Contre la cybercriminalité, le rôle discret du GIGN
le 18/05/2022 à 09h00 par Afp – Lecture en 3 min
Septembre 2020, le réseau informatique de l’armateur français CMA-CGM tombe soudainement en rade. Derrière l’attaque, le puissant gang de hackers « Ragnar Locker ». Ils réclament plusieurs…
Septembre 2020, le réseau informatique de l’armateur français CMA-CGM tombe soudainement en rade. Derrière l’attaque, le puissant gang de hackers « Ragnar Locker ». Ils réclament plusieurs millions d’euros. Une négociation de quelques jours s’engage: en coulisses, le GIGN, l’unité d’élite de la gendarmerie.
Le géant du transport maritime, mis sous pression par les 60 millions d’euros perdus par jour de panne, finit par lâcher une partie de la rançon pour faire repartir ses porte-conteneurs.
Pour les gendarmes, ce n’est que partie remise. La négociation menée par le GIGN a permis d’obtenir des indices utiles pour l’enquête.
Un an plus tard, le 28 septembre 2021, une vaste opération pilotée par la gendarmerie, avec l’appui du FBI et d’Europol, mène aux interpellations de deux hommes soupçonnés d’être derrière une série d’attaques, dont celle contre la CMA-CGM.
« Depuis environ deux ans », le GIGN est intervenu sur « 10 à 20 » négociations numériques liées à des rançongiciels (ou « ransomware »), explique à l’AFP le général de division Marc Boget, commandant de la gendarmerie dans le cyberespace (ComCyberGend).
« On est sur une trajectoire exponentielle », souligne le haut-gradé, à l’image de cette criminalité. Les attaques par rançongiciel visant les entreprises et les institutions ont augmenté de 32% entre 2019 et 2020, selon une étude publiée en novembre par le ministère de l’Intérieur.
L’unité d’élite n’agit jamais seule, toujours au sein d’un « triptyque », dit-il, avec des experts techniques de haut vol et des cybergendarmes du Centre de lutte contre les criminalités numériques (C3N), saisis après une plainte de la société victime.
En cas d’attaque, ces trois acteurs se déploient au sein d’un poste de commandement ad hoc, installé dans les locaux de l’entreprise.
Connus du grand public pour intervenir sur les prises d’otages ou les attaques terroristes, les 24 négociateurs de la cellule nationale du GIGN, dont quatre permanents, ont été spécialement formés. A terme, 350 négociateurs régionaux le seront également.
– Coaching –
« On n’est pas là pour taper des lignes de codes », précise Timothy, officier en négociation. « On s’appuie sur des personnes décomplexées avec l’informatique pour mettre en place une stratégie et gagner du temps ».
Les pourparlers se déroulent quasi-exclusivement par écrit, le plus souvent sur le réseau chiffré Tor, avec un compte à rebours pour faire monter la pression. Ils peuvent durer de « quelques heures à quinze jours » et « quand ça commence, ça n’arrête jamais », confie Xavier, chef de la cellule négociation.
La négociation démarre toujours par une phase d’analyse technique de l’architecture du réseau.
VOUS AIMEZ CET ARTICLE ?
Droit, santé, argent, culture, loisirs… Et si vous receviez le magazine Notre Temps chez vous chaque mois pour ne plus rien rater des informations qui vous concernent ?Voir les offres d’abonnement
« Une multinationale, ce sont des centaines d’ordinateurs et de serveurs dans le monde entier. L’attaquant a pu pénétrer par un serveur au Brésil pour attaquer ceux situés en Russie », décrypte Clément, le chef « geek » du GIGN, à la tête de sa cellule cyber.
Comprendre comment le hacker est entré va permettre de jauger « son niveau et sa crédibilité », ajoute cet expert. L’identifier reste « possible mais complexe »: « qui sait si, derrière l’écran, vous avez affaire à un Etat ou à un petit nouveau de 16 ans en train de pirater la Terre entière ? »
Avec un preneur d’otage, « on se présente, on lui parle, on peut établir un lien, créer de l’empathie », raconte Timothy. Le hacker, lui, ne doit jamais savoir qu’il négocie avec la gendarmerie.
« On va coacher la victime, elle va écrire avec nous, avec son vocabulaire d’entreprise, toutes ces choses qu’on ne doit pas trahir », résume le négociateur.
C’est aussi elle qui valide la stratégie et peut donner des objectifs de rabais à obtenir sur la rançon de départ.
« On aide l’entreprise à payer le moins d’argent possible et à conserver ses données », commente sobrement Xavier.
« On essaye de ne pas payer, mais l’entreprise qui a un feu en cours, il faut qu’elle puisse l’éteindre », concède Timothy. « Certains chefs d’entreprises sont frileux. D’autres sont énervés, refusent de payer et nous laissent carte blanche ».
Comme ce PDG d’une société de sécurité privée, forte de 2.000 collaborateurs, dont les données ont été intégralement chiffrées en mars dernier.
Les hackers ont réclamé 2 millions de dollars pour livrer la clef de déchiffrement. Refus catégorique du patron.
Par un « coup de bluff », selon le général Marc Boget, le négociateur GIGN est parvenu à faire dégringoler la somme… à 11.000 euros.
