strubel. D’autres exercices vont être réalisés d’ici la fin de l’année.

Le directeur de l’agence a aussi longuement énuméré les différentes menaces qui pèsent sur l’événement et qui forcent, dit-il, à une « saine paranoïa ». La principale, c’est une attaque contre la compétition sportive elle-même. « On peut imaginer des attaques contre le chronométrage ou le système antidopage, voire le transport ou la billetterie. Bref, tout ce qui permettrait de créer des perturbations visibles », précise Vincent Strubel.

Mais d’autres attaques, de moindre intensité, sont également dans le radar des autorités : des offensives en « déni de service », visant à surcharger les systèmes (sites Web en particulier) de connexions afin de les rendre inaccessibles, du vol de données, des détournements de comptes sur les réseaux sociaux ou, plus largement, des arnaques en ligne visant les nombreux visiteurs.

Quatre sources de menaces ont été identifiées. La première est celle venant d’Etats hostiles, en particulier la Russie. Cette dernière a un passif en la matière : elle avait tenté de faire dérailler la cérémonie d’ouverture lors des Jeux de Pyeongchang (Corée du Sud), en 2018. La grande inconnue en la matière va être l’inclusion, ou non, des athlètes russes et biélorusses dans les compétitions.

La Russie avait vertement réagi à l’exclusion de certains de ses athlètes par le passé : des groupes de pirates issus des services de renseignement militaires russes s’en étaient pris à l’Agence mondiale antidopage, notamment après l’exclusion d’athlètes russes pour dopage. Ces attaques nécessitent une longue période de planification, mais l’Anssi assure ne pas disposer d’informations, à ce stade, quant à d’éventuelles premières manœuvres visant Paris 2024.

La cybercriminalité inquiète

Les activistes, qui « verront dans les Jeux un porte-voix hors norme », mais aussi la cybercriminalité inquiètent également les autorités françaises. Cette dernière, fléau omniprésent, sera plus intense lors de la période olympique, selon Vincent Strubel. Selon lui, les pirates pourraient faire le pari que les entreprises seront plus promptes à payer des rançons – le principal mode opératoire de ces gangs consiste à paralyser un système informatique et de rançonner son propriétaire – dans un contexte de surcroît d’activité accompagnant les Jeux.

Globalement, l’Anssi craint que tout le tissu économique pâtisse d’un surcroît d’activités malveillantes en ligne. « Cela concerne tout le monde, et tout le monde peut être attaqué pendant les JO », martèle son directeur : « au-delà des infrastructures sportives, il y a tout le reste, cela nécessite de passer des messages simples : de bonnes pratiques de sécurité, des bons réflexes et de la préparation. »

Lisez aussi notre enquête : Attaques aux rançongiciels : la déferlante

Tout au long de la journée, des agents de l’Anssi se sont relayés pour évoquer les principaux vecteurs d’attaques possibles et les bonnes pratiques pour les limiter. Un conseil en particulier a été martelé : anticiper un piratage en limite énormément les dégâts. « Gérer une crise, c’est une question d’entraînement », a ainsi lancé un des spécialistes de l’Anssi.

Martin Untersinger