Frustrées par leur incapacité à arrêter les attaques sophistiquées ou de ne pas pouvoir s’appuyer sur une loi pour punir leurs attaquants, des sociétés américaines prennent des mesures de rétorsion.
Jusqu’ici, les entreprises victimes d’une attaque informatique se contentaient de réparer les dommages et de colmater leurs failles de sécurité. Désormais, certaines d’entre elles vont plus loin aux États-Unis, en mandatant des sociétés de sécurité pour riposter.
« Non seulement nous éteignons l’incendie, mais nous cherchons aussi le pyromane », résume Shawn Henry, un ancien du FBI recruté par l’entreprise de sécurité CrowdStrike. La société invite ses clients à des « défenses actives » beaucoup plus musclées, sans endommager cependant les systèmes des cybercriminels.
Une fois que la société détecte la violation d’un réseau par un intrus, plutôt que de l’expulser immédiatement, elle peut se livrer à une forme de jeu du chat et la souris en faisant perdre leur temps et leurs ressources aux hackers. Les sociétés de sécurité peuvent aussi créer des appâts pour mieux cerner l’identité de l’assaillant.
Elles justifient leur acte sur la multiplication des attaques à l’aide de logiciels malveillants facilement accessibles sur le net et par le vide juridique existant dans le domaine. « C’est à la mode dans les communautés de hacking mais pas novateur », commente Frédéric Bourla, expert en sécurité chez High-Tech Bridge. « Mais la question de la limite entre une défense active et une mesure de rétorsion se pose. C’est comme dans les sports de combat, la base est d’adopter une défense proportionnelle à l’attaque adverse », conclut-il.