Des JO 2024 sous haute surveillance

Une menace protéiforme plane sur les Jeux Olympiques et Paralympiques qui se dérouleront cet été en France du 26 juillet au 11 août 2024. La menace d’attentats déjà, à ce titre, le ministre de l’Intérieur avait déclaré le 21 mars dernier que 715 personnes avaient été écartées dont 10 fichées S en épluchant les dossiers des milliers d’individus faisant l'objet de demandes d'accréditation émanant du comité organisateur des JO ou des préfectures. La menace provient aussi des vols, par exemple, d’ordinateurs ou autres périphériques comme les clés USB qui peuvent potentiellement contenir des données sensibles. Deux vols ont notamment eu lieu en février et mars derniers ; le premier, un ingénieur travaillant pour la ville de Paris s’est fait dérober sa sacoche dans un train à la gare du Nord contenant son ordinateur professionnel et une clé USB et le second, c’est une employée de la direction de l'hôpital Avicenne de Bobigny (Seine-Saint-Denis) qui s'est fait voler son laptop sur un parking. Dans ces deux cas, les périphériques volés contenaient des données liées aux Jeux Olympiques, toutefois ces informations ne seraient pas classées aussi sensibles que cela selon les intéressés et la Justice. Enfin, n’oublions pas la menace cybercriminalité qui a déjà commencé à en croire nos interlocuteurs interrogés dans ce dossier; preuve de cet avant-goût, l’attaque massive, via la technique du DDoS, sur plusieurs sites de l’État perpétrée le dimanche 10 mars par le groupe Anonymous Sudan soutenant la Russie et plusieurs causes islamistes, mais aussi les plus récentes attaques contre France Travail (lien vers ) et la Fédération Française de Football. Ce cumul d’événements indique ô combien la sécurité des JO est stratégique à la fois d’un point de vue physique mais aussi sur la sécurité des infrastructures IT et des sites dédiés de toutes les entreprises et les organisations françaises. Dans son dernier baromètre de la cybermenace 2023 dévoilé le 27 février dernier, l’ANSSI met d’ailleurs en garde tous les acteurs liés ou pas aux JO de Paris sur le haut niveau de menaces qui plane sur cet événement. Vincent Strubel, son directeur, a assuré que l’ANSSI est déjà mobilisée sur la cybersécurité des JO avec un dispositif renforcé de veille, d’alerte et de traitement des incidents de sécurité informatique, ce dispositif a été déployé en coopération avec les différents services de l’État impliqués. Pour l’agence, l'espionnage stratégique et industriel est la menace qui a le plus mobilisé ses équipes en 2023 selon son dernier baromètre. En complément à l’ANSSI, le département de l'anticipation et de la gestion de crises Cyber du Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI) géré par la Lieutenant-colonel Sophie Lambert est déjà fortement mobilisé : « Présent sur le Campus Cyber, notre département, composé d’une vingtaine de personnes dont une majorité d’analystes experts, a pour mission lors de ces JOP 2024 de surveiller et d’anticiper les diverses menaces. Nous serons d’ailleurs présents au centre national de commandement stratégique (CNCS) à Beauvau. N’oublions pas que cet événement à fort retentissement médiatique profite d’ailleurs aux cybercriminels dont le but est de perturber la tenue des Jeux, de déstabiliser les intérêts français et de véhiculer des messages de propagande. Les JOP constituent pour les cybercriminels une vitrine pour recruter dans leurs rangs ».

Une architecture colossale à sécuriser et bien plus…

Sécuriser l’architecture IT des JO n’est pas une mince affaire surtout quand celle-ci est construite sur une approche cloud native avec 206 applications interconnectées à en croire David Pillant, responsable des architectures IT de Paris 2024, qui s'était exprimé lors du salon API Days en décembre dernier. En chiffres, ce sont 12 000 écrans déployés, 400 000 km de fibre optique (dont 90 % déjà existante), 13 000 ordinateurs et 8 000 hotspots Wifi au service des athlètes… A cela, n’oublions pas que 20 000 journalistes couvriront les compétitions, des milliers d’employés, environ 35 000 bénévoles accrédités (ndlr : et autant en backup au cas où), ainsi que plusieurs milliards de téléspectateurs , sans les 13 millions de passionnés attendus dans les stades pour les Jeux. « En volume de données, c’est colossal, on parle de milliards de pages vues, de milliards de données brutes. Le golf par exemple est l’un des sports qui génère le plus de données. La cérémonie d’ouverture inédite, à ciel ouvert (ndlr : avec plus de 1 000 bateaux sur la Seine ou au Trocadéro, voir le Stade de France en cas de problème), va générer, elle -aussi, d’énormes quantités de données », précise d’ailleurs Christophe Thivet, directeur de l'intégration technologique pour les Jeux de Paris 2024 chez Atos. Il faudra aussi prendre en compte la protection des postes de travail des bénévoles accrédités qui arrivent avec leur propre équipement selon Eric Greffier, responsable du partenariat avec les JO de Paris 2024 pour Cisco. A ce titre, un effort important a été mis sur la sensibilisation et la formation aux risques cyber pour tous les personnels. Mais plus largement, il faut sécuriser le SI autour des JO qui se décompose, lui-même, en plusieurs sous-systèmes (billetterie ou patrimoine applicatif à destination du grand public, gestion de l’affichage, accréditations, etc.) car, comme le rappelle le porte-parole de Cisco, toutes les catégories de cybermenaces seront présentes. La captation des données sera d’ailleurs au cœur de la stratégie des cyberattaquants, et pour Jean-Philippe Isemann, associé Partner au sein du cabinet de conseil RSM France et administrateur pour ISACA-AFAI, ce qui est préoccupant, c’est le renseignement économique que l’on ne mesure pas et que l’on ne connaitra pas. A ce sujet, Vincent Strubel a indiqué lors de l’ouverture du Forum InCyber qui s’est tenu à Lille en mars dernier, que le pire des scénarios est la cinématique d’événements, c’est-à-dire d’être submergé par des petites attaques très visibles et de ne pas voir une autre plus importante. De plus, pour Boris Lecoeur, directeur général de Cloudflare, il ne faut pas oublier toutes les entreprises et institutions qui gravitent indirectement autour des JO dont certaines d’entre elles, parfois moins bien préparées, sont plus vulnérables. « Tous les services d’infrastructures, qu’ils soient partenaires ou pas, les sites de l’Etat, les billetteries sont autant de cibles potentielles, même des petites structures françaises et visibles s’attendent à être attaquées », précise le dirigeant. Un avis que partage Eric Greffier : « Par exemple, Les transports, souvent gérés par les collectivités, sont notamment une cible de choix pour les cyberattaquants. Cisco travaille ainsi avec les collectivités concernées par les JO en leur apportant un éclairage sur les risques et des conseils pour mieux se protéger », et d’ajouter : « En partenariat avec Paris 2024 et Eviden, nous avons même lancé un club des RSSI pour préparer la coopération temps réel durant les jeux. ».

Atos, d’abord concentré sur les JO

Pour le bon déroulement de cet événement planétaire, et malgré ses déboires financiers et stratégiques, Atos se positionne en maître d’œuvre : c’est le partenaire technologique officiel des JO 2024, il est à la fois intégrateur, fournisseur de services cloud aux côtés d’Alibaba Cloud (lequel ne sera pas en charge des données sensibles), prestataire de solutions de cybersécurité via sa filiale Eviden et éditeur d’applications (voir encadré). Quant aux déboires financiers actuels d’Atos (perte de 3,44 milliards d’euros en 2023), Christophe Thivet est catégorique, il n’y aura aucun impact sur la sécurité des JO. « De par notre histoire dans les JO, nos équipes ont un attachement très fort au monde olympique, elles ont participé à ceux de Londres, de Vancouver et de Tokyo. L’organisation des JO, c’est un projet unique sur un CV. » Ce sera la dernière participation d’Atos aux Jeux, le contrat avec le CIO arrive à son terme. Même constat du côté d’Ivan Frain, directeur consulting cloud transformation chez PwC France et Maghreb : « En tant que partenaire, nous avons constaté que toutes les équipes étaient fortement mobilisées et impliquées, un investissement qui contribuera, c’est certain, à la réussite des JO 2024. »

Atos, c'est aussi la gestion des accréditations et la diffusion des chronos

Atos est un habitué des JO, Tokyo, Londres, Vancouver, Barcelone, les équipes étaient déjà à la manœuvre. Pour Paris, Atos, en tant qu’éditeur, livre deux applications, la première, Olympic Management System, permet de planifier les accréditations, 500 000 au total selon Christophe Thivet, directeur de l'intégration technologique pour les Jeux de Paris 2024 chez Atos, via un processus entre les services de l’Etat et l’application d’Atos, et ce, jusqu’à la fourniture finale du badge. En soi, la SSII, de par ses expériences précédentes sur d’autres JO s’appuie donc sur un socle connu. En revanche, pour Paris, la plateforme s’enrichit d’un outil d’aide à la décision sur le choix des volontaires. « Sur 300 000 candidatures de volontaires, il fallait en sélectionner 35 000, grâce à un algorithme spécialement développé pour ces JO, nous sélectionnons les bonnes personnes par rapport aux postes recherchés, un étudiant en médecine, nous n’allons pas par exemple lui confier une mission de transport », explique Christophe Thivet. Quant à la deuxième application, Olympic Diffusion System, elle permet, en s’interfaçant avec Omega (partenaire historique des JO), de diffuser les chronos en moins d’une seconde auprès des médias et des spectateurs, et la spécificité pour Paris est qu’il a fallu enrichir cette application d’une prise en charge des nouveaux sports comme le surf, le breaking, l’escalade sportive et le skateboard.

Alors que les Jeux de Tokyo en 2021 avaient subi 450 millions d’attaques informatiques, dans un contexte international aujourd’hui bien plus tendu, Paris s’attend à huit fois plus d’attaques selon Atos. Pour Benoit Delpierre, Cybersecurity Chief Technology Officer Deputy chez Eviden, une filiale d’Atos, il faut surtout voir ce chiffre comme un élément de mesure qui permet d’évaluer la croissance de la menace. « Nous nous préparons depuis 5 ans à cela avec nos équipes. Des attaques, il y en a déjà et elles vont monter crescendo, nous le savons. De notre côté, nous sommes opérationnels et pas forcément inquiets sur une menace en particulier. » Le risque n’est toutefois pas nul, souvenons-nous des JO d'hiver 2018 à Pyeongchang en Corée du Sud, une cyberattaque (malware Olympic Destroyer) avait été lancée pendant la cérémonie d'ouverture où les services Internet et WiFi avaient temporairement été coupés et des serveurs internes avaient été mis hors service. Autre exemple, en 2016 aux JO de Rio de Janeiro où plusieurs sites avaient été attaqués incluant aussi les sites des partenaires de ces JO.

Pour Boris Lecoeur, directeur général de Cloudflare France, il n’y a pas que les organismes liés aux JO qui peuvent être concernés par des attaques, toutes les entreprises et institutions peuvent l’être. « Carrefour, l’un de nos clients protégés par notre réseau mondial, est potentiellement une cible puisque le groupe est présent avec ses magasins éphémères qui nourriront les athlètes. » Le fournisseur constate à ce titre une augmentation significative des attaques DDoS, +117 % sur le trimestre précédent, notamment les attaques par amplification DNS avec une augmentation de 30 % des attaques observées. Cloudflare remarque aussi un nombre très important d’attaques de type applicatives en exploitant des vulnérabilités et les failles via par exemple des injections SQL, mais aussi des attaques accrues via des robots. A cet égard, Cloudflare peut faire valoir son réseau mondial qui protège 20 % de l’internet donc des millions de sites d’entreprises dans le monde et des milliers en France (dont Mano Mano, Carrefour, Norauto, etc.). « Notre réseau compte 310 points de présence, c’est en constante augmentation pour une capacité de trafic de 248 terabit/s », souligne le dirigeant de la filiale française. A titre indicatif, la plus grosse attaque DDoS enregistrée a atteint les 2,6 terabit/s, Cloudflare peut ainsi garantir des SLA à 100 %. Pour Boris Lecoeur, n’importe qui peut mener une attaque DDoS suffisamment sophistiquée, des kits sont même à vendre sur le darknet pour quelques dollars, de plus, il n’y a pas besoin de s’introduire à l’intérieur du réseau. Aux attaques DDos, s’ajoutent une grande diversité d’attaques comme les rançongiciels qui représentent toujours l’un des vecteurs d’attaques les plus importants selon le dernier baromètre 2023 de Cybermalveillance.gouv.fr dévoilé le 5 mars dernier, ce type d’attaques concernant tous les domaines d’activités y compris les différents prestataires et partenaires actionnés durant les jeux (transport, retransmission, hébergement, billetteries etc.). « Les attaques par rançongiciel et les vols/diffusions de données sensibles représentent nos principales préoccupations, en raison de leur potentiel de perturbation significative. Nous sommes également attentifs aux escroqueries ciblant les spectateurs, aux défigurations de sites officiels, et aux risques liés à la supply chain, susceptibles de compromettre à la fois la sécurité et la réputation de l'événement », indique Sophie Lambert, cheffe du département de l'anticipation et de la gestion de crise cyber au ministère de l'Intérieur.

Pour se protéger de toutes ces attaques, les entreprises, surtout les plus petites structures, se doivent bien sûr de disposer de l’outillage de protection nécessaire et, comme le rappelle Jean-Philippe Isemann, associé Partner au sein du cabinet de conseil RSM France et administrateur pour ISACA-AFAI, de mettre à jour leurs systèmes et applications (patching). De plus, pour une défense en profondeur, ces PME et ETI peuvent souscrire à des services de type SOC, lesquels renferment, pour résumer, des services de détection des menaces et de remédiation. Historiquement, de par leurs coûts importants, seules les grandes entreprises pouvaient s’offrir ce type de services. Aujourd’hui, les choses ont changé, de nombreux éditeurs ont développé des dispositifs accessibles aux PME et ETI en se basant sur des technologies EDR/XDR, bref des outils permettant de collecter des informations depuis des capteurs EDR provenant, par exemple, de la messagerie emails, des postes de travails, des mobiles, des serveurs, du réseau ou du cloud.

Pour Paris 2024, la cybersécurité des JO repose sur des technologies de plusieurs partenaires, lesquelles sont pilotées depuis un centre des opérations de Cybersécurité (SOC) qui fait office de tour de contrôle. « Un SOC unifié est un avantage pour la partie opérationnelle, à titre de comparaison, pour les JO de Tokyo, chaque partenaire disposait de son propre SOC, soit une petite dizaine en tout », souligne Eric Greffier, responsable du partenariat avec les JO de Paris 2024 pour Cisco. A noter que le SOC est intégré au TOC (Technology Operations Center), le centre de commande des opérations technologiques de 610 m² pour les 63 sites olympiques et paralympiques, qu’il s'agisse de sites de compétition ou non. Inauguré par Atos en octobre dernier, ce TOC fonctionnera 24 heures sur 24 et 7 jours sur 7 pendant toute la durée des Jeux. Selon Christophe Thivet, directeur de l'intégration technologique pour les Jeux de Paris 2024 chez Atos, le Centre des opérations technologiques central (CTOC) d’Atos de Barcelone et le Laboratoire des tests d’intégration (ITL) de Madrid viennent aussi en complément du TOC. Parmi les principaux intervenants en matière de cyber sur les JO 2024, citons Cisco, lui-même partenaire des JO 2024 et habitué des grands événements : l’équipementier est notamment le partenaire officiel de cybersécurité de la NFL. En résumé, Cisco fournit les technologies, Eviden, la filiale d’Atos, les intègre et les opère. Selon Eric Greffier, l’équipementier a travaillé en étroite collaboration avec Eviden et Franz Regul, RSSI de Paris 2024. Dans les technologies déployées par Cisco, citons déjà son centre d’analyse intelligente de la menace Talos qui va donner de la visibilité sur les données en temps réel et une compréhension de tout ce qui se passe sur le réseau.

Beaucoup de tests en amont

A cela s’ajoute la mise en œuvre de solutions de type Zero Trust, boostées à l’IA pour sécuriser l’accès aux applications. « Nous avons déployé à peu près tous les outils que regroupe l’offre Cisco Secure », admet d’ailleurs Eric Greffier. L’objectif est de bien segmenter les droits des personnes en fonction de leurs accréditations et de leurs usages. Eviden, de son côté, faisant office d’intégrateur, assure aussi la surveillance en temps réel et la remédiation grâce à sa plateforme MDR AIsaac, bien sûr, Eviden profite en parallèle du centre de threat intelligence Talos et de l’offre XDR de Cisco. L’été dernier, des tests réalisés dans 18 sports sur 11 sites de compétition ont permis aux équipes du TOC et du CTOC de tester en conditions réelles les systèmes et applications, préalablement simulés au sein de l’ITL. Des dizaines d’heures de tests devraient être effectuées d’ici à juillet 2024. Pour Eric Greffier, l’entraînement et les tests via les cyber games tous les trimestres depuis 2022, les simulations ou encore les hackatons sont bien la seule réponse pour réagir à une attaque dite sophistiquée. Des tests d’intrusion, c’est aussi ce que mène entre autres la direction numérique d’Île-de-France Mobilités pour sa nouvelle application Transport Public Paris 2024, une solution jumelle à Île-de-France Mobilités mais dédiée aux déplacements vers les sites de compétition selon Hélène Brisset, directrice du numérique chez Île de France Mobilités. Pour Jean-Philippe Isemann, associé Partner au sein du cabinet de conseil RSM France et administrateur pour ISACA-AFAI, cette recette des tests appliqués aux JO s’applique également aux PME et ETI pour comprendre les risques : « Mais ce n’est pas tout, il faut aussi travailler sur la gouvernance, les processus et l’humain. ».

Plus de sensibilisation

Et ce travail sur l’humain passe bien sûr par la sensibilisation, elle est essentielle autour des JO, l’ANSSI a d’ailleurs livré un kit « JOP massifié » spécifiquement construit pour implémenter un exercice simulant le contexte des Jeux Olympiques et Paralympiques (JOP24). L’objectif est d’aider les organisations à se préparer à d'éventuelles crises. Le scénario de ce kit est adapté en fonction du type d’organisation (sites de compétition, collectivités hôtes, pouvoirs publics et organisateurs et fournisseurs de service). Au total, les organisations peuvent donc choisir parmi 12 formats d’exercice. Cette sensibilisation passe aussi par la simulation, en exemple, la Gendarmerie qui a publié en mars dernier à ses agents un email frauduleux de phishing lié à des places gratuites pour les JO 2024. Résultat : selon Le Parisien, 10% des agents qui ont ouvert le mail ont cliqué sur la pièce jointe. La sensibilisation fait aussi partie des missions du département de l'anticipation et de la gestion de crises Cyber du Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI). « Bien sûr, notre mission est d’œuvrer à élever le niveau de cybersécurité et de gestion de crises cyber en France, nous avons aussi un volet important de sensibilisation et de soutien à ces entreprises pour renforcer leur résilience face aux cybermenaces. Je me déplace personnellement dans les entreprises, dans tous les secteurs, pour leur dire la bonne parole, comment se préparer, quels services contacter et surtout anticiper. En France, nous avons cette culture du risque mais pas forcément celle de la crise », souligne Sophie Lambert, lieutenant-colonel et cheffe du département de l'anticipation et de la gestion de crise cyber au ministère de l'Intérieur.

L'architecture opérationnelle du SI pilotée par PwC France

Sur le volet IT, PwC France, en tant que cabinet de conseil et d’audit, est intervenu sur la partie opérationnelle, dans la construction des architectures cloud et applicatives. « C’est un partenariat qui a commencé en 2021 et qui va durer jusqu’en 2025 en prenant en compte le décommissionnement », précise Ivan Frain, Directeur Consulting Cloud Transformation chez PwC France et Maghreb. Le pilotage des réseaux et de la cybersécurité n’est pas du ressort de PwC France et Maghreb même si des interactions existent bien sûr entre les différentes équipes. Dans cette construction, le cabinet a collaboré avec la DSI des JO de Paris 2024 pilotée par Bruno Marie-Rose mais pas seulement, une cinquantaine de personnes du cabinet interviennent à différentes étapes jusqu’au développement. « Nous les avons aidés dans l’établissement des normes et des standards pour harmoniser les différentes parties, par exemple les logs dans les applications pour faciliter les remontées d’alertes vers le TOC (Technology Operations Center), dans les machines exploitées au sein des infrastructures ou encore sur la typologie des applications mobiles. C’est également un travail au quotidien avec la DSI pour aider à la planification, au suivi ou encore au reporting auprès du Comex. » L’un des principaux challenges relevés par Ivan Frain a été de communiquer de manière fluide auprès de tous les partenaires impliqués. Evidemment, des tests sont effectués sur divers scénarios d’ici au lancement officiel des JO, l’objectif étant de voir comment les outils réagissent et de s’assurer, in fine, du bon fonctionnement des infrastructures IT durant l'événement.

« Les JO 2024 surpassent tous les autres événements en termes de volume de données qui vont transiter dans les liens filaires et sans fil, c’est l’équivalent de 40 coupes du monde simultanées, n’oublions pas qu’il y aura 1 000 compétitions à couvrir sur 1 mois entre les Jeux Olympiques et Paralympiques, il faut également fournir un accès aux 120 sites des JO dont 35 pour les compétitions », souligne Pierre-Louis de Guillebon, directeur général d'Orange Events et directeur du projet Orange des Jeux Olympiques de Paris 2024. Orange, le partenaire premium des JO 2024, habitué des très grands événements (Tour de France, Coupe du monde de Rugby, etc.) aligne d’ailleurs 400 000 km de fibre pour couvrir l’événement incluant aussi les épreuves de surf à Tahiti, cette distance correspond à celle de la Terre à la Lune pour avoir un ordre d’idée. Sur les différents sites, Orange, en partenariat avec Cisco et Intel, fournit la connectivité filaire mais aussi les accès en Wifi et en 5G privée. « La 5G privée est déployée sur 5 sites dont la cérémonie d’ouverture qui sert notamment à connecter les caméras embarquées pour fournir des images immersives », explique Pierre-Louis de Guillebon. Des fréquences ont d’ailleurs été accordées par l’ANFR (voir encadré), Orange s’incrustant bien sûr dans son plan de fréquence. La 5G privée servira aussi aux photographes dans le transfert des clichés en temps réel.

Une supervision accrue

Tous ces accès ont été réfléchis bien en amont, Orange prépare les JO depuis 2019, bien avant les JO de Tokyo en 2021 qui ont fait les frais de la crise sanitaire. Selon Pierre-Louis de Guillebon, toutes ces installations sont évidemment redondées pour assurer la sécurité. De plus, le centre de supervision TOC (Technology Operations Center) va opérer l’ensemble des réseaux et Orange va, de son côté, renforcer ses centres de supervision. « Nous mobilisons pour l’événement 1 000 personnes pour la partie technique, autant sur site en front office et plusieurs centaines dans nos propres centres de supervision », précise Pierre-Louis de Guillebon. En outre, Orange a procédé à plusieurs tests opérationnels grandeur nature. Par exemple, l’été dernier, des tests pour la 5G privée ont été effectués à la Marine de Marseille, l’endroit où aura lieu l’épreuve internationale de Voile. D’autres, environ une dizaine, auront lieu d’ici à juin 2024 notamment en avril 2024 au Stade BMX de Saint-Quentin-en-Yvelines (BMX Racing), en mai au Château de Versailles (pentathlon moderne) ou encore en juin 2024 sur le site d'Escalade du Bourget (escalade), à Paris La Défense Arena (natation, water-polo, para Natation) et enfin au Stade de France (athlétisme, para athlétisme). Deux tests seraient aussi prévus pour la cérémonie d’ouverture. Toutes ces précautions sont nécessaires car l’inquiétude principale, pour Pierre-Louis de Guillebon, est celle de la sécurité physique et IT.

L'ANFR en position pour lutter contre les risques de brouillage des fréquences

Pour garantir la sûreté et la fiabilité de l’utilisation du spectre, l’ANFR (Agence nationale des fréquences) testera et surveillera le spectre sur chaque site à l’aide d’analyseurs portables et conformes à la directive relative à la surveillance, elle étiquètera l’ensemble des appareils radio utilisés pendant les Jeux sur les sites de compétition et autres lieux concernés. L’ANFR prévoit en complément d’installer des récepteurs sur une quarantaine de sites, en hauteur, pour la supervision à distance des fréquences de la bande UHF, très fortement utilisée pour les médias, l’organisation des JO et les services de sécurité. Le déploiement et l’exploitation de ces récepteurs ont été testés avec succès lors d’événements tests préparatoires aux Jeux, dans le courant de l’été 2023. L’objectif est bien de prévenir les risques de brouillage pouvant affecter l’organisation des épreuves ou leur retransmission aux téléspectateurs et, s’il en survient, d’y remédier le plus rapidement possible. Pour ce faire, l’agence va déployer 250 personnes pour les JO (environ 170 personnes pour les Jeux Paralympiques), réparties respectivement en 40 responsables de zone, 30 experts et 180 agents de terrain.

Les 3 et 5 mars derniers, des tests des premières caméras intelligentes équipées du logiciel Cityvision de Wintics ont été menés lors des concerts du groupe Depeche Mode à l’Accor Arena de Bercy, l’objectif étant de vérifier leur bon fonctionnement et leurs possibilités techniques avant une mise à l’échelle lors des prochains Jeux Olympiques et Paralympiques. Attention, selon Quentin Barenne, co-fondateur de Wintics, les algorithmes embarqués dans les caméras sont surtout là pour analyser les situations comme des bagarres, des objets abandonnés, la présence d’armes, les mouvements de foule, des problèmes de circulation ou encore le franchissement de zones interdites. Au total, 8 types de situation sont détectés depuis une salle de contrôle dédiée mais, en aucun cas, les caméras sont exploitées à des fins de reconnaissance faciale pour rechercher un individu suspect par exemple. « Notre logiciel n’est pas adapté pour la reconnaissance faciale, techniquement, il analyse que des silhouettes en visualisant une forme et qu’il associe à un objet. Notre outil ne regarde pas du tout ce qui se passe au sein de la silhouette », précise Quentin Barenne. N’oublions pas qu’il y un an l'Assemblée nationale a voté un projet de loi sur la sécurité liée aux JO dont l'utilisation de la vidéosurveillance alimentée par l'IA, un projet validé par le Conseil constitutionnel sous deux conditions : une autorisation préfectorale pour un mois renouvelable et une interdiction des techniques de reconnaissance faciale ou de biométrie.

Et après les JO ?

Bien sûr, la CNIL reste attentive, elle a fait de la thématique des usages des caméras dites augmentées un axe prioritaire de son plan stratégique 2022-2024. Cela se traduit par la mise en œuvre d’une série d’actions qui comportent un accompagnement des acteurs privés et publics, mais aussi la réalisation de contrôles ; la CNIL était d’ailleurs présente lors des tests des concerts de Depeche Mode. Le ministère de l’Intérieur indique que d’autres tests auront lieu avant les JO d’ici cet été. De son côté, l’AN2V (Association nationale de la vidéoprotection), un think tank qui regroupe 150 membres (intégrateurs/installateurs, éditeurs, constructeurs, etc.) suit de près cette loi d’expérimentation surtout au niveau des usages, en cause des contraintes juridiques et éthiques importantes autour de la vidéoprotection et de l’IA. « Les technologies sont matures et ouvrent à toutes les possibilités, en revanche, nos membres se posent plein de questions juridiques et éthiques. C’est par exemple dans cette optique que nous avons créé un groupe de travail autour des usages de l’IA dans la vidéo et que nous avons ainsi pu démontrer pas moins de 180 usages », souligne Dominique Legrand. Bien plus que les 8 usages expérimentés lors des tests. Il y aura évidemment des analyses et des conclusions suite au retour d’expérience grandeur nature des JO. Quelles seront les décisions prises par la suite sur l’usage de ces caméras intelligentes, va-t-on les utiliser de manière permanente pour d’autres événements ou au quotidien ? Une chose est sûre, avec l’usage de ces caméras augmentées, les pouvoirs publics souhaitent ne pas revivre le fiasco de la finale de la Ligue des champions de football le 28 mai 2022 aux abords du Stade de France.

Pour les JO 2024, on ne connaît pas précisément le nombre de caméras intelligentes qui seront opérationnelles. Le dirigeant de Wintics ne le communique pas et ce n’est pas de son ressort mais celui du ministère de l’Intérieur. Une chose est sure, le logiciel Cityvision équipe principalement des caméras fixes et non pilotables, son système d’analyse travaillant sur des champs fixes. « Et pour cause, notre technologie fonctionne avec un système de calque, si la caméra bouge, ce calque ne sera plus bien positionné. A titre indicatif, la ville de Paris a déployé, il y a une quinzaine d’années, énormément de caméras fixes puis, il y a 6 ans, 7 ans, une vague de caméras pilotables a été installé, maintenant les caméras déployées sont hybrides », conclut Quentin Barenne. Ce qui donne aussi une idée du potentiel de caméras qui peuvent être équipées de ce logiciel.

1 - Les JOP : un événement propice aux attaques

Les JO constituent des cibles privilégiées pour les cyberattaques, en raison de leur surface d’exposition et dont les conséquences technologiques, industrielles et financières ont acquis une ampleur considérable. Parce que les JOP attirent une large audience (4 milliards de téléspectateurs, 13 millions de spectateurs, 15 000 athlètes attendus du 26 juillet au 14 août prochains), ils constituent un moment propice pour mener des actions cybercriminelles visant le public comme les organisateurs au sens large, selon diverses modalités. Pour quelles raisons ?

Raisons endogènes :

1 – De par leur ampleur, l'organisation et le déroulement de manifestations sportives internationales comme les JOP reposent sur un grand nombre de systèmes d'information : sites web, gestion des fournisseurs, billetterie, flux vidéo, etc. Ces systèmes sont exploités par les parties prenantes - le Comité international olympique, les fédérations sportives nationales, les entreprises partenaires, notamment. Les autorités nationales et locales disposent également de systèmes d’information dédiés – a l’instar des services de sécurité ou des forces de l'ordre. Autant de cibles potentielles pour les cyberattaquants.

2 - La tenue des JOP leur confère une immense surface d'exposition, à l’échelle planétaire. Les parties prenantes, allant des PME jusqu'aux organisations sportives internationales, en passant par l’Etat français, présentent des niveaux de maturité en cybersécurité hétérogènes. De plus, ces systèmes sont potentiellement interconnectés, ce qui implique des risques de propagation d'attaques informatiques.

3 - Les systèmes informatiques ont peu à peu remplacé la gestion physique des événements. D’où de nouvelles formes d’interactions et de dépendances. Ainsi, les épreuves sportives des Jeux olympiques et paralympiques 2024 se dérouleront sur 38 sites de compétition. Plusieurs systèmes d'information seront directement impliqués dans le déroulement de ces événements, notamment pour la gestion des infrastructures physiques.

4 - L'interconnexion entre les différents systèmes d'information brouille la frontière entre le physique et l’IT, notamment en matière de sécurité. Ainsi, les systèmes de gestion technique des bâtiments, qui contrôlent les affichages, l'alimentation électrique, la climatisation, les contrôles d'accès et la vidéosurveillance des infrastructures sportives, sont potentiellement vulnérables.

5 - La forte concentration des médias présents (34 000 journalistes attendus venus du monde entier) constitue un terrain de jeu pour les hackers pour promouvoir leurs revendications, cause potentielle de pertes financières et d’atteintes à la réputation des organisations et pays hôtes. A l’opposé, côté médias, l'évolution des pratiques de visionnage des événements sportifs via streaming offre aux attaquants de nouvelles opportunités.

Enfin, la durée limitée et concentrée de l’événement (17 jours, puis 12 jours) renforce l’importance d’assurer la continuité des services et la disponibilité des systèmes d’information.

Raisons exogènes

1 - Les JOP Paris 2024 s‘inscrivent dans une séquence particulièrement chargée au niveau géopolitique international : leur précèdent des élections en Russie (16 mars dernier), puis des élections européennes à fort enjeu national (9 juin) et leur succèderont des élections aux Etats-Unis, également à fort potentiel de déstabilisation (5 novembre).

En toile de fond, deux événements majeurs dominent le paysage : l'invasion de l'Ukraine par la Russie en février 2022, facteur de tensions propices aux attaques informatiques. L'incertitude quant à la participation de la Russie aux Jeux de 2024 expose l'événement à des cyberattaques en guise de représailles. Une incertitude qui, corrélée à l'invasion de l'Ukraine, pourrait entraîner des attaques visant à entacher la réputation du pays hôte – la France - et perturber le bon déroulé de l'événement.

Par ailleurs, la résurgence du conflit israélo-palestinien sur la scène internationale depuis le 7 octobre 2023 constitue elle aussi un potentiel facteur de déstabilisation – à l’instar des JO de Munich en 1972.

2 – La situation politique et sociale de la France à l’orée des JO peut également favoriser des attaques à des fins revendicatives. Les actuelles menaces de grève dans les transports sont là pour le rappeler, à l’instar de celle qui frappa Air France, initiée par les pilotes de ligne à une semaine de l’ouverture de la Coupe du monde de football de 1998 en France.

3 – Ne négligeons pas les effets potentiels d'une crise sanitaire sur la tenue des Jeux Olympiques et et son impact sur la surface d’exposition aux attaques. Lors des Jeux olympiques de Tokyo (2020), l'absence de spectateurs étrangers et l’inclination des Japonais pour les paiements par carte bancaire au détriment des transactions en liquide ont impacté les surfaces d'attaque.

4 - Enfin, les Jeux Olympiques 2024 sont l’occasion de rassembler de nombreuses personnalités issues du monde de la politique ou des affaires, nationaux et internationaux. Une aubaine pour les cyber-attaquants, qui pourraient profiter de l’occasion pour tenter de compromettre leurs appareils et, par extension, les réseaux de leurs institutions ou sociétés.

2 – Attaquer les JOP : quel objectifs ?

Quels buts poursuivent les cyberattaquants en s’en prenant aux Jeux Olympiques ? Perturber, déstabiliser ou discréditer le pays hôte, les épreuves sportives qui s’y déroulent et la logistiques mise en place pour les spectateurs et téléspectateurs : tels sont les principaux buts recherchés par les cyberattaquants

Nuire à la réputation du pays hôte : Outre la menace pour la sécurité des biens et des personnes, les attaques informatiques peuvent nuire à l'image du pays hôte, notamment en s’attaquant aux infrastructures liées à l’organisation des JO (site officiel, billetterie) ou indirectement liées (sites de réservation d’hôtels, transports, énergies, fédérations sportives…).

Entraver les retombées économiques : Les attaques peuvent avoir des conséquences négatives sur les retombées économiques pour les organisateurs : pertes de recettes liées à la billetterie, coûts de remplacement du matériel. Les sponsors et les spectateurs peuvent également être impactés, notamment par le vol de données ou des tentatives d’extorsions de fonds.

Détériorer la qualité de l'expérience : La compromission de certains systèmes d'information peut impacter l'expérience des spectateurs, des téléspectateurs et des internautes : difficultés pour accéder aux stades, faiblesse des de connexions Wi-Fi ou perturbations de retransmission télévisée...

Faire valoir une cause : Pour les attaquants, l’exposition médiatique des Jeux Olympiques constitue un terrain de jeu pour les hackers pour promouvoir leur cause. Au Qatar, lors de la Coupe du monde de football de 2022, des hacktivistes ont lancé des attaques DDoS contre des entités qataries, pour mettre en avant son coût écologique et les violations des droits de l'Homme dans le pays-hôte.

1 - Deux grands types de cibles majeures :

1 - Services numériques et objets connectés : Lors d'événements sportifs internationaux, comme les JOP, de plus en plus d’outils numériques (Wi-Fi public et les applications mobiles, notamment) sont proposés pour optimiser l'expérience des spectateurs et téléspectateurs. Les athlètes, les organisateurs et les spectateurs utilisent également un nombre croissant d'objets connectés dans le cadre des compétitions sportives.

2 - Systèmes d'information des acteurs privés : En dehors des événements sportifs, de nombreux systèmes d'information utilisés par des acteurs privés tels que les transports et les hôtels, peuvent être compromis ou affectés.

L'activité d'une des parties prenantes aux JO peut également être perturbée en raison de la compromission d'un prestataire ou d’un fournisseur indirect. Ces attaques, appelées attaques via la chaîne d'approvisionnement, soulignent l'importance de contrôler son propre réseau informatique ainsi que ses liens avec d'autres systèmes.

2 - Des techniques adaptées en fonction des cibles

En fonction des objectifs et des cibles vus précédemment, les techniques employées par les cyber-attaquants seront différentes.

Escroqueries ciblant les particuliers et les spectateurs 

1 - Hameçonnage via courriels : On l’a vu par le passé récent : les grands évènements sportifs, tels que les Jeux olympiques, donnent souvent lieu à des campagnes d'envoi de courriels indésirables, visant à vendre des billets contrefaits, par exemple. Ce devrait également être le cas en 2024. Le hameçonnage reste l'un des vecteurs privilégiés des attaquants qui imitent marques, logos ou slogans pour convaincre les victimes de cliquer sur des liens ou des fichiers malveillants. Des actions désormais facilitées par l’utilisation de l’IA générative par les attaquants.

2 - Faux sites de billetterie : Par le passé, des attaquants ont créé de faux sites de billetterie lors de leur ouverture officielle. Ces sites trompeurs collectent des données personnelles et bancaires des utilisateurs. L'ouverture progressive de la billetterie des Jeux olympiques et paralympiques de Paris 2024 depuis décembre 2022 devrait constituer une opportunité pour les cybercriminels.

3 - Création de faux sites et applications : Autre angle d’attaques : la mise en place de sites Web ou d'applications frauduleux pour collecter des gains, vendre des produits contrefaits ou récupérer des données personnelles sur les spectateurs et les athlètes (cartes de crédit, pass d’accès aux stades, réservations d’hôtels, par exemple). Des sites officiels peuvent également être l’objet de compromissions pour rediriger les internautes vers des domaines créés par les cyber-attaquants. Une technique déjà utilisée lors de la Coupe du monde de football en 2022.

4 - Autres exploitations d’attaques potentielles : Vulnérabilités associées aux distributeurs automatiques de billets pour extraire des billets, ou bien piéger physiquement leurs utilisateurs afin de récupérer les identifiants de cartes bancaires. Des méthodes similaires à celles dont pourraient être l’objet les systèmes de paiement électronique dans les commerces, et dans une certaine mesure, les sites de e-commerce.

Ces attaques n'ont pas d'impact direct sur les SI de ce type d’événements d’envergure internationale. Il n’en reste pas moins qu’elles peuvent impacter la réputation du pays hôte et des différentes parties prenantes à l’organisation des JO.

Attaques ciblant les SI :

1 - Sabotage informatique direct : Le sabotage informatique, logiciel ou matériel, peut entraîner la perte de données, des interruptions de service et des coûts de réparation considérables. Des attaques peuvent être menées pour compromettre des systèmes d'information et divulguer tout ou partie de contenus sensibles. Des puissances étrangères pourraient utiliser ces tactiques pour discréditer la France et réduire les retombées économiques positives issues des Jeux Olympiques 2024, notamment en guise de représailles au vu du contexte géopolitique tendu entre la France et la Russie, notamment.

Exemple concret : une cyber-attaque lors des Jeux Olympiques d'hiver 2018 à Pyeongchang a perturbé la cérémonie d'ouverture, le site Internet, la billetterie, la connexion Wi-Fi et la vidéosurveillance. D’où la nécessité de protéger les systèmes d'information pendant, mais aussi en amont de l’événement.

2 - Attaques indirectes via chaînes d’approvisionnement : Les JOP impliqueront de nombreuses entités dont les systèmes d'information sont parfois interconnectés, et dont la chaîne d’approvisionnement peut ainsi être exposée à des attaques. Ce type d'attaque consiste à compromettre une partie prenante indirecte (fournisseur de services logiciels, par exemple), pour viser une cible finale, récupérer ses données, cibler son SI et déstabiliser le service associé.

3 - Tentatives d’extorsion via rançongiciels : L’utilisation croissante de rançongiciels avec extorsion de fonds pour finalité n’épargnera pas les JO. Ce type d’attaques a augmenté de 30% en France en 2023 par rapport à 2022, selon le dernier rapport de l’ANSSI.

4 - Attaques DdoS : Les JOP de Paris 2024 devraient être la cible d'attaques par déni de service ou de chantages au déni de service distribué (DDoS). Ce type d'attaque vise à rendre indisponibles sites et services numériques pour exercer une pression à des fins de rançons. Les cibles potentielles pourraient inclure les sites officiels de la compétition, les sponsors ainsi que les sites hôtes de l’événement (ville, régions, départements, etc). Ces attaques visent à maximiser les chances de collecter une rançon tout en affectant la réputation et la continuité de l'activité.

5 - Monétisation de données personnelles : Les données à caractère personnel des participants aux JO seront la cible de cybercriminels motivés par des gains financiers. L'accumulation de données personnelles, qu’elles soient en libre accès ou non, permet aujourd'hui aux groupes d'attaquants de les monnayer.

Ainsi, en juillet 2021, les données de spectateurs et de bénévoles des Jeux olympiques de 2020 ont été mis en vente sur un forum cybercriminel suite à un incident touchant le Comité olympique japonais. Selon ce dernier, la fuite de données provenait d'individus ayant laissé leurs informations sur des sites d'hameçonnage, et n’était pas le fruit d'une intrusion malveillante.

6 – Au-delà des infrastructures olympiques, d’autres acteurs devraient être également la cible des cybercriminels. Par exemple : les services Wi-Fi. Leur compromission représente pour les attaquants l’occasion de capturer des informations personnelles (identité, adresse, données bancaires…), qu’ils soient situés dans les lieux d'hébergement (hôtels) ou à proximité des stades. Les JOP, avec leurs millions de visiteurs attendus, représentent une opportunité considérable pour ces acteurs malveillants.

7 - Autres cibles potentielles : les réseaux sociaux. Leur compromission et la publication de messages frauduleux peut affecter l'image des entités ciblées et la confidentialité des données des utilisateurs. En février 2020, les comptes officiels du Comité International Olympique (CIO) et de plusieurs organisations sportives sur Twitter (désormais X) ont été compromis. Ces attaques mettent en évidence la vulnérabilité des comptes des institutions sportives aux conséquences médiatiques et réputationnelles notables.

Les approches traditionnelles inadaptées à l’envergure mondiale des JO

La démarche traditionnelle de défense, comparable à celle d’un château fort et utilisée depuis les débuts de l'informatique, repose sur des outils classiques. On érige des remparts autour de son réseau sur lesquels on installe des pare-feu configurés pour contrer les attaques extérieures. Cependant, avec la migration vers le cloud et l’avènement du travail hybride, cette approche présente une faiblesse majeure : les applications et les utilisateurs se trouvent en dehors de ces remparts, que ce soit sur des plateformes type Azure, GCP, Salesforce ou Zendesk, ou simplement en dehors du réseau. Ainsi, cette approche vole en éclats face à une réalité où les menaces peuvent surgir à tout moment.

Appliquer ces méthodes traditionnelles périmétriques, même en les virtualisant, ne suffit plus. Les applications et les utilisateurs étant omniprésents, une protection efficace doit être déployée partout, au plus près des utilisateurs et des éventuels attaquants. Comme nous l’avons vu, les JO, en raison de leur envergure mondiale, de la multiplicité des systèmes d’information en jeu, du nombre considérable d’applications et sites web qui seront déployés et de leurs multiples utilisateurs, constituent un cas d’école particulièrement crucial en matière de cyberdéfense.

L’approche Zero Trust, un préalable indispensable

Dans ce contexte, l’approche Zero Trust permet d’appréhender la sécurité en partant du principe que les menaces sont déjà présentes au sein de l’organisation. Concrètement, elle repose sur l’idée que la confiance ne doit jamais être accordée aveuglément, à l’intérieur comme à l’extérieur des périmètres organisationnels, que ce soit à l’égard des utilisateurs, des appareils ou des applications.

Elle s’appuie sur trois principes majeurs :

1 - Vérification continue : chaque demande d’accès est traitée comme si elle provenait d’une source non fiable, nécessitant une vérification rigoureuse avant d’être approuvée. Cette approche rompt avec les paradigmes traditionnels de sécurité qui se basent sur des périmètres définis.

2 - Protection renforcée : en mettant l’accent sur la vérification continue des utilisateurs et des accès, l’approche Zero Trust offre une réponse robuste aux menaces modernes. Il redéfinit ainsi les normes de la cybersécurité.

3 - Principe de moindre privilège (PMP) : l’approche Zero Trust limite l’accès par défaut aux applications, sites internet et données seulement à ce qui est nécessaire. Ainsi, seuls les utilisateurs et dispositifs authentifiés et autorisés peuvent accéder aux ressources de l’entreprise.

Cloudflare a la capacité de proposer toutes ces solutions au travers d’une plateforme intégrée. Grâce à son réseau mondial étendu qui couvre 95% des internautes, sa technologie permet de se protéger pro-activement quasiment partout dans le monde contre toute une typologie d'attaques (attaques DDOS, attaques volumétriques sur les niveaux applicatifs, sur les niveaux de couche réseau, tentatives d'exploitation de failles applicatives, notamment.). Enfin, elle permet de contrer des attaques en temps réel à l’inverse de la sécurité traditionnelle qui nécessite de configurer et réajuster en permanence les défenses, en fonction des nouvelles vulnérabilités.Trois recommandations de défense :

A l’approche des JO, il est encore temps d’ajuster sa stratégie de défense face aux cyber-menaces, selon trois axes principaux :

1 - Assurer la disponibilité de son infrastructure. Sécuriser son infrastructure implique de la rendre disponible tout le temps. Facile en mettre en œuvre, une protection DDoS réduit le risque d’immobilisation du SI. Une protection contre les bots réduit le risque de pénuries (attaques d'inventaire), est également simple à mettre en place. Surtout, au regard du coût potentiel de l’attaque, son prix est dérisoire. Elle est certes complexe car elle nécessite une protection applicative, type WAF, pour se protéger contre les vulnérabilités web.

2 – Contenir l’intégrité et la confidentialité des données. 80% des attaques proviennent d'un mail de phishing. Il est simple mais crucial de sensibiliser ses équipes aux bonnes pratiques. Par exemple, bannir les mots de passage écrits sur des post-it, mettre en place des écrans de veille après plusieurs minutes d'inactivité, ne pas communiquer de mot de passe, rendre obligatoire les filtres écran pour les personnes exposées aux voyages et aux lieux publics.

Il est simple de mettre en place une protection anti-phishing et malware. Autre outillage de défense : une solution de filtrage DNS et Web, éventuellement couplée à un EDR pour le monitoring local des postes et serveurs.

Une stratégie d’isolation, de zero-trust pour éviter les mouvements latéraux (propagation de l’infection) est plus complexe mais peut encore s'envisager pour les JOP. Eviter l'exfiltration de données avec du DLP (Data Loss Prevention) nécessite en général de classifier ses données, ce qui prend un temps non négligeable.

3 - Protection des personnes : elle est plus complexe à mettre en place dans le cas des JO car personne ne maîtrise l'agenda des visiteurs ni leur appétence pour la sécurité. Néanmoins, il est possible d’inciter les visiteurs à prêter attention aux appels inconnus (l'application Orange Téléphone est très pratique pour filtrer les spams vocaux). D'une manière générale, rappeler que tout ce qui paraît trop beau pour être vrai doit être questionné (pas d’argent gratuit, SMS de Netflix, Vouchers gratuits, SMS de ses proches qui ont subitement perdu leur téléphone, etc.).

Face à la dimension mondiale des JO et à la diversité des menaces, une approche Zero Trust, appuyée par des solutions du même type que celles proposées Cloudflare, semblent indispensables pour exercer une défense efficace. Et conserver ainsi son titre de maître du château.