Appeler la Chine pour des cyberattaques est risqué, mais un monde numérique sans loi est encore plus risqué

La condamnation multi-pays d’aujourd’hui des cyberattaques par des agences parrainées par l’État chinois était un signe de frustration croissante face à un comportement récent. Mais cela masque aussi le vrai problème : le droit international n’est pas assez fort ou cohérent pour faire face à cette menace croissante.

L’annonce coordonnée de plusieurs pays, dont les États-Unis, le Royaume-Uni, l’Australie et la Nouvelle-Zélande, fait écho à la plus récente évaluation des menaces de la communauté du renseignement américaine : les cybermenaces des États-nations et de leurs substituts resteront aiguës dans un avenir prévisible.

Rejoindre le chœur contre la Chine peut être risqué sur le plan diplomatique pour la Nouvelle-Zélande et d’autres, et la Chine a déjà qualifié ces allégations de « sans fondement et irresponsables ». Mais il ne fait aucun doute que le problème est réel.

Le dernier rapport du Government Communications Security Bureau (GCSB) de Nouvelle-Zélande a enregistré 353 incidents de cybersécurité au cours des 12 mois jusqu’à la mi-2020, contre 339 incidents l’année précédente.

Étant donné que l’accent est mis sur des événements potentiellement à fort impact ciblant des organisations d’importance nationale, il ne s’agit probablement que d’une faible proportion du total. Mais le GCSB a estimé que les attaques parrainées par l’État représentaient jusqu’à 30% des incidents enregistrés en 2019-2020.

Depuis ce rapport, des incidents plus graves se sont produits, notamment des attaques contre la bourse et l’hôpital de Waikato. Les attaques sont de plus en plus sophistiquées et infligent de plus en plus de dégâts.

À l’échelle mondiale, il existe des avertissements selon lesquels une cyberattaque majeure pourrait être aussi mortelle qu’une arme de destruction massive. La désescalade est urgente.

Le gouvernement dit avoir découvert des preuves de cyberattaques parrainées par l’État chinois en Nouvelle-Zélande.https://t.co/wB5Q8M4lwO

– RNZ (@radionz) 19 juillet 2021

Solutions globales manquantes

La Nouvelle-Zélande serait relativement bien préparée pour faire face aux incidents nationaux en utilisant des lois pénales, relatives à la vie privée et même nuisibles aux communications numériques. Mais la plupart des cybercrimes ont leur origine à l’étranger et les solutions mondiales n’existent pas vraiment.

En théorie, les attaques peuvent être divisées en deux types : celles par des criminels et celles par des gouvernements étrangers. En réalité, la frontière entre les deux est floue.

Traiter avec des criminels étrangers est légèrement plus facile que de lutter contre les attaques d’autres gouvernements, et la Première ministre Jacinda Ardern a reconnu la nécessité d’un effort mondial pour lutter contre ce type de cybercriminalité.

À cette fin, le gouvernement a récemment annoncé que la Nouvelle-Zélande adhère à la Convention du Conseil de l’Europe sur la cybercriminalité, un régime mondial signé par 66 pays et basé sur des normes juridiques de base communes, des règles d’assistance mutuelle et d’extradition.

Malheureusement, certains des pays le plus souvent soupçonnés d’autoriser la cybercriminalité internationale à l’intérieur de leurs frontières n’ont pas signé, ce qui signifie qu’ils ne sont pas liés par ses obligations.

Cela inclut la Russie, la Chine et la Corée du Nord. Avec plusieurs autres pays qui ne sont pas connus pour leur tolérance à l’égard d’un Internet ouvert, gratuit et sécurisé, ils tentent de créer un régime international alternatif de lutte contre la cybercriminalité, entrant maintenant dans un processus de rédaction par le biais des Nations Unies.

« Sans fondement, irresponsable »: la Chine riposte à la Nouvelle-Zélande après une accusation de cyberattaque https://t.co/oGSOMtFdXT

– Politique de Newshub (@NewshubPolitics) 19 juillet 2021

Les cyberattaques comme actes de guerre

Faire face aux attaques d’autres gouvernements (par opposition aux criminels) est encore plus difficile.

Seuls des principes généraux existent, notamment que les pays s’abstiennent de menacer ou d’utiliser la force contre l’intégrité territoriale ou l’indépendance politique de tout État, et qu’ils doivent se comporter de manière amicale les uns envers les autres. Si quelqu’un est attaqué, il a un droit inhérent à la légitime défense.

Une cyberactivité malveillante parrainée par l’État impliquant de l’espionnage, des rançons ou des atteintes à la vie privée peut être qualifiée d’inamicale et de mauvaise foi, mais il ne s’agit pas d’actes de guerre.

Cependant, les cyberattaques dirigées par d’autres gouvernements pourraient constituer des actes de guerre si elles causent la mort, des blessures graves ou des dommages importants à l’État ciblé. Les cyberattaques qui s’ingèrent dans les élections étrangères peuvent, selon leur impact, saper dangereusement la paix.

Et pourtant, malgré ces risques extrêmes, il n’existe aucune convention internationale régissant les cyberattaques d’État sur la manière dont les Conventions de Genève couvrent les règles de la guerre ou les conventions de contrôle des armements limitent les armes de destruction massive.

Risques de représailles

Malgré la dernière condamnation des cyberattaques liées à la Chine, le problème ne disparaît pas.

Lors de leur récente réunion à Genève, le président américain Joe Biden a déclaré à son homologue russe, Vladimir Poutine, que les États-Unis riposteraient contre toute attaque contre leurs infrastructures critiques. Une nouvelle agence américaine visant à contrer les attaques de ransomware réagirait de « manières invisibles et vues », selon l’administration.

De telles réponses seraient légales en vertu du droit international s’il n’y avait pas d’autres moyens de résolution ou de réparation, et pourraient être considérées comme nécessaires et proportionnées.

En outre, la réponse peut être unilatérale ou collective, ce qui signifie que les États-Unis pourraient appeler leurs amis et alliés à les aider. La Nouvelle-Zélande a déclaré qu’elle était ouverte à la proposition selon laquelle les États victimes peuvent, dans des circonstances limitées, demander l’aide d’autres États pour appliquer des contre-mesures proportionnées à une personne agissant en violation du droit international.

Une dérive vers l’anarchie

Mais seulement un mois après que Biden a tracé sa ligne rouge avec Poutine, une autre attaque massive de ransomware a paralysé des centaines de fournisseurs de services dans 17 pays, y compris des écoles et des jardins d’enfants néo-zélandais.

Le groupe de ransomware REvil, affilié à la Russie, qui était probablement à l’origine des attaques, a mystérieusement disparu d’Internet quelques semaines plus tard.

Les choses avancent vite et rien de tout cela n’est très rassurant. Dans un monde interconnecté confronté à une menace croissante de cyberattaques, nous semblons nous éloigner de l’ordre, de la stabilité et de la sécurité et nous diriger vers l’obscurité d’une anarchie croissante.

La condamnation coordonnée de la Chine par la Nouvelle-Zélande et d’autres a considérablement fait monter la barre. Toutes les parties devraient maintenant rechercher une solution internationale fondée sur des règles, sinon le risque ne fera qu’augmenter.

Cet article est republié à partir de The Conversation sous une licence Creative Commons. Lire l’article original.