Les menaces cybernétiques ne prennent pas en compte l’ingénierie sociale
Les sujets sur la cyber-guerre sont d’actualité. En septembre dernier, la revue américaine spécialisée Foreign Affairs racontait comment le système informatique du Pentagone a été pénétré par le biais d’un portable embarqué par un GI de l’armée américaine en Irak. Sur la Toile, les histoires de vols d’informations entre firmes sont aussi devenues courantes. Dans Netbrain, les batailles des nations savantes, je décris quelques unes de ces batailles qui se terminent généralement dans les prétoires des cours internationales. Dans la panoplie des cyber-guerriers nous avons aussi les opérations de sabotage à distance.
Une tactique fort utile pour détruire des sites d’ennemis politiques ou mettre à mal des installations industrielles. La circulation d’un virus mystérieux « Stuxnet » fait actuellement beaucoup parler de lui. On lui attribue le pouvoir de perturber le fonctionnement des centrifugeuses iraniennes et le pilotage de processus industriels complexes comme une centrale électrique ou une chaine robotisée utilisant des codes Windows (WinCC). Les observateurs spécialisés ne doutent pas de la volonté de sabotage de ses concepteurs. Dans un communiqué de septembre 2010, Siemens concluait que Stuxnet était le produit « d’experts en informatique doués de connaissances en ingénierie des contrôles industriels ». Les commentaires sur le fait d’avoir utilisé un OS de type Windows, considéré comme une passoire par les hackers, n’auront pas manqué à l’occasion de la publication de l’affaire. Mais cette paranoïa militariste est-elle crédible ? On évoque volontiers la sophistication progressive des « bombes logicielles » capables de créer des dysfonctionnements majeurs dans des installations industrielles[1] ou militaires. Mais ce sensationnalisme qui fait le bonheur des auteurs de science fiction et du cinéma ne doit pas nous faire oublier une guerre plus insidieuse : la guerre cognitive.
Toutes ces menaces cybernétiques à traiter avec sérieux masquent en effet un autre danger, une menace tout aussi terrible, celle de « l’ingénierie sociale » par le Web. Par exemple, le coup d’une installation de gaz qui explose, soit disant par le fait d’un hacker plutôt qu’à cause d’un mauvais entretien du réseau, n’est-elle pas plutôt à mettre sur le compte d’une manipulation de l’opinion publique. Le social engineering est une manipulation des populations pour obtenir quelque chose sans qu’il soit nécessaire de disposer de compétence technique mais plutôt une excellente connaissance des comportements cognitifs. De ce point de vue, on l’aura compris, Internet est devenu un formidable levier pour agir sur les comportements individuels ou collectifs. La création d’évènements collectifs sur la base parfois de faits imaginaires n’est plus un secret pour personne. Imaginons qu’une série d’informations laissent entendre que nos centrales sont vulnérables et que des anomalies préoccupantes mobilisent les ingénieurs d’Areva. Tout cela, associé à la connaissance d’un virus dangereux pour les automates industriels, créerait une tension sociale voire économique qui pourrait s’avérer tout aussi prédatrice que des sabotages technologiques. Parler de la cyber-guerre par les technologies n’est qu’une toute petite partie du problème. Utilisée à mauvais escient, l’ingénierie sociale est une menace qui n’est pas suffisamment étudiée, ni suffisamment connue du grand public face aux manipulations dont il peut faire l’objet. Il s’agit pourtant d’une des armes les plus anciennes et les plus redoutables des guerres psychologiques que se font des armées de l’ombre. Les manipulations des citoyens en utilisant la Toile sont des guerres des contenus qui peuvent aboutir à de véritables « Pearl Harbour » intellectuels et sociaux. L’ingénierie sociale se fonde sur une supercherie tendant à faire croire à certaines personnes la véracité d’informations fantaisistes. La plus familière aux internautes est celle de l’annonce de l’existence d’un virus imaginaire voyageant par mail. Elle incite le possesseur d’un PC à vérifier l’existence puis à éliminer, toutes affaires cessantes, un code spécifique de l’ordinateur. Malheur à celui qui se laisse impressionner sans prendre de précautions par cette fausse alerte à la bombe logicielle. Le voilà désormais possesseur d’un PC inutilisable. 
Les manipulateurs utilisent les failles psychologiques des êtres humains pour modifier ou organiser un comportement particulier. L’utilisation de la générosité, de la crainte, de l’appât du gain mais aussi des paranoïas collectives est un classique du genre. La subtilité de l’ingénierie sociale consiste à faire en sorte que les cibles visées se persuadent de la véracité des informations qui leurs sont envoyés, le plus souvent de façon anonyme et informelle. Les gens croient volontiers les informations qui vont dans le sens profond de leurs préventions « a priori ». Certains conflits entre des groupes ethniques ou religieux entretenus par le sectarisme ou le racisme n’ont pas d’autres fondements. C’est une des thèses que développe un collectif d’auteurs français dans leur livre « La guerre cognitive, L’arme de la connaissance[2] », sous la direction de Christian Harbulot et Didier Lucas. Les auteurs montrent les caractéristiques des guerres du cognitif qui opposent des capacités à connaître et produire ou déjouer des connaissances. Ils dénoncent les carences de la France en matière de guerre dans le domaine du contenu. Un constat qui a abouti à l’élargissement des actions de formation de l’Ecole de Guerre Economique aux sciences sociales et cognitives, dans la continuité des travaux sur le soft power très en vogue dans les états-majors américains. Cet ouvrage devrait être, un temps, le livre de chevet des élus de l’Assemblée nationale rarement réputés pour leur familiarité avec les données techniques et stratégiques de leur époque. Une carence soulignée par Alain Bauer dans un récent rapport pour dénoncer le déficit d’une pensée stratégique moderne qui ne soit pas uniquement basée sur des prouesses technologiques.
Pour en savoir plus . Voir bibliothèque spécialisée.
[1] Pour plus d’informations se référer au n° 1034 de Courrier International du 26 août 2010
[2] Editeur : Lavauzelle Voir aussi http://www.ege.fr/download/victoiremilitaire.pdf
