En mai 2022, les Français se rendront aux urnes pour élire leur Président. Un moment essentiel de la République française, mais aussi une période propice aux incidents de cybersécurité. Lors de la dernière élection présidentielle en 2017, la campagne avait été marquée par les « Macron Leaks » : deux jours avant le scrutin du second tour, 20 000 courriers électroniques liés à la campagne d’Emmanuel Macron, candidat de l’époque et actuel président de la République, avaient été révélés au grand public.
Une attaque qui n’avait rien de surprenant mais qui ne doit pas se reproduire 5 ans après. Pourtant, ces temps politiques forts sont propices aux cybermenaces susceptibles de vulnérabiliser une nation via des attaques géopolitiques, qui prennent aujourd’hui la forme d’incidents de cybersécurité et peuvent donner l’avantage à des candidats de l’opposition ou des nations concurrentes, grâce à la propagation de désinformations et de fausses informations.
Tribune – Pour Jérôme Colleu, Ingénieur Avant-vente chez CyberArk, la cybersécurité doit être un axe majeur de la campagne pour que les campagnes des candidats ne soient pas victimes de cyberattaques, de vols de données ou même d’ingérence étrangère. Pour ce faire, une stratégie globale et complète de gestion des accès à privilèges et de protection des identités est essentielle.
« Durant les Assises de la Sécurité en Octobre dernier, l’Agence Nationale de Sécurité des Systèmes Informatiques (ANSSI), par la voix de son directeur Guillaume Poupard, a rappelé l’importance de la cybersécurité dans le paysage politique actuel. L’appel était d’autant plus important que des faits similaires se sont déroulés lors des précédentes échéances, en France, ou encore aux Etats-Unis, comme dans d’autres pays du monde. Comme en 2017, les attaques centrées sur l’identité seront très probablement utilisées contre les militants électoraux, quel que soit leur statut et leur importance dans le parti qu’ils défendent. Chaque membre du personnel, chaque bénévole et chaque sous-traitant connecté à la campagne a en effet le potentiel de devenir un initié privilégié en fonction des données ou des applications auxquelles il a accès.
Les cybercriminels le savent et chercheront à exploiter ce statut – en ciblant ces individus avec des attaques d’ingénierie sociale, où le hacker se sert de connaissances personnelles sur les victimes afin de les duper, pour voler leur accès à privilèges. Selon le rapport Verizon Data Breach Investigations, ces campagnes malveillantes augmentent d’année en année, et plus de 80 % des violations de données liées au piratage impliquent le vol et l’utilisation d’identifiants dérobés. Avec un niveau élevé d’informations rendues disponibles par l’accès exploité, les cybercriminels peuvent exfiltrer du matériel et des informations confidentielles, utiliser leur statut pour diffuser de la désinformation sur les réseaux sociaux et par mail, ou même verrouiller les opérations de campagne via des attaques ciblées de malware et de ransomware.
Alors que les pirates informatiques chercheront certainement à infiltrer les proches de chaque parti, la menace est bien plus vaste. Les gouvernements étatiques et locaux chargés d’organiser et de protéger les élections seront également des cibles attrayantes, de même que les organisations et les électeurs. Une supply chain politique et sociétale est alors en place. Il suffit en effet d’un seul compte compromis pour qu’un attaquant puisse potentiellement corrompre l’ensemble de l’infrastructure d’une organisation. C’est pour cette raison que Meta, nouveau nom du groupe Facebook, a annoncé sa volonté d’obliger l’authentification à double facteur pour se connecter au compte d’un candidat à une élection.
De plus, si l’élection se déroule de façon traditionnelle, avec un bulletin et une urne, de plus en plus de personnes sont aujourd’hui prêtes à une digitalisation plus poussée de l’acte citoyen. Le gouvernement, par la voix du ministre de l’Intérieur, Gérald Darmanin, a d’ailleurs déclaré travailler vers le vote à distance. En outre, la part de personnes non-inscrits ou mal-inscrits sur les listes électorales inquiètent les hommes politiques. Selon une étude de Céline Braconnier, 17 % de la population française et 51 % des jeunes de 25 à 29 ans sont mal-inscrits. Certains parlementaires, même s’ils annoncent que la mise en place du vote par correspondance serait compliquée, œuvrent pour une digitalisation plus grande de l’inscription, afin d’éviter des pertes de citoyens dans le processus. Si cette hypothèse se confirme, cette part numérique du vote devra être hautement surveillée pour ne pas intégrer de fausses identités ou faire parvenir des bulletins frauduleux.
Si les identités des candidats ou des votants, dans le cadre d’une potentielle élection à distance, ne sont pas protégées, les conséquences politiques pourraient être importante avec le résultat d’une élection qui ne reflèterait pas l’opinion générale. En effet, cela pourrait être très problématique si la vision des électeurs était altérée par la propagation de fausses informations à cause de failles de cybersécurité.
La sécurisation des élections présidentielles de 2022 et les suivantes nécessite une approche globale qui prend en compte la sécurité des identités avec une base solide dans la gestion des accès à privilèges. Cette approche permettra de renforcer les défenses contre un paysage des menaces en pleine expansion, de se protéger contre l’évolution des vulnérabilités et de minimiser la capacité des hackers à exploiter les personnes associées aux campagnes. »