Des millions en récompense pour tenter d’endiguer le problème des rançongiciels

Les États-Unis offrent depuis peu une récompense de millions de dollars, pour tout renseignement pouvant mener à l’identification, l’arrestation ou la condamnation des cyberpirates responsables d’attaques de rançongiciels récentes.

Nos voisins du sud se rendent en effet récemment à l’évidence que le gouvernement s’avère à lui seul bien incapable de protéger l’infrastructure américaine contre les attaques de type rançongiciel (ou «ransomware»). Compte tenu de ce qui devient récemment une épidémie (une pandémie, même), le gouvernement cherche donc de nouvelles façons de mieux protéger les citoyens et les entreprises, particulièrement contre les gestes et les attaques de ce type qui sont initiées (directement ou indirectement) par des gouvernements étrangers, tels ceux de la Chine, de la Russie ou de la Corée du nord. Pour ce faire, comme certains le proposait depuis un moment (nous en parlions il y a quelques semaines), le gouvernement espère maintenant pouvoir compter sur le concept des chasseurs de prime, en offrant désormais des récompenses pour les cyber-experts et cyber-enquêteurs qui fourniraient des renseignements menant à la capture des pirates informatiques responsables de certaines attaques récentes particulièrement efficaces.

Selon plusieurs, l’offre de telles récompenses s’avère un indicateur clair à l’effet que l’administration Biden entend bien agir pour tenter d’endiguer un problème devenu critique et auquel font désormais face des individus et des organisations de toutes sortes. En plus de telles récompenses, les États-Unis entendent aussi renforcer leurs cyberdéfenses, continuer à resserrer les contrôles du système bancaire et financier (en rendant plus difficile d’encaisser de la cryptomonnaie payée en rançon), en plus d’améliorer la collaboration entre les divers pays affectés ou impliqués.

Bien que le concept d’une affiche du genre «REWARD» fasse un peu «Wild West», il faut bien avouer que les attaques récentes de type «ransomware» nous donne à tous une impression de vivre dans un territoire (numérique) où la loi semble ne pas encore réellement s’appliquer. Ce faisant, peut-on blâmer le gouvernement américain de vouloir revenir aux récompenses afin de motiver le privé et les citoyens à s’en mêler?

Corsaires et pirates informatiques: devrait-on ressusciter le concept des lettres de marque?

Le Wall Street Journal contenait un article d’opinion en matière de cybersécurité qui a attiré mon attention, intitulé A Maritime Solution for Cyber Piracy. L’auteur, un avocat ayant travaillé par l’Air Force, suggère que, face au problème d’apparence insurmontable qu’est le piratage informatique, les États-Unis devraient penser à ressusciter le concept des «lettres de marque» afin de mobiliser des citoyens pour sa cyberdéfense.

La «letter of marque» («lettre de permission» ou «lettre de commission») était un concept juridique de licence (permission) permettant au gouvernement américain de confier à un citoyen, à une entreprise ou à une équipée un rôle dans la défense de la nation ou son commerce. En gros, à une époque où le gouvernement américain était souvent mal équipé pour composer avec les menaces navales et le piratage naval, le gouvernement s’était inspiré des nations européennes ayant elles-mêmes depuis longtemps autorisé des citoyens («privateers») à écumer les mers pour cibler les pirates ou des actifs de nations ennemies. Une fois en possession de lettres de marque, un citoyen, une entreprise ou une équipée pouvait agir contre des pirates ou les possessions d’un pays avec lequel on était en guerre sans risque de répercussions légales pour avoir attaqué un autre bateau ou une possession étrangère à l’extérieur des États-Unis, etc.

Ces autorisations permettaient donc à des «corsaires» (des citoyens en mission navale pour l’État ) d’attaquer les ennemis de la nation, en étant habituellement motivés par des récompenses liées aux navires coulés ou capturés, par exemple.

En somme, ces lettres permettaient de compter sur des mercenaires pour voir à la sécurité de la nation, dans la mesure où le gouvernement s’avérait mal équipé pour le faire entièrement lui-même. C’est ce qui mène l’auteur de l’article à suggérer que face à la menace sans cesse croissante du piratage informatique, on pourrait songer à ramener le concept des lettres de marque, afin d’autoriser des entreprises et des experts en cybersécurité à écumer l’Internet pour stopper les pirates informatiques.

Comme on le constate, nos gouvernements sont généralement peu efficaces pour contrer les cas de piratage informatique, du moins à court terme, préférant s’attaquer (juridiquement) aux plus gros cas à l’aide des forces de l’ordre et du système judiciaire. La quantité de problèmes de cybersécurité rend l’implication de l’État inadéquate pour endiguer réellement le problème, les menaces de ce type pouvant aller jusqu’à menacer les infrastructures de la nation (comme on l’a vu récemment avec l’attaque liée à un oléoduc américain par SolarWinds).

Fait intéressant, l’article souligne que SolarWinds a bien fonctionné entre autres parce que le droit américain interdit à son chien de garde principal en matière de cybersécurité (la NSA) de surveiller les réseaux et systèmes situés à l’intérieur des États-Unis. Ainsi, des attaques issues de systèmes hébergés aux États-Unis (chez Microsoft et Amazon, dans ce cas-ci) peuvent passer inaperçues ou sous le radar jusqu’à ce qu’il soit trop tard.

C’est ce qui fait dire à l’auteur qu’on devrait peut-être songer à combler le vide en matière de cybersécurité en ramenant le concept des lettres de marque, qu’on pourrait adapter à l’ère numérique. Devant des menaces de cybersécurité incessantes, le fait d’offrir des récompenses aux individus et aux entreprises pourrait nous permettre de mieux composer avec le problème, en créant des incitatifs (notamment financiers) adéquats, non seulement pour ce qui est de «couler» les pirates, mais aussi (et peut-être surtout) en partageant de l’information que les sociétés victimes sont souvent réticentes à divulguer en pratique.

Bien que j’ignore comment cela pourrait fonctionner en pratique, je trouve que l’idée est certainement intéressante. À voir le flot quasi incessant d’histoires de piratage informatique à la une depuis quelques années, il faut avouer qu’une nouvelle solution s’impose. Visiblement, notre système est incapable de composer adéquatement avec la cybercriminalité. Peut-être est-il temps d’envisager des solutions juridiques de rechange?

Retour sur Internet des plans d’impression 3D d’armes à feu

Les médias américains rapportent récemment plusieurs nouvelles relativement au problème de société que représentent les armes à feu fantômes (ou «ghost guns»). Ces armes sont des incarnations de modèles réels créées presque entièrement à partir de plans numériques (et d’imprimantes 3D) par des citoyens désireux de se munir d’armes. Il s’agit là d’un bon exemple de problématique à laquelle est confrontée la société une fois que les citoyens peuvent soudainement créer de toute pièce (littéralement) de très nombreuses sortes d’objets jusqu’ici restreints, incluant des armes.

Le problème de ces armes fantômes, c’est que comme elles ne proviennent pas de manufacturiers légaux, elles s’avèrent impossibles à contrôler par l’état américain, ou presque. Malgré le droit de porter les armes, même la société américaine ne peut que s’inquiéter de la possibilité que toute personne puisse, par le truchement de l’Internet et de son achat d’une simple imprimante 3D, produire de véritables armes à feu fonctionnellement 100% équivalentes à celles qui se vendent sur le marché.

Depuis 2015, une décision judiciaire avait permis d’ajouter les plans numériques pour imprimer en 3D de pareilles armes au «State Department’s Munitions List», une liste énumérant ce qui ne peut pas être librement exporté – et, par extension, publié en ligne. On avait alors interdit la publication en ligne des plans numériques, statuant qu’ils devaient être assimilés à des composantes d’armes ou des munitions. Cela n’avait cependant pas duré très longtemps, un litige ayant bientôt mené l’administration en place à retirer ces plans de la liste il y a quelques années. Dès lors, les plans d’impression 3D d’armes à feu pouvaient à nouveau librement circuler (légalement) sur l’Internet, même aux États-Unis.

Devant ce danger perçu pour leur sécurité publique, toute une série d’États américains avaient alors déposé des procédures judiciaires contre le gouvernement fédéral, cherchant à remettre ces plans à l’index, question d’évacuer les plans 3D en question de l’Internet.

Dans le tout dernier chapitre de cette saga, un tribunal d’appel californien vient de rendre une décision confirmant que le gouvernement avait bien le droit de retirer ces plans de sa liste noire. Selon le tribunal, si le gouvernement voulait retirer ces plans de sa liste, c’était sa prérogative. Les plans 3D d’armes à feu peuvent donc de nouveau circuler librement en ligne, en principe.

Comme on s’en doute, cette décision est loin de faire l’unanimité, alors qu’on continue de craindre la prolifération des armes illégales aux États-Unis une fois ces plans rendus facilement accessibles. Il semble qu’une étude démontre que le tiers des armes à feu saisies en Californie en 2019 appartenaient à la catégorie des armes fantômes. Bien que plusieurs États exigent en principe que ceux qui s’impriment une telle arme l’enregistrent auprès des autorités, de nombreux producteurs maison ne le font pas.

Je lisais d’ailleurs hier qu’on parle déjà aux États-Unis de modifier la loi afin de clarifier que des plans d’impression 3D (d’armes) doivent être considérés comme des composantes ou des munitions et, donc, qu’ils peuvent être interdits de publication.

Au Canada, nous commençons aussi à voir le phénomène des armes fantômes, comme en témoigne, par exemple, cette nouvelle de septembre dernier en Alberta.

Pas de doute, l’impression 3D représente bien un défi pour la société et le droit, alors que dans le monde numérique d’aujourd’hui, on peut trouver des plans et imprimer à peu près n’importe quoi, incluant même des maisons et de l’armure anti-balles. On n’arrête pas le progrès!