L’élection présidentielle française de 2022 est un événement démocratique majeur et hautement stratégique sur lequel pèsent de nombreuses menaces numériques. Les événements survenus à l’occasion des derniers scrutins ont montré qu’une anticipation de ces risques est indispensable au bon fonctionnement de la démocratie. La France doit donc être prête à se défendre et à entreprendre des coopérations, notamment européennes, si elle veut prévenir et traiter efficacement les risques auxquels elle fait face.
Dans les États démocratiques, les échéances électorales récentes ont pour la plupart été marquées par des événements d’importance variable dans le champ immatériel, allant de la tentative de déstabilisation majeure à des manifestations d’une ampleur bien plus réduite. Chacun de ces événements a été à l’origine de prises de conscience de la part des acteurs du processus électoral. Toutefois, cette affirmation doit être relativisée au vu de la place toujours marginale qu’occupe le thème de la cybersécurité, que ce soit dans les programmes politiques des candidats ou dans la gestion opérationnelle des campagnes électorales par leurs différents protagonistes : États, partis politiques, médias et réseaux sociaux ou encore instituts de sondages.
Les différentes menaces ne visent pas à déstabiliser le milieu cyber en lui-même. Ce dernier ne constitue qu’un vecteur, un moyen et non une fin. Qu’il s’agisse de leaks de données obtenues suite à du phishing, de défacement, d’attaque DDOS, etc, le but premier des attaquants n’est jamais la compromission de l’infrastructure technique en elle-même. L’effet final recherché est systématiquement l’atteinte au déroulement normal du processus électoral, qu’il s’agisse de remettre en cause la sincérité du scrutin, de discréditer un ou plusieurs candidats ou même dans une plus large mesure de déstabiliser le système démocratique.
Ces éléments appellent une série de remarques, portant d’abord sur les menaces et risques multiples auxquels sont exposées les élections en France, puis sur l’impérative prise en compte de ces dangers avant, pendant et après l’échéance électorale. Enfin, l’aspect européen des problématiques de cybersécurité, objet d’une montée en puissance, ne doit pas être oublié.
Menaces diverses, risques multiples
La numérisation massive de la société française expose ses pratiques démocratiques à de nouveaux risques issus de l’exploitation des technologies de l’information et de la communication. Si le processus électoral faisait auparavant l’objet de menaces particulières, il faut désormais en compter de nouvelles, issues de l’utilisation du cyber. Qu’elles touchent à la manipulation cognitive des électeurs, à la réputation des candidats ou à l’intégrité des infrastructures informatiques, elles constituent autant de risques auxquels l’État et la société doivent répondre.
En 2003, seuls 31 % des ménages français étaient connectés à internet, contre 93 % aujourd’hui. En 20 ans, l’interconnexion des populations a fait un bond phénoménal, aussi bien dans l’Hexagone que dans le reste du monde. La dématérialisation s’observe dans toutes les sphères, aussi bien privées que publiques et le système électoral français n’échappe pas à la tendance. Bien que les scrutins ne se déroulent pas encore via internet, contrairement à nos homologues américains, les infrastructures informatiques utilisées en arrière-plan restent colossales. L’appel à projets pour la transition numérique de l'État réalisé par le gouvernement en 2015 atteste de cette volonté de digitalisation généralisée.
Ainsi, les chaînes de télévision sont en première ligne pendant les périodes d’élections, car elles représentent une importante source d’information pour les électeurs. Les sondages, les interviews des candidats ou encore l’annonce des résultats sont autant d’informations critiques transmises par la voie télévisuelle. Les chaînes sont fortement concernées par les cyberattaques étant donné la forte dépendance informatique de tous leurs processus. Par exemple, l’interruption de la diffusion représente un risque critique, comme ce fût le cas pour TV5 Monde en 2015. Internet, et plus spécifiquement les réseaux sociaux, est aujourd’hui le médium de communication préféré de beaucoup de partis politiques et une source d’information majeure pour la population. Le cyberespace est donc un terrain stratégique pour les différents acteurs de la démocratie française, faisant du risque cyber une préoccupation et une menace majeure sur des aspects variés de l’élection présidentielle, qu’il s’agisse de manipulation cognitive des électeurs, de discréditation des candidats ou de sabotage des infrastructures informatiques des acteurs électoraux.
Les différents biais de manipulation cyber
La manipulation de la pensée des électeurs représente peut-être la menace la plus redoutable. Elle touche au principe d’intégrité de la donnée. Elle a pour objectif d’induire des idées erronées ou déformées à un électeur dans le but d’orienter son vote. La manipulation est aujourd’hui massive sur les réseaux sociaux, elle constitue le moyen le plus rapide et simple de toucher directement les électeurs. Cette désinformation peut prendre plusieurs formes, dont celle des “fake news”, terme revenant le plus souvent dans le discours des candidats, tant il menace les démocraties. Cela a notamment été constaté lors de la présidence américaine de Donald Trump. D’après une étude menée par le CSA en novembre 2020, la propagation de fausses informations est souvent bien plus forte que la propagation d’informations vérifiées. Les fake news font généralement davantage débat et engendrent un plus grand nombre de réactions, ayant pour effet d’amplifier la visibilité de ces publications. Sortir des arguments de leur contexte, publier de fausses déclarations ou de fausses rumeurs sont autant d’exemples de fake news.
Un autre moyen de manipuler l’électorat est le défacement de sites web d’institutions ou de partis politiques par des messages de propagande. Une méthode plus subtile, s’inscrivant parfaitement dans une époque où le traitement de la donnée n’a jamais été aussi important, est celle de la publicité ciblée : la sélection et l’adaptation du discours d’un candidat, faisant suite à un traitement des données minutieux, afin de plaire à tous. Cette méthode peut s'avérer très efficace, car bien plus insidieuse.
Enfin, avec l’émergence des algorithmes d’intelligence artificielle, le deepfake représente aujourd’hui un vecteur de manipulation inquiétant. De nombreux services en ligne permettent de réaliser des deepfakes plus que convaincants en quelques heures seulement. Cette technologie devient de plus en plus accessible avec des rendus de plus en plus réalistes, ce qui la rend redoutable. La manipulation des électeurs est donc bel et bien une menace majeure pesant sur les élections. Elle a la particularité de se servir uniquement du cyberespace comme moyen de relayer l’information. La surveillance des réseaux sociaux, la démystification des fake news et la sensibilisation aux différentes pratiques sont donc des axes sur lesquels il faut absolument être présent pour mitiger les risques et combattre cette menace.
Les attaques réputationnelles fondées sur la fuite de données
La discréditation des candidats est une menace pesant sur tous les partis politiques et pouvant survenir à n’importe quel moment de la campagne électorale. Elle touche au principe de confidentialité de la donnée et dans certains cas à son intégrité. Elle peut prendre la forme d’une divulgation au grand jour de données compromettantes pour le candidat, parfois mélangées à de fausses preuves. Ces données peuvent être des échanges privés, des emails, des photos compromettantes, la mise en évidence de relations avec des affaires de nature illégale, etc. À la différence de la première menace évoquée, celle-ci utilise tous les moyens de diffusion existants pour s’exprimer. Elle a pour but de décrédibiliser un candidat pour le gêner dans sa campagne, voire pour le disqualifier.
Ces divulgations d’informations sont la plupart du temps le résultat de cyberattaques sur les systèmes d’information des partis politiques. L'exploitation de mots de passe faiblement sécurisés ou la réutilisation de ceux-ci est très souvent la principale faille de sécurité dans les systèmes. D’après une étude statistique menée par Google, 66 % des utilisateurs utilisent plusieurs fois le même mot de passe pour différents sites et 20 % l’ont partagé par messagerie électronique. L’authentification multi-facteurs est un bon moyen de limiter ce risque, mais il est constaté que seulement 37 % l’ont activé. L'importance de la sensibilisation aux risques liés à l’authentification en ligne est encore aujourd’hui sous-estimée, les mauvaises pratiques sont toujours fréquentes. Les attaques par ingénierie sociale et par phishing sont également très représentées. Elles sont de plus en plus évoluées et leur nombre bat des records chaque année. L’exploitation de failles purement techniques n’est pas non plus à négliger, d’autant plus depuis les événements géopolitiques récents entre l’Ukraine et la Russie. La simple mise à jour des applications et systèmes d’exploitation utilisés réduit fortement l’exposition aux risques. Assurer la sensibilisation des membres des partis politiques aux problématiques de mots de passe, de clés USB inconnues et de phishing est une mission indispensable. Superviser la sécurité technique de leurs systèmes d’information est également un aspect à ne pas négliger étant donné l'intérêt stratégique considérable que représentent les élections présidentielles.
Le sabotage des infrastructures informatiques des acteurs électoraux représente également une menace préoccupante. Elle touche au principe de disponibilité de la donnée. Les sites Web institutionnels, les plateformes des partis politiques et les chaînes de télévision sont tous soumis à la menace de l'indisponibilité technique. Les attaques par déni de service (DDoS) sont les plus répandues et les plus opérationnelles. Le principe est de surcharger de demandes un serveur afin d’occuper 100 % de sa bande passante, de le rendre inaccessible et de provoquer des dysfonctionnements potentiels sur le réseau. Ces interruptions peuvent durer plusieurs heures, voire plusieurs jours, en fonction de l'envergure de l’attaque. Elles sont difficiles à contrer et très faciles à mettre en œuvre. De nombreux services en ligne proposent de louer des Botnet à des fins malveillantes. La propagation de ransomwares représente également une très grande menace en termes de disponibilité et de confidentialité de la donnée. Une interruption de diffusion sur les chaînes de France Télévision le soir de l’annonce des résultats aurait un effet réputationnel désastreux aussi bien en France qu'à l'international. L’exemple récent de la chaîne de télévision russe victime d’une interruption de diffusion par le mouvement Anonymous montre que la menace est bien réelle. Des plans de reprise et de continuité d’activité doivent absolument être établis par tous les acteurs électoraux.
Entre désinformation et cyberattaques, l’élection présidentielle concentre tous les risques 2.0. Comment la France s’y prépare-t-elle ? Retrouvez les éléments de réponse dans la deuxième partie de cette analyse.
Seconde partie : Risques cyber et déstabilisation électorale [Partie 2/2]
Raphaël Barrasset et Guillaume Brechler, pour le club Cyber AEGE
Pour aller plus loin :