Cyberattaques : pourquoi les hackers ont toujours un coup d’avance sur l’État

Trois attaques en une semaine : le bilan est particulièrement lourd pour les services publics français. Le fisc a notamment été ciblé par le groupe de hackers ZeroBytes, qui aurait réussi à dérober puis à revendre les données de milliers de contribuables et d’entreprises. Face à ce fiasco, le gouvernement réagit et annonce la création d’une nouvelle unité spéciale pour « arrêter de découvrir la lune à chaque cyberattaque ». Mais derrière ces attaques à répétition se cache un problème plus profond : hackers et administrations ne jouent tout simplement pas avec les mêmes règles.

Face à cette série d’attaques, le gouvernement veut renforcer ses capacités de défense avec la création d’une nouvelle unité spécialisée. Mais pourquoi les autorités semblent-elles toujours courir derrière les cybercriminels ?

Le problème ne vient pas nécessairement d’un manque de compétence des équipes informatiques. Il tient surtout à une asymétrie fondamentale entre l’attaque et la défense. Pour protéger un système informatique, l’État doit théoriquement parvenir à sécuriser l’ensemble de ses infrastructures : chaque serveur, chaque logiciel, chaque ordinateur, chaque compte et chaque accès. Et cela, en permanence.

Les hackers, eux, n’ont pas besoin de réussir partout. Une seule faille peut suffire. Une mauvaise configuration, une vulnérabilité dans un logiciel ou simplement un employé qui clique sur un lien piégé peuvent leur ouvrir une porte. C’est un peu comme une immense forteresse : le défenseur doit surveiller des milliers de fenêtres et de portes, tandis que l’attaquant n’a besoin d’en trouver qu’une seule qui soit mal verrouillée.

À cela s’ajoute une différence de fonctionnement. Les cybercriminels peuvent agir rapidement, se répartir les tâches entre plusieurs pays et utiliser des outils disponibles immédiatement. Ils peuvent changer de méthode ou de cible en fonction des opportunités.

À l’inverse, une administration doit composer avec des contraintes beaucoup plus lourdes : marchés publics, procédures de sécurité, validations hiérarchiques, déploiement de nouveaux logiciels ou remplacement d’équipements. Une décision qui prend quelques minutes chez un pirate peut nécessiter des semaines ou des mois dans une administration.

Créer une nouvelle unité spécialisée peut donc améliorer la réponse de l’État. Mais cela ne supprime pas cette asymétrie. En cybersécurité, le défenseur doit être parfait partout, tout le temps. Le pirate, lui, n’a besoin d’avoir raison qu’une seule fois.