Cybercriminalité - Les conséquences
Il est important, pour une entreprise, de bien comprendre que la cybercriminalité a des coûts, et que la sensibilisation des collaborateurs est un investissement retable. Nous vous invitons à découvrir nos formations en cybercriminalité et cybersécurité.
Contact
Cybercriminalité : les coûts des dégâts sous-estimés
L’évaluation de l’ampleur de l’économie du piratage, qui s’est largement industrialisée ces dernières années, se structure aujourd’hui autour de trois grandeurs principales, à savoir :
Le coût pour les victimes, qui correspond à un préjudice ou encore une destruction de valeur, une sorte de destruction intérieure brute (DIB, ou PIB négatif).
Le revenu brut, c’est-à-dire les rentrées d’argent pour les pirates, autrement dit leur chiffre d’affaires.
Le revenu net, en d’autres termes le bénéfice qu’ils en retirent, frais déduits.
Une quatrième grandeur s’ajoute, qui concerne le revenu net par tête – par pirate –, et qui oblige à tenir compte de leur organisation et des clés de répartition des bénéfices entre membres. Tenir compte donc du nombre de membres, exercice qui conduit à dépasser les descriptions fantasmées du petit génie de l’informatique solitaire – pour les cryptovirus – ou de l’escroc au beau parler – pour les fraudes au président (qui consistent à se faire passer pour le dirigeant d’une entreprise afin d’obtenir un paiement indu).
80 à 100 millions d’euros volés par an
Une confusion usuelle entre ces indicateurs empêche de comprendre le coût réel de ces piratages et escroqueries. Prenons l’exemple des fraudes au président pour lesquelles l’Office central de la répression de la grande délinquance financière donnait une estimation de 485 millions sur cinq ans, soit une fourchette plancher de 80 à 100 millions volés annuellement aux entreprises françaises.
Ces minimas, sur un sujet où l’omerta reste forte, laissent entrevoir un montant réel entre 100 et 200 millions, que l’on espère en baisse désormais par l’effet pédagogique des cas advenus.
Or ces montants seraient à tort interprétés comme étant le coût total pour les victimes, quant à lui différent ; ainsi pour cette société française ayant déposé son bilan après avoir subi une ponction sur ses comptes de 1,3 million d’euros, mais qui laisse un coût bien supérieur pour l’actionnaire, pour les employés mis au chômage et pour les collectivités locales.
Les 100 à 200 millions volés sur des comptes bancaires correspondent en fait au revenu brut des pirates, somme bientôt amputée lors d’une succession de transferts bancaires parcourant la planète. Ces étapes de noircissement puis blanchiment d’argent ne sont en effet pas gratuites. Les prestataires qui manient l’argent sale captent une part du gâteau, et l’achat des protections politiques ou mafieuses dans des pays où la spécialisation criminelle informatique tend vers son industrialisation reste également à prendre en compte.
Des rançons aux effets sur l’économie réelle
Cette cascade de chiffres allant du préjudice pour le piraté au bénéfice dépensable par le pirate, est de surcroît l’objet d’erreurs méthodologiques : au niveau des victimes, outre l’habituelle confusion entre perte de chiffre d’affaires et coût effectif de l’attaque, une erreur fréquente tient dans le fait d’additionner des coûts individuels pour croire obtenir des coûts collectifs.
De manière prudente, l’évaluation chez les entreprises françaises des dégâts dus au chiffrement de données par des cryptovirus, parvient à un plancher annuel d’environ 2 milliards d’euros, dont une moitié provient des petites entreprises.
Toutefois ce chiffre compilateur de dégâts individuels ne prétend pas exprimer celui que subit la collectivité, car telle usine fermée deux semaines suite à attaque (y causant une perte) fera parfois le bonheur de son concurrent (lui procurant un gain), telle dépense de restauration du système d’information sera facturée par un prestataire informatique quant à lui bénéficiaire de l’évènement.
Se dévoile ainsi le paradoxe de ces piratages, qui à la fois attestent de l’imperfection de notre environnement numérique, mais procurent des revenus aux acteurs de cet environnement : le monde des informaticiens ne souffre pas directement des failles dont il est l’auteur. Il serait d’ailleurs intéressant de calculer si le revenu légal tiré de la correction de ces dysfonctionnements est ou non inférieur au revenu illégal des pirates utilisateurs de ces failles.
Cet article est republié à partir de The Conversation sous licence Creative Commons. Lire l’article original.