Cybercrime : Interpol exige le renforcement de la lutte internationale

Lors d’une conférence internationale, Interpol a rappelé à quel point la coopération est nécessaire à la lutte contre la criminalité sur Internet.

La Corée du Sud a accueilli pendant trois jours les experts de la criminalité informatique lors d’une conférence internationale qui a fermé ses portes mercredi.

A cette occasion, Interpol, organisation de coopération policière internationale, a souligné que la lutte contre la criminalité dans les technologies de l’information nécessite le renforcement d’une collaboration mondiale.

De son côté, l’Australien Des BERWICK, Directeur général de l’ACPR (Australasian Centre for Policing Research) a rappelé que la criminalité informatique "utilise des réseaux mondiaux" et qu’il est nécessaire "d’enquêter de façon simultanée dans le monde entier."

Interpol estime que près de 55 pays ont adopté une législation contre le "IT crime", mais qu’ils sont plus de 100 à n’imposer aucune règle en la matière.

L'organisation, dont le secrétariat général est basé à Lyon, a créé une unité de lutte contre le crime technologique il y a deux ans. Cette conférence automnale sur les crimes et délits informatiques, la 5ème du genre, est la première qu'Interpol organise hors de son QG français.

La Corée du Sud compte le plus grand nombre d’internautes haut débit au monde. Par ailleurs, entre 2000 et 2001 les délits sur Internet aurait augmenté de 126% dans le pays, selon l'Agence nationale de police coréenne.

Les délits informatiques les plus courus concernent : la diffamation, la fraude bancaire et boursière, les jeux en ligne, les intrusions réseaux, la transmission de virus.

Source: Net Economie (17/10/2002)

Sondage CSI/FBI : cyber-anarchie ou cyber-mensonge made in USA ?

Le septième sondage annuel (cru 2001-2002) "Computer Crime and Security Survey" mené par le Computer Security Institute vient d'arriver, et il n'est pas content. Appuyée dans ses travaux par le bureau du FBI de San Francisco, l'organisation internationale qui déclare plus de 5 000 membres experts en sécurité dans le monde a interrogé 503 personnes chargées de la sécurité. Pour les besoins d'équilibrage du panel, les sondés sont répartis dans toutes sortes d'institutions et dans des entreprises américaines de taille moyenne à très grande, tous secteurs confondus. Or, le résultat ne s'est pas fait attendre. Si les résultats du sondage ne prédisent pas vraiment l'apocalypse électronique, ils n'en traduisent pas moins une augmentation très conséquente des attaques et des dégâts qu'elles ont occasionné.

Avant d'aborder les attaques subies par les organisations, l'auteur du rapport, Richard Power fait un rapide tour des protections déployées en leur sein.

Et ô surprise : toutes sont en diminution par rapport aux années précédentes, sauf l'usage de la biométrie (ou anthropométrie) qui concerne désormais 10 % des répondants contre 9 % l'an dernier. Les chiffres les plus éloquents concernent les firewalls (plus que 89 % équipés contre 95 % en 2001), les anti-virus (100 % en 2000, 90 % deux ans plus tard) et notamment le contrôle d'accès aux ressources informatiques internes : 82 % dans le présent sondage, 10 % de plus il y a deux ans. Alors, que s'est-il passé ? Aucune réponse de l'auteur en la matière, mais celui-ci rappelle en épilogue que ce sondage n'est en aucun cas le reflet de la stricte réalité, et qu'il ne fournit que des données brutes en vue de stimuler la réflexion.

De la sincérité et de l'objectivité des réponses

Deux facteurs ont pu jouer dans la baisse du taux d'équipement des entreprises en sécurité : d'une part l'absence de sincérité des sondés, avant ou aujourd'hui, pour des raisons qui leur sont propres. Et d'autre part, le panel en lui-même a pu d'une année sur l'autre évoluer vers des organisations moins "organisées". Mais comme le rappelle l'auteur, les aberrations ne manquent pas et cette tendance-là n'a pas disparu d'une année sur l'autre. Ainsi, 90 % des sondés sont donc équipés d'un anti-virus, mais 85 % ont été touché par des infections. Là-dessus, combien mentent, et à laquelle de ces deux questions ? Combien de sondés ont pu penser, aussi, que leurs réponses anonymes ne le seraient pas ? Difficile de répondre. Mais cet aspect de la question revêt une importance presque primaire.

Seulement 34 % des sondés avouent avoir déclaré les attaques dont ils ont été victimes aux autorités compétentes, au centre desquelles le même FBI qui a participé à l'étude. Si les répondants en ont été informés, ont-ils joué le jeu dans leurs réponses ? Des motivations tournées vers l'occultisme semblent apparaître à travers les résultats obtenus pour la dernière partie du sondage : "les raisons pour lesquelles les organisations n'ont pas rapporté les intrusions aux autorités". Des raisons que n'ont osé aborder que 28 % des participants. En tête : la publicité négative, suivie de l'usage par les concurrents à leur avantage des plaintes déposées. Ensuite viennent l'absence d'informations quant à la possibilité de déclarer le sinistre, et la préférence envers un règlement civil. Décidément, la sécurité est un domaine opaque. Ne rien dire pourrait même constituer un chapitre entier de la politique de sécurité globale, car une bonne gestion des risques tient compte des deux premières raisons évoquées : impacts sur la notoriété de la marque et sur les avantages concurrentiels.

Cyber-terrorisme et "web defacement"

Quoi qu'il en soit, il semblerait à travers les autres éléments du rapport que la cybercriminalité ait augmenté assez sévèrement aux Etats-Unis au cours des 12 derniers mois. Ou peut-être est-ce la sincérité des répondants qui a cru. Ainsi, au moins trois pôles d'évolutions majeures des risques se font jour. Le premier concerne ce que l'auteur qualifie de cyber-vandalisme, notamment les détournements de pages web.

Dans ce domaine, une autre source est citée dans le rapport, le cabinet de gestion des risques mi2g software basé à Londres. Ce dernier a conduit sa propre étude à l'échelle internationale sur le sujet, avec examen du nombre de ces "web defacements" et de leur progression en fonction de différentes extensions de noms de domaine. Il apparaît qu'en 2001, la plupart des catégories représentées ont subi une croissance importante du nombre de détournements de leurs pages. Cette croissance serait de 37 % sur les .gov et de 128 % sur les .mil, de 220 % sur les .il (Israel) soit 413 incidents de ce type, de 205 % sur les .in (Inde), de 300 % sur les .pk (Pakistan) correspondant à 82 incidents, et enfin de 378 % sur les .gov.uk soit une augmentation de 9 à 43 incidents. Pour l'auteur du rapport du CSI, il est clair qu'un grande part de cette activité intense est due à une forme de cyber-terrorisme issu des conflits géopolitiques. Une part moindre serait purement gratuite.

Croissance des pertes pour nombre d'incidents égal

Les deux autres formes d'attaques qui préoccupent ne traduisent pas forcément une forte progression en nombre, mais représentent plutôt les deux pires gouffres financiers en terme de pertes calculées après coup. Respectivement, il s'agit du vol d'informations confidentielles et de la fraude financière. Sur le premier de ces deux volets, la perte moyenne calculée est d'environ 6,57 millions de dollars (contre 4,44 millions l'an dernier) et le total est à peu près de 171 millions de dollars, en hausse de 20 millions par rapport à 2001. Sur le deuxième volet, c'est le total qui a le plus augmenté : 115,75 millions de dollars environ contre 93 millions l'année précédente. L'auteur souligne que si 80 % des sondés ont avoué des pertes, ils n'ont été que 44 % à avoir déclaré être capable de les quantifier. Au total, toutes les pertes subies suite à l'intégralité des attaques avoisineraient les 456 millions de dollars contre 378 millions lors du précédent sondage publié à la même période en 2001. A noter que les tableaux de chiffres sont très fournis, et que certains couples comparés, sur lesquels l'auteur ne cite mot, pourraient donner lieu à des analyses complètes.

Maigre consolation, il semblerait que sur l'année écoulée, les risques internes aient pris une part moins importante sur la totalité des attaques. Selon les arguments de l'auteur, ce serait principalement du à la prise de conscience par les organisations de cette menace interne. Du coup, elles auraient pu parer de nombreux risques. 60 % des sondés (contre 47 % l'an dernier) ont déclaré que les attaques venaient de l'extérieur, puis 32 % de l'extérieur et de l'intérieur, et enfin 2 % de l'intérieur seulement (4 % l'an dernier). 6 % ne savent pas, contre 26 % dans l'édition 2001 du sondage. Là est surtout la progression notable.

La réponse exacte à cette question vient de la capacité des organisations à savoir qu'elles ont été attaquées, et d'où provenait l'attaque. Non rappelé par l'auteur du rapport, un argument possible est celui selon lequel les 60 % se protègent enfin de l'extérieur mais ne savent finalement que très peu ce qui se passe en interne. Comme il s'agit d'organisations présentant déjà une certaine taille et non de PMEs, le nombre et la variété des collaborateurs pourrait multiplier les risques internes. Si l'on se penche sur différents sondages réalisés les années passées par des cabinets de conseil spécialisés dans l'audit de risques notamment, cet aspect a souvent été sous-estimé. Il semblerait que cela ne soit pas en amélioration.

Bref, si vous cherchez à soulever de nouvelles interrogations face à des résultats et des commentaires très fournis et parfois contradictoires, vous pouvez télécharger le document gratuitement sur le site du CSI. Bien entendu, moyennant la saisie d'un formulaire d'inscription. Mais si vous cherchez des réponses sur les véritables tendances des menaces de sécurité, allez plutôt chercher du côté du Cert (Computer emergency response team). Sans remplir de formulaire, un rapport daté du 8 avril examine ces tendances sous un angle plus pratique.

Source: JDNet Solutions (10/04/2002)

Le FBI s’inquiète de l’augmentation de la criminalité informatique

Aux Etats-Unis la criminalité informatique coûte des milliards aux entreprises et aux organisations gouvernementales, constate un rapport du FBI et du CSI.

L'Institut américain sur la sécurité informatique (Computer Security Institute www.gocsi.com) et le FBI (federal bureau of investigation) viennent de rendre public le "rapport 2001 sur les crimes informatiques et la sécurité".

Selon la 7ème édition de ce dossier, la criminalité informatique aurait coûté des milliards de dollars l’an passé aux entreprises américaines et aux organisations gouvernementales.

"Les résultats de ce rapport confirment la complexité et l’importance du crime informatique", remarque Bruce GEBHARDT, Directeur du FBI pour la Californie du Nord.

Il ajoute, "les vulnérabilités dynamiques liées aux affaires en ligne restent plus que jamais un défi pour la police".

Le Computer Security Institute et le FBI ont interrogé 503 entreprises, organisations et agences gouvernementales, et universités américaines. Leur identité n’a pas été communiquée.

Il est nécessaire de préciser que seules 34% des entreprises/organisations interrogées pour cette enquête ont accepté de divulguer le montant des pertes financières liées à cette criminalité informatique.

"Il y a beaucoup plus d’activités illégales dans le cyberspace que ne veulent l’admettre les entreprises face à leurs clients, actionnaires et partenaires, ou face à la justice", affirme Patrice RAPALUS, Directeur du Computer Security Institute.

Pour les entités ayant acceptées de transmettre des données chiffrées, le coût financier lié à cette criminalité s’est élevé à 455 millions de dollars en 2001, contre 377 millions de dollars en 2000 !

Source: Net Economie (08/04/2002)

La criminalité informatique a coûté des milliards

La criminalité informatique a coûté des milliards de dollars au cours de l'année passée aux entreprises américaines et aux organisations gouvernementales, augmentant de manière importante par rapport à l'année précédente, indique une étude rendue publique dimanche.

Le «rapport 2001 sur les crime informatiques et la sécurité» réalisé par l'Institut sur la sécurité informatique et le FBI (police fédérale) montre que les attaques au moyen de virus et d'autres infractions à la sécurité informatique étaient en augmentation aux États-Unis.

«Les résultats du rapport de cette année montrent encore le sérieux et la complexité du crime informatique», affirme Bruce Gebhardt, directeur du bureau du FBI de la Californie du Nord. «Les vulnérabilités dynamiques liées aux affaires en ligne restent un défi pour la police», a-t-il souligné.

Après avoir interrogé 538 experts en sécurité informatique travaillant pour des associations, des agences gouvernementales et des universités, les auteurs du rapport ont conclu que les entreprises et d'autres organisations perdaient des millions de dollars chaque année en raison de la criminalité informatique.

Seulement 35% des personnes interrogées ont accepté de divulguer les chiffres de leurs pertes, mais celles-ci s'élevaient à plus de 377,8 millions de dollars l'an dernier, soit une augmentation de près de 265,6 millions de dollars par rapport aux pertes enregistrées dans une étude identique en 2000.

Source: Multi-Medium (08/04/2002)

Cybercriminalité : le FBI se restructure, le Canada se prépare

Le 3 décembre dernier, la police fédérale des États-Unis (FBI) a annoncé un vaste plan de restructuration. Si le mot fait frémir lorsqu'on est en milieu d'entreprise, évoquant licenciements et autres mesures dites de «rationalisation», l'effectif du FBI n'a rien à craindre. Déjà approuvé par le conseil de gestion stratégique du bureau de l'Attorney General John Ashcroft, le plan vise à étendre et coordonner plus étroitement l'action des divers secteurs d'enquêtes et à favoriser l'échange d'information entre eux.

Le plan comporte la création de deux nouvelles divisions. La Division de la cybercriminalité sera responsable des enquêtes relatives aux délits de propriété intellectuelle et autres crimes impliquant l'utilisation de haute technologie. Cette division s'insère dans le nouvel organigramme au même niveau hiérarchique que la Division des enquêtes criminelles, et relève d'un directeur adjoint. La Division de la sécurité, pour sa part, verra à l'intégrité du personnel et des sous-traitants du FBI, de ses systèmes ordinés et de ses installations. On a également annoncé la création d'un nouveau bureau, celui du Chef de la technologie, relevant directement du bureau du directeur, et dont le mandat sera la mise en oeuvre des divers projets technologiques du FBI (Carnivore, Lanterne magique, etc.). De toute évidence, et de l'aveu du FBI, la restructuration se fait conformément aux nouveaux impératifs imposés par la lutte au terrorisme.

Le Canada emboîtera le pas aux changements entrepris au sud de sa frontière. En fin d'année 2001, Anne McLellan, la ministre de la Justice d'alors (qui assume depuis ce matin le portefeuille de la Santé) confiait à Luiza Chwialkowska du National Post que la lutte à la cybercriminalité ferait partie des priorités de son ministère pour cette année, de même que de celles du Solliciteur général du Canada, Lawrence MacAuley. Ce dernier en ferait même un des points principaux des ses activités de réforme du droit criminel en 2002, et tiendrait des échanges avec l'Attorney General John Ashcroft dans les semaines qui viennent sur la cybercriminalité et autres formes de délits transfrontaliers.

Parmi les dispositions envisagées par Madame McLellan, il serait désormais possible d'exécuter sur le territoire canadien un mandat émis à l'étranger sans obtenir préalablement l'autorisation d'un juge canadien. La ministre a déclaré que la cybercriminalité «nous force à réévaluer bon nombre de principes de base, ce qui en bout de ligne, nous amènent à revoir la notion de souveraineté [...] Si vous obtenez un mandat aux États-Unis, dans presque tous les cas, vous devrez en obtenir un autre pour exécution au Canada qui doit être soit signé par un juge canadien. Dans le cas de la cybercriminalité, on doit se demander si cela a du sens quand, de quelques touches de clavier, l'information que vous déteniez initialement peut être effacée.»

Pour Dan Brian, porte-parole de Lawrence MacAuley, les mesures prises unilatéralement par un pays ne peuvent régler tous les problèmes : «La nature de la technologie fait en sorte que les cybercriminels, les organisations criminelles et même les terroristes tenteront de jouer sur les écarts juridiques entre les États [...] Les solutions doivent donc être partagées et mises en oeuvre des deux côtés.»

Après le libre-échange des biens et services entre le Canada et les États-Unis, verra-t-on le libre-échange des mandats de perquisition, de saisie et d'arrestation? On ne se permet même pas d'en douter, vu le train de mesures législatives, largement dictées pas les voisins du sud, adoptées à toute vapeur par nos élus en fin d'année.

Source: Chroniques de Cybérie (15/01/2002)

Le FBI se dote d'un département cybercriminalité

En pleine réorganisation interne, le FBI (Federal Bureau of Investigations) a annoncé lundi 3décembre qu'il va mettre en place un département uniquement dédié à la lutte contre la cybercriminalité. Il sera chargé de traiter toutes les affaires attenantes aux violations de propriété intellectuelle, et aux crimes dans les hautes technologies et l'informatique.

Le FBI veut regrouper les efforts de ses troupes pour qu'il n'y ait pas de redondance dans les enquêtes. C'est la raison pour laquelle il sera désormais composé de quatre départements, contre 11 précédemment, rapporte sa porte-parole, DeborahWeierman. Les trois autres départements créés seront respectivement consacrés à l'antiterrorisme et au contre-espionnage, au maintien de l'ordre, et à la partie administrative.

Le département cybercriminalité fusionnera avec celui des enquêtes criminelles, sous la direction de Ruben Garcia Jr, pour ne devenir qu'une seule entité. On ne sait pas encore si le NIPC (National Infrastructure Protection Center), le centre de protection des infrastructures, sera intégré à la nouvelle structure. Les activités de cette antenne du FBI qui enquête sur la cybercriminalité et, entre autres, sur les virus, dépendent à la fois du département chargé des enquêtes criminelles et de celui dédié à l'antiterrorisme et au contre-espionnage.

Source: CNET News.com (04/12/2001)

L'agence chargée de prévenir les cyber-attaques infectée par un virus

L'agence du FBI chargée de coordonner la lutte contre les pirates informatiques a reconnu mercredi avoir été incapable de bloquer un virus envoyé à l'un de ses ordinateurs et l'avoir probablement communiqué à d'autres.

Dans un communiqué, elle précise que cet ordinateur du Centre de protection de l'infrastructure nationale (NIPC) a été infecté mardi par un virus envoyé par courrier électronique, qui se reproduit lui-même et envoie des copies à d'autres ordinateurs.

«Cette infection s'est produite alors même que l'utilisateur avait la dernière version commercialisée disponible d'un ordinateur détectant les virus», indique le communiqué.

«Après la découverte de l'infection, le NIPC a immédiatement mis en oeuvre les procédures utilisées en cas d'incident pour contenir le virus mais pas avant que l'ordinateur infecté n'ait envoyé des courriers électroniques aux utilisateurs du carnet d'adresses» en dehors du centre, ajoute le communiqué.

Un porte-parole du FBI s'est refusé à plus de commentaires, et notamment à indiquer le nombre d'adresses e-mails contaminées.

Source: AFP (25/07/2001)

Les cybergendarmes patrouillent sur la Toile

En France, une poignée de cyberflics pourchassent les délinquants du Web.

Notre cyberréalité a désormais ses cybergendarmes. Car l'univers virtuel du Web n'est au fond ni plus ni moins qu'une sorte de micro-société, avec ses "gentils" et ses "méchants".

Installé au fort de Rosny-sous-Bois, le Service technique de recherches judiciaires et de documentation de la gendarmerie (STRJD) fait quotidiennement la chasse aux cybercriminels.

A la tête d'une équipe de treize gendarmes, le capitaine Freyssinet veille au bon déroulement des missions que lui confient les magistrats ou les enquêteurs.

Assis devant leur écran d'ordinateurs, les cybergendarmes traquent le crime. La plate-forme se divise en trois pôles indépendants: l'expertise et le traitement d'informations, le domaine des réseaux et télécoms et celui de l'électronique.

Tous les enquêteurs ont subi une formation spécifique mais la plupart étaient déjà compétents dans le domaine des nouvelles technologies.

Des fausses factures aux réseaux pédophiles

"Nous traitons différents types de délits depuis la récupération de données sur un portable ou un agenda électronique volés en passant par le démantèlement d'un réseau pédophile ou le traitement de fausses factures voire de fausses coupures. Aujourd'hui avec un bon PC et un scanner, on peut reproduire des billets. Le résultat n'est pas terrible, mais les reproductions s'écoulent quand même."

Dernier exemple en date, l'affaire de l'instituteur de Zitterstein, soupçonné de pédophilie et qui s'était défenestré lors de la perquisition des gendarmes.

Les cybergendarmes avaient accompagné les enquêteurs lors de la perquisition. "Nous avons examiné chaque ordinateur, procédé à la copie des disques durs, fichiers et e-mails. Nous avons découvert des fichiers déguisés qui comportaient en réalité des photos d'enfants nus. Globalement, il nous faut environ trois à quatre semaines de travail. Ensuite, nous rédigeons un rapport que nous transmettons au juge en charge de l'affaire."

Côté matériel, la confidentialité incite les gendarmes à demeurer discrets. Le capitaine Freyssinet reconnaît utiliser des logiciels "maison" notamment pour la récupération de données sur disques durs. Ils sont également efficaces pour lire une disquette endommagée ou un disque dur abîmé. L'équipe dispose également d'un logiciel spécifique pour lire les données d'un portable.

Mise en place d'un réseau de cybergendarmeries international

Pour les aider dans leurs missions, les cybergendarmes sont épaulés par un réseau international. Un peu partout dans le monde, des associations de lutte contre la pédophilie les informent régulièrement de leurs recherches.

Exemple d'affaire ayant un rapport avec l'étranger: le crime nigérian. On vous envoie par e-mail un message vous recommandant d'investir dans des mines d'or au Niger. On vous promet un pourcentage sur les recettes en échange de votre numéro de carte bancaire. En réalité, il n'y a pas plus de mines d'or que d'avance sur recettes.

Parallèlement au STRJD de Rosny-Sous-Bois, l'Office central de lutte contre cybercriminalité a vu le jour en mai 2000. L'idée de cette structure a été lancée par Lionel Jospin, à Hourtin en 1999. Elle dépend des ministères de l'Intérieur et de la Défense. Le lieutenant-colonel Serry qui la dirige a pour mission principale de coordonner les actions de la police et de la gendarmerie en matière de cybercriminalité.

A la différence du STRJD, l'Office central bénéficie d'une ouverture vers les douanes, c'est-à-dire qu'il peut intervenir à l'international, dans la mesure du possible, bien entendu!

Les cyberdélinquants sont souvent de jeunes étudiants

De son côté, la police judiciaire jette également un oeil attentif à ce qu'il se passe sur Internet.

Dans le rôle principal, la Befti (Brigade d'enquêtes sur les fraudes aux technologies de l'information) piste les criminels informatiques.

Le cybercrime date quasiment de l'invention de l'informatique. Le réseau Internet n'est au fond qu'un moyen comme un autre d'exercer une activité délinquante (ventes de produits illicites ou contrefaits, circuits pédophiles, ou piratages de fichiers...).

"Sur Internet, tout est possible!, s'exclame le commissaire Pascal Courtin. Certains pensent pouvoir y faire n'importe quoi, sans se faire repérer, mais les bons pirates sont de plus en plus rares. La plupart sont des opportunistes qui bénéficient des carences des systèmes en matière de sécurité." Parmi les méthodes employées par ces bandits, le "mail-bombing" ou denial of service. Le petit jeu consiste à paralyser les ordinateurs en leur envoyant un trop grand nombre de messages auxquels ils se trouvent incapables de répondre.

Autre combine utilisée, le fait de s'introduire frauduleusement dans des systèmes informatiques en violant leurs protections.

Une fois dans la place, tout est possible: modification ou destruction de fichiers, introduction de virus qui perturbent les programmes, prise en mains des systèmes plus ou moins stratégiques... bref, le hacking.

"Les cyberdélinquants sont des "primaires", jeunes pour la plupart, souvent étudiants. Néanmoins, au bout du compte, la facture peut s'avérer salée: la contrefaçon est passible de deux ans d'emprisonnement et d'une amende allant jusqu'à 1 million de francs (150.000 euros), sans compter les dommages et intérêts demandés par les sociétés piratées", constate Pascal Courtin.

Outre ce type de délits, les plaintes de particuliers sembleraient être de plus en plus fréquentes. Des personnes qui retrouvent leur nom et coordonnées sur des forums un peu "chauds" ou bien des photos "retravaillées" diffusées sur certains sites, etc.

Au total, la Befti, avec ses vingt fonctionnaires, traite pas moins de 450 procédures par an.

Même si ce résultat est important, il reste minime en comparaison des crimes et délits qui s'effectuent chaque jour sur le Web. Les "shérifs" le disent eux-même, la cybersurveillance n'en est qu'à ses balbutiements.

Source: Silicon (03/09/2001)

Les Etats contre la cyberdélinquance

En France, en Europe, et aux Etats-Unis , les politiques et les policiers se mobilisent avec plus ou moins d'efficacité. Revue des projets.

En France, le gouvernement, à l’occasion de son dernier Conseil de Sécurité Intérieur (CSI), présidé par Lionel Jospin, vient de rendre public un projet de loi destiné à renforcer la sécurité intérieure. Dans un chapitre consacré à la cyberdélinquance, le gouvernement se dit inquiet de la "forte augmentation du nombre des infractions liées aux nouvelles technologies, aux cartes bancaires et aux téléphones portables ". Le projet de loi, qui sera prochainement présenté auissi Le Mondd"de fabriquer, d'acquérir, de détenir, de mettre à disposition des équipements, des instruments, programmes ou données conçus ou spécialement adaptés à la falsification ou à la contrefaçon" débouche sur des sanctions pénales.

Le gouvernement veut aussi faire de la prévention et a confié cette mission au Conseil National de la Consommation. Ce Conseil étudie depuis plusieurs mois différents moyens de sécurisation technique. Premières recommandations: l'abandon sur les facturettes du nom du porteur et d'une partie du numéro de la carte. La publication de son rapport définitif est attendu dans le courant de février.

En Europe, Bruxelles vient de publier ce qui est pour l’instant une ébauche de "plan de lutte contre la cybercriminalité". Mais la Commission n’arrive semble-t-il toujours pas à se faire une "religion" entre répression et liberté. Tout en reconnaissant qu’Internet "offre de nouvelles possibilités d'activités délictueuses", et peut "provoquer des préjudices financiers de grande ampleur ", la Commission rappelle que "la liberté de l'Internet, qui est la source même de son succès, doit être préservée. Le fait est là : sans sécurité, pas de confiance, pas de transactions". Nous voila bien avancés...

La Commission envisage tout de même la création d’un " forum de l’Union Européenne " ouvert aux acteurs privés, associations de consommateurs et pouvoirs publics. Cette consultation publique à l’échelle européenne devrait durer deux mois.

Aux Etats-Unis, la cybercriminalité est aussi un phénomène qui inquiète au plus haut point les autorités. Et en particulier le FBI qui a décidé de prendre le taureau par les cornes. Le National Infrastructure Protection Center (NIPC), le "bras armé" du FBI en charge de la cyberdélinquance, vient d’annoncer la mise en place d'un programme baptisé InfraGard. Ce programme est testé dans le plus grand secret dans l’Etat de Cleveland depuis déjà plusieurs mois et auquel participent déjà plus de 500 entreprises. L’identité de ces dernières n’a pas été dévoilée pour des raisons de sécurité. A travers ce programme, l’agence de sécurité américaine cherche à jeter les bases d’une collaboration efficace avec des sociétés du secteur public et privé. Une collaboration fondée sur l’échange de bons procédés: en contrepartie d’informations précises fournies sur les hackers aux entreprises, le FBI attend que ces dernières lui signalent les intrusions - ou les tentatives d'intrusion - dont elles sont victimes. Ce programme semble bien fonctionner car le nombre d'incidents relatés par les entreprises a triplé en trois ans (1.200 l'année dernière). Bref, tout le monde s'y met.

Source: L'Internaute (01/02/2001)

Les sponsorisés de la lutte anti-piratage

Afin de lutter contre la menace croissante de cyber terrorisme, Bill Clinton vient d’annoncer le lancement du programme de formation, "Scolarship for Service", ayant pour but de fournir à l’Etat américain un vivier d’agents de sécurité électronique, pour les années à venir. En effet, si les attaques répétées des hackers font trembler régulièrement les sites officiels du monde entier, peu de personnes disposent aujourd’hui d’une qualification leur permettant de contrer ces cyber attaques, et encore moins pour un salaire de fonctionnaire. Pour remédier à ce manque de motivation, le programme américain prévoit donc de soutenir financièrement (entre 60.000 et 90.000F par an) ceux qui s’engageront à étudier pendant deux ans les subtilités de la protection informatique. Evidemment, l’Oncle Sam ne donne rien sans rien : ces sponsorisés de la sécurité en ligne s’engageront à traquer le méchant hacker pendant deux ans pour le compte de l’Etat américain.

Source: Les News.Net (12/12/2000)

Le cybercrime paie

Deux études américaines montrent que, la plupart du temps, les crimes perpétrés sur le Net restent impunis. Les technologies aujourd'hui disponibles ainsi que le manque de structures et de lois adaptées pour combattre ce nouveau type de criminalité en seraient la cause.

" Désormais plus besoin de braquer une banque pour obtenir de l'argent, il suffit de s'attaquer à des milliers d'individus sur le Net… avec beaucoup moins de risques d'être arrêté" a déclaré le vice président de Gartner Group, Richard Hunter. D'après une étude publiée par sa société, la plupart des crimes sur Internet restent en effet impunis : aux Etats-Unis, les agents spécialisés dans le cybercrime ne représentent que 0.1% des effectifs de la police fédérale, et seuls 10 millions de dollars (sur un budget de 10 milliards) seront alloués aux sections spécialisées dans le cybercrime. Parallèlement à cette étude, un autre institut de sondage, McConnell International, publie un rapport intitulé "Cybercrime… et punition" qui aboutit aux mêmes conclusions. Sur 52 pays étudiés, seuls 19 ont créé des lois adaptées aux nouvelles technologies de l'information. Il semble alors que la seule protection valable pour le moment est le "self defense", qui consiste pour les particuliers à ne pas divulguer de données personnelles, et pour les sites web à assurer leur propre système de protection en ligne. Le problème vient également du fait que la plupart des pays veulent adapter les lois "terrestres" au cyberespace, tandis qu'il serait nécessaire d'en créer de nouvelles. A noter également qu'en France, la DGCCRF vient de dresser le bilan de son réseau de surveillance du commerce électronique : en 1999, 42 infractions ont été relevées. Et dans la première moitié de l'année 2000, quinze dossiers de contentieux ont été établis et sont en cours de traitement. Qui a dit que le (cyber)crime ne payait pas ?

Source: Les News.Net (08/12/2000)

Les cyberflics se mettent aux travaux pratiques

Alors que le séminaire de Poitiers réunissant les cyber-policiers européens touche à sa fin, Marcel Vigouroux, commissaire principal, chef de l'Office Central de Lutte contre la Criminalité liée aux Technologies de l'Information et de la Communication (OCLCTIC), répond aux questions de Transfert.

Transfert – Quel était le but de cette réunion policière ?

Marcel Vigouroux – Il y a deux ans, Interpol avait édité un petit guide à l’usage des policiers en charge de ces sujets, Computer crime manual. Ce séminaire est l’occasion de mettre en pratique ce document. Nous avons participé à des ateliers. Le premier concernait les perquisitions d’ordinateurs. De tous types. Idem pour les systèmes d’exploitation. L’idée était de trouver une contrefaçon d’euro dans l’ordinateur. Puis un fichier concernant un trafic de stupéfiants. Et enfin, une image pornographique pédophile renommée. Le deuxième atelier a porté sur la téléphonie. Nous avons abordé le piratage des PABX [auto-commutateurs téléphoniques, NDLR] et la localisation des GSM. Enfin, le troisième atelier concernait Internet et les réseaux. Nous avons assisté à une démonstration d’intrusion dans un réseau. Il fallait également trouver un répertoire créé par un pirate sur un réseau d’une entreprise. Le pirate y stockait des images pédophiles.

Des sociétés comme France Télécom étaient venues vous aider pour votre séminaire. Lesquelles ?

France Télécom et sa filiale Wanadoo nous ont apporté les PABX et les lignes, ISS (Internet Security Systems) a également participé avec son logiciel RealSecure. Il y avait aussi des entreprises italiennes ou danoises, mais qui ne souhaitent pas apparaître officiellement.

Les dangers de la cybercriminalité ne sont-ils pas un peu surévalués ?

Pour l’instant, nous n’avons pas beaucoup de matériel. Vous savez, nous sommes obligés de louer du matériel pour les interceptions sur les lignes téléphoniques ou chez les ISP. C’est du matériel de pointe… Mais dès que nous aurons notre matériel, les demandes et les affaires vont affluer. Pour l’instant, on a traité trois affaires de pédophilie. On en est aux balbutiements.

Faites-vous appel à des sociétés de sécurité informatique ou à des hackers ?

Non. Jamais.

Que pensez-vous du traité sur la cybercriminalité du Conseil de l’Europe ?

Ils sont en train de le revoir. Je ne sais pas ce qui va en rester. Notamment s’ils retirent la partie sur la conservation des données. Ce traité va être vide de sens. 

Mais ce que vous appelez la conservation des données, c’est bien plus vaste que ce qui existe dans le monde réel…

Non. Les données relatives au téléphone sont également stockées. Nous, on ne demande que les URL, pas les e-mails. Il nous faut des traces de connexion pour remonter à la source d’un crime. Ce ne sont pas des données personnelles. Ça, c’est ce que disent les paranoïaques sécuritaires comme les gens de la CNIL.

Mais vous savez que, par exemple, avec certains protocoles comme ICMP, on peut remonter en temps réel d’une adresse IP à un numéro de téléphone ?

C’est quoi ça, ICMP ? On n'a pas ça, nous, on ne s’amuse pas à ça. 

Source: Transfet (17/11/2000)

La Grande-Bretagne lance une unité de "cyber-policiers" 

Le ministre britannique de l'Intérieur Jack Straw a annoncé la création d'une unité de policiers d'élite spécialisés dans la recherche du crime sur internet, comme la pédophilie. L'unité, financée à hauteur de 25 millions de livres (40 millions d'euros) comprendra 80 enquêteurs, basés à Londres et dans toute l'Angleterre au sein de commissariats régionaux traditionnels. Ces "cyber-policiers" seront chargés de traquer les pédophiles, mais également les pirates informatiques ou encore les virus. Quelque 40 détectives opéreront à Londres, au sein de l'Unité nationale de crime high-tech. Quarante-six autres seront déployés au sein des forces locales. 

L'unité entamera officiellement ses travaux en avril 2001, et réunira des membres de la police, des douanes, et des services de renseignements. "Le gouvernement est décidé à agir contre le crime high-tech en ligne, avec l'objectif de faire du Royaume-Uni l'endroit le plus sûr et le meilleur pour se lancer dans le commerce sur internet", a dit Jack Straw. "Les technologies modernes comme internet offrent d'énormes possibilités légales, mais également de nombreuses possibilités pour les criminels, pour les personnes impliquées dans les fraudes financières et des activités illégales comme la pédophilie", a ajouté le ministre. Les fonds alloués à la nouvelle unité seront également utilisés pour financer une ligne téléphonique internationale opérant 24 heures sur 24 et qui fournira des informations sur le "cyber-crime". 

Selon les derniers chiffres officiels publiés en septembre, le Royaume-Uni compte 19 millions d'internautes, et 60% des entreprises sur internet ont déjà fait l'objet d'attaques de pirates informatiques. 

Source: Journal du Net (14/11/2000)

L'Europe prépare ses cyber-flics

Les quinze pays de l’Union européenne adopteront des mesures contre la cyber-criminalité en septembre prochain, reprenant à leur compte un projet du Conseil de l'Europe particulièrement répressif.

Élisabeth Guigou souhaite que les Quinze se placent "au premier rang de la lutte contre la cyber-criminalité", rapporte l'agence Reuters. Si elle suit la voie tracée par les ministres de la Justice et de l'Intérieur de l'Union — réunis à Marseille, vendredi 28 juillet —, l'Europe pourrait effectivement se retrouver leader en matière de législation répressive concernant les délits sur Internet.

Rassemblés à l'initiative de la France — qui assume la présidence tournante de l'Union européenne (UE) — les euro-ministres ont annoncé pour septembre prochain des mesures renforçant la lutte contre la cyber-criminalité. 

Extension de la notion de crime informatique

Leur intention est claire : il s'agit de "parfaire le projet de convention actuellement négocié au sein du Conseil de l'Europe". Le Conseil de l'Europe (il rassemble les Quinze et 26 pays extra communautaires) a en effet dans ses cartons un texte particulièrement répressif. Transfert en révélait les principaux éléments, il y a quelques mois (lire Bienvenue dans l’ère du téléflicage). Outre l’organisation d'une coopération internationale et la lutte contre la pédophilie, rappelons quelques-unes des mesures prévues : la mise en place de téléperquisitions (les cyber-flics iront fouiller à distance les ordinateurs suspects), l'extension de la notion de crime informatique (toute personne accédant sans autorisation à un système sera considérée comme un criminel) et l'extension de la durée de conservation des données de connexions des internautes par les fournisseurs d'accès.  

Source: Transfert.net (01/08/2000)

Mais que fait la cyber-police ?

Selon les policemen anglais, des cyber-terroristes chercheraient à s’infiltrer dans les banques de la City.

Depuis deux semaines, la police londonienne demande aux banques de la City de faire attention aux cyber-terroristes. Les bobbies pensent en effet que des "anarchistes" cherchent à s’infiltrer dans les banques londoniennes en vue de les pirater de l’intérieur à l’occasion d’une manif’ anarco-écolo prévue pour mai. Norman Russell, chef de la sécurité londonienne, demandait ainsi aux banquiers de bien vérifier le passé de leurs nouveaux employés, sous peine de voir certains d'entre eux ouvrir toute grande les portes de leurs établissements aux manifestants ou encore de placer des virus dans leurs systèmes informatiques. Il se trouve que la City a déjà fait l'objet de telles menaces l’an dernier, certains hacktivistes ayant laissé entendre qu'ils se préparaient à attaquer les systèmes informatiques. La menace avait été prise d’autant plus au sérieux que leur dernière manifestation avait viré à l’émeute, causant nombre de blessés du côté des militants, et des dégâts estimés à plusieurs millions de livres du côté des multinationales.

Cyber-attaque:

The Register, journal anglais consacré aux nouvelles technologies, a donc décidé d'aider les banquiers en leur prodiguant quelques conseils : ainsi, il serait malvenu d'engager quelqu'un qui, lors de son entretien d'embauche, laisserait échapper "Mettons les capitalistes à genoux !", "Entartons les porcs de la City !" ou encore "le cri du profit et du pillage sera remplacé par le son des rythmes des fêtes et du plaisir", citation extraite du site des activistes de Reclaim the Streets… Une semaine après l’annonce de cette menace "cyber-terroriste", la City tombe en panne , et s’il y a peu de probabilités qu’il s’agisse bien d’une cyber-attaque, on ne sait toujours pas ce qui est arrivé exactement et l’enquête suit son cours. Il n’empêche qu’il ne fait pas bon vivre en ce moment sous les sunlights de l’e-City.  

Source: Transfert (12/04/2000)

Cybercops: comment les services de police américains traquent les web-criminels

Chaque soir, avant de s'endormir, Scott Charney dépose son pager (avertisseur de poche) sur sa table de nuit. Il a instauré ce rituel voilà deux ans, lorsque les gouvernements du G8 ont décidé de mettre en place une surveillance permanente d'Internet. Dans chacun des huit pays concernés, un « point de contact » peut être alerté, vingt-quatre heures sur vingt-quatre, au moindre faux pas d'un criminel détecté sur le réseau. Dans les minutes qui suivent le début de l'alerte, les meilleurs spécialistes mondiaux de la traque sur Internet peuvent ainsi être mobilisés pour localiser un suspect, en suivant sa trace électronique : trafiquants d'images pédophiles, escrocs, faux agents de change, cybergangsters lancés à l'assaut des réseaux informatiques des grandes banques... Le Net attire toutes sortes de racailles.

Scott Charney est la vigie américaine du dispositif. Il en est également le principal architecte. Depuis trois ans, il dirige la section spéciale du département américain de la Justice chargée de lutter contre le crime informatique. Au début des années 90, il était parmi les premiers à tirer le signal d'alarme afin de mettre en garde contre la vulnérabilité des systèmes informatiques. Son credo n'a pas varié depuis : pour être efficaces, les polices d'Internet doivent pouvoir intervenir au moment même où les criminels commettent leur délit. Explication : à la différence des opérateurs de télécommunications classiques, qui stockent les données sur leurs clients pour établir la facturation, les fournisseurs d'accès à Internet ne gardent aucune information. « Si vous voulez commettre le crime parfait, faites--le sur Internet », s'exclame Scott Charney. Le superflic du cyberespace veut faire régner l'ordre et la loi sur le réseau. Et le meilleur moyen d'y parvenir, selon lui, est de surveiller les entrées et sorties du Net.

Parmi les mesures préventives indispensables, Charney et ses acolytes voudraient obliger les fournisseurs d'accès à stocker toutes les données relatives à leurs clients durant au moins trois mois.

Pour Scott Charney, la lutte contre le cybercrime vaut bien quelques entraves aux libertés individuelles. Sa barbe soigneusement coupée et ses lunettes à verres épais lui donnent plus l'allure d'un ingénieur méthodique que celle d'un flic de choc. A 42 ans, informatique et justice sont ses deux passions indissociables. Dès l'âge de 8 ans, il s'amusait à programmer en langage cobol. Plus tard, il s'offrira l'un des tout premiers ordinateurs personnels disponibles sur le marché. Quant à sa carrière de justicier, il l'a inaugurée dans les bas-fonds du Bronx, comme assistant du procureur, pourchassant les criminels les plus endurcis. C'est désormais sur les réseaux qu'il traque les crapules, depuis son fief de la G Street, situé au centre de Washington. Son équipe occupe un étage entier dans un grand immeuble moderne. Elle se compose d'une dizaine d'experts informatiques et de dix-huit juristes chargés d'endiguer le flux croissant de criminalité sur le Net.

Selon une récente enquête du FBI, les pertes causées aux entreprises par le crime informatique au cours des trois dernières années dépassent les 360 millions de dollars (2 milliards de francs). Mais la plupart des entreprises ne déclarent jamais ces incidents. Ainsi, à la Chase Manhattan, selon une source interne, la banque passerait chaque année par pertes et profits environ 300 millions de dollars de vol électronique. De son côté, le département de la Défense estime que son réseau informatique est la cible, chaque année, de plus de 200 000 tentatives d'intrusion. « Au début d'Internet, il n'y avait pas besoin de police parce qu'il n'y avait pas de criminalité, explique Scott Charney. Le Net n'était alors utilisé que par des universitaires. Désormais, le crime s'est installé et va progresser, au même rythme que la population internaute. »

Pour combattre cette nouvelle criminalité, Charney peut compter sur une force de plusieurs centaines d'agents, membres du FBI, de l'administration des douanes ou des services secrets, les trois principales agences fédérales aujourd'hui compétentes pour la répression des crimes et délits sur Internet.

Pour les hommes des services secrets, le réseau mondial est un nouveau territoire. Depuis leur création, en 1865, ces services sont chargés de deux missions essentielles : la protection du président ainsi que la lutte contre les contrefaçons et la fausse monnaie. Au siège de l'agence, qui dépend du département américain du Trésor, les murs sont couverts de photographies retraçant les grandes dates de son histoire : le meurtre de John F. Kennedy, la tentative d'assassinat de Ronald Reagan, des scènes d'arrestation de faux-monnayeurs... Des images d'un nouveau genre viendront bientôt compléter la galerie. En 1984, le législateur a étendu le champ d'action des services secrets aux fausses cartes de crédit. Et une branche spécialisée dans le crime électronique est opérationnelle depuis l'an dernier. « Quelque 110 personnes - sur un effectif total de 2 200 agents secrets répartis dans tout le pays - ont été particulièrement entraînées pour combattre le cybercrime », indique Mary Riley, membre de cette nouvelle branche.

Mary Riley et ses équipiers ont connu leur heure de gloire il y a quelques mois. L'affaire a démarré en Floride, un matin, lorsque le responsable technique d'un petit fournisseur d'accès à Internet a découvert que son système était hors de contrôle. Durant la nuit, des hackers (pirates informatiques) s'étaient introduits dans ses ordinateurs, subtilisant au passage les numéros de carte de crédit de 11 000 clients. Seule bonne nouvelle : les pirates étaient prêts à négocier. Contre la modique somme de 30 000 dollars, ils acceptaient de restituer les précieuses informations. L'affaire a été résolue en huit jours en collaboration étroite avec le BKA, la police judiciaire allemande : le coupable, un étudiant indonésien de l'université de Bonn, a été interpellé alors qu'il venait récupérer la rançon... « Nous n'attrapons pas forcément les plus malins », reconnaît Scott Charney.

Malheureusement pour les agents des services secrets, les prises ne sont pas toujours aussi faciles. Glenn Coleman dirige l'unité chargée de la lutte contre les fraudes concernant les cartes de crédit. Chaque jour, il découvre sur le Net des techniques criminelles de plus en plus sophistiquées. Dans le cyberespace, comme dans le monde réel, l'imagination des gangsters est sans limites. « Jusqu'à présent, la contrefaçon de cartes de crédit nécessitait une organisation et des moyens techniques très importants, explique Glenn Coleman. Aujourd'hui, avec Internet, il devient très facile de récolter des numéros de cartes de crédit, et la technologie permet de produire des cartes en série.

Le cauchemar des services secrets, aujourd'hui, c'est la technique du skimming, la capture électronique de toutes les informations inscrites sur la bande magnétique d'une carte de crédit. Sur Internet, il est possible de se procurer des lecteurs de bande magnétique portatifs, de la taille d'un paquet de cigarettes. Prix moyen : 1 500 dollars. Du coup, aux Etats-Unis, où toutes les transactions - aux guichets automatiques comme chez les commerçants - se font avec la bande magnétique de la carte, un commerce très particulier s'est développé : la revente des informations secrètes des cartes bancaires aux réseaux de faussaires. Voici le scénario classique : au moment de payer l'addition, le client confie sa carte de crédit au garçon qui disparaît pour la débiter. Discrètement, le serveur indélicat passe la carte une seconde fois dans son lecteur portatif. Il dispose ainsi du numéro de la carte, de sa date de validité, du nom du porteur et, surtout, du code confidentiel figurant sur la bande. Chacun de ces petits lecteurs peut mémoriser une soixantaine de codes. « C'est tout l'intérêt du skimming, explique Glenn Coleman : les informations récoltées sur le petit lecteur peuvent ensuite être facilement transférées sur un ordinateur puis acheminées vers des gangs de faussaires, via Internet. »

Depuis l'an dernier, les services secrets travaillent étroitement avec les sept plus grandes banques américaines afin de repérer plus rapidement les « skimmers ». Aujourd'hui, un suspect peut être localisé en quelques semaines. Mais c'est encore trop long ! Très souvent, lorsque les hommes des services secrets débarquent dans une station-service ou un restaurant douteux, le skimmer s'est déjà évaporé.

« L'essentiel de notre travail est de comprendre les nouvelles méthodes criminelles développées sur Internet et d'accumuler les preuves afin de pouvoir témoigner devant les tribunaux », explique Mary Riley. Tous les moyens sont mis en oeuvre pour tenter de débusquer les contrevenants, depuis le contrôle du trafic de courrier électronique jusqu'à la surveillance de sites Web. Chaque agent passe, en moyenne, deux jours par semaine à scruter le réseau mondial. Et les découvertes s'accumulent. Les sites proposant des crédits à des taux très avantageux sont particulièrement surveillés. « Chaque marchand proposant du crédit sur le Web peut en théorie commettre une fraude, raconte Mary Riley. Il connaît toutes les coordonnées bancaires de ses clients : il lui suffit donc de demander à la banque une carte à leur nom et de pomper ensuite allégrement dans leurs comptes en banque. »

Internet représente une mine d'informations pour les contrefacteurs. Les pages Web personnelles, sur lesquelles les internautes affichent imprudemment tous les détails de leur vie privée, sont particulièrement appréciées par les malfrats. « Les gens livrent beaucoup trop d'informations personnelles, et c'est une aubaine pour les fabricants de fausses pièces d'identité », observe Glenn Coleman. Les services secrets sont souvent démunis face à ce type de criminels. A l'inverse, leurs collègues de la SEC (Securities Exchange Commission, l'équivalent américain de la Commission des opérations de Bourse) sont beaucoup plus sereins. « Dans notre domaine, les criminels ont besoin de se faire de la publicité, et le plus souvent nous les arrêtons avant que quiconque ait perdu de l'argent », affirme John Reed Stark, chef du bureau du contrôle d'Internet à la SEC. Et il prend pour exemple l'affaire du prince Lazareff Long, interpellé voilà quelques mois alors qu'il venait de mettre sur le Web un projet d'investissement immobilier sur une île artificielle dans les Caraïbes. « Ça sentait le plan bidon. Nous avons lancé une action d'urgence, et le prince a été arrêté en un temps record », raconte Stark.

Le travail de traque tranquille des agents de la SEC est une exception. A une trentaine de kilomètres à l'ouest de Washington, dans un immeuble neuf des quartiers chic de Fairfax, une autre équipe d'experts scrute Internet. Le Cyber Smuggling Center (Centre de la cybercontrebande), fondé en octobre 1997, est une unité spécialisée du service des douanes. Son patron, Glenn Nick, dirige une vingtaine de personnes. « A terme, je pourrai compter sur une soixantaine d'agents », espère- t--il. Pour l'heure, son unité est débordée. Des heures durant, les hommes de Glenn Nick naviguent de forum en site Web, à la recherche d'individus suspects. Leur arme favorite ? « La provocation », lance Glenn Nick en passant de la méthode à l'action.

Assis devant son écran d'ordinateur, il s'inscrit dans un forum de discussion sous le nom de Monna Girl. Au bout de quelques secondes, arrive un premier message : « Quel âge ? » de la part de Gay Guy. « 12 ans, tu veux échanger ? » écrit Glenn Nick, alias Monna Girl. Pour son bonheur, Gay Guy ne répondra pas à l'invite. Les douaniers américains ont déclaré la guerre totale aux pédophiles. Quatorze des seize agents du service y consacrent leur temps. Leur mission : mettre un terme au trafic sur Internet d'images pornographiques impliquant des enfants. Au mois de mai dernier, le Cyber Smuggling Center s'est offert un joli coup de publicité avec l'arrestation de Thomas Jared Pearl, un employé d'Eunice Kennedy Shriver, soeur du président John Kennedy, l'une des femmes les plus influentes de Washington.

Pearl était recherché depuis plusieurs mois. La traque avait démarré en novembre 1998. Cet homme de 39 ans avait alors entamé une correspondance électronique avec une inconnue se faisant passer pour une petite fille de 12 ans. Celle-ci lui adressa, via les réseaux, des photos d'enfants « engagés dans une conduite sexuelle explicite », selon les termes de l'acte d'accusation. En réalité, la petite fille n'était autre que l'agent spécial des douanes Donald Daufenbach. L'affaire la plus importante traitée à ce jour par le Cyber Smuggling Center reste l'opération Cathedral, menée conjointement avec plusieurs polices européennes. Le 4 septembre 1998, 190 personnes ont été arrêtées, dont 41 aux Etats-Unis. « C'était un réseau de pédophiles mis sur pied par des criminels utilisant des techniques très sophistiquées. Ils disposaient d'un réseau de communication entièrement sécurisé », explique Glenn Nick.

La lutte antipédophile laisse peu de temps aux cyberdouaniers pour se consacrer à d'autres champs d'investigation. La propriété intellectuelle, le trafic de drogue ou le blanchiment d'argent n'ont pour l'instant donné lieu à aucune opération d'envergure. Quant à l'espionnage économique, autre champ d'action traditionnel des douaniers, il relève sur le Net de la compétence exclusive des hommes du FBI, qui se chargent également de résoudre les affaires de terrorisme et de gangstérisme.

Depuis le 28 février 1998, la police fédérale compte une nouvelle unité, travaillant en liaison avec le département de la Défense : le NIPC (Centre national pour la protection des infrastructures). Au siège du FBI, à Washington, quelque 125 G-Men - les hommes du gouvernement - sont déjà opérationnels. La création de cette équipe très secrète a été encouragée par le rapport d'une commission de travail remis au président Bill Clinton il y a trois ans. Les auteurs de ce document ont identifié huit « infrastructures critiques », pouvant être la cible de cyberattaques : les télécommunications ; l'électricité ; le gaz et le pétrole ; les transports ; les banques et institutions financières ; l'eau potable ; les services d'urgence ; les services administratifs (services sociaux...). Dans une étude récente, le cabinet Booz Allen & Hamilton estime à 7 milliards de dollars le budget nécessaire pour protéger ces infrastructures.

Douglas Perritt, directeur adjoint du NIPC, croit fermement à une menace venue de l'extérieur. « Depuis la fin de la guerre froide, les Etats-Unis demeurent la seule superpuissance... Cela nous rend très vulnérables », lâche-t--il en préambule. Mais lorsqu'il s'agit de mettre des noms sur ces agresseurs potentiels, Douglas Perritt préfère rester vague. « Avant, c'était facile : l'ennemi, c'était l'URSS. Aujourd'hui, la menace peut venir de la Corée du Nord, de Cuba ou de l'Irak, mais aussi de terroristes et d'adversaires économiques », explique-t-il.

Les hommes du FBI ont dressé le portrait de six criminels types, susceptibles de porter atteinte aux infrastructures vitales du pays. En tête de liste figurent les cybermercenaires, des experts en informatique qui vendent leurs compétences aux plus offrants. Viennent ensuite les milices, les incitateurs à la désobéissance civile, les manifestants internationaux, les terroristes et les activistes de tout poil. « Aucune de ces menaces ne s'est encore concrétisée », assure Douglas Perritt. Mais les G-Men se sont déjà fait une grosse frayeur. C'était en février 1998, dans une affaire baptisée Solar Sunrise.

A l'époque, les premiers éléments du NIPC prenaient leurs quartiers dans l'immeuble J. Edgar Hoover, siège du FBI à Washington. Bill Clinton venait d'annoncer l'envoi de navires supplémentaires dans le golfe Persique en vue d'une nouvelle campagne de bombardements contre l'Irak. En l'espace de quelques jours, des tentatives d'intrusion ont été constatées sur les ordinateurs de plusieurs bases militaires aux Etats-Unis. Certaines de ces attaques venaient du Moyen-Orient. Le FBI en a rapidement conclu que l'Irak venait de déclencher une guerre électronique contre les Etats-Unis afin de retarder la mobilisation de la flotte de l'US Navy. Mais, quelques jours plus tard, les vrais coupables étaient appréhendés : deux gamins californiens de 14 ans et leur mentor, un Israélien seulement âgé de 19 ans.

Le responsable du FBI prédit cependant un autre cataclysme : « Le passage à l'an 2000 sera un mauvais moment pour nous », confie-t--il. « Pour les gangsters du Net, c'est le moment rêvé d'agir en passant inaperçu : tout sera mis sur le compte du bogue de l'an 2000. » L'équipe du NIPC au grand complet passera donc le réveillon au siège du FBI, sur le pied de guerre, à la recherche d'une parade contre le crime parfait.

Aux Etats-Unis, des voix commencent à s'élever pour dénoncer la paranoïa des services de police. « Partout dans le monde, la tendance est à la protection de ces données, et aux Etats-Unis on veut laisser le renard garder le poulailler », s'insurge Evan Hendricks, rédacteur en chef de Privacy Times, une lettre d'information dédiée à la défense des libertés individuelles.

A en croire certains, la frilosité du gouvernement face aux nouvelles technologies ne date pas d'hier. « Il y a cent ans, les autorités ont essayé d'interdire aux gens de conduire des voitures parce que cela leur permettrait de braquer des banques en s'enfuyant plus vite », raconte Lance Hoffman, directeur de l'Institut pour une politique du cyberespace à l'université de Washington. Mais la critique la plus acérée vient de Wayne Madsen, un ancien agent de la NSA, la puissante agence de contre-espionnage américaine. Devenu membre de l'Epic, une association de défense des libertés civiles basée à Washington, il dénonce les grandes manoeuvres policières : « Le risque est dramatisé pour une question de gros sous. Les agences fédérales essaient par tous les moyens à préserver leur budget. » Les consultants de l'Epic soupçonnent l'administration américaine de chercher, au moyen d'Internet, à constituer de vastes banques de données sur les individus. Déjà, les agences qui dépendent du Trésor n'hésitent pas à racheter à des sociétés privées des informations concernant les revenus des contribuables américains...

Source: L'Expansion (09/09/1999)