Cyber-guerre: hype ou réalité?

Au cours des derniers mois, les informations relatives à l’imminence d’une cyber-guerre se sont multipliées. Depuis des blogs jusqu’à la télévision, on nous annonce partout que nous n’en serions plus très loin. Mais est-ce vraiment le cas? Ou cela relève-t-il de la hype? Il est peut-être nécessaire de proposer une définition de la cyber-guerre pour répondre réellement à cette question.

Au cours des derniers mois, les informations relatives à l’imminence d’une cyber-guerre se sont multipliées. Depuis des blogs jusqu’à la télévision, on nous annonce partout que nous n’en serions plus très loin. Mais est-ce vraiment le cas? Ou cela relève-t-il de la hype? Il est peut-être nécessaire de proposer une définition de la cyber-guerre pour répondre réellement à cette question.

Par “guerre”, je ne veux pas parler de la Syrie ou de l’Irak où tombent de nombreuses victimes. De plus, ce terme suppose que deux parties (ou plus) se livrent à des attaques. Les aspects de victimes et d’agression mutuelle me semblent essentiels pour comprendre la notion de guerre et même de cyber-guerre. Et par rapport à une définition qui englobe ces deux aspects, je ne pense pas que nous soyons près de voir apparaître une véritable cyber-guerre. Nous avons peut-être vu les signes avant-coureurs de cyber-guerres en Estonie et en Géorgie. Après ces incidents, il est de notoriété publique que la Russie était derrière les attaques portées contre l’infrastructure de ces pays. Quant à savoir si des victimes sont à déplorer après ces faits, il nous est difficile de l’affirmer. Et nous ignorons aussi si les pays attaqués ont riposté. En raisonnant de la sorte, je n’essaie pas de justifier le comportement d’un Etat agressif. Simplement, ces attaques ne peuvent être qualifiées de cyber-guerre.

Le terme cyber-guerre s’applique surtout quand une arme supposée est découverte. Flame, Duqu et Gauss en sont des exemples éloquents. Ces programmes logiciels ont été utilisés comme des outils de cyber-espionnage contre des cibles très spécifiques au Moyen-Orient. Comme les infections avec ces malware sont restées relativement limitées aux régions qu’elles visaient, et que les maliciels ont infecté peu d’ordinateurs et de réseaux qui n’intéressaient pas l’attaquant, ces attaques peuvent être comparées à des bombardements de précision. Mais il ne peut être question en l’occurrence de victimes à déplorer, ni d’agression mutuelle, de sorte que je ne parlerais toujours pas de cyber-guerre.

C’est grâce aux attaques évoquées plus haut que des projets de cyber-stratégies voire de cyber-commandos ont entre-temps été examinés partout dans le monde, au sein de différents gouvernements. Désormais, il existe même des plates-formes de communication permettant aux gouvernements de discuter entre eux de ce sujet, de sorte qu’ils sont mieux à même d’évaluer d’où des attaques de ce genre peuvent provenir. La mise au point d’accords en matière de cyber-guerre entre les Etats semble toutefois nettement plus difficile.

Mais est-il pour autant prématuré de se consacrer dès à présent à des stratégies de ce type, si l’on ne voit encore aucun signe de risques d’éclatement d’une cyber-guerre? En ce qui me concerne, la réponse à cette question est négative. Il est raisonnable de déterminer au préalable la manière de réagir s’il apparaît qu’un Etat fait l’objet d’une cyber-attaque. Par exemple, s’il arrive quelque chose aux installations d’eau ou d’électricité, dont les citoyens pourraient alors être victimes. Il est bon d’élaborer différents scénarios et de préparer une marche à suivre en l’occurrence. Des vies humaines pourront ainsi être sauvées. Et l’on évitera de réagir de manière déraisonnable vis-à-vis de l’agresseur supposé. Bref, une bonne préparation à une cyber-guerre peut éviter d’en arriver vraiment à une cyber-guerre.

Dans l’intervalle, je plaide pour que l’on classe dans des catégories adéquates les attaques qui peuvent survenir çà et là, par exemple comme cyber-espionnage ou cyber-sabotage. De même, le terme de cyber-terrorisme n’est guère souhaitable, selon moi. Naturellement, il a un écho sensationnel et fort, et peut inciter des lecteurs à lire l’article, mais toute l’attention des médias pour un phénomène qui n’en est pas un et qui arrive par exemple dans la presse juste avant une grande conférence, peut également entraîner une angoisse inutile. Aucun véritable acte terroriste n’a encore été perpétré via l’internet, et pourtant on pourrait penser le contraire à en croire les médias. Les terroristes utilisent certes l’Internet pour communiquer, pour diffuser leur propagande et trouver des partisans, mais – à ma connaissance – il n’y a pas encore eu d’attaques ayant causé des morts ou des blessés par ce biais.

L’abus de termes comme cyber-guerre et cyber-terrorisme pour susciter la peur me fait de plus en plus souvent repenser au climat des années soixante et septante, à savoir la période de la guerre froide. Cette guerre était elle aussi principalement basée sur une profonde méfiance vis-à-vis de l’autre et une peur paralysante que celui-ci pourrait passer à l’attaque. Dans plusieurs décennies, peut-être parlera-t-on de notre temps et de cette période comme de la cyber-guerre froide.