DEPUIS DEUX MILLENAIRES, l’action clandestine œuvre au profit de la diplomatie car, dès la structuration des premiers États, les opérations clandestines étaient déjà une pratique courante dans les relations internationales [1]. En effet, la clandestinité est la capacité à réaliser, sur autorisation politique, des actions non-revendicables et pouvant bénéficier d’un déni plausible (« plausible denial  » [2]). Cependant, la numérisation et la connectivité croissante ont contraint l’exercice de l’action clandestine en raison de la porosité entre les espaces physique et numérique, conduisant à une digitalisation de l’environnement opérationnel des clandestins [3], tandis que la politique étrangère et le renseignement sont désormais pleinement interdépendants [4]. En effet, l’action clandestine peut intervenir tout au long des interactions politiques des États et sert notamment à atténuer les asymétries d’information ou les problèmes liés à un engagement militaire, à améliorer la position d’un État dans les négociations ou éviter la rupture de celles-ci. Dans ce cadre, les opérations offensives menées dans l’espace numérique peuvent être utilisées au profit de négociations ou d’une diplomatie coercitive [5] car présentant d’importantes similarités conceptuelles et doctrinales d’emploi avec l’action clandestine classique.

1. L’action cyberoffensive, nouveau champ d’expression de l’action clandestine ?

Sans avoir une valeur doctrinale, le rapport parlementaire sur le renforcement des forces spéciales de 2014 considère qu’il y a trois types d’actions « spéciales » : les opérations spéciales, les opérations clandestines et les opérations numériques [6]. Constatant une augmentation de ces dernières à travers le monde, les parlementaires mettent en exergue que l’opération numérique présente les deux caractéristiques invariantes de l’action spéciale, car elle est à la fois stratégique (puisqu’elle permet de viser de manière très ciblée) et à fort effet de levier (puisqu’elle démultiplie les effets par rapport aux moyens) [7] : les opérations cyber s’apparentent donc davantage à certaines parties des opérations spéciales et d’autres formes d’actions secrètes [8]. Citant le cas des opérations menées pour contraindre le programme nucléaire iranien, les parlementaires soulignent que l’opération numérique occupera «  une place essentielle dans l’univers de l’action spéciale, à côté des opérations clandestines et des opérations spéciales avec lesquelles elle pourra même se combiner afin de poursuivre un seul et même objectif [9]. »

Les actions les plus sophistiquées menées dans le cyberespace nécessitent un haut degré de compétence car elles sont ciblées, préparées sur de longues périodes et bénéficient de moyens plus importants, ce qui suppose un support logistique et financier, tout comme les opérations clandestines « classiques » [10]. Cette perspective laisse entrevoir le développement des opérations clandestines dans le cyberespace menées par les États, car ces opérations sont ciblées, minutieusement préparées, avec des moyens matériels importants et nécessitent un haut degré de savoir-faire. Ainsi, à l’instar des opérations clandestines menées dans l’espace physique, les cyberattaques les plus perfectionnées supposent une phase de préparation importante, souvent de plusieurs mois [11], avant de déclencher des effets qui peuvent être « quasi instantanés [12] » (dans le cadre d’un sabotage).

La "Cyber Kill Chain" comprend 8 étapes successives.

Une analyse de la Cyber Kill Chain (modèle d’identification et de prévention des intrusions cybernétiques) développée par l’entreprise Lockheed Martin [13], considère que « l’efficacité de la LIO [14] repose en grande partie sur une analyse très poussée de la cible et de son environnement technique et humain, afin d’en saisir les vulnérabilités et la manière de les exploiter pour obtenir l’effet recherché par l’opération [15] ». La Cyber Kill Chain comprend 8 étapes successives : la reconnaissance, l’intrusion, l’exploitation, l’élévation des privilèges, le commandement et contrôle, la dissimulation, les actions sur les objectifs et l’exfiltration [16]. Or, cette succession d’étapes suit un cycle s’apparentant conceptuellement à celui d’une action spéciale ou clandestine [17]. En outre, l’historien Michael Warner considère qu’il existe de fortes similitudes entre les opérations menées dans le cyberespace et les opérations de renseignement [18].

L’action numérique présenterait donc des conditions d’emploi permettant « [...] avec les mêmes moyens, d’agir indifféremment de façon « spéciale » ou « clandestine » et estompe ainsi la frontière entre les deux types d’opérations [19]. » Le cyberespace offre ainsi un nouveau champ d’expression pour l’action clandestine puisqu’il présente des avantages certains pour les attaquants : anonymat renforcé entraînant une difficulté d’attribution, faibles coûts rapportés aux capacités de l’outil, capacité à frapper au cœur des cibles au niveau planétaire (la notion de portée ne relève plus de considérations de distance, mais de connectivité), le tout avec un risque restreint de déboucher sur un conflit armé.

Stuxnet est un exemple concret d’emploi d’une cyberarme à des fins géopolitiques.

Les actions cyberoffensives basées sur la pénétration informatique (sabotage et espionnage) et les manipulations de l’information, en tant qu’outils fonctionnels de l’État, ont donc la capacité d’influencer l’espace entre la diplomatie et la guerre ouverte [20]. Dans ce contexte, elles sont un moyen visant à obtenir une utilité stratégique pour un État, ou une entité, qui tente de les utiliser contre un adversaire afin de modifier la marge de négociation entre deux États avant de s’engager dans une guerre ouverte ou de tenter de l’éviter [21]. Dans ce cadre, l’emploi du ver informatique Stuxnet constitue un exemple concret d’emploi d’une cyberarme à des fins géopolitiques [22].

« Advanced Persistant Threat » (APT) est définie en français comme une « cyberattaque persistante », à savoir « Une cyberattaque qui met en œuvre des moyens humains et techniques importants pour infiltrer durablement les systèmes d’information vitaux d’une organisation ».

2. Les Advanced Persistant Threat (APT) : nouveaux agents clandestins numériques ?

La contiguïté conceptuelle et le mimétisme doctrinal d’emploi résultant de la nature des objectifs visés, conduisent certains auteurs à établir un parallèle entre les agents illégaux du KGB et du GRU pendant la Guerre froide et les APT (Advanced Persistant Threat [23]), malgré les zones d’emploi distinctes (espaces physique et numérique) [24]. En effet, certaines similarités sont mises en exergue car les illégaux étaient parfaitement entraînés, formés, disposant d’un haut degré de technicité, usant d’identités fictives pour ne pas être identifiés, déployés à l’étranger pour de longues périodes et capables de conduire des opérations de collecte de renseignement, de sabotage ou de déstabilisation [25].

Le cyberespace aurait donc permis l’apparition d’« illégaux virtuels » : les APT [26]. À l’instar des « illégaux physiques », ces groupes de cyberattaquants disposent d’un haut degré de compétence, d’une importante capacité de planification, de moyens et de ressources importants, ainsi que des savoir-faire destinés à démarquer leur action [27]. Louis Gautier, en qualité de secrétaire général du SGDSN, soulignait, sans préciser la nature des objectifs visés, que les opérations réalisées par les APT ne sont pas en majorité le fait de hackers isolés, mais de structures hautement professionnelles, disposant d’importantes capacités techniques et logistiques, y compris en matière d’extraction et d’analyse des données [28]. Un parallèle peut donc être établi entre les APT et les agents clandestins si l’on considère les modes opératoires, le soutien logistique nécessaire à la réalisation des missions, la nature de celles-ci et la sémantique employée qui est relative à la clandestinité, rappelant ainsi les conclusions de parlementaires : « L’opération clandestine est susceptible de prendre de multiples formes. […] Elle peut prendre la forme d’actions offensives par des moyens cyber [29]. » En outre, les APT font régulièrement évoluer leurs modes opératoires [30] et analysent les process adverses afin de mieux contourner les systèmes et mesures de sécurité. Ce constat laisse supposer que certains APT s’inscrivent dans une stratégie à long terme avec une capitalisation des savoir-faire techniques et des connaissances, écartant toute action opportuniste.

3. Le complexe recensement des APT en lien avec les États

Si la notion d’APT est révélatrice de la professionnalisation et de la structuration des groupes de cyberattaquants, dont les compétences et les ressources importantes leurs permettent de mener des opérations sophistiquées, il convient de souligner que certains APT «  sont tenus pour être de simples intermédiaires d’États souhaitant masquer leurs actions dans le cyberespace [31]. » Mais quelle est la proportion d’APT en lien avec les États ?

Les rapports parlementaires ou émis par des administrations telle que l’ANSSI ne présentent pas de telles études (les données existantes sont certainement classifiées). En conséquence, il convient de se tourner vers le secteur privé qui émet des rapports de cyber threat intelligence (CTI), sans que leur fiabilité ne puisse être pleinement certifiée. En octobre 2019, le rapport établi par les groupes Thalès et Verint, qui analyse 490 cyberattaques menées à l’encontre de 40 secteurs d’activité dans 39 pays par 66 attaquants différents, détermine la répartition suivante des APT : 49% bénéficient d’un soutien étatique, 26% sont des hacktivistes, 20% des cybercriminels et 5% des terroristes [32]. Or, les attaquants liés à un État se concentrent sur le vol de données sensibles et/ou présentant un intérêt géopolitique, ou relatives à des infrastructures critiques, essentiellement par le moyen de backdoors [33]. En effet, les secteurs d’activité touchés par les APT en lien avec des États concernent les institutions gouvernementales, les organisations de défense, le secteur financier, le transport, l’énergie et le secteur de l’aérospatial [34]. Or, il est souligné qu’au sein des APT, les attaques les plus abouties sont conduites par les groupes d’attaquants les plus aguerris qui sont financés par des États, ces derniers utilisant les APT pour mener des attaques ciblées contre des rivaux géopolitiques et leurs secteurs d’activités stratégiques [35]. Cette tendance est également soulignée dans le rapport conjoint réalisé par les entreprises FireEye et Mandiant en 2020, qui expose que les APT parrainés par les États, souvent centrés sur des objectifs stratégiques, poursuivent leurs objectifs sur des périodes plus longues que les autres APT. Ceci traduit en filigrane leur détermination, leur savoir-faire, leur professionnalisation, la structuration des unités en charge de ces missions : leur action fait l’objet d’une doctrine globale d’emploi [36].

... le rapport souligne que la Chine et la Russie représentent dans le cyberespace les plus grandes menaces en matière d’espionnage et de cyberattaque, mais également que ces adversaires et concurrents stratégiques développeront et intégreront de plus en plus des capacités de cyberespionnage, d’attaque et d’influence...

En 2019, l’Office of the Director of National Intelligence (ODNI) a ainsi émis un rapport soulignant la tendance croissante des entreprises stratégiques à être systématiquement ciblées par des acteurs étatiques pour atteindre leurs objectifs géopolitiques. En effet, le rapport souligne que la Chine et la Russie représentent dans le cyberespace les plus grandes menaces en matière d’espionnage et de cyberattaque, mais également que ces adversaires et concurrents stratégiques développeront et intégreront de plus en plus des capacités de cyberespionnage, d’attaque et d’influence pour influencer les politiques américaines et promouvoir leurs propres intérêts en matière de sécurité nationale [37]. En outre, certains hauts cadres des services ou de l’ANSSI [38] établissent un lien potentiel entre les APT et les États sans toutefois l’affirmer de manière formelle, tout en soulignant le soin apporté par les attaquants pour dissimuler leurs traces. Par exemple, le général Didier Tisseyre, commandant la cyberdéfense, a déclaré en 2020 que les APT utilisent des outils beaucoup plus discrets, ou relevant de la cybercriminalité, afin de complexifier une éventuelle imputation de l’attaque ou pour dissimuler une stratégie d’action [39].

L’emploi de proxies aboutit à une généralisation de l’ambiguïté ou de la dissimulation.

L’action cyberclandestine vise donc à occulter le lien entre les opérateurs et les commanditaires de l’action menée. Si le cloisonnement des structures et des personnels permet de préserver le secret de l’opération, parfois, un démarquage peut être utilisé, notamment par l’emploi de « proxies », c’est-à-dire des intermédiaires ou des groupes de hackers utilisés comme des mercenaires [40]. En effet, l’emploi de structures indépendantes des services permet de conduire des opérations offensives indirectement [41]. Doctrinalement, un tel procédé a été transposé au cyberespace par les États pour conduire leurs opérations cyberclandestines. Ils peuvent employer des structures relevant de leur autorité, mais démarquées de leurs administrations, ou faire appel à des structures ne relevant pas, officiellement, de leur autorité [42]. L’emploi de proxies aboutit à une généralisation de l’ambiguïté ou de la dissimulation [43]. L’avantage essentiel d’une guerre par proxy est la possibilité de nier d’être à l’origine de l’attaque, car cela complexifie d’autant plus l’imputation, puis l’attribution [44]. Or, il y a un consensus croissant dans la littérature académique selon lequel des acteurs non-étatiques opèrent en étroite collaboration avec les autorités gouvernementales pour mener des opérations à caractère stratégique dans le cadre d’une politique globale cyber [45].

C’est ce mode opératoire qui a été privilégié par la Russie qui a eu recours à des proxies pour mener des cyberattaques en Estonie et en Géorgie [46]. Ces proxies étaient composés essentiellement de cybercriminels, mais sous le contrôle opérationnel du FSB et du GRU pour les opérations importantes ou complexes [47]. Le hacker russe Pyotr Levashov, connu pour être un important « spammeur », a ainsi employé son réseau de machines au profit des services de renseignement russes, dans le cadre de l’opération destinée à influencer la campagne électorale américaine de 2016 par l’envoi massif de courriels favorables à Donald Trump, ainsi que pour faciliter l’accès à des machines qui étaient utilisées par des autorités américaines [48]. En outre, un ancien employé de l’entreprise de cybersécurité russe Kaspersky a également exposé l’existence de procédés de recrutement de hackers et de cybercriminels au profit des services de renseignement russes [49]. D’autres États, tels que la Chine, l’Iran et la Corée du Nord, ont également recours de manière croissante à des cybercriminels et des hackers pour mener leurs opérations cyberclandestines [50].

Plusieurs éléments permettent donc de caractériser les proxies qui œuvrent au profit d’États : les importantes ressources et savoir-faire techniques mis en œuvre [51] et la nature des objectifs visés. En effet, ces derniers recouvrent souvent un caractère stratégique [52]. Il y aurait donc une tendance croissante des États à avoir recours à ces structures démarquées pour dissimuler leurs activités clandestines dans le cyberespace [53]. L’emploi d’APT comme des proxies permet de mener des opérations de renseignement hautement sensibles en mettant en œuvre des capacités dont l’existence même peut être niée, car certaines structures sont éphémères, montées spécifiquement pour certaines opérations [54].

Conclusion

In fine, le cyberespace est donc un théâtre opérationnel dans lequel des acteurs, étatiques ou non-étatiques, agissent constamment pour atteindre des buts politiques en exploitant toutes les possibilités offertes par ce nouveau milieu. Dans ce cadre, les APT étatiques opèrent directement, ou indirectement via des intermédiaires (proxies) plus ou moins transparents [55], en mettant en œuvre des savoir-faire limitant les risques d’identification. Ce démarquage renforce l’anonymat des belligérants, qui peuvent dans certains cas nier l’existence même des structures en charge des opérations (concept du plausible denial [56]) car n’étant rattachées officiellement à aucune administration, tout en menant des actions traditionnellement conduites par les États (espionnage, sabotage, déstabilisation) [57]. Dans ce cadre, les attaquants affiliés aux États se distinguent des groupes criminels en raison des objectifs visés : promotion d’objectifs politiques, économiques et idéologiques à des fins géopolitiques [58], ainsi que par la sophistication et le savoir-faire requis pour les opérations.

La révolution numérique a eu de larges impacts sur les modes opératoires offensifs possibles car elle est le corollaire d’une innovation continue où l’interconnexion générale des différents secteurs de l’économie et de la société accroît les vulnérabilités. Cette numérisation croissante des sociétés et des individus a donc rapidement été initiatrice de nouveaux comportements transgressifs, mais également de nouveaux modes opératoires permettant à des structures étatiques, ou des groupes « para-étatiques » soutenus et tolérés par l’État officiellement ou clandestinement, de contraindre des adversaires sans revendication officielle de l’attaquant.

Copyright Décembre 2024-Martin/Diploweb.com