Dans un rapport récent, l'entreprise américaine Symantec a indiqué que le nombre de cyberattaques ciblées avait augmenté de 42 % en 2012. Ces attaques visent principalement à s'emparer de droits intellectuels et ce sont surtout les petites et moyennes entreprises (PME), les industries et le secteur public qui sont attaqués. Si l'objectif des criminels n'est pas de voler à tout prix les informations de ces entreprises, ces dernières sont utilisées pour permettre aux criminels de s'attaquer à de plus grosses entreprises ou à l'administration et ce, par le biais de la technique du point d'eau. Un cybercriminel implante un agent malicieux dans un site web fréquemment visité par les utilisateurs qu'il veut atteindre. De cette manière, sans se douter de rien, les utilisateurs installent, par exemple, un cheval de Troie ou un logiciel malveillant. Ensuite, le cybercriminel peut s'introduire dans l'ordinateur ou le site web de l'organisation qu'il visait. L'entreprise dont le site web est attaqué n'est donc qu'un intermédiaire ignorant. Il est tout à fait possible que les criminels volent également par la même occasion les données bancaires ou les droits intellectuels des entreprises par exemple . L'objectif n'est donc pas de faire un maximum de victimes mais d'atteindre quelques cibles très spécifiques.

Les entreprises ignorent le rôle qu'elles jouent dans ce processus. Elles pensent que les cybercriminels les laissent tranquilles et s'attaquent plutôt à l'administration ou à des multinationales. Ce n'est donc pas le cas. Aux États-Unis, la première victime ne sont plus les pouvoirs publics mais le secteur industriel. Lorsque des criminels ont besoin de données (par exemple, des données bancaires, des contrats, des données personnelles,...), ils ne s'attaquent pas aux grosses entreprises mieux sécurisées mais à de plus petites qui collaborent étroitement avec elles et disposent donc de nombreuses données à leur sujet. C'est la raison pour laquelle ce ne sont pas les dirigeants de ces entreprises qui sont attaqués mais l'administration qui a accès aux documents.

Je souhaiterais poser au ministre les questions suivantes :

1) Par le passé, des sites web de l'administration fédérale ont-ils déjà été victimes de la technique du point d'eau lors d'infractions dont l'administration était la cible ? Des sites web de l'administration ont-ils déjà été utilisés comme « intermédiaires » ou le ministre a-t-il connaissance de cas où les ordinateurs de l'administration ont été contaminés après avoir visité un site web contaminé ?

2) Dans l'affirmative, la réponse peut-elle être étayée par des chiffres portant sur les cinq dernières années ?

3) Dans la négative, les services chargés de la sécurité de ces sites web sont-ils en mesure de constater des infractions telles que la technique dite du point d'eau ?

4) Est-il très courant au sein de l'administration de limiter le nombre de sites web à visiter ou bien le personnel peut-il couramment visiter à peu près tous les sites ? Le ministre peut-il détailler sa réponse ?

5) Si des restrictions sont imposées, est-ce pour des raisons de cybersécurité ou dans l'intérêt de la productivité ?

6) Est-il courant au sein de l'administration de réinitialiser régulièrement le mot de passe des ordinateurs, ce qui oblige l'utilisateur à en choisir un nouveau ? Les ministres/secrétaires d'État sont-ils partisans de cette pratique ?

7) Lorsque l'on découvre sur un ordinateur de l'administration un cheval de Troie, un logiciel malveillant ... susceptible de révéler des (risques d') infractions, la pratique générale est-elle de créer un nouveau mot de passe pour cet ordinateur ?

J’informe l’honorable membre que sa question relève des compétences du secrétaire d'État à la Fonction publique, Monsieur Hendrik Bogaert.