Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. En 2013, Apple, Facebook, Microsoft et Twitter sont compromis par un forum de développeurs iOS que leurs ingénieurs fréquentaient, piégé avec un exploit Java. Aucun courriel n'a visé les employés. Comment nomme-t-on cette technique ?
Une attaque par point d'eau
L'expression est empruntée à l'image du prédateur qui attend ses proies autour d'un point d'eau, lieu de passage obligé. Apparue dans la littérature de sécurité vers 2012, elle décrit une compromission indirecte, particulièrement efficace contre des cibles très protégées en accès direct : administrations, industriels de défense, instituts de recherche, grandes entreprises technologiques. L'attaquant renonce à forcer la cible et compromet à la place un site que ses employés fréquentent, forum professionnel, association sectorielle, organisme de normalisation, où il injecte un code malveillant ou un exploit de navigateur. Le déplacement est celui qui compte pour évaluer un risque : le niveau de sécurité qui protège l'entreprise n'est plus le sien, c'est celui du site le plus faible que son personnel visite. Le cas de 2013 est probant précisément parce que les quatre victimes comptaient parmi les organisations les mieux défendues au monde et qu'aucune tentative directe n'a été nécessaire.
Fiche du glossaire →2. Un salarié saisit « reuassurance-corp.com » au lieu de « reassurance-corp.com ». Le domaine affiche une copie parfaite du portail interne et collecte ses identifiants. Sur quoi repose cette technique ?
Sur l'enregistrement de variantes légèrement modifiées d'un nom de domaine légitime
Le typosquatting, aussi appelé détournement d'URL, consiste à enregistrer des variantes légèrement modifiées d'un nom de domaine connu pour capter le trafic erroné ou usurper l'identité du site légitime. Les variantes exploitées suivent la façon dont les gens se trompent : fautes de frappe proches sur un clavier, substitution de caractères visuellement similaires dits homoglyphes, comme le chiffre zéro à la place de la lettre o, oubli ou ajout d'un trait d'union, et combo-squatting qui adjoint un mot générique au domaine légitime, du type banque-secure ou paypal-login. Né dans les années 1990 comme pratique commerciale opportuniste pour capter des visiteurs distraits, il est devenu un vecteur d'hameçonnage à part entière. Ce qui le distingue des trois autres réponses proposées est important pour un souscripteur : il n'exige aucune compromission d'un système de l'entreprise, ni de son DNS, ni de son autorité de certification, ni de ses serveurs. L'attaquant n'a rien pénétré, il a acheté un nom de domaine, ce qui rend la technique bon marché, difficile à prévenir techniquement, et le délai de détection long.
Fiche du glossaire →3. Un attaquant entre par une injection SQL sur un serveur web, sans droits particuliers, puis exploite une faille du noyau non corrigée depuis dix-huit mois pour obtenir les droits root. Comment nomme-t-on ce passage, et de quel type est-il ?
Une élévation de privilèges, de type vertical
L'élévation de privilèges est une étape quasi systématique de la progression d'un attaquant après l'intrusion initiale, et la distinction entre ses deux formes vaut d'être tenue : elle est verticale quand l'attaquant passe d'un compte standard à un compte administrateur ou à des droits système, horizontale quand il s'approprie les droits d'un autre utilisateur de niveau équivalent. Ici, le passage d'un accès sans droits aux droits root est vertical par définition. Les vecteurs courants sont connus et ordinaires : vulnérabilités du noyau non corrigées, politiques sudo mal configurées, jetons d'accès mal révoqués, binaires à permissions SUID mal paramétrés, mots de passe laissés dans des scripts ou des variables d'environnement. Le point qui intéresse un souscripteur est le délai : dix-huit mois sans correctif sur le noyau, c'est une pratique de maintenance, donc quelque chose qui se constate à la souscription et non après le sinistre. Et une fois root obtenu, l'attaquant lit les fichiers de configuration contenant les accès à la base de données, ce qui fait de cette étape le pivot entre une intrusion et une exfiltration.
Fiche du glossaire →4. En 2010, Stuxnet s'installe au niveau du noyau Windows en utilisant un pilote signé volé, puis cible les automates Siemens des centrifugeuses iraniennes. Pourquoi un rootkit noyau est-il invisible aux outils de sécurité de la machine ?
Parce qu'il opère au même niveau de confiance que le système, donc sous les outils qui tournent dessus
Le mot rootkit est formé de root, le compte administrateur suprême des systèmes Unix, et de kit, un ensemble d'outils. Il apparaît au début des années 1990 pour désigner des collections de programmes permettant à un attaquant ayant déjà obtenu les droits root de dissimuler sa présence en modifiant les commandes système. Sa sophistication a progressé par strates : les rootkits en espace utilisateur, qui détournent les bibliothèques système, ont cédé la place aux rootkits noyau, qui opèrent à un niveau de confiance équivalent à celui du noyau du système d'exploitation. C'est de là que vient l'invisibilité, et le raisonnement est purement logique : un outil de détection tourne au-dessus du noyau et lui demande ce qu'il voit, si bien qu'un code installé dans le noyau décide de ce que l'outil verra. Stuxnet, attribué aux services américains et israéliens, a franchi cette barrière grâce à un pilote signé volé, c'est-à-dire en empruntant la confiance d'un tiers légitime plutôt qu'en cassant un mécanisme. Sa découverte a redéfini la frontière entre cyberattaque et acte de guerre, et elle a directement alimenté les débats sur les exclusions de guerre dans les polices cyber pendant toute la décennie suivante.
Fiche du glossaire →5. En décembre 2015, des attaquants entrent par hameçonnage ciblé chez des distributeurs électriques ukrainiens, puis déclenchent à distance des disjoncteurs, privant 230 000 foyers de courant. Qu'est-ce que cet évènement a établi pour la première fois ?
Qu'une cyberattaque pouvait provoquer une coupure de courant réelle
Un système SCADA, pour Supervisory Control and Data Acquisition, surveille et commande en temps réel des processus physiques : réseaux électriques, usines chimiques, stations de traitement des eaux, pipelines, systèmes ferroviaires. Il combine des automates programmables, des interfaces homme-machine et des serveurs de collecte reliés à des capteurs et à des actionneurs. Sa sécurité constitue un enjeu distinct de celle des systèmes d'information ordinaires, pour une raison structurelle : ces systèmes ont des cycles de vie qui se comptent en décennies, ce qui les rend souvent impossibles à corriger sans arrêter le processus qu'ils commandent. L'attaque de décembre 2015, attribuée au groupe Sandworm, est la première cyberattaque confirmée ayant provoqué une coupure de courant réelle, et c'est ce qui en fait une date. Elle démontre la convergence entre le cyber et le physique, c'est-à-dire le moment où une intrusion informatique cesse de produire une perte de données pour produire un dommage matériel et une interruption de service, ce qui met en jeu des garanties que rien n'avait rapprochées jusque-là.
Fiche du glossaire →6. En mai 2017, Marcus Hutchins arrête l'épidémie mondiale de WannaCry en quelques heures. Qu'a-t-il fait exactement ?
Il a enregistré un nom de domaine non enregistré que le rançongiciel interrogeait au démarrage
Le kill switch désigne tout dispositif permettant d'interrompre d'urgence le fonctionnement d'un système, et le terme vient de l'ingénierie industrielle, où il nomme le bouton d'arrêt d'urgence d'une machine. En cybersécurité, il doit sa célébrité à la crise WannaCry de mai 2017 : Marcus Hutchins, alors âgé de vingt-deux ans, découvre par hasard que le rançongiciel interroge au démarrage un nom de domaine qui n'était pas enregistré, et qu'en l'enregistrant lui-même il oblige le programme à se désactiver. Une épidémie mondiale s'arrête en quelques heures pour le prix d'un nom de domaine. Ce kill switch était involontaire, probablement intégré par les auteurs comme mécanisme anti-bac-à-sable destiné à repérer les environnements d'analyse, et c'est ce qui rend l'épisode instructif : une décision de conception prise pour une raison sans rapport a décidé de l'ampleur d'un sinistre mondial. Le même mot désigne aujourd'hui l'arrêt d'urgence d'un modèle autonome, et il y pose une question différente, puisqu'un modèle d'exécution algorithmique peut avoir envoyé des milliers d'ordres avant que l'opérateur n'atteigne le bouton.
Fiche du glossaire →7. En 2017, des chercheurs de l'Université de Tel-Aviv extraient une clé RSA 4096 bits en une heure, avec un microphone placé à quelques centimètres d'un ordinateur portable. Que visent les attaques de ce type ?
Les effets de bord physiques ou temporels de son exécution
Les attaques par canal auxiliaire contournent la robustesse mathématique d'un algorithme cryptographique en s'intéressant non à sa logique mais à ce que son exécution laisse échapper : temps de calcul, consommation électrique, rayonnement électromagnétique, bruit. Une clé de 4096 bits reste hors de portée d'une attaque frontale, et c'est justement le raisonnement du canal auxiliaire : on ne s'attaque pas au problème mathématique, on écoute la machine qui le résout. Le terme apparaît dans la littérature académique dans les années 1990, mais le principe est plus ancien, le projet TEMPEST, classifié par la NSA depuis les années 1950, portant sur la reconstruction d'informations à partir des rayonnements émis par les équipements. Paul Kocher formalise en 1996 l'attaque temporelle contre RSA, puis en 1998 la differential power analysis contre DES avec Jaffe et Jun. La démonstration acoustique de 2017 est restée académique, mais elle a conduit à réécrire la bibliothèque visée pour que ses opérations se déroulent en temps constant, ce qui est la contre-mesure de principe : supprimer la corrélation entre le secret et l'effet observable.
Fiche du glossaire →8. Un trésorier reçoit une instruction de virement signée du directeur financier, plus un second courriel de confirmation. Les deux ont été interceptés et modifiés en transit. La police cyber renvoie la perte vers une garantie distincte à plafond inférieur. Laquelle ?
La garantie fraude au virement
Dans une attaque de l'homme du milieu, l'attaquant se place entre deux entités qui croient communiquer directement, pour écouter ou modifier les échanges. Les vecteurs classiques sont l'usurpation ARP sur un réseau local, l'empoisonnement DNS, les faux points d'accès sans fil et, dans certains cas, la compromission de certificats TLS. Le chiffrement de bout en bout et l'épinglage de certificats sont les contre-mesures de principe. Le cas décrit ici est instructif par son dénouement plus que par sa technique : la double confirmation, procédure conçue pour parer exactement ce type de fraude, ne protège pas lorsque les deux messages empruntent le canal compromis. Une vérification n'apporte de sécurité que si elle passe par un canal indépendant. Et la conséquence assurantielle est celle qu'un souscripteur doit anticiper : la perte est qualifiée de fraude au virement, donc rattachée à une garantie distincte dont le plafond est habituellement très inférieur à la limite globale de la police. La qualification décide du montant, avant même toute discussion sur la réalité du sinistre.
Fiche du glossaire →9. Le 20 février 2024, une opération policière internationale saisit 34 serveurs de LockBit et récupère plus de 7 000 clés de déchiffrement. Quel effet direct cette opération a-t-elle eu pour des assurés victimes ?
Les victimes n'ayant pas payé ont pu récupérer leurs données gratuitement
L'opération Cronos a été coordonnée par la National Crime Agency britannique et Europol, avec dix pays participants dont les États-Unis, la France, l'Allemagne, l'Australie, le Japon et le Canada, et ses résultats ont été rendus publics le 20 février 2024. Elle a permis la saisie de trente-quatre serveurs hébergeant l'infrastructure de commande et contrôle de LockBit, ses sites de fuite de données et ses panneaux de gestion des affiliés, la saisie de plus de deux cents portefeuilles de cryptomonnaies, deux arrestations en Pologne et en Ukraine, et cinq inculpations aux États-Unis et au Royaume-Uni. Les serveurs saisis ont livré l'identité de cent quatre-vingt-quatorze affiliés actifs et plus de sept mille clés de déchiffrement, mises à disposition par le FBI et la NCA dans un outil public. Les victimes passées qui n'avaient pas encore payé ont donc pu récupérer leurs données sans rien verser, ce qui est un cas rare d'effet directement bénéfique d'une opération de démantèlement pour des assurés, et qui rappelle qu'une perte cyber n'est pas toujours définitive au moment où elle est déclarée.
Fiche du glossaire →