Preuve de son attractivité, la France s’engage aujourd’hui comme hôte d’évènements sportifs majeurs tels que la Coupe du monde de rugby sur la fin d’année 2023 et les Jeux olympiques et paralympiques pour l’été 2024, summum des compétitions sportives. En effet, si l’on devait résumer les JO en quelques chiffres, ce serait : 7 milliards d’euros de budget, 15 000 athlètes venus de 206 nations, 22 villes qui accueilleront les épreuves, 40 sites de compétition, 878 épreuves dans 54 sports, 20 000 journalistes venus du monde entier, 30 000 bénévoles, de 10 à 12 millions de spectateurs et 4 milliards de personnes derrière leurs écrans. En bref, une compétition planétaire attractive pour les athlètes, les spectateurs et les organisateurs, mais également pour les cyberattaquants, qui voient en cet évènement une occasion de remporter le match.
Les récentes attaques contre des clubs ou des fédérations sportives soulignent le changement de paradigme sécuritaire dans le cadre des évènements sportifs. En effet, à la menace physique qui était jusqu’alors la principale inquiétude, vient s’ajouter aujourd’hui celle numérique. Elle n’est plus seulement une variable d’ajustement, mais doit être partie intégrante de tout plan de prévention et de sécurité.
Seulement, athlètes, spectateurs, gouvernement, bénévoles, infrastructures logistiques, services de transports, informatiques ou encore de télécommunications, tous ces acteurs n’y sont pas encore sensibilisés. Pourtant, ce sont bien eux les premières cibles des cyberattaquants, qui n’attendent plus que le début de la compétition pour lancer leurs attaques.
Les cyberattaquants, futurs champions des Jeux ?
Quel business plus juteux que les compétitions sportives pour un hacker ? Elles regroupent en effet beaucoup d’avantages : une numérisation accrue des infrastructures et de la logistique ; des flux financiers permanents, une forte visibilité, et en tout et pour tout des cibles peu sensibilisées au risque cyber. En bref, une parfaite opportunité !
Ajoutons à cela une portée internationale, le regroupement de nombreux pays et un contexte géopolitique perturbé : de quoi motiver de nombreuses attaques contre la compétition la plus importante au monde. Les JO ont en effet un lourd passif de cyberattaques. Bien que certains signaux précurseurs aient été présents avant ceux de Londres, c’est à partir du début des années 2010 que la cybersécurité a été prise en compte dans les préoccupations des organisateurs. Les chiffres sont saisissants :
• 212 millions de cyberattaques à Londres en 2012 dès le lancement de la cérémonie d’ouverture ;
• on passe le demi-milliard d’attaques pour les jeux de Rio en 2016, soit 400 attaques par seconde, et avant même le lancement des Jeux ;
• en 2018, l’impression des billets, le fonctionnement du Wifi et des portes d’accès au site, la retransmission sur les écrans du stade, l’accès à l’application officielle des JO sont la cible du malware Olympic Destroyer, en pleine cérémonie d’ouverture des Jeux de PyeongChang ;
• bien qu’ils se soient déroulés à huis clos, en 2021, les JO de Tokyo ont généré plus de 4,4 milliards de cyberattaques, soit 800 évènements de cybersécurité par seconde ;
• en 2022, c’est cette fois-ci le cyberespionnage qui est plutôt mis en avant lors des Jeux d’hiver de Pékin.
Seuls les JO de Sotchi ont été apparemment épargnés par les cyberattaques. La peur de représailles en s’attaquant à la Russie, un contrôle accru de l’État russe ou bien des hackers majoritairement russes ne cherchant pas à s’attaquer à leur propre pays… : à chacun le plaisir de choisir son scénario favori.
Les JO sont l’un des évènements les plus attaqués au monde, ciblé par des milliards de cyberattaques de plus en plus perfectionnées.
Que peut-on alors en déduire pour l’organisation des JO de Paris ? Il y a « un certain niveau d’inquiétude », souligne Vincent Strubel, directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), pour France Inter. En effet, les prévisions annoncent une quantité massive de cyberattaques, de huit à dix fois supérieures à celles des JO de Tokyo de 2021. Et il n’est pas besoin d’attendre le lancement de la cérémonie d’ouverture pour y être confronté. Les responsables de la sécurité d’ATOS, chargé d’une partie de la cybersécurité des JO 2024, ont déjà relevé, à un an des Jeux, un grand nombre d’attaques visant leurs systèmes, et leurs salariés directement, mais aussi l’Agence mondiale antidopage. Les hackers n’attendent plus. Ils visent leurs cibles avant, pendant et après les compétitions sportives. Le dernier rapport de l’ANSSI sur les grands évènements sportifs et l’état de la menace traduit bien ces différents niveaux de risques en fonction de la temporalité associée aux évènements (1). Contrairement aux tentatives constantes de cyberespionnage durant la compétition, un cybercriminel ayant pour objectif principal une rétribution financière agira majoritairement en amont et pendant la compétition ; tandis que les campagnes de déstabilisation sont beaucoup plus actives lors de la compétition elle-même.
