Jeux Olympiques : une « saine paranoïa » pour l’Anssi

L’Équipe a publié, le 11 juillet 2023, un long entretien avec Vincent Strubel, directeur général de l’Anssi, sur la cybersécurité des Jeux Olympiques de Paris 2024. Il y défend une attitude de « saine paranoïa » face aux inévitables menaces.

La Première ministre Élisabeth Borne a officiellement confié la cybersécurité des JO à l’Anssi en juillet 2022. L’agence y travaille en collaboration avec le ministère de l’Intérieur, Paris 2024, la Société de livraison des ouvrages olympiques (Solideo) et la Ville de Paris.

« Il y a eu pas mal de travail peu visible au départ car les Jeux et le monde du sport ne sont pas un objet familier pour l’Anssi. On a mis six mois pour faire une cartographie complète, identifier tous les acteurs, définir ce qui était prioritaire et les logiques pour travailler avec les uns et les autres », indique Vincent Strubel.

Début 2023, Paris 2024 a alloué les budgets dédiés à la cybersécurité des JO, pour un total d’un peu plus de 10 millions d’euros. L’Anssi a alors commencé à auditer les sites et les entreprises qui participeront à l’événement.

L’agence a plus récemment lancé les premiers exercices d’entraînement, simulant des attaques de grande ampleur tout au long des JO, pour voir comment les équipes pouvaient tenir le rythme. L’Anssi va également fournir des kits d’entraînement aux différentes parties prenantes, pour les préparer aux différentes cybermenaces. En tout, un tiers des agents de l’Anssi vont se consacrer aux JO d’ici leur tenue.

Vincent Strubel détaille par ailleurs les trois genres de cybermenaces pesant sur un événement comme les JO. Les cyberattaques peuvent d’abord viser le déroulement de la compétition, pour influer sur les résultats : piratage des SI liés à une épreuve ou trucage de tests anti-dopage par exemple.

Le deuxième niveau de menace porte sur la « symbolique de l’événement », dans le but de « nuire à l’image de la France, protester contre quelque chose étatique ou pas ». Il pourrait s’agir de perturbation de la cérémonie d’ouverture ou du parcours de la flamme olympique, ou d’attaques DDoS contre les transports ou la billetterie.

Le dernier risque cyber est le crime organisé, en particulier les attaques par rançongiciel. Vincent Strubel rappelle que, depuis trois ans, les groupes de ransomware sont passé à une logique de « pêche au chalut » : « ils ratissent au plus large et attrapent dans leur filet des entreprises, des collectivités, des PME, des administrations, des établissements de santé… »