Cours ITU Academy et RealTyme : Session 1 — Risques liés à l'héritage et à la messagerie

Résumé : La session 1 du cours RealTyme et ITU Academy a mis en lumière les vulnérabilités critiques des infrastructures mobiles traditionnelles et des applications de messagerie grand public encore utilisées par de nombreux gouvernements. Qu'il s'agisse de failles au niveau des protocoles ou de menaces liées à l'IA, la session a expliqué pourquoi les systèmes de communication souverains et axés sur les politiques sont désormais essentiels. Ce blog présente les points forts et les prochaines étapes.

Dans le monde entier, les communications gouvernementales sont compromises en silence, non seulement par les attaquants, mais aussi par les systèmes mêmes sur lesquels ils s'appuient.

Session 1 du cours RealTyme et ITU a réuni les parties prenantes gouvernementales pour faire face à une dure réalité : les systèmes de communication mobile sur lesquels de nombreuses institutions s'appuient aujourd'hui sont fondamentalement peu sûrs. Alors que les acteurs étatiques et les groupes cybercriminels deviennent de plus en plus sophistiqués, le besoin de systèmes de communication souverains et axés sur les politiques n'a jamais été aussi urgent.

Livré en collaboration avec le Union internationale des télécommunications (UIT), cette première session a jeté les bases d'un voyage en plusieurs étapes : analyse des failles structurelles de l'infrastructure des réseaux mobiles, des risques systémiques liés à l'utilisation d'outils grand public à des fins officielles et de l'évolution rapide du paysage des menaces façonné par l'intelligence artificielle.

Les gouvernements s'appuient toujours sur une infrastructure mobile fragile

Thème principal : les vulnérabilités des réseaux mobiles traditionnels

Le cours a débuté par une analyse de réseaux mobiles GSM et 3G existants, toujours utilisé dans de nombreux environnements gouvernementaux et de services publics. Bien que leur omniprésence et leur simplicité en aient fait un choix par défaut depuis des décennies, la session a démontré à quel point ces réseaux sont truffé de vulnérabilités structurelles:

Parmi les problèmes les plus critiques mis en évidence :

- Les réseaux GSM n'authentifient pas les stations de base, permettant aux attaquants de configurer facilement des tours de téléphonie mobile malveillantes et de capturer tout le trafic des appareils, y compris les appels, les SMS et les données de localisation.

- Le chiffrement est faible ou totalement absent dans les modes de repli tels que la 2G. Même sur les réseaux 3G ou LTE, les attaques de rétrogradation forcée peuvent placer les appareils dans des états vulnérables.

- Défauts au niveau du protocole, tels que les messages de contrôle non chiffrés, permettent le suivi, l'usurpation d'identité et les attaques de type « man-in-the-middle ».

- Les métadonnées (qui communique avec qui, quand et depuis où) sont exposées et peuvent être récoltés passivement.

Ces vulnérabilités ne sont pas hypothétiques. Les participants ont été initiés à scénarios du monde réel dans lequel les adversaires peuvent intercepter, manipuler ou usurper des communications en exploitant ces systèmes existants, y compris des démonstrations de fausses stations de base et attaques de rétrogradation du réseau.

La recommandation était sans équivoque :

« Désactivez la 2G et les solutions de secours traditionnelles pour toute communication approuvée par le gouvernement. Ils ne sont pas récupérables. »

Les gouvernements qui continuent de dépendre de la téléphonie mobile et des SMS, même à l'aide de VPN ou d'appareils sécurisés, ne font que s'appuyer sur des fondations brisées.

Applications de messagerie destinées aux consommateurs : pratiques, populaires et dangereuses

Repenser le rôle des applications de messagerie destinées aux consommateurs

La session est ensuite passée à l'utilisation abusive systémique de applications de messagerie destinées aux consommateurs comme WhatsApp, Signal (y compris les clones modifiés), Telegram et d'autres pour les communications internes et transfrontalières sensibles.

Bien qu'elles proposent le cryptage sur papier, ces plateformes sont totalement incompatibles avec les besoins de communication souverains :

- Modèles d'identité basés sur les numéros de téléphone rendent impossible la distinction entre usage personnel et usage professionnel, ce qui accroît le risque d'usurpation d'identité et d'ingénierie sociale.

- Lacunes de chiffrement dans les sauvegardes, les médias et les communications de groupe sont courantes et souvent mal comprises.

- Absence de gouvernance centralisée empêche les institutions d'appliquer le contrôle d'accès, les politiques de conservation des données ou même de révoquer l'accès en cas de perte d'un appareil.

- Infrastructure basée sur le cloud contrôlé par des entités étrangères présente des risques en matière de souveraineté et de conformité qui ne peuvent être atténués par les seuls paramètres.

Un point essentiel a été soulevé au cours de la session :

La sécurité n'est pas qu'une question de chiffrement, c'est aussi une question de contrôle. Si un gouvernement n'est pas en mesure de contrôler totalement qui accède à ses données de communication, les gère ou les vérifie, cela signifie qu'il n'est pas sécurisé.

Les participants ont également reçu des études de cas mettant en garde, telles que :

- Les Télémessage Violation du clone de signal, où des forks de signaux mal configurés ou réutilisés utilisés par les gouvernements ont été exploités, ce qui a entraîné des fuites de données massives.

- Instances de Liens de groupe WhatsApp partagés publiquement qui a permis à des participants involontaires, notamment des journalistes et des acteurs étrangers, de surveiller les communications sensibles.

- Litiges juridiques dans lesquels les conversations hébergées dans le cloud ont été citées à comparaître provenant de fournisseurs tiers, révélant l'erreur des chats « privés ».

Les plats à emporter ? Les applications de messagerie destinées aux consommateurs, aussi chiffrées soient-elles, n'ont jamais été conçues pour répondre aux exigences opérationnelles et géopolitiques des institutions souveraines.

L'IA intensifie l'environnement de menaces

Un segment prospectif du cours a exploré comment L'IA transforme les capacités des attaquants, des opérateurs isolés aux acteurs nationaux.

Parmi les menaces émergentes abordées :

- Usurpations d'identité Deepfake de dirigeants politiques et de responsables militaires, capables de diffuser de la désinformation ou de donner de faux ordres.

- Hameçonnage et ingénierie sociale générés par l'IA qui imite les styles d'écriture, les préférences linguistiques et la dynamique interpersonnelle pour cibler les officiels avec des leurres presque parfaits.

- Analyse automatique du trafic et collecte de métadonnées à une échelle bien supérieure aux capacités humaines, grâce à de grands modèles linguistiques et à l'apprentissage automatique.

Dans ce nouvel environnement, les attaquants n'ont plus besoin de violer le contenu des communications. Ils peuvent déduire l'intention, l'emplacement, les délais de prise de décision et les hiérarchies internes simplement à partir de motifs dans le comportement de communication.

Cela nécessite de repenser en profondeur ce qui constitue une communication sécurisée.

« Les gouvernements doivent désormais défendre non seulement le message, mais également les métadonnées, le contexte et les relations qui l'entourent. »

Points à retenir de la session 1 : Un nouveau cadre pour la communication gouvernementale

La session 1 s'est terminée par un ensemble clair de principes visant à aider les gouvernements à moderniser leur infrastructure de communication :

1. Abandonnez l'infrastructure existante

- Services basés sur Sunset GSM et SS7.

- Évitez les modes de repli sur les appareils.

- Auditez les configurations des flottes mobiles pour réduire les vulnérabilités.

2. Éliminez les applications grand public de l'utilisation officielle

- Interdire l'utilisation de WhatsApp, des clones de Signal, de Telegram et d'autres outils similaires à des fins gouvernementales ou institutionnelles.

- Établissez des politiques et des audits pour empêcher les canaux de communication informatiques parallèles.

3. Adoptez des plateformes de communication sécurisées spécialement conçues

Une plateforme de communication moderne et souveraine doit offrir :

• Chiffrement de bout en bout avec préparation post-quantique

• Vérification mutuelle de l'identité sans se fier aux numéros de téléphone

• Contrôle d'accès et auditabilité granulaires

• Protection des métadonnées et obfuscation du trafic

• Hébergement de l'infrastructure souveraine et alignement de la conformité

Ces capacités ne sont pas « agréables à avoir ». Ils sont essentiels pour tout gouvernement qui souhaite protéger la confidentialité, l'intégrité et l'avantage stratégique de ses communications internes.

Lacunes en matière de gouvernance : la sécurité est institutionnelle

Alors que les vulnérabilités techniques ont dominé la majeure partie de la session 1, un autre niveau de risque est devenu de plus en plus évident : l'absence de gouvernance institutionnelle autour des outils de communication.

Les gouvernements sont souvent contraints d'opérer dans des environnements numériques complexes et fragmentés, où les employés, les départements, voire des ministères entiers, adoptent des outils par commodité et non par souci de politique. Cette approche « informatique parallèle » crée de dangereux angles morts :

- Aucune politique de communication unifiée entre les agences. De nombreux services utilisent des plateformes différentes avec des postures de sécurité incohérentes.

- Manque de formation et de sensibilisation. Le personnel n'est souvent pas informé des risques liés à l'utilisation d'applications par défaut ou de paramètres par défaut pour les communications sensibles.

- Supervision insuffisante. Sans journaux d'audit centralisés, sans visibilité des métadonnées ou sans contrôles des autorisations, il est impossible de suivre ou d'enquêter efficacement sur les violations.

- Exposition transfrontalière. Lorsque les autorités utilisent des applications hébergées sur des serveurs étrangers, les données sensibles peuvent être soumises à des lois de surveillance étrangères, souvent sans que personne ne s'en rende compte.

Cet échec en matière de gouvernance n'est pas dû à la négligence, mais plutôt à un décalage entre le paysage des menaces d'aujourd'hui et les normes de communication d'hier. Des outils tels que WhatsApp et Signal peuvent être chiffrés, mais le chiffrement à lui seul ne permet pas de sécuriser un système s'il ne peut pas être régi, audité ou fiable sous contrôle souverain.

La souveraineté signifie une supervision centralisée

L'un des principaux points à retenir de cette partie du cours est que la véritable sécurité réside dans le contrôle institutionnel. Cela inclut :

- Définition outils approuvés et en imposant leur utilisation par le biais de politiques.

- Etablir visibilité de la chaîne de commandement sur la façon dont les informations sensibles circulent entre les équipes.

- Construire des systèmes respectueux souveraineté juridictionnelle tout en préservant l'agilité opérationnelle.

Sans ces garde-fous, même les applications les plus cryptées peuvent devenir des risques, et non des protections.

Perspectives d'avenir

À la fin de la session 1, les menaces liées à l'IA pesant sur les communications gouvernementales avaient été traitées.

Nous avions l'habitude de considérer les cybermenaces comme des problèmes techniques : pare-feux, malwares, liens malveillants. L'IA ne se contente pas de dimensionner les attaques, elle les personnalise.

Au cours de la session, nous décrivons une approche à plusieurs niveaux pour comprendre comment les outils d'IA peuvent être utilisés à mauvais escient dans le cadre de cyberattaques de plus en plus sophistiquées. Chaque couche s'appuie sur la précédente pour créer un paysage de menaces complexe et dangereux.

- Couche 1 : identité et voix Deepfake Cette couche met en évidence l'utilisation abusive de l'IA pour créer de fausses identités et voix très réalistes. La technologie Deepfake permet aux attaquants de se faire passer pour des individus de manière convaincante, ce qui se traduit par des attaques de phishing et d'ingénierie sociale plus efficaces.

- Niveau 2 : ingénierie sociale automatisée par hameçonnage par l'IA En s'appuyant sur les fausses identités, cette couche montre comment l'IA peut automatiser et personnaliser les attaques de phishing. Les outils d'IA peuvent analyser les profils de réseaux sociaux et d'autres données pour élaborer des messages hautement ciblés et crédibles, augmentant ainsi les chances de succès.

- Couche 3 : exposition des données via des assistants IA Cette couche représente les risques associés à l'utilisation croissante des assistants IA. Ces assistants peuvent exposer par inadvertance des données sensibles s'ils ne sont pas correctement sécurisés, fournissant ainsi aux attaquants des informations précieuses.

- Couche 4 : modèles de reconnaissance alimentés par l'IA Les outils d'IA peuvent être utilisés pour détecter les vulnérabilités et identifier des modèles dans les systèmes cibles. Cette couche représente la manière dont l'IA peut automatiser et accélérer la phase de reconnaissance d'une attaque, permettant ainsi aux attaquants de trouver et d'exploiter rapidement les faiblesses.

- Niveau 5 : Influence ciblée et désinformation La couche la plus externe représente l'utilisation de l'IA pour diffuser de la désinformation et manipuler l'opinion publique. Les robots alimentés par l'IA peuvent créer et diffuser de fausses informations et de la propagande, influençant ainsi les individus et les organisations.

« En tant que directeur du cours, je vous invite à réévaluer le cœur même de nos modèles de cybersécurité. L' « oignon » familier de la défense cache désormais de nouvelles couches insidieuses, chacune alimentée par une application malveillante de l'IA : de la tromperie synthétique de deepfakes et la ruse de hameçonnage automatique par IA, à la traîtrise discrète de exposition des données via des assistants IA, la prévision précise de Reconnaissance alimentée par l'IA, et l'ombre omniprésente de influence ciblée et désinformation. Comprendre ces couches intelligentes et évolutives est essentiel pour sécuriser notre avenir numérique. » - déclare Francois Rodriguez, directeur de cours.

La prochaine session 2 du cours RealTyme—ITU Academy abordera les défis liés à la propriété des données : souveraineté des données, IA et risques de conformité. Pour demander un briefing privé ou participer à nos futures sessions de formation et de cours pour une communication sécurisée, tendre la main à notre équipe.

Restez à l'affût !