Cybersécurité et élections : comment protéger la démocratie ?

Près de la moitié de la population mondiale, environ 4 milliards de personnes, se rendront aux urnes en 2024. Les élections dans l'Union européenne (UE) et aux États-Unis occupent le devant de la scène, mais des pays comme le Royaume-Uni, le Portugal, la Russie, l'Inde et la Belgique organisent également des élections nationales ou régionales.

La technologie et la politique allant de pair, il est naturel que les experts en cybersécurité aient beaucoup de choses à dire cette année. Quel est le risque de cyber interference lors des élections dans chacun de ces pays ? Que peut-on faire pour prévenir de telles menaces ? Voyons ce qui est réellement en jeu.

La cyber interference électorale : un risque réel ?

Les cyberactivités visant les élections se sont multipliées dans le monde entier au cours de la dernière décennie. Le tableau ci-dessous, qui fait partie du rapport sur la cybersécurité et la résilience des élections de l'Agence européenne pour la cybersécurité (ENISA), présente quelques exemples récents d'élections affectées par des cyberattaques :

Quels sont donc les véritables enjeux des prochaines élections ? En théorie, les cyberattaquants, qu'ils soient motivés par des considérations politiques ou financières, peuvent aller de l'altération des activités quotidiennes ou des infrastructures des campagnes politiques à l'interférence avec les bases de données d'inscription des électeurs, voire avec les votes eux-mêmes (s'ils sont soumis par voie électronique).

Selon une étude récente, les dix pays les plus exposés au risque de cyber interference électorale sont les États-Unis, le Royaume-Uni, la Corée du Sud, l'Inde, la Belgique, le Pakistan, le Belarus, le Mexique, la Géorgie et l'Indonésie. Dans l'ensemble, 31 % des pays examinés sont confrontés à des menaces élevées de cyber interference. En outre, 27 % d'entre eux sont confrontés à des groupes d'adversaires liés à des pays auteurs de cyber interferences, y compris la Russie, la Chine, l'Iran et la Corée du Nord.

La bonne nouvelle est que les autorités chargées de la cybersécurité sont plus préparées que jamais à faire face à ces menaces et à les neutraliser à l'avance. En fait, les autorités américaines chargées de protéger les élections de cette année affirment qu'elles « seront les élections les plus sûres à ce jour » - ce sont les mots du général Paul Nakasone, chef de l'Agence nationale de sécurité (NSA).

Dans l'UE, comme le montre le Compendium on Elections Cybersecurity and Resilience, l'ENISA et d'autres groupes de travail sur la cybersécurité apportent également leur contribution.

Quelles sont les cyberattaques qui pourraient émerger ?

Selon Raphaël Cossec, expert en cybersécurité chez Alter Solutions, « les infrastructures électorales politiques seront confrontées aux menaces de cybersécurité habituelles auxquelles sont confrontées toutes les infrastructures informatiques, telles que les attaques par déni de service (DoS), les menaces internes, le social engineering, le phishing, entre autres, pour faire fuir des données, propager des ransomwares ou défigurer des sites web ».

Toutefois, il prévoit que « l'objectif des attaques sera quelque peu différent, puisqu'il s'agira de nuire à la confiance accordée à un candidat ou à la confiance dans l'infrastructure de vote elle-même, ce qui est d'autant plus probable avec la croissance du vote à distance. Cela pourrait conduire à un désintérêt croissant pour la politique, favorisant généralement certains partis plus que d'autres ».

Outre les menaces les plus courantes déjà mentionnées, Raphaël signale quelques autres menaces fondées sur des techniques d'intelligence artificielle (IA), qui peuvent être utilisées pour fausser les élections :

• Deepfakes
  L'utilisation de « deepfakes » pourrait compromettre la confiance dans un candidat, en lui faisant dire ou faire quelque chose qu'il n'a pas l'intention de dire ou de faire.
  

• Manipulation de l'information et interférence étrangère (FIMI)
  « Acteurs étrangers qui tentent intentionnellement de manipuler les faits.

• Désinformation par les réseaux sociaux
  « L'utilisation des réseaux de réseaux sociaux pour modifier l'impression qu'ont les gens d'un candidat ou d'un parti politique. »
  

• Usurpation d'identité
  « Utilisation de l'identité de quelqu'un d'autre, y compris celle de personnes décédées, par le biais de techniques améliorées par l'IA afin d'augmenter le nombre de votes en faveur d'un candidat. »
  

Approfondissons un peu le rôle de l'IA dans le contexte des élections politiques.

L'IA : une arme d'attaque et de défense

L'intelligence artificielle sera un acteur clé des prochaines élections, tant du côté défensif (politiciens, partis et écosystème connexe) que du côté offensif ( hackers et autres acteurs malveillants).

Comment l'IA peut-elle être utilisée pour compromettre les élections ?

• Lancer des attaques de social engineering plus sophistiquées et plus efficaces.
• Attaques par « AI poisoning » (manipulation d'ensembles de données et violations de données).
• Éviter les antivirus et autres outils de protection.
• Augmenter le nombre de mutations dans les attaques malveillantes afin qu'elles deviennent beaucoup plus difficiles à détecter ou à analyser (morphing malwares).
• Faux contenu généré par l'IA (des images, des vidéos, des textes ou des extraits sonores générés par l'IA peuvent être utilisés pour diffuser de fausses informations et influencer l'opinion publique).

Comment l'IA peut-elle être utilisée pour contrer ces menaces ?

• Amélioration de la détection et de la réponse aux cybermenaces.
• Protection des données sensibles.
• Amélioration de l'engagement des électeurs (à l'aide d'assistants virtuels qui peuvent clarifier des questions et fournir des informations sur les partis ou les candidats).
• Analyse des données (les algorithmes d'IA peuvent analyser de grands volumes de données, identifier les tendances de vote, etc.)
• Détection plus facile des faux contenus générés par l'IA.
  
  

Comment assurer la sécurité des élections ?

Le mode de vote le plus sûr est celui du format papier, cela ne fait aucun doute. C'est d'ailleurs la méthode de vote privilégiée en Europe, au Royaume-Uni et aux États-Unis. Toutefois, cela ne suffit pas à garantir la sécurité des élections, car tant que le processus de vote et les infrastructures sont ciblés, les risques subsistent.

C'est pourquoi plusieurs équipes opérationnelles de sécurité et chercheurs se réunissent régulièrement pour discuter du paysage actuel des menaces et définir ce qui peut être fait pour prévenir ou atténuer les cybermenaces. En Europe, plus précisément, les groupes de travail les plus importants sont les suivants :

• European Cooperation Network on Elections (ECNE) : un mécanisme commun de résilience électorale est mis en place pour surveiller et protéger le trafic réseau d'une organisation ou des services de l'État.
  
  
• NIS Cooperation Group (NISCG): établi par la directive NIS pour atteindre un niveau commun élevé de sécurité pour les réseaux et les systèmes d'information dans l'Union européenne.

• Rapid Alert System (RAS): une plateforme numérique sur laquelle les États membres et les institutions de l'UE peuvent échanger des informations sur la désinformation et coordonner leurs réponses.
  
  
• EU CSIRTs Network: réseau composé des CSIRTs désignés par les États membres de l'UE et de CERT-EU, également alimenté par l'ENISA.
  
  
• EU-CyCLONe: réseau de coopération pour la gestion des incidents de cybersécurité à grande échelle dans l'UE.

Les réunions de ces organisations se terminent généralement par une série d'actions recommandées à mettre en œuvre pour renforcer les défenses des infrastructures informatiques. Certaines des mesures les plus récurrentes sont les suivantes :

• Collaborer et partager les informations
  Les équipes du centre d'opérations de sécurité (SOC) devraient partager les informations sur les menaces afin d'améliorer la détection et l'architecture défensive globale.
  
  
• Sensibilisation
  Chaque employé devrait avoir un minimum de connaissances sur les cybermenaces et les meilleures pratiques ( phishing, sécurité des mots de passe, mises à jour, etc.).
  
  
• Identifier et gérer les risques
  Les risques et les réponses qui y sont associées doivent être identifiés par une étude de cas préalable.
  
  
• S'exercer et s'entraîner
  La gestion de crise doit être testée afin que les acteurs sachent ce qu'il faut faire en conditions réelles.
  
  
• Auditer les mesures organisationnelles et techniques
  Mener des audits réguliers (examen du code, test de résistance, analyse des vulnérabilités, pentests, évaluation des procédures et des pratiques) pour détecter les faiblesses de l'infrastructure.

Comment la cybersécurité évoluera-t-elle en politique ?

Notre cyber-expert prévoit quelques tendances et défis pour les années à venir. « La principale difficulté en matière de cybersécurité consistera à faire la distinction entre les informations réelles et les fausses. Les réseaux sociaux vont prendre de plus en plus d'importance et nous devrons donc être très attentifs aux informations auxquelles nous pouvons faire confiance. Nous devrions disposer d'un flux fiable pour obtenir des informations de la part des candidats légitimes. De plus, les politiciens devront être plus conscients des risques généraux liés à la cybersécurité afin d'éviter les fuites de données et la diffusion de fausses informations", conseille Raphaël.


En ce qui concerne l'intelligence artificielle, il pense qu'il s'agira d'un défi majeur pour les années à venir, et que la sensibilisation des gouvernements et du public sera donc importante.

Les citoyens peuvent-ils contribuer à la cybersécurité des élections ?

Sans aucun doute. En fin de compte, nous pouvons encore faire beaucoup, individuellement, pour améliorer la sensibilisation à la cybersécurité et la fiabilité des élections politiques. L'expert en cybersécurité d'Alter Solutions suggère les actions suivantes :

• « Vérifier les faits pour toutes les informations qui ne proviennent pas de sources légitimes : même si une vidéo semble réelle (reproduisant exactement le visage, la voix, le comportement, la posture, les tics verbaux, etc. d'une personne), il peut s'agir d'un fake.
• Lisez ou écoutez des opinions différentes sur des sujets politiques.
• Ne transmettez pas d'informations dont vous n'êtes pas sûr de la légitimité.
• Ne donnez pas vos informations personnelles à n'importe qui.
• Vérifiez la sécurité et la légitimité des sites web sur lesquels vous partagez des données.
• N'ouvrez pas de liens suspects, de pièces jointes, d'e-mails ou de messages provenant d'un expéditeur non fiable ».

Les élections de 2024 dans le monde

Vérifiez certaines des élections politiques les plus pertinentes qui auront lieu en 2024, compte tenu de leur risque élevé de cyber interference, et en incluant des informations sur le type d'élection, la date, et l'indice d'élections libres et équitables 2023 du pays en question (allant de 0 à 1) :

Union Européenne

• Type d'élection : Parlement européen
• Date : du 6 au 9 juin
• Indice d'élections libres et équitables : 0.91

États-Unis

• Type d'élection : Présidence, Sénat et Chambre des représentants
• Date : 5 novembre
• Indice d'élections libres et équitables : 0.9

Royaume-Uni

• Type d'élection : Chambre des Communes
• Date de l'élection : Prévue en 2024, la date la plus tardive possible étant le 28 janvier 2025
• Indice d'élections libres et équitables : 0.93
  
  

Belgique

• Type d'élection : Chambre des représentants
• Date : 9 juin
• Indice d'élections libres et équitables : 0.97

Géorgie

• Type d'élection : Présidence + Parlement
• Date : 26 octobre + à déterminer
• Indice d'élections libres et équitables : 0.60

Inde

• Type d'élection : Lok Sabha (Chambre du peuple)
• Date : 19 avril - 1er juin
• Indice d'élections libres et équitables : 0.51

Mexique

• Type d'élection : Présidence, Sénat, Chambre des députés
• Date : 2 juin
• Indice d'élections libres et équitables : 0.67

Corée du Sud

• Type d'élection : Assemblée nationale
• Date : 10 avril
• Indice d'élections libres et équitables : 0.95

Biélorussie

• Type d'élection : Chambre des représentants
• Date : 25 février
• Indice d'élections libres et équitables : 0.14

Indonésie

• Type d'élection : Présidence, Conseil représentatif régional, Chambre des représentants
• Date : 14 février
• Indice d'élections libres et équitables : 0.66

Pakistan

• Type d'élection : Assemblée nationale
• Date : 8 février
• Indice d'élections libres et équitables : 0.28

Portugal

• Type d'élection : Assemblée de la République
• Date : 10 mars
• Indice d'élections libres et équitables : 0.95

Russie

• Type d'élection : Présidence
• Date : 15 - 17 mars
• Indice d'élections libres et équitables : 0.23