Préface

Un vendredi soir, peu après dix-huit heures. Quelque part, dans une organisation ordinaire, une alerte remonte : des fichiers deviennent illisibles les uns après les autres, un message de rançon s’affiche sur les écrans, les sauvegardes ne répondent plus. Le directeur général vient d’être prévenu. L’équipe de sécurité compte quatre personnes ; deux sont déjà parties en week-end. Il va falloir tenir jusqu’à lundi, peut-être mardi, sans relais.

L’heure n’est pas un hasard. Les cybercriminels ont appris depuis longtemps à choisir leur fenêtre de tir : le vendredi soir, la veille des jours fériés, les moments où les équipes de défense sont réduites à leur plus simple expression et où les dirigeants sont en vacances ou en famille. Ils frappent quand l’organisation aura besoin de deux ou trois jours pour reconstituer ne serait-ce qu’une cellule de crise complète. Deux ou trois jours pendant lesquels, eux, continueront à faire monter la pression.

Vous avez peut-être déjà vécu les conséquences d’un de ces vendredis-là, sans le savoir. Une caisse de supermarché qui refuse soudain toutes les cartes. Un guichet fermé « pour raisons techniques ». Une intervention médicale reportée à l’hôpital, un train immobilisé, une station-service à sec. Ce qui se joue ces soirs-là, ce ne sont pas des ordinateurs : c’est le morceau de votre vie qui passe, sans que vous n’y pensiez jamais, par les machines des autres.

Ce livre est né de ces moments-là, et de tous ceux qui les ont précédés. À force de les analyser, une conviction s'est imposée : l'histoire de la cybersécurité est beaucoup moins une histoire de technique qu'une histoire d'êtres humains. Des humains qui inventent, qui détournent, qui se trompent, qui trahissent, qui réparent. Et qui, souvent, se ressemblent d'un siècle à l'autre.

La curiosité qui poussait les adolescents du standard Bell, en 1878, à saturer les lignes téléphoniques pour entendre le réseau craquer est exactement celle qui animait, en 1988, un étudiant de Cornell voulant simplement compter les machines connectées à Internet. C’est celle, encore, qui a conduit un groupe d’adolescents de Londres à faire tomber Uber et Microsoft avec un téléphone et beaucoup d’aplomb. Rien, dans cette longue chaîne, ne relève du génie froid. Tout y est trop humain : l’envie de voir ce qu’il y a derrière la porte, l’orgueil d’avoir réussi, parfois le désir d’être quelqu’un et souvent, vouloir gagner de l’argent facile.

Vingt-cinq moments où quelque chose a basculé, parfois bruyamment, parfois dans un silence que presque personne n’a remarqué sur l’instant. Et qui, mis bout à bout, racontent comment, en quarante ans, nous sommes passés d’un réseau de chercheurs qui se faisaient confiance entre eux à un champ de bataille permanent où la guerre ne s’interrompt jamais, où elle ne sera jamais signée, où elle ne sera jamais gagnée.

J’ai choisi la narration plutôt que l’analyse surplombante. Je voulais que l’on puisse entrer dans ces chapitres comme on entre dans un roman : en faisant connaissance avec les personnages, en suivant le fil des heures, en comprenant pourquoi, ce soir-là, Yves Bigot tournait en rond dans les couloirs de TV5 Monde ou pourquoi, ce matin-là, un ingénieur de Maersk a regardé l’écran s’éteindre et s’est demandé s’il rêvait. Les faits sont documentés et vérifiés ; les sources sont citées. Mais l’émotion, la fatigue, l’incrédulité, la colère, tout cela compte autant que les indicateurs de compromission.

Parce qu’au bout de toutes ces années, j’ai acquis une certitude : nos défenses s’améliorent, les attaquants aussi, et pourtant ce n’est presque jamais sur le terrain purement technique que se décident les batailles. Un pare-feu correctement configuré n’empêche pas un employé fatigué de cliquer sur un lien vérolé. Le maillon faible n’est pas un défaut ; c’est une caractéristique. Nous sommes faillibles parce que nous sommes humains, et nous serons toujours faillibles tant que nous le resterons.

Les États, eux, ne sont pas les gardiens neutres du cyberespace, ils en sont parmi les premiers acteurs offensifs. Stuxnet, EternalBlue, Yahoo, les révélations de Snowden : il y a, dans cette histoire, une hypocrisie de fond qu’il serait malhonnête de taire. Comment expliquer à un adolescent qu’un accès non autorisé est un crime quand les grandes puissances se sont construit, derrière le mot renseignement, des arsenaux dont la seule existence contamine la sécurité de milliards d’utilisateurs ? On ne peut pas exiger de la probité de la part des citoyens quand les services de renseignement eux-mêmes sont les premiers clients du marché noir des vulnérabilités.

Cette faille humaine que les États exploitent déjà, les machines ont fini par l'automatiser. À la fin de 2025, Anthropic publiait les détails d’une campagne d’espionnage où une intelligence artificielle avait, pour la première fois, mené elle-même plus de 90 % d’une chaîne d’attaque. Les opérateurs humains n’étaient plus des experts ; ils étaient des chefs de projet. L’arme avait pris l’initiative. On comprendra que cela change un peu la perspective et que le dernier chapitre ne soit pas tout à fait le dernier.

Vous n’avez pas besoin d’être ingénieur pour lire ce livre. Vous n’avez pas besoin de savoir ce qu’est un buffer overflow ou une macro VBS pour comprendre ce que Robert Morris a déclenché un soir de novembre, ou pourquoi quatre opérateurs d’une centrale ukrainienne ont regardé, impuissants, le curseur de leur souris se déplacer tout seul à l’écran pendant que la moitié d’une région plongeait dans le noir. Les notions techniques sont expliquées quand elles sont nécessaires ; elles sont passées sous silence quand elles ne le sont pas. Ce qui compte n’est pas la mécanique du code, c’est ce que ce code dit de nous.

Ce livre est écrit pour vous, qui utilisez cette infrastructure chaque jour sans y penser, pour payer, vous soigner, vous déplacer, communiquer. Il est aussi destiné à ceux qui la défendent. Aux uns comme aux autres, il ne demande de retenir qu'une chose : il n'y a plus de frontière entre le monde virtuel et le monde réel. Il n'y en a probablement jamais eu.

Prologue

« Une erreur qui ne s’explique pas n’est pas une erreur. C’est une trace. »

Le 2 novembre 1988 n’est pas le début de cette histoire. C’est le jour où le monde a compris qu’il l’avait perdue de vue. Avant cette date, le réseau n’était pas encore une infrastructure ; c’était un territoire ouvert où le virtuel n’avait pas de prise durable sur la réalité. On y circulait par confiance. Quelques heures suffirent, ce mercredi-là, pour apprendre qu’aucune confiance, à elle seule, n’a jamais tenu en place une machine.

Pour comprendre ce qui s’est brisé ce jour-là, il faut remonter plus loin que les réseaux informatiques. Il faut remonter aux premiers réseaux de cuivre, aux tout premiers, ceux que la Bell Telephone Company a commencé à déployer en 1878, deux ans après le brevet de Graham Bell. Le jeune monopole américain affronte alors une crise qui n’a rien à voir avec ses câbles. Les centres de commutation sont tenus par des adolescents, et ces adolescents ont découvert, avant tout le monde, que l’outil dont on les a chargés est aussi un jouet. Ils écoutent les conversations privées, se moquent des abonnés, tirent des fiches au hasard, saturent des lignes pour le plaisir de voir le système s’effondrer. C’est, sans qu’on le sache encore, la première attaque par déni de service de l’histoire, non pas l’œuvre d’un logiciel, mais celle d’une volonté délibérée de faire tomber une ressource publique.

La réponse de Bell n’est pas technique ; elle est sociale. L’entreprise licencie les garçons en bloc et les remplace par des jeunes femmes, jugées à cette époque, plus dociles et plus prévisibles. Le premier correctif de l’histoire de la cybersécurité ne touche pas un seul câble : il consiste à changer l’humain derrière la machine. On n’a pas réparé ou amélioré le réseau. On a simplement remplacé une matière première jugée trop instable par une autre qu’on croyait plus malléable.

Le geste des adolescents de Bell dit déjà ce que Heidegger avait théorisé sous le nom d'« être-à-portée-de-la-main », et que Douglas Thomas appliquera au hacking, bien plus tard, quand celui-ci sera devenu un champ d'étude dans Hacker Culture : tant qu'un outil fonctionne bien, il est invisible. On ne voit pas le téléphone, on voit la conversation ; on ne voit pas l’ordinateur, on voit le travail. Le hacker est celui qui casse cette transparence. En poussant le système au dysfonctionnement, il force la société à regarder ce sur quoi elle s’appuie. Il ne détruit pas par haine de l’outil, il le malmène pour voir comment il respire sous la contrainte. Cette pulsion-là, la pulsion d’ouvrir la machine pour voir ce qu’il y a dedans, traversera le siècle qui suit.

Elle change de support, d’abord. Dans les années soixante, elle quitte le cuivre pour s’aventurer dans les fréquences. C’est le temps du phreaking, une pratique qui va démontrer qu’un empire industriel peut tenir à une note de musique.

Avant John Draper, il y a eu un enfant. Il s’appelait Josef Engressia, plus tard connu sous le nom de Joybubbles. Aveugle de naissance, doté d’une oreille absolue, il s’amusait dès ses sept ans à siffler dans le combiné de ses parents. Un jour, il siffla par hasard un son qui, au lieu de provoquer une réaction du central, le fit taire. La ligne resta ouverte, la tonalité disparut, la facturation s’arrêta. L’enfant avait découvert, sans le chercher, une fréquence qui parlait au réseau dans sa propre langue, deux mille six cents hertz exactement. Il passa les années suivantes à explorer cette grammaire secrète avec la joie méthodique d’un autodidacte qui a trouvé, dans les labyrinthes du cuivre américain, une géographie enfin accessible. On cherchera longtemps à le faire taire ; on finira par l’embaucher comme consultant.

John Draper reprit la découverte d’Engressia au début des années soixante-dix, en y ajoutant un détail devenu mythologique : il s’aperçut qu’un sifflet en plastique, offert en cadeau dans les boîtes de céréales Cap’n Crunch, émettait lui aussi un 2600 hertz parfait quand on en bouchait l’un des deux trous. Un jouet à deux cents. Une clé d’empire. Draper, désormais surnommé Captain Crunch, fit du sifflet un rite de passage pour toute une génération de curieux. Parmi eux, un jeune Steve Wozniak, que la découverte fascina au point de le pousser, avec son ami Steve Jobs, à miniaturiser le procédé dans un boîtier électronique : la Blue Box. Jobs dira plus tard que sans ces quelques mois à hacker le réseau téléphonique mondial depuis leur garage, Apple n’aurait probablement jamais existé. Deux adolescents avaient appris, en détournant des fréquences, qu’on pouvait devenir l’égal d’une multinationale à condition de parler sa langue mieux qu’elle.

Le phreaking était une exploration solitaire. Ce qui commença à Berlin-Ouest en 1981 fut autre chose : une politique. Le Chaos Computer Club naquit cette année-là autour d’une idée simple et, pour l’époque, presque insolente, un ordinateur, ce n’est pas seulement une machine à calculer, c’est aussi un champ de bataille pour les libertés publiques.

Le club fit ses armes en 1984, contre le Btx, le système en ligne de la Poste fédérale allemande, que l’État vantait comme l’avenir du commerce électronique. Deux membres du CCC exploitèrent une faille pour virer cent trente-quatre mille deutschemarks d’une banque d’épargne de Hambourg sur leur propre compte. Ils restituèrent l’argent le lendemain et convoquèrent la presse. Le message n’était pas l’argent. Le message était que l’infrastructure sur laquelle l’État construisait le futur tenait avec du scotch. Ce fut le premier hack politique de l’histoire européenne : une effraction qui ne cherchait ni à voler, ni à nuire, mais à forcer une technologie à devenir un sujet de débat public.

Quarante ans plus tard, le CCC existe toujours. Ses membres conseillent des partis politiques, rédigent des expertises pour la Cour constitutionnelle allemande, siègent dans des commissions officielles. L’organisation est passée du statut de collectif subversif à celui d’autorité morale sur la sécurité numérique dans un pays démocratique. C’est peut-être le seul exemple réussi, à l’échelle européenne, d’un tel cheminement : le hacker comme gardien, plutôt que comme ennemi.

Aux États-Unis, la confiance mourut différemment. Elle mourut à Berkeley, en août 1986, dans le bureau d’un astronome qui n’avait rien demandé à personne.

Cliff Stoll n’était pas informaticien. Il dépannait les comptes du laboratoire parce qu’on lui avait refilé le travail. Quand il remarqua, sur un relevé, une erreur de soixante-quinze centimes, sa première réaction fut celle d’un scientifique de formation : une erreur qui ne s’explique pas n’est pas une erreur. C’est une trace. Il tira sur le fil. Au bout du fil se trouvait un hacker allemand du nom de Markus Hess, qui utilisait les réseaux universitaires américains comme passerelles vers les bases militaires, et qui revendait ses butins au KGB. Le réseau que tout le monde croyait étanche venait de devenir, en silence, une extension du champ de bataille de la guerre froide.

Ce que Stoll fit ensuite est resté. La réaction habituelle face à un intrus était de couper la ligne ; il fit l’inverse, et décida d’observer. Pour garder le hacker assez longtemps en ligne afin de le remonter physiquement à travers les centraux téléphoniques d’une demi-douzaine de pays, il inventa le premier pot de miel, un dossier entier de faux documents sur l’Initiative de défense stratégique, crédibles juste ce qu’il fallait pour nourrir la curiosité de l’attaquant. Il consignait tout : chaque commande, chaque rebond, chaque heure de connexion. Sans le savoir, il écrivait la première méthodologie de Digital Forensics, celle qu’on enseigne aujourd’hui dans toutes les écoles de cybersécurité. Il avait prouvé qu’une machine pouvait être un témoin oculaire, à condition qu’un humain lui apprenne à se souvenir. Le récit complet figure dans The Cuckoo's Egg, ouvrage remarquable que l'on devrait encore mettre entre les mains de quiconque débute en cybersécurité.

Pendant que Stoll apprenait à lire les traces, un jeune Californien apprenait à ne pas en laisser. Kevin Mitnick n’était pas le meilleur codeur de sa génération. Il était quelque chose de plus dangereux : le meilleur menteur.

Mitnick avait compris que la sécurité informatique est une illusion, parce qu’elle repose en dernier ressort sur un maillon biologique éduqué pour être serviable, poli et respectueux de l’autorité. Il ne piratait pas les logiciels ; il piratait les gens. Un coup de fil en se faisant passer pour un technicien en visite, une voix sûre d’elle, quelques détails glanés dans un annuaire interne, et la porte s’ouvrait. Il appelait cela le « pretexting » : la fabrication d’une réalité alternative suffisamment crédible pour que l’interlocuteur vous donne de son plein gré ce que des mois de force brute n’auraient pas arraché. Le désir d’aider, la peur d’être pris en faute, le besoin d’être reconnu. Ces leviers universels devenaient, entre ses mains, des vulnérabilités logiques au même titre qu’un mot de passe faible. On ne parlait plus de casser un code. On parlait de manipuler quelqu’un.

Tout cela restait confidentiel. Les hackers se parlaient entre eux, le grand public les ignorait, les États ne savaient pas encore quoi faire de cette faune discrète. En fait, ce qui changea la donne ne fut pas un incident technique, mais un film.

En 1983 sortit WarGames, dans lequel un adolescent, par simple défi, manquait de déclencher une guerre nucléaire entre les États-Unis et l’Union soviétique. Le président Ronald Reagan vit le film à Camp David un samedi soir. La légende veut qu’il ait, quelques jours plus tard, demandé à ses conseillers si un tel scénario était possible. On lui répondit oui.

Trois ans plus tard, le « Computer Fraud and Abuse Act » entrait en vigueur. La loi était courte et ambiguë ; elle criminalisait l’accès « sans autorisation » ou le « dépassement d’autorisation » à un système informatique, sans que ces notions soient définies avec précision. Cette ambiguïté n’était pas un accident de rédaction. Elle permit pendant trente ans aux procureurs fédéraux de transformer des violations banales de conditions d’utilisation en crimes passibles de décennies de prison. La loi ne punissait pas seulement le vol ; elle punissait la curiosité. Elle rendait illégal le fait de chercher à comprendre comment un système fonctionnait sans l’autorisation de son propriétaire.

Les juristes ont donné un nom à l’effet de cette loi : le « chilling effect ». L’effet de gel. En rendant l’exploration des systèmes juridiquement risquée, l’État venait, sans s’en rendre compte, de paralyser la partie de la population qui aurait été la mieux placée pour les protéger. Les chercheurs les plus scrupuleux se retirèrent du terrain. Les moins scrupuleux, eux, continuèrent.

Au mois de novembre 1988, à Cornell, un étudiant de vingt-trois ans nommé Robert Tappan Morris Junior finit de peaufiner un programme qu’il avait conçu, disait-il, pour compter les machines connectées à Internet. Son père travaillait à la NSA. Il ne savait pas encore qu’il allait écrire le premier chapitre de ce livre.