L’histoire de la cybersécurité

Avec des enjeux de plus en plus forts marqués ces dernières années par des attaques toujours plus nombreuses, conséquences de l’avènement des réseaux interconnectés, la cybersécurité n’a jamais autant fait parler d’elle. En 2021, 54 % des entreprises françaises avaient été attaquées (Baromètre 2022 du Club des experts de la sécurité de l’information et du numérique) avec bien souvent des conséquences graves. Interruption de business, fuite de données, impact sur l’image… le coût médian d’une cyberattaque s’élève à 50 000 euros et la baisse du chiffre d’affaires est évaluée à 27 % en moyenne. C’est dire le caractère grave qu’une attaque peut représenter. La période du Covid n’ayant rien arrangé et contribuant largement à son exacerbation. Dans ce contexte, les entreprises de toute taille sont désormais contraintes de se protéger, d’anticiper, de répondre. Il est désormais très loin l’époque où seul un antivirus suffisait à protéger un parc informatique.

La sécurisation des systèmes d’information n’est pas une question nouvelle. Elle prend racine dans les années 1940. Mais au fil des décennies, elle a connu une évolution fulgurante : des premiers virus informatiques aux prémices de la cybercriminalité, des piratages sophistiqués en passant par la fuite massive de données. Huit grandes périodes jalonnent son histoire.

Il faut savoir qu’au début, le mot cybersécurité n’était pas employé, il est apparu que récemment : dans les années 1990, gagnant en popularité. La cybersécurité prend son essor parallèlement au développement de l’informatique et plus largement des réseaux interconnectés donc internet. Liés et indissociables.

À cette époque, les premiers ordinateurs sont des monstres de calcul occupant des pièces entières. On ne parlait pas encore de sécurisation informatique, mais on s’employait plutôt à sécuriser les machines par une protection physique. L’accès à ces ordinateurs était strictement contrôlé, c’est pourquoi seuls les gouvernements et les grandes entreprises étaient équipés et pouvaient les utiliser. Ce sont les débuts de l’informatique.

ENIAC, le premier ordinateur de l’histoire. Crédit : Armée américaine

Il faudra attendre ces années-là pour qu’émerge l’idée du premier réseau de communication distribué. L’informaticien américain Joseph Licklider est à la manœuvre et imagine un moyen d’utiliser les ordinateurs dans le but d’aider les humains. Cette grande figure de l’informatique souhaite créer des machines faciles à utiliser et anticipe l’interconnexion en réseau des ordinateurs avec des interfaces plus conviviales. Ses idées contribuèrent ainsi au développement d’Internet. C’est lui qui a imaginé bien avant leur apparition, les bibliothèques numériques, le commerce électronique, la banque en ligne, etc. En 1969 les ordinateurs peuvent alors communiquer entre eux malgré de longues distances.

Dès lors survient la nécessité de contrôler l’accès aux informations. Les premiers mécanismes de contrôle d’accès ont été introduits, jetant les bases de la sécurité informatique moderne. En 1966, John von Neumann théorise dans ses travaux de recherche le premier virus.

1974 exactement. Les réseaux informatiques se développent, et les protocoles distincts TCP/IP vont devenir la base d’Internet. TCP étant une norme de communication permettant aux programmes d’application d’échanger des messages sur un réseau. L’IP représente la méthode utilisée pour envoyer des données d’un appareil à un autre via Internet. Chacun possédant une adresse IP unique. Avec ces protocoles toujours employés aujourd’hui, il s’agit d’uniformiser le réseau.

Parallèlement, le premier virus informatique de l’histoire apparaît signe des premières vulnérabilités des systèmes. Nous sommes en 1971 et il s’appelle Creeper. Bob Thomas en est l’instigateur et développe ce virus sur les ordinateurs faisant partie de l’Arpanet (le réseau devenant ensuite Internet au 1er janvier 1983). Sa particularité est d’être inoffensif et non nuisible. S’en suit par conséquent la création du premier antivirus baptisé Reaper dont le créateur n’est autre que Ray Tomlinson à l’origine du courrier électronique quelques années plus tard. Son innovation permet de chercher des creepers et de les supprimer.

Peu de temps après cette trouvaille, le virus Rabbit a quant à lui infecté un ordinateur et fait planter le système.

Dans un contexte évolutif qui fera écho à la cybersécurité en France, en 1978 la loi informatique et libertés entre en vigueur. S’ajoute la création de la CNIL.

Bob Thomas et son virus « Creeper »

La sécurité informatique est d’abord limitée principalement aux mondes militaires et universitaires. Une époque qui a vu la prolifération des premiers virus informatiques. L’épisode du ver Morris en 1988 a mis en lumière les vulnérabilités des réseaux. Il était programmé pour se répliquer de machine en machine et infectera des milliers d’ordinateurs dans le monde. Il est l’un des premiers virus informatiques malveillants de l’histoire. Quelque temps avant, en 1982, le virus Elk Cloner (développé par Rich Skrenta) avait pour but de contaminer les ordinateurs Apple-II. Il se propageait par une disquette.

Les premiers logiciels antivirus ont été développés pour contrer ces nouvelles menaces, marquant le début de la lutte active contre la cybercriminalité (qui n’était pas encore appelé ainsi).

Rich Skrenta et son virus « Elk Cloner » (Source: Northwestern University)

La période est marquée par la croissance rapide d’Internet, si bien que les attaques augmentent et demandent une plus grande sécurisation. Netscape développe le protocole SSL qui n’est autre qu’une liaison chiffrée entre le serveur web et les navigateurs, soit le fameux https. Les entreprises commencent à investir dans la sécurité informatique, introduisent des pare-feu et des outils de détection d’intrusion. C’est donc à cette période, que le terme cybersécurité a commencé à être largement utilisé. On parle déjà de hacker.

Dans ce contexte, les données personnelles commencent à devenir une question soulevant les débats. Ce qui conduit en 1995 à la mise en place d’une directive européenne sur la protection des données personnelles. La même année au cours de laquelle, le vice-président d’IBM, John Patrick parle de piratage éthique en vue d’optimiser les systèmes et leurs machines.

L’omniprésence d’Internet et son avènement conduit à une multiplication des attaques, notamment les attaques par déni de service (DDoS). Les entreprises ont commencé à investir massivement dans la cybersécurité, et des textes réglementaires sont adoptés dans de nombreux pays. Apparaissent des moyens de cryptographie garantissant la confidentialité des données et sécurisant les communications. Ou encore l’authentification multi-facteur ou les anti-malwares qui équipent les organisations.

En 2001, la Convention sur la cybercriminalité (Convention de Budapest) s’affiche comme le premier traité international abordant les crimes informatiques et les crimes dans le cyberespace. Elle est adoptée par l’UE après que les États-Unis aient vu leurs systèmes gouvernementaux et privés infectés par le virus Love. Deux ans plus tard, en 2003, les Anonymous sont fondés, la même année, les Américains sont les premiers à lancer la Division nationale de la cybersécurité.

En 2004, en France, une loi portant sur la Confiance dans l’économie numérique est adoptée. Elle vise, entre autres, à sécuriser les échanges et à amplifier les moyens de lutte contre la cybercriminalité. À cette époque, en 2009, est créée l’Agence nationale de la sécurité des systèmes d’information plus connue sous l’acronyme Anssi.

Les attaques se multiplient, les fuites de données sont massives et attirent l’attention du monde sur ce fléau. Entre janvier et septembre 2016, toutes les 40 secondes, une attaque par ransomware était constatée (étude Kaspersky Lab). La cybercriminalité devient une véritable industrie avec à sa tête des réseaux mafieux qui récoltent des milliards de dollars chaque année. Russie, Chine, Corée du Nord sont souvent pointées du doigt.

La cybersécurité devient alors un enjeu majeur de sécurité mondiale et s’étend dans le cyberespace. Ce qui oblige les États à renforcer une fois encore leurs dispositifs législatifs. En 2016 avec la première NIS Directive (la V2 entrera en vigueur en 2024) adoptée par l’Union européenne et qui entend assurer un niveau de sécurité élevé pour les réseaux et systèmes d’information européens. Autre texte phare : le Cybersecurity Act qui, en 2019, établit un cadre et des standards de cybersécurité en Europe.

Face à la montée en puissance des attaques, l’Hexagone déploie par ailleurs en 2017, le Commandement de la cyberdéfense militaire. Un an plus tard, le texte sur les protections des données (RGPD) entre en application.

Plusieurs faits marquent cette période comme en 2010 et Google qui annonce avoir été victime d’une faille de sécurité ; entre 2013 et 2015, Home Depot qui dévoile que des données attachées à 56 millions de cartes de paiement ont été volées durant une cyberattaque ; en 2017 où 16,7 millions d’Américains sont victimes de vol d’identité.

Déclaration de la Commissaire européenne Mariya Gabriel sur l’entrée en vigueur de la loi européenne sur la cybersécurité.