'L’insécurité est devenue le standard du cyberespace' : d'un petit ver à la guerre hybride, 40 ans de cyberattaques

Aujourd’hui les cyberattaques font partie de notre quotidien. Les attaques visant des enseignes de la grande distribution en France et la panne mondiale PHP en sont des exemples. Pourtant, aux débuts d’internet, les cyberattaques n’existaient pas. C’est seulement en 1988 que le ver informatique de Morris a marqué un tournant dans l’histoire d’Internet.

Robert Tappan Morris est un étudiant américain de 23 ans. Il est passionné d’informatique. Il est aussi le fils d’un ingénieur de la NASA. Au départ de son expérience, Robert veut simplement savoir combien d’ordinateurs sont connectés au réseau internet. Pour ça, il écrit un programme où un "ver" est capable de se répliquer automatiquement et de se propager d’un ordinateur à l’autre via Internet. Mais l’expérience échappe rapidement à son créateur.

En moins de 24 heures, près de 10% des machines connectées à Internet sont affectées. Des universités, des laboratoires et même des installations de la NASA subissent les conséquences de cette propagation incontrôlée.

L’incident révèle la fragilité du réseau. Il n’a pas été pensé pour résister à quelconque menace : "C’était un peu l’innocence. J’aime bien dire qu’au moment de Morris, l’Internet, c’était un village", explique l’expert en cybersécurité.

A l’époque, le réseau est à taille humaine. Il est essentiellement fréquenté par des chercheurs et des universitaires. Internet est avant tout utilisé pour échanger sur la recherche.

Morris devient la première personne à être condamnée aux États-Unis en vertu du Computer Fraud and Abuse Act de 1986. Sa peine sera de trois ans de probation, 400 heures de service communautaire et une amende d’environ 10.000 dollars. Selon David Dewulf, la prochaine cyberattaque n’aura lieu que dix ans plus tard. À ce moment-là, l’internet sera passé de 60.000 à 350 millions de machines.

D’abord expérimentales et sans mauvaises intentions, les cyberattaques se sont progressivement professionnalisées, devenant un outil de puissance pour les États : "Il y a la militarisation complète du cyberespace. On est dans un conflit permanent. L’insécurité, c’est vraiment devenu le standard du cyberespace".

L’intelligence artificielle a aussi ouvert de nouvelles possibilités aux attaquants, en accélérant leur capacité à trouver des failles au sein des systèmes informatiques. Pour David Dewulf, la numérisation de la société et sécurisation du cyberespace n’ont pas évolué à la même vitesse, ce qui nous expose à plus de risque : "La numérisation de la société a pris le TGV, la sécurité est encore à vélo".

► Écoutez ci-dessus l’intégralité de cette discussion dans le podcast de Tendances Première.