Cybersecurite des telecommunications : resilience face aux cyberattaques – Entretien avec Frank von Seth, CEO de cyan AG

La cyberattaque contre la filiale americaine de T-Mobile et le vol de 37 millions de fichiers clients a souleve des questions au sein du secteur des telecommunications. Frank von Seth, CEO de cyan AG, explique dans cet entretien ou se situent les plus grandes sources de danger, pourquoi les entreprises hesitent encore trop souvent a renforcer leurs mesures de protection et ce qu’elles peuvent faire pour proteger au mieux leurs infrastructures.

Debut 2023, la filiale americaine de T-Mobile a ete piratee : jusqu’a 37 millions de donnees clients – dont des numeros de telephone et des donnees de comptes – ont ete volees et proposees sur le darknet. Comment une telle chose est-elle possible ?

Les causes de cette attaque etant liees a une API (Application Programming Interface) mal configuree, c’est-a-dire des interfaces numeriques, on peut en deduire directement ce a quoi les entreprises de telecommunications doivent veiller aujourd’hui en matiere de cybersecurite.

Les cybercriminels se sont enormement professionnalises ces dernieres annees et connaissent parfaitement ces points d’entree que sont les API. Mal configurees, elles facilitent l’acces illegal aux donnees par des tiers. Une telle interface existait egalement dans ce cas concernant la filiale americaine de T-Mobile. L’attaque ayant rendu lisibles plus de donnees que prevu, les consequences s’en sont trouvees aggravees.

On le constate : la problematique concrete reside dans la structure « ouverte » actuelle des entreprises technologiques.  Des ecosystemes doivent etre crees et maintenus a jour. Cela necessite toutefois des API qui permettent aux developpeurs de partager des donnees. Avec des milliards d’interactions par semaine, ces interfaces s’averent etre des points de vulnerabilite potentiels – 37 millions de fichiers utilisateurs passent alors inapercus.

Qu’est-ce qui caracterise ces attaques ? Comment les pirates procedent-ils exactement ?

La quantite, la qualite et la complexite des attaques devraient continuer a augmenter au cours de l’annee 2023, car les attaques sont de plus en plus optimisees, notamment grace au soutien etatique. Les cybercriminels misent enormement sur le fait que les decideurs economiques se retrouvent desarmes face a la crainte de perte de donnees, de dommages entrepreneuriaux, d’interruptions d’activite ou de pertes de chiffre d’affaires.

J’utiliserais d’ailleurs le terme « hacker » avec beaucoup de precaution, car nous parlons en realite de cybercriminels. Pour eux, cette activite est comme la boulangerie pour le boulanger, avec toute l’organisation qui l’entoure.  Ce qui s’est exactement passe chez T-Mobile n’a pas ete rendu public – il peut s’agir d’un developpeur qui a remarque quelque chose par hasard en programmant sur l’API, ou bien d’une recherche ciblee.

Par ailleurs, je distinguerais deux types d’attaques : les attaques de masse et les attaques individuelles, bien que la frontiere ne soit pas clairement definissable. Ces dernieres correspondraient a la vision classique du hacker. Pour les attaques de masse, des outils prets a l’emploi sont deja disponibles sur le darknet, aussi simples a acheter qu’un abonnement Netflix. N’importe qui peut alors devenir criminel et envoyer des rancongiciels ou pratiquer le hameconnage.

Quelles erreurs classiques les entreprises et les consommateurs commettent-ils dans l’utilisation quotidienne du smartphone, facilitant ainsi les cyberattaques pour les pirates ?

A mon avis, aucune entreprise ne doit se complaire dans l’illusion qu’elle serait trop petite ou trop meconnue pour rester sous le radar des pirates. Autrement dit : fondamentalement, la question n’est pas de savoir si, mais quand la resilience numerique devra offrir une protection contre les pirates. La prise de conscience fait encore trop defaut a cet egard.

La securite informatique est encore trop souvent consideree comme peu pratique, comme un frein aux processus de l’entreprise. Or c’est exactement le contraire : non seulement parce qu’il existe deja des solutions qui se deploient a grande echelle.

Dans trop de cas, les entreprises s’opposent a la mise en oeuvre de systemes de securite informatique complets pour des raisons de couts. Cela n’ouvre cependant pas seulement des portes d’entree pour les pirates – les dommages economiques deviennent bien plus importants lorsque l’attaque informatique a reussi et que les entreprises doivent gerer les consequences.

Comment les systemes peuvent-ils etre proteges contre cela ?

Quasi independamment des questions de budget, je vois deux axes a prendre en compte. D’une part, les entreprises doivent consolider le savoir-faire de leurs collaborateurs afin de maintenir la probabilite d’erreurs humaines aussi basse que possible.

D’autre part, des organisations dediees sont necessaires pour identifier les risques a temps et prevenir les attaques. Les partenaires commerciaux, les clients, les fournisseurs, etc. sont, dans ce contexte, parmi les principales sources de danger.

Si une attaque devait neanmoins survenir, des canaux garantissant le signalement sont necessaires afin d’avoir une vision complete de la situation sans pour autant perdre la face en tant qu’entreprise.

La penurie de competences informatiques touche egalement de maniere significative les entreprises de telecommunications. Peut-on en deduire que les operateurs de reseau ne parviennent pas a suivre le rythme de leurs propres mesures de securite ?

Le fait est que la penurie de main-d’oeuvre qualifiee retarde le developpement de la resilience numerique dans certains environnements de marche. 137 000 postes informatiques non pourvus rien qu’aujourd’hui en Allemagne parlent d’eux-memes. De plus, les collaborateurs qualifies quittent generalement l’entreprise au bout d’un an environ. La plupart du temps, ce sont des employes inexperimentes qui prennent le relais et travaillent alors avec des donnees tres sensibles – les systemes n’en deviennent pas veritablement plus surs.

Les partenaires externes qui s’occupent professionnellement de la sante numerique des entreprises deviennent d’autant plus importants. C’est pourquoi les grandes entreprises de telecommunications sont probablement bien positionnees en ce qui concerne leur infrastructure. Contrairement a nombre de leurs clients. Ceux-ci ont besoin de solutions simples (securite « zero touch »), car ils ne peuvent tout simplement pas se permettre un recrutement toujours plus couteux.  

En conclusion, les telecommunications representent a mes yeux l’un des secteurs cles touches par le paysage des menaces. Le fait qu’il s’agisse de l’une des branches des infrastructures critiques multiplie considerablement la pertinence de ce marche. Je constate encore trop peu de services et de professionnels qualifies capables de garantir la securite numerique.

La 5G sera la norme dominante a l’echelle mondiale d’ici 2025. Dans quelle mesure l’introduction de cette nouvelle technologie influence-t-elle non seulement la qualite mais aussi la securite des terminaux ?

Concernant la 5G, il doit etre clair que l’avantage pratique pour les entreprises et les particuliers doit rester au premier plan. Cette prochaine etape de developpement devrait toutefois, plus que jamais, prendre en compte le renforcement de la resilience numerique. Trop souvent par le passe, ce sujet a ete mis de cote, ouvrant ainsi des opportunites aux cybercriminels.

S’y ajoute que la transition parfois lente de la 4G vers la 5G a des repercussions sur la cybersecurite. La 4G presente ses problemes principalement au niveau de l’interconnexion. L’identifiant unique d’un abonne ne peut par exemple pas etre chiffre.

La 5G remédie a cela et rend ainsi egalement les attaques de type « homme du milieu » plus difficiles. Il s’agit de cas dans lesquels des pirates parviennent a manipuler les utilisateurs pour qu’ils envoient des donnees sensibles a des adresses de destination falsifiees. La cybersecurite doit donc etre une caracteristique intrinseque du developpement technologique et suivre historiquement les terminaux sans fil, les nouvelles normes de telephonie mobile, etc.

—

Frank von Seth a debute sa carriere professionnelle en tant que consultant en assurances et en risques au sein de diverses entreprises sur trois continents et dans cinq pays differents. Avant de rejoindre cyan, il a travaille pendant plus de dix ans chez Aon en Suisse. Dans son poste actuel de CEO de cyan AG, il conduit l’entreprise vers l’avenir et oeuvre pour un avenir plus sur pour tous en protegeant les utilisateurs dans leur parcours numerique et connecte au quotidien.