La guerre informatique est entrée dans l’imaginaire collectif. On voit la main d’un cyberterroriste derrière chaque attaque informatique. On évoque des bataillons de guerre informatique à chaque « défacement » ⁽¹⁾ de site web. Personne n’a pourtant jamais vu un cyberterroriste. Aucun État n’a encore expérimenté la guerre informatique à grande échelle. La guerre informatique n’est-elle alors qu’un mythe, qui rassure (une guerre virtuelle et totalement déshumanisée) et inquiète (le Pearl Harbor informatique) tout à la fois ?

Des réalités diverses

Le terme de guerre informatique est utilisé pour décrire des réalités très diverses : le pirate isolé agissant par goût du défi, le professionnel du phishing ⁽²⁾ qui exploite des centaines de comptes bancaires détournés, l’activiste qui lance une attaque en déni de service ⁽³⁾ par pure idéologie, les États mettant en place des capacités de lutte défensive mais aussi offensive. Bien sûr, les frontières entre ces différents mondes ne sont pas hermétiques : l’amateur se professionnalise, le professionnel se vend, le terroriste reprend à son compte les méthodes utilisées par les organisations criminelles ; mais les motivations, les moyens mis en œuvre et surtout les risques diffèrent. Difficile de parler de véritable guerre, si celle-ci, n’a pas de conséquences bien réelles, qu’il s’agisse de destructions matérielles ou de pertes en vies humaines. Or, le piratage d’une banque n’a qu’un impact économique limité. La modification d’un site web institutionnel suscite seulement l’agacement ou la moquerie selon le camp auquel on appartient. Quant aux groupes terroristes, ils utilisent Internet pour communiquer, recruter, préparer, voire financer des actions ; mais les attentats se font encore à coups d’explosifs et non de kilo-octets. C’est moins cher et plus efficace pour frapper les opinions publiques.

Faut-il pour autant minimiser le risque ? Assurément non. Les attaques informatiques subies par l’Estonie en avril-mai 2007 ont marqué un premier tournant. Certes, le mode d’action (attaque en déni de service distribué) était relativement classique et l’attaque s’apparentait au départ à une action « hackiviste » ⁽⁴⁾. Mais c’était la première fois qu’étaient visés simultanément les acteurs politiques, médiatiques et économiques d’un pays, avec pour conséquence de paralyser temporairement ledit pays (des distributeurs automatiques de billets ont ainsi été bloqués). C’était aussi la première fois qu’un cyberconflit prenait une telle dimension politique : quelques jours après l’attaque, le ministre des Affaires étrangères estonien mettait directement en cause les autorités russes et réclamait des excuses publiques. C’était enfin et surtout la première fois que la souveraineté d’un État était directement menacée par une attaque informatique, qui plus est menée par un ennemi insaisissable utilisant des botnets ⁽⁵⁾.