Avec le vol de ses clés de cryptage, Gemalto est touché au cœur de son métier

Olivier Piou, le patron de Gemalto, doit être dans l’embarras. Et pour cause, son entreprise, dont il veut faire le leader mondial de la sécurité numérique, serait frappée en son coeur par une cyberattaque de la part de la NSA, l’agence nationale américaine de sécurité, et son homologue britannique, le GCHQ. L’information est révélée par le site d’information américain Intercept sur la base des documents qui lui ont été fournis par le lanceur d’alertes Edward Snowden.

À ce stade, Gemalto ne confirme pas l’attaque mais prend très au sérieux ces révélations et lance une enquête interne. Selon les informations publiées par Intercept, les agents d’espionnage britanniques ont réussi, avec l’aide de la NSA, à pénétrer dans le saint des saints de l’entreprise : le coffre-fort de sécurité qui protège les clés de cryptage des cartes SIM de mobiles. Avec ces clés, ils peuvent déchiffrer et écouter les communications qu’ils interceptent sans passer par les opérateurs télécoms ni demander des autorisations administratives, procédures souvent complexes, longues et aléatoires.

Le choix de Gemalto comme cible n’étonne pas Didier Hallépée, vice-président d’Eestel, l’association des experts européens en systèmes de transactions électroniques : "Plus on concentre de pouvoirs, plus on est exposé aux cyberattaques." Formé par fusion, en 2005, entre Gemplus et Axalto (l’activité carte à puce de Schlumberger), Gemalto est le leader mondial de la carte à puce avec plus de 1,5 milliard de cartes SIM sur un parc total de près de 7 milliards dans le monde. Une force qui en fait une cible de choix pour les agences d’espionnage électronique, comme la NSA.

Gemalto ne serait pas le seul

Est-il la seule victime dans son secteur ? "J’en doute, répond Didier Hallépée. Il y a des chances que d’autres acteurs soient également touchés. C’est particulièrement vrai pour Morpho, filiale de Safran, un groupe présent aussi dans l’aéronautique et la défense, des secteurs sensibles qui intéressent beaucoup l’espionnage américain." Selon le cabinet ABI Research, les quatre principaux acteurs européens, les français Gemplus, Oberthur Technologies et Morpho, et l’allemand Giesecke & Devrient, s’arrogent 75% du marché mondial des cartes SIM (estimé en 2014 à 5,2 milliards de pièces vendues).

Le problème c’est que Gemalto se vante d’être le spécialiste de la sécurité numérique à l’heure des mobiles, du cloud computing ou encore du Big Data. Comment peut-il prétendre aider les opérateurs télécoms et les entreprises à sécuriser leurs données s’il ne parvient pas à protéger son propre coffre-fort de sécurité ? "Un bouclier, aussi performant soit-il, peut protéger contre des pirates quelconques, mais pas contre des agences gouvernementales de cyberespionnage, qui ont toujours les moyens de le casser", explique Didier Hallépéé.

Cet incident tombe mal pour Olivier Piou. L'ingénieur de 57 ans dirige Gemalto depuis 2006 et a fait de la sécurisation forte des données l’un des piliers de sa croissance dans le cadre de son plan stratégique lancé en 2013. Objectif : atteindre un chiffre d’affaires de 1 milliard d’euros en 2017 dans les plates-formes de services qui incluent la sécurité, contre 400 millions d’euros en 2013. Pour se renforcer dans ce domaine, il a même racheté en août 2014 SafeNet pour 890 millions de dollars. Cette société américaine est justement l’un des rares spécialistes au monde des coffres-forts de sécurité numérique.

Impossible de se protéger des cyberattaques étatiques

Les cyberattaques étatiques contre les entreprises deviennent monnaie courante... mais elles restent généralement cachées. La dernière rendue publique concerne Sony Pictures, la société de cinéma de Sony aux États-Unis. Les services de la Corée du Nord sont soupçonnés d’être derrière cette attaque qui pourrait coûter au groupe japonais quelques 200 millions de dollars. "Mais dans le cas de Gemalto, note Didier Hallépée, il n’y a a priori pas de préjudice financier à part les frais à engager pour supprimer les failles de sécurité exploitées par les agents britanniques. Le vol vise juste à écouter les conversations téléphoniques des détenteurs de mobiles."

Peut-être. Il n’empêche que l’image de Gemalto comme spécialiste de la sécurité numérique en prend un sacré coup, comme le démontre la chute du cours de son action de 8%, le 20 février 2015, lendemain de la sortie de l’information dans les médias.

Ridha Loukil

Sélectionné pour vous

Le logiciel de transfert de fichiers sécurisé MOVEit touché par une faille de sécurité

L'ancienne plaque tournante des fuites de données victime à son tour d'un leak

8000 passeports publiés en ligne après une cyberattaque contre Voyageurs du monde