Le manque de personnel qualifié, la lenteur du changement institutionnel, la non-prise en compte sérieuse des risques informatiques, exposent les capacités nucléaires militaires de la plupart des États dotés de l’arme atomique. Une cyberattaque est considérée comme un « risque relativement élevé ». C’est l’avertissement lancé ce 11 janvier par Chatham House, un think tank britannique spécialisé en matière de défense. À l’heure où les Etats-Unis et la Corée du Nord bombent le torse devant le bouton nucléaire, que le risque terroriste est à un niveau maximum, que les États-voyous se multiplient, et que le monde entier craint une folie, cette alerte doit être entendue.
Le rapport, Cybersecurity of Nuclear Weapons Systems: Threats, Vulnerabilities and Consequences, a été rédigé par Beyza Unal, chercheuse à la Chatham House de Londres, qui travaillait auparavant sur l’analyse stratégique à l’OTAN, et Patricia Lewis, directrice de recherche au département de la sécurité internationale à Chatham House. Les auteurs du rapport relèvent, en préambule, que jusqu’à présent, la menace d’une cyberattaque n’avait jamais retenu l’attention des personnes impliquées dans la planification militaire nucléaire et l’acquisition d’armes. Pour quelles raisons ? Tout simplement parce que ces organismes militaires étaient dans l’incapacité de suivre les progrès rapides en matière informatique, au manque de personnel qualifié et à la lenteur des changements institutionnels.
En effet, selon le rapport, « les systèmes d’armes nucléaires ont été mis au point avant les progrès de l’informatique et peu d’attention a été accordée aux vulnérabilités cybernétiques potentielles. Par conséquent, la stratégie nucléaire actuelle néglige souvent l’utilisation généralisée de la technologie numérique dans les systèmes nucléaires ».
Cette analyse paraît incroyable mais les auteurs affirment que « la probabilité de tentatives de cyberattaques contre des systèmes d’armes nucléaires est relativement élevée et augmente en raison des menaces persistantes et avancées émanant d’États et de groupes non étatiques ». Ils pointent notamment les silos de missiles balistiques intercontinentaux Minuteman, dotés de l’arme nucléaire américaine, qui seraient particulièrement vulnérables aux cyberattaques.
Ceci est le fameux bouton atomique :
panneau de commande du centre de contrôle de lancement des missiles balistiques intercontinentaux nucléaires Minuteman III à New Ramer, Colorado. Photo: Getty Images.
panneau de commande du centre de contrôle de lancement des missiles balistiques intercontinentaux nucléaires Minuteman III à New Ramer, Colorado. Photo: Getty Images.
L’étude fait également état de plusieurs informations récentes comme la découverte d’un trafic illicite de matières radioactives et nucléaires en Moldavie et en Géorgie ; ils évoquent comment, en Belgique, les services secrets se sont rendu compte qu’un groupe affilié à l’État islamique surveillait étroitement les mouvements d’un spécialiste du nucléaire. Ils rappellent aussi que des missiles Patriot appartenant à l’Allemagne auraient été piratés en 2015.
« Il existe un certain nombre de vulnérabilités et de voies par lesquelles un acteur malveillant peut infiltrer un système d’armes nucléaires à l’insu d’un État », précise le rapport. « L’erreur humaine, les défaillances des systèmes, les vulnérabilités de conception et les vulnérabilités dans la chaîne d’approvisionnement représentent toutes des problèmes de sécurité communs aux systèmes d’armes nucléaires. »
Pour suivre les évolutions fulgurantes des technologies informatiques, la plupart des États se retrouvent devant la nécessité de s’adresser à des spécialistes du privé, avec tous les risques que cela comporte. Les auteurs rappellent que de nombreux aspects de la mise au point des armes nucléaires et de la gestion des systèmes sont privatisés aux États-Unis et au Royaume-Uni, une situation qui risque d’introduire un certain nombre de vulnérabilités dans la chaîne d’approvisionnement. Il existe actuellement un espace relativement peu ou pas réglementé laissant ouvertes des vulnérabilités qui pourraient compromettre l’intégrité générale des systèmes d’armes nucléaires nationaux.
Vous n’en coyez pas vos yeux ? Voici un exemple est édifiant : la plupart des pays achètent leurs processeurs électroniques sur le marché mondial plutôt que de se fournir auprès des laboratoires de la défense nationale. Quand on a en tête la faille qui vient d’être découverte dans les processeurs Intel, on ne peut manquer de s’inquiéter. Certains pays gèrent mieux ce risque que d’autres. C’était le cas, jusqu’ à une date récente, de la Russie qui n’utilisait que des ordinateurs domestiques. Mais, devant la complexification de l’informatique moderne, elle a dû se résoudre à importer des composants matériels.
Autre exemple de vulnérabilité, les portes dérobées dans les logiciels que les entreprises maintiennent souvent pour corriger les bogues, tout comme les systèmes de patches. Ce sont des cibles de choix pour les cyberattaques une fois qu’elles sont découvertes et deviennent connues.
Par ailleurs, le recours à l’intelligence artificielle, tout en créant de nouvelles possibilités pour la cybersécurité des armements nucléaires, ajoutent de nouvelles couches de complexité qui pourraient être exploitées de façon malveillante.
Les auteurs du rapport ne se privent pas de critiquer les militaires qui, jusqu’à présent, ne prennent pas ces risques au sérieux. Ils pointent les programmes d’achats militaires qui auraient tendance à ne pas tenir suffisamment compte des nouveaux risques cybernétiques. Cela pourrait s’expliquer par le fait que ces organisations ne cessent de prendre du retard par rapport à l’évolution rapide de la nature des cyberattaques, par le manque de personnel qualifié et par la lenteur de la mise en œuvre institutionnelle et organisationnelle des changements.
Cette lenteur administrative expliquerait pourquoi certains composants, matériels numériques et logiciels deviennent rapidement obsolètes, sans mise à jour ou correctifs appropriés et sont alors « sujets à l’intrusion ». Les auteurs citent à ce propos un exemple qui fait froid dans le dos : le nouveau porte-avions du Royaume-Uni, le HMS Queen Elizabeth, utiliserait dans sa salle de contrôle, la même version de Windows que celle qui fut sujette à l’attaque WannaCry en mai dernier !
Source : Chatham House, The Guardian
