Rançonnage informatique : « Aucune entreprise burkinabè ne s’est déclarée victime », selon Younoussa Sanfo, expert en sécurité informatique

Lefaso.net : Est-ce la première fois que le monde est secoué par un piratage de cette ampleur ?

Y.S : De mémoire, c’est la plus grande offensive informatique, aussi loin que je m’en souvienne. Il faut rappeler que cette cyberattaque a fait pas moins de 200 000 victimes dans 150 pays différents ! Pour répondre à votre question, c’est la première fois qu’une attaque informatique secoue autant la planète entière.

Lefaso.net : Quelles sont les potentielles victimes de ce piratage ?

Y.S : Toute entreprise ou structure de l’Etat qui utilise des ordinateurs pourvus du système d’exploitation Windows est une victime potentielle. Car, cette fois-ci le coupable désigné n’est pas l’utilisateur final qui aurait cliqué sur un lien ou transféré un fichier par email. Cette fois-ci, c’est la politique de sécurité de l’entreprise, la seule garante de votre sécurité.

Lefaso.net : Qui est donc le coupable selon vous ?

Y.S : Les managers de l’entreprise qui ont tendance à négliger le budget sécurité, les responsables informatiques qui font une confiance aveugle aux dispositifs de sécurité, oubliant que la pièce maitresse d’un système de sécurité c’est l’Homme, ensuite le Management de la sécurité. Les dispositifs de sécurité (Firewall, Antivirus, Détecteur d’intrusion etc) ne viennent qu’en troisième position et ne représentent que 15 à 30% de l’effort sécuritaire.
C’est exactement comme dans le cadre de la lutte contre le terrorisme. Les armes de type Kalachnikov et autres sont très secondaires.

Dans le cas de Wannacry et dérivés, si votre administrateur système ou votre responsable sécurité avait pris une heure pour mettre à jour les systèmes suivants, début avril, comme cela a été recommandé par les experts en sécurité, vous n’avez rien à craindre de toute cette panoplie de virus. Il s’agit de

• Windows XP SP2 x64
• Windows XP SP3 x86
• Windows XP Embedded SP3 x86
• Windows Server 2003 SP2 x64
• Windows Server 2003 SP2 x86
• Windows 8 x86
• Windows 8 x64

Lefaso.net : Selon certains spécialistes, l’origine de ce piratage provient de la NSA, pour d’autres il faut plutôt y voir la main de la Corée du Nord. Votre avis là-dessus.

Y.S : Lorsque le mal est fait, le premier réflexe de l’homme est de désigner un coupable, et en la matière, il existe des coupables tout désignés. Je ne souhaite pas participer à cette propagande.

Concernant la NSA, il est vrai que le mois dernier, un groupe de pirates s’est vanté de leur avoir subtilisé tout un "magasin d’armes". Wannacry semble d’ailleurs être un dérivé d’EthernalBlue, un outil que les hackers en question ont volé il y a trois semaines à la NSA.

Ce qu’il faut savoir, c’est que de nos jours, il existe de plus en plus de hackers d’Etat, c’est-à-dire des pirates informatiques qui travaillent pour des gouvernements. Et l’une des techniques utilisées par des hackers d’Etat, c’est justement de mener des attaques portant la signature d’un autre pays. Nous sommes en plein dans une guerre froide orientée électronique. C’est pour cette raison que de plus en plus, les élections dans tous les pays du monde seront "perturbées" par des groupes privés ou travaillant pour des Gouvernements. Il faut réfléchir avant de se lancer dans le vote électronique. Pour nous ça serait un "suicide" démocratique. Le gagnant sera celui qui aura les hackers les plus performants.

Lefaso.net : Le virus a-t-il été maitrisé ?

Y.S : Si vous avez déjà été touché par Wannacry, c’est trop tard, car vos fichiers cryptés ne seront décryptés qu’avec une clé de décryptage que vous permet le pirate, si vous payez la rançon. Justement, il ne faut jamais payer cette rançon parce que rien n’est moins sûr pour récupérer vos fichiers cryptés par un ransomware.

Les pirates ne sont pas des enfants de chœur et vous avez 1 chance sur 1000 de recevoir une clé de décryptage, même après paiement d’une rançon.

De plus, en payant la rançon, vous encouragez cette sombre industrie du mal.
Si vous avez appliqué toutes les consignes de mise à jour, alors vous êtes tranquilles jusqu’au prochain séisme.

Lefaso.net : Le Burkina Faso a-t-il été touché par le virus WannaCry ?

Y.S : A notre connaissance, aucune entreprise burkinabè ne s’est déclarée victime des derniers ransomware wannacry, wanacrypt, wcrypt wannadecryptor etc.
Mais ce type de virus existe depuis longtemps, seulement Wannacry a sophistiqué l’attaque puisque vous n’avez pas besoin de cliquer sur un lien ou d’ouvrir un email. Il suffit que votre système ne soit pas à jour, ou que les ports SMB 139 et 445 soient ouverts.

En 2012 et en 2016 deux entreprises burkinabè, une banque et une société d’Etat, ont eu à gérer une attaque de type ransomware. Mais les informaticiens ont bien géré l’incident et les entreprises n’ont pas eu à payer de rançons même si quelques fichiers ont été perdus.

Lefaso.net : Dans une interview que vous nous avez accordée le 24 mars dernier, vous déclariez que les plus grands obstacles dans la lutte contre la cybercriminalité sont l’obscurantisme et l’absence d’une structure compétente qui centralise tous les événements qui concourent à la lutte contre cette cybercriminalité. Pensez-vous que lever ces goulots d’étranglement permettra de parer à toute éventualité en cas de nouvelle attaque de pirates ?

Y.S : Je pense que le Burkina Faso n’est pas outillé pour faire face à des attaques sérieuses. Pour résumer, nous avons eu de bonnes idées, mais nous ne les avons jamais réalisées. Personne ne s’intéresse vraiment au devenir du Pays en cas d’attaque, hormis quelques hurluberlus comme moi.

Je suis en colère lorsque je constate que le CERT qui a été créé en grande pompe avec l’argent du contribuable n’est que l’ombre de lui même. C’est cette structure qui devait diffuser des alertes, sensibiliser les entreprises de temps en temps, voire gérer les incidents lorsqu’ils surviennent. Il a été rattaché à l’ANSSI qui n’a jamais résolu aucun problème de sécurité informatique.

Quant à l’ANSSI, l’Agence Nationale de la Sécurité des Systèmes d’Information, c’est la plus grande foutaise que je n’ai jamais vue. L’ANSSI a été créée il y a quelques années, tout le monde de la sécurité a jubilé et on a nourrit l’espoir que notre pays s’en sorte finalement pour éviter les attaques à répétition et surtout les pertes effroyables subies par l’Etat du fait de la non sécurisation des systèmes financiers de l’Etat. Je crois que les Burkinabè sont profondément honnêtes dans leur majorité, sinon tous les informaticiens burkinabè seraient milliardaires, tellement les ressources financières de l’Etat sont en libre-service.

Pour revenir à l’ANSSI, on a l’impression qu’il s’agit d’une entreprise privée. Un DG a été nommé à sa création, ensuite le même DG a été nommé à un autre poste mais apparemment il s’est gardé l’ANSSI sous le coude, comme si au Burkina Faso il n’existait personne de compétent pour gérer cette structure qui devrait être un acteur majeur de la sécurité du Pays en matière de cybercriminalité mais aussi d’optimisation et de disponibilité des ressources informatiques du Pays.

Oui, l’obscurantisme perdure aux pays des hommes intègres, surtout quand il s’agit d’informatique alors que nous avons de bonnes écoles et des jeunes très compétents dans tous les domaines. Il suffit de leur faire confiance.

Lefaso.net : En 2013, vous affirmiez également sur lefaso.net que la plupart des sites Web burkinabè étaient vulnérables aux attaques informatiques ? Pensez-vous que les choses ont évolué aujourd’hui ?

Y.S : Non, les choses n’ont pas évoluées positivement, elles se sont aggravées.

Lefaso.net : Un dernier mot ?

Y.S : Je profite de votre tribune pour m’insurger contre tous ceux qui prennent plaisir à faire venir des occidentaux pour gérer des projets informatiques stratégiques dans notre pays. Certains Pays obligent les experts en sécurité ayant le même profil que le mien à fournir à leurs autorités toutes les informations dont ils ont connaissance, surtout dès qu’ils franchissent leurs frontières.

Autre information, il y a quelques années, j’étais présenté comme le seul expert en sécurité informatique. Cela n’est plus vrai, je connais des jeunes très compétents actuellement au Burkina, certains à l’étranger qui demandent juste qu’on leur fasse confiance. Si cela intéresse des entreprises privées ou l’Etat, j’ai une base de données de compétences en sécurité informatique. J’espère qu’on leur trouvera du travail avant que certains ne passent dans l’autre camp.

Entretien réalisé par Herman Frédéric Bassolé
Lefaso.net