L’INTERNET A COMMENCÉ À WOBBLE À 7 heures du matin Tôt le 21 octobre, les serveurs d’une société d’infrastructure Internet peu connue, Dyn, basée à Manchester, N.H., ont commencé à subir un flot écrasant de trafic malveillant. À midi, une série d’attaques coordonnées avait métastasé, bloquant ou ralentissant de manière significative l’accès à des dizaines de sites, y compris Twitter, Netflix, Spotify et Airbnb, pour des millions d’Américains ainsi que des utilisateurs Web au Brésil, en Allemagne, en Inde, en Espagne et au Royaume-Uni Le FBI et le Department of Homeland Security se penchent sur l’attaque, considérée comme la plus importante du genre à ce jour. Mais au moment où les perturbations se sont atténuées le lendemain, le point que les chercheurs en sécurité se sont fait remarquer à un rythme de plus en plus alarmant ces derniers mois est devenu clair pour un public beaucoup plus large: l’infrastructure numérique américaine est profondément vulnérable.
Comme c’est devenu la norme avec les cyberattaques, le comment est devenu apparent bien avant le qui ou le pourquoi. (Les experts ne croient pas l’État-nation a parrainé la grève; un collectif qui se fait appeler New World Hackers a revendiqué la responsabilité, sans preuve, sur Twitter.) Dyn fournit des services de système de noms de domaine pour une variété de destinations Internet majeures, agissant comme un carnet d’adresses critique traduisant des noms de sites Web conviviaux comme TIME.com vers le désignations numériques utilisées pour déplacer le trafic vers sa destination prévue. La société a été submergée par un faux trafic dans une attaque dite de déni de service distribué (DDoS): le volume massif de demandes des méchants a inondé Dyn, ce qui a rendu difficile l’accès des utilisateurs légitimes. Cela n’a pas mis hors ligne des services comme Spotify en soi; cela les a simplement rendus impossibles à atteindre. À ce stade, les agressions de ce type font partie de l’arsenal des pirates informatiques, généralement déployées pour extorquer une rançon ou en représailles pour des affronts perçus. Mais les attaques DDoS se sont considérablement intensifiées au cours de l’année écoulée, y compris deux blitz records cet automne.
Ce qui était le plus choquant le dernier assaut était les outils utilisés pour le monter. Les pirates ont utilisé une vaste gamme de gadgets connectés à Internet contrôlés à distance – caméras de surveillance, imprimantes, enregistreurs vidéo numériques – pour générer le déluge paralysant. Ils ont exploité ces appareils, qui font partie du soi-disant Internet des objets et souffrent souvent d’une sécurité faible ou inexistante, grâce à un virus appelé Mirai. Le fournisseur d’accès Internet Level 3 Communications estime que Mirai a infecté quelque 500 000 gadgets. Les experts appellent cette phalange d’appareils zombies une armée de botnet. Et selon une estimation, seulement 10% de l’armée Mirai a été déployée cette fois.
L’Internet des objets se développe plus rapidement que la capacité du gouvernement ou de l’industrie à le sécuriser. Il y a maintenant 6,4 milliards d’appareils connectés dans le monde, agence SEO selon le chercheur Gartner. D’ici 2020, ce chiffre passera à 20,8 milliards. Des rappels comme celui annoncé par Xiongmai Technologies, le fabricant chinois de certaines des webcams utilisées contre Dyn, ne vont pas assez loin, dit Timothy Edgar, directeur du droit et des politiques au programme de cybersécurité de l’Université Brown. «Il n’est pas vraiment possible de revenir en arrière et de s’assurer que chacune de ces caméras a une meilleure sécurité», dit-il.
Les consommateurs peuvent se protéger dans une certaine mesure en mettant à jour le logiciel de leurs appareils ou en modifiant le mot de passe par défaut si possible. Mais la plupart des cyber-chercheurs affirment que les fabricants d’appareils doivent être tenus responsables d’une meilleure sécurité. Comment faire cela reste incertain, bien qu’une législation puisse être à venir: le 24 octobre, le secrétaire à la Sécurité intérieure Jeh Johnson a semblé le suggérer, affirmant que son département produirait un plan stratégique «dans les semaines à venir».
Les questions qui subsistent quant à l’origine et au but de ces attaques sont plus vexantes. Bruce Schneier, expert en sécurité et chercheur au Berkman Klein Center for Internet & Society de Harvard, théorise que, globalement, ces événements constituent une sorte d’étude des défenses et des faiblesses des parties critiques du Web. «Quelqu’un apprend comment pour détruire Internet », a-t-il écrit de façon inquiétante en septembre. Un événement comme l’attaque du 21 octobre pourrait, rétrospectivement, ressembler à Darth Vader testant l’étoile de la mort sur Alderaan.
À quoi pourrait ressembler un événement plus dommageable? Denise Zheng, chercheur principal au Center for Strategic & International Studies, dit que cela pourrait cibler les soins de santé ou le domaine financier. Ou comme plusieurs experts en sécurité l’ont mis en garde, les pirates pourraient tenter de perturber l’élection présidentielle américaine en entravant les sites Web électoraux des États et des comtés. Les machines à voter n’étant pas connectées à Internet, il serait difficile de saper le vote lui-même. Mais ils pourraient facilement créer une impression du contraire.
En effet, l’opacité et l’incertitude sont en train de devenir des caractéristiques déterminantes de l’ère cybernétique. Il y a un autre détail révélateur à propos de cette attaque: le mot japonais mirai se traduit par «l’avenir».