Les sanctions américaines contre la Russie réécrivent les règles du cyberespionnage

Certains critiques de la cyberpolitique considèrent les sanctions de Biden pour l’espionnage de SolarWinds en termes plus cyniques : une réponse incohérente et impulsive destinée à satisfaire tous ceux qui accusent l’administration d’être indulgente envers la Russie. « Ce n’est pas une tentative de corriger le comportement de la Russie », déclare Dmitri Alperovitch, ancien directeur technique de la société de sécurité CrowdStrike et fondateur du Silverado Policy Accelerator, axé sur la cybersécurité. « Il s’agit plutôt de nous faire sentir bien que nous ripostons et surtout, franchement, pour un public national ».

M. Alperovitch soutient qu’en punissant le Kremlin pour sa cyberespionnage prudent – et en le mettant dans le même panier qu’un grand nombre d’actions bien pires – il est encore plus difficile de le maîtriser. « Je ne suis pas opposé à l’idée de frapper la Russie », déclare M. Alperovitch. « Mais cela aurait été beaucoup plus efficace si nous nous étions concentrés sur une ou deux choses qui, selon nous, dépassent les bornes et si nous avions dit à la Russie que si elle corrigeait son comportement, les sanctions tomberaient. C’est ainsi que l’on obtient des effets ou que l’on a au moins une chance d’en obtenir. Ce n’est pas le cas. »

Pourtant, les responsables de l’administration ont fait valoir que même l’espionnage peut franchir les frontières, surtout à cette échelle. « D’une certaine manière, la règle n’est pas nouvelle, bien qu’elle puisse être nouvelle pour la cyberactivité », déclare J. Michael Daniel, président de la Cyber Threat Alliance et ancien coordinateur cyber de la Maison Blanche d’Obama. « Ce n’est pas parce que l’on reconnaît que chaque État pratique l’espionnage que l’on ne réagit pas lorsque ces activités deviennent trop importantes et trop effrontées. »

Tom Bossert, le conseiller en sécurité intérieure de l’ancien président Donald Trump, fait écho à ce point de vue et affirme qu’il aurait pris des mesures similaires pour punir la Russie si son mandat s’était étendu à la campagne SolarWinds. Il fait valoir qu’elle relève de la même règle contre le piratage informatique qui manque de « discrimination et de proportionnalité » qu’il entendait établir avec sanctions en réponse à la cyberattaque NotPetya de la Russie. en 2017, qui a causé 10 milliards de dollars de dommages dans le monde entier. Laisser SolarWinds sans réponse, dit Bossert, serait  » comme si des avions japonais tournaient autour de Pearl Harbor et que nous restions tous assis en disant :  » Eh bien, je suis certain et confiant que c’est juste un effort d’espionnage. Ils sont juste là-haut en train de prendre des photos », dit-il. « À ce stade, ce sont des avions japonais qui survolent non seulement Pearl Harbor, mais aussi New York, Washington, DC, l’Indiana et Los Angeles, mettant en danger des entreprises et des agences. »

Les responsables de l’administration Biden ont déclaré la même chose jeudi, tenant le potentiel de destruction que le degré d’accès des pirates de SolarWinds aurait pu causer comme un facteur clé dans sa réponse. « Ce qui est inquiétant, c’est que, à partir de cette plate-forme, de la disponibilité à grande échelle de l’accès qu’ils ont obtenu, il y a la possibilité de faire d’autres choses, et c’est quelque chose que nous ne pouvons pas tolérer », a déclaré Rob Joyce, directeur de la cybersécurité de la NSA, lors d’une conférence de presse jeudi. « Et c’est pourquoi le gouvernement américain impose des coûts et riposte.

Mais les critiques de la réponse de l’administration soulignent que si le SVR aurait pu utiliser son piratage de SolarWinds pour provoquer d’énormes perturbations, il ne l’a pas fait. « On ne martèle pas quelqu’un pour ce qu’il aurait pu faire », dit Alperovitch. « On se concentre sur ce qu’il a réellement fait ».

La Maison Blanche, cependant, est susceptible de juger la Russie également sur ce qu’elle a fait. a C’est ce qu’affirme M. Chesney, de l’université du Texas. L’attaque NotPetya a utilisé de manière similaire le piratage de la chaîne d’approvisionnement des logiciels pour diffuser des logiciels malveillants destructeurs dans ce qui sera reconnu comme la cyberattaque la plus coûteuse de l’histoire. C’est le GRU, l’agence de renseignement militaire russe, qui a mené l’attaque NotPetya, et non le SVR, relativement prudent et furtif. Mais cette distinction importe peut-être moins que la similitude des méthodes qu’ils ont utilisées. « La Russie est perçue comme un groupe », dit Chesney. « Un enfant du groupe a brûlé son autorisation. Et maintenant tout le monde est puni pour ça ».