Un rêve de cybercriminels devenu réel cauchemar. Le centre fédéral de réponse aux cyberattaques Cert a alerté que la faille dans Log4j était activement exploitée en Belgique. Mais pour estimer la gravité de la situation, il faut se tourner vers des acteurs privés, dont les données se montrent effectivement très préoccupantes.

Plus de 100 piratages par minute. Près de 3 millions d’attaques depuis le signalement. 51% des réseaux d’entreprises sont touchés en Europe, pour environ la même proportion à l’échelle mondiale. Les chiffres recensés par le spécialiste international en sécurité des systèmes d’information, Check Point, donnent le vertige.

Contrairement à d’autres failles majeures qui impliquent un ensemble unique ou limité de logiciels, la vulnérabilité dans Log4j, la bibliothèque logicielle open source d’Apache, se retrouve intégrée à tout produit ou service web basés sur Java.

« Il s’agit clairement de l’une des vulnérabilités Internet les plus graves de ces dernières années et elle se répand comme une traînée de poudre », affirme Zahier Madhar, ingénieur en sécurité chez Check Point. « Il est très difficile de le réparer manuellement. Ceux qui ne mettent pas en œuvre les protections adaptées ont probablement déjà été scannés par des acteurs malveillants. »

Ironie du calendrier, un an sépare la gigantesque faille informatique Log4Shell de Solarwinds, ce qu’on surnommait jusqu’à présent naïvement de « hack du siècle ». Une cyberattaque révolutionnaire d’envergure mondiale contre laquelle les organisations luttent toujours pour protéger la chaîne d’approvisionnement des logiciels.

À l’approche des fêtes de fin d’année, alors que les équipes de cybersécurité peuvent être plus lentes à mettre en place des mesures de protection, la menace est imminente. Un phénomène comparable à une « pandémie de cyberattaques », très contagieuses, se propageant rapidement, avec de multiples variantes. Ce qui impose de multiplier les moyens pour se prémunir.

« Cyberpandémie qui n’a pas encore atteint son pic »

Depuis le 9 décembre, date à laquelle la vulnérabilité a été signalée, les acteurs du monde entier sont à l’affût d’exploits. Comme Log4Shell se montre facilement exploitable et difficilement corrigible, les cyberattaquants jouissent de nombreuses alternatives pour contourner les protections nouvellement patchées. Chez Check Point, on évoque sans concession une « cyberpandémie qui n’a pas encore atteint son pic » et dont les dommages potentiels demeurent incalculables.

Au rang des organisations les plus impactées par cette campagne mondiale de hacks, on retrouve assez naturellement les distributeurs du secteur IT qui intègre des solutions logicielles (59,5%), les établissements d’enseignement ou de recherche (58,8%) et les fournisseurs de services internet et informatiques (ISP/MSP, 56,9%). Mais aussi les institutions bancaires et financières (51,9%), gouvernementales et militaires (49,7%).

Or, le centre fédéral de réponse aux cyberattaques Cert a alerté quant à l’exploitation active en Belgique de la faille dans Log4j pour compromettre à distance les systèmes publiquement connectés à Internet.

En Belgique, 59% des réseaux d’entreprise en Belgique ont effectivement fait l’objet d’une tentative d’exploitation, indique Check Point. Soit une proportion sensiblement plus élevée que chez nos voisins de France (49%), des Pays-Bas (48%), du Luxembourg (50%) ou encore d’Allemagne (53%).

« Je constate que les organisations en Belgique sont inquiètes et se demandent si elles sont suffisamment sécurisées. Le malaise est perceptible, nous sommes souvent sollicités pour des conseils », témoigne Zahier Madhar. « Une vulnérabilité comme celle-ci est aussi effrayante, bien sûr. Les possibilités du pirate sont sans précédent, du cryptomining aux ransomwares. Les chiffres montrent également que les pirates informatiques travaillent dur. »

Solarwinds, Microsoft Exchange , Codecov… Depuis des mois les exploitations de vulnérabilités informatiques d’une complexité sans précédent se succèdent comme autant de feuilletons d’une saga de hacks mondiaux.

La plupart du temps dans le plus grand « calme » des autorités belges, n’hésitant même pas à passer sous silence des cyberattaques coûtant des millions d’euros à la sécu.

Sauf lorsque la flagrance force ces dernières à s’exprimer, comme avec l’attaque DDoS contre Belnet début mai ou le piratage du SPF Intérieur.