La Genève internationale : elle aussi exposée à la cybercriminalité 

Genève internationale comprend 38 organisations internationales et 432 organisations non gouvernementales (ONG) auxquelles s’ajoutent plusieurs centaines d’associations actives au plan international ainsi que de nombreuses fondations. Les ONG interviennent en cas de conflit armé, de catastrophe naturelle et de crise humanitaire, défendent les droits de l’homme et contribuent à la réalisation des objectifs du développement durable (ODD).

Elles n’ont pas échappé à la transformation digitale, à la fois pour communiquer avec leurs représentants sur le terrain, et les bénéficiaires de leur assistance, échanger avec leurs donateurs, collecter des informations, et exécuter leurs missions. Comme les autres organisations, entreprises, communes, acteurs publics, elles sont vulnérables et doivent se protéger des cyberattaques, ciblées ou non, des dysfonctionnements matériels, logiciels et humains, des fraudes ou encore de la désinformation.

En plus de leur exposition aux risques sur les terrains de conflits, les ONG et organisations sont en effet ciblées par tous les types d’acteurs malveillants – groupes criminels, acteurs étatiques, groupes terroristes ou hacktivistes, motivés par l’appât du gain, le vol de données et/ou la destruction des systèmes.

Les cyberattaquants n’ont aucun scrupule à attaquer les ONG ou les hôpitaux, du moment qu’ils peuvent y trouver un moyen d’extorquer une rançon, ou y voler des données à revendre.

Les États peuvent aussi avoir un intérêt à les museler ou à les empêcher d’agir.

Par exemple, Heidi Kühn, fondatrice de Roots of Peace, une ONG basée aux Etats Unis, a appris que son service financier avait transféré plus d’un million de dollars sur un compte bancaire inconnu : des cybercriminels s’étaient infiltrés dans les comptes de messagerie de l’entreprise par le biais du spear phishing et ont usurpé l’identité de Heidi pour donner l’instruction à l’équipe financière d’envoyer des fonds à l’étranger. 

Ici à Genève, une ONG qui fournit des services à d’autres associations locales et internationales a été confrontée à une attaque de ransomware, qui a entraîné la perte de plus d’une semaine de données opérationnelles. L’ONG n’avait pas de sauvegarde. La reconstruction complète de son système d’information a nécessité beaucoup d’énergie et de temps pour revenir à une situation normale.

La croissance des risques numériques pour ce type d’organisations a logiquement donné naissance à des …ONG expertes en cybersécurité, dont la vocation est de protéger les ONG et organisations internationales !

Le CyberPeace Institute a été créé en 2019, à Genève, pour cartographier les cyberrisques, sécuriser les opérations des ONG, réaliser des diagnostics, alerter sur les menaces, et sensibiliser les donateurs et décideurs publics et privés, à travers le Humanitarian Cybersecurity Center (HCC) fondé par le CyberPeace Institute. « Le Centre est une ressource mondiale gratuite pour les ONG et les acteurs humanitaires qui répondent à leurs besoins, pour être en sécurité », résume Stéphane Duguin, directeur général du CyberPeace Institute. Un soutien est également fourni en cas d’attaques (gestion de crise et des incidents).

Un rapport du CyberPeace Institute publié en novembre 2023, avec le soutien de la République et du Canton de Genève, révèle que sept organisations non gouvernementales humanitaires sur dix liées à la Genève internationale cesseraient de fonctionner en cas d’attaque informatique.

Pour répondre à ce défi majeur, le CyberPeace Institute a lancé une initiative, qui a de multiples objectifs :

• Assister les ONG et organisations internationales avec la création d’un réseau d’experts bénévoles du programme CyberPeace Builders, qui participe au renforcement des dispositifs de cybersécurité de ces entités.
• Permettre aux entreprises, qu’elles soient suisses ou internationales, d’exercer leur responsabilité sociale, à travers ce programme, en offrant leurs compétences pour aider les ONG basées à Genève.
• Engager des experts dans les programmes cyber  de ces organisations

Ce programme est gagnant – gagnant – gagnant – gagnant :

• Les ONG ont accès à des ressources gratuites, qui les aident à Genève et sur le terrain.
• Les experts ont une expérience qui leur permet de prendre conscience des problèmes sur le terrain et de la nécessité de mettre en place des solutions simples, pragmatiques et peu coûteuses.
• Les employeurs engagent leurs équipes en leur donnant l’opportunité de servir des causes humanitaires et en donnant du sens à leurs actions dans le domaine de la cybersécurité.
• Le CyberPeace Institute a créé un écosystème qui bénéficie à l’ensemble des parties prenantes.

Et les retombées positives ne manquent pas. Logitech, société suisse axée sur l’innovation et la qualité active dans de nombreux pays, a choisi de soutenir ce programme innovant. C’est à la fois sa façon de montrer l’importance qu’elle attache à la cybersécurité – y compris à la sécurité de ses produits – mais aussi de démontrer son attachement aux valeurs portées par les ONG et organisations de la Genève internationale. En tant qu’entreprise partenaire de ce programme, Logitech, dont la mission est d’étendre le potentiel humain dans le travail et le jeu, affirme : « Nos équipes de cybersécurité sont extrêmement honorées de contribuer à cette cause. Cela leur permet de réaliser l’inégalité qui existe dans le domaine numérique, d’appliquer leurs expertises dans un contexte humanitaire, et de développer leurs compétences de communication et d’empathie. Nos bénévoles en ressortent grandis ».

Alors que la cybersécurité a un rôle central pour assurer un avenir positif, Logitech est très impliquée dans ce programme : « la paix cyber est essentielle pour aider à résoudre les défis complexes auxquels notre monde est confronté, et pour protéger toutes les personnes ainsi que notre planète ».

Le CyberPeace Institute intervient donc régulièrement avec ses partenaires, et a pu, par exemple, détecter et analyser plus de 30 000 emails malveillants ciblant directement les ONG participant au programme des CyberPeace Builders, grâce à une collaboration avec l’entreprise Cloudflare, qui a permis de renforcer la défense contre les cybermenaces et de protéger les organisations humanitaires engagées dans des missions vitales.

L’année 2023 a été marquée par un engagement soutenu en matière de sensibilisation à la cybersécurité. Le CyberPeace Institute a mené 114 missions de sensibilisation avec 63 ONG, totalisant 228 heures de formation – le tout grâce à la plateforme des CyberPeace Builders. 

Un milliard de personnes dépendent aujourd’hui d’institutions humanitaires et pourraient donc être concernées par les conséquences de cyberattaques. En 2022, le Comité Internationale de la Croix Rouge (CICR) a par exemple été victime d’une vaste cyberattaque, menaçant les données de plus de 500 000 personnes dites vulnérables.

Cette réalité nécessite une réponse coordonnée de l’État avec la société civile et les acteurs privés suisses pour s’assurer que la tradition humanitaire helvétique se poursuive également dans le cyberespace – cela doit passer par un financement dédié à cette thématique.