Dans un rapport récent, l'entreprise américaine Symantec a indiqué que le nombre de cyberattaques ciblées avait augmenté de 42 % en 2012. Ces attaques visent principalement à s'emparer de droits intellectuels et ce sont surtout les petites et moyennes entreprises (PME), les industries et le secteur public qui sont attaqués. Si l'objectif des criminels n'est pas de dérober à tout prix les informations de ces entreprises, ces dernières sont utilisées pour permettre aux criminels de s'attaquer à de plus grosses entreprises et ce, par le biais de la technique du « watering hole ». Un cybercriminel implante un agent maliciaux dans un site web fréquemment visité par les utilisateurs qu'il veut atteindre. À leur insu, les visiteurs du site infecté se retrouvent, par exemple, avec un cheval de Troie ou un malware. Ensuite, le cybercriminel peut s'introduire dans l'ordinateur ou le site web de l'organisation qu'il visait. L'entreprise dont le site web est attaqué n'est donc qu'un intermédiaire innocent. Il est tout à fait possible que les criminels subtilisent en une fois, par exemple les données bancaires ou les droits intellectuels des entreprises. L'objectif n'est donc pas de faire un maximum de victimes mais d'atteindre quelques cibles très spécifiques.

Les entreprises ignorent le rôle qu'elles jouent dans ce processus. Elles pensent que les cybercriminels ne s'intéressent pas à elles et qu'ils s'attaquent plutôt à l'administration ou à des multinationales. Ce n'est pas le cas. Aux États-Unis (EU), la première victime n'est plus l'administration mais le secteur industriel. Lorsque des criminels ont besoin de données (données bancaires, contrats, données personnelles,...), ils ne s'attaquent pas aux grosses entreprises mieux sécurisées mais aux plus petites qui, collaborant étroitement avec ces dernières, disposent de nombreuses données à leur sujet. C'est la raison pour laquelle ce ne sont pas les dirigeants de ces entreprises qui sont attaqués mais l'administration qui a accès aux documents.

Je souhaiterais poser les questions suivantes à la ministre :

1) La ministre dispose-t-elle de chiffres sur le nombre de cyberattaques contre des PME au cours des cinq dernières années ? Peut-elle me les communiquer ?

2) Est-il question, tout comme aux EU, d'une augmentation du nombre de cyberattaques ciblées contre les PME ? Des secteurs spécifiques sont-ils également visés chez nous, tels que le secteur public ou l'industrie ?

3) Par le passé, des sites web de l'administration fédérale ou d'entreprises publiques ont-ils déjà été victimes de la technique dite du « watering hole », technique dont l'autorité était la cible ? Des sites web de l'administration fédérale ont-ils déjà été utilisés comme « intermédiaire » ou la ministre a-t-elle connaissance d'instances dont les PC ont été contaminés après visite d'un site web contaminé ? Dans l'affirmative, la ministre peut-elle détailler sa réponse ? Dans la négative, les services chargés de la sécurité de ces sites web sont-ils en mesure de constater ces infractions ?

3) La ministre estime-t-elle possible que dans notre pays, des entreprises fassent office d'intermédiaires pour permettre aux criminels d'atteindre les données d'entreprises plus importantes ou de l'administration, ces données étant mieux sécurisées ? La ministre a-t-elle déjà reçu des avis d'entreprises ayant été victimes de ce procédé ? Peut-elle me communiquer ces chiffres ?

5) Dans la négative, les services chargés de la sécurité de ces sites web sont-ils en mesure de constater des infractions telles que la technique dite du watering hole ?

6) Est-il très courant, pour l'administration, de limiter le nombre de sites web à visiter ou le personnel peut-il en général visiter à peu près tous les sites ? La ministre peut-elle détailler sa réponse ?

7) Si des restrictions sont imposées, est-ce pour des raisons de cybersécurité ou dans l'intérêt de la productivité ?

8) Est-il très courant, pour l'administration, de réinitialiser régulièrement le mot de passe des ordinateurs, amenant l'utilisateur à devoir en choisir un nouveau ? La ministre est-elle partisane de cette pratique ?

9) Lorsque l'on découvre sur un ordinateur de l'administration un « cheval de Troie », un « malware », ... susceptible de révéler des (risques d') infractions, est-il courant de créer un nouveau mot de passe pour cet ordinateur ?

Le gouvernement a adopté le 21 décembre 2012, une stratégie nationale « Cyber Security » et chargé le premier ministre de sa mise en œuvre.

Le 19 décembre 2013, le Conseil des ministres a approuvé un projet d’AR pour la création d’un Centre pour la Cybersécurité Belgique (CCB), sous la compétence du premier ministre.

Les objectifs de cet organe sont :

• de renforcer la cybersécurité et la sécurité de l’internet pour les citoyens, les entreprises et les autorités, y compris la gestion de crise en cas de cyberincidents ;

• d’offrir une plateforme pour tous les partenaires concernés ;

• de coordonner la présence de la Belgique aux forums internationaux ;

• et d’élaborer et de veiller à la mise en oeuvre de standards, normes et directives pour les systèmes informatiques de l’autorité.

Questions 1, 2 et 3.

Actuellement, plusieurs enquêtes judiciaires concernant des « cyber attaques » sont en cours, gérées par le Parquet Fédéral.

Au sein de mon département, il n’y a pas de données disponibles concernant le nombre d’attaques contre des pme et/ou des sites web de l’autorité fédérale.

La FCCU de la police judiciaire fédérale a toutefois procédé à une analyse stratégique sur l'impact potentiel et les dommages de la cybercriminalité dans la société belge. Pour le calcul de ces dommages, l'étude belge s’est basée sur de semblables études scientifiques dans différents pays limitrophes sur les statistiques de la police, des renseignements provenant de diverses entreprises de sécurité et informations statistiques générales sur l'économie belge et sa population.

Plusieurs modèles ont été appliqués en l’occurrence. L'étude a conclu que la perte annuelle en Belgique s'élève à 3 milliards d'euros. En plus des revenus que les cybercriminels d'acquièrent le montant des dommages se compose principalement du coût pour les réparer à l’issue de l'incident cybernétique.

D’autant plus que la cybercriminalité a été retenue comme phénomène prioritaire dans le PNS 2012-2015, la police judiciaire a élaboré un dossier de programme.

Les divers points d’action y contenus prévoient de renforcer les connaissances et les capacités de tous les agents de police dans ce domaine.

Simultanément, l'accent est mis sur la lutte contre les réseaux de zombies et sur le renforcement des capacités pour la protection des infrastructures essentielles ICT, tant des entreprises privées et des autorités publiques.

Dans l'exercice d'optimisation actuellement en cours à la police fédérale, ces priorités sont également prises en considération.

Dans le cadre de dossiers opérationnels, mais aussi pour les aspects politiques visant à améliorer l'action de la police et de la coopération internationale, il y a des consultations régulières avec Europol et Interpol.