Lors de l’édition 2019 des Security Days, un fait peu banal s’est produit avec le sacre comme meilleur hacker du Sénégal du jeune Souleymane Fall qui avait été condamné par la justice sénégalaise pour des faits d’accès et maintien frauduleux dans un système informatique, modification ou suppression de données à caractère informatique et collecte illicite de données à caractère personnel. Cette affaire, peu glorieuse il faut bien le reconnaitre, tant pour la police sénégalaise dont le dispositif technique dans lequel s’était introduit Souleymane Fall comportait une grosse faille de sécurité que pour la justice sénégalaise qui a condamné un jeune technicien utile à la société, soulève la question complexe du « hacking » largement méconnue dans notre pays. A l’origine, les hackers sont des techniciens de haut niveau qui se plaisent à « bidouiller » les systèmes informatiques, notamment pour en détecter les failles de sécurité pour. Dès lors, ce qui pose problème ce n’est pas tant le « hacking » en tant que tel que la finalité qu’il se donne. En effet, il existe deux « écoles » diamétralement opposées avec d’un côté ceux que l’on appelle en anglais les « white hats » qui sont les « bons » et de l’autre les « dark hats » qui sont les « méchants ». Les premiers cherchent à détecter les failles de sécurité pour y remédier et rendre les systèmes informatiques plus sûrs tandis que les seconds mettent à profit les failles de sécurité pour se livrer à des activités illégales. Les « bons hackers » se sont organisés en Europe au sein du Chaos Computer Club (CCC) qui tient le plus officiellement du monde son congrès annuel pour faire le point sur les dernières évolutions techniques en la matière et discuter de questions de société liées au développement du numérique. Mieux, dans les pays où les autorités ont pris la pleine mesure des défis posés par la cybersécurité et ont compris que les forces de défense et de sécurité ne peuvent avoir le monopole de la lutte contre la cybercriminalité, elles collaborent avec eux plutôt que de les réprimer aveuglément. C’est ainsi qu’en 2016, le Pentagone a invité les hackers américains à venir détecter les failles de sécurité pouvant exister dans ses systèmes informatiques. De même en France, en janvier 2019, la Direction générale de la Sécurité extérieure (DGSE), les services de renseignements français, a publié une offre de stage de six mois pour hacker le jeu vidéo Fortnite pour surveiller le contenu des discussions de certains joueurs qui l’utilisent de manière furtive afin d’échanger des informations spécifiques. Mieux, les dispositifs qui travaillent au profit de la cybersécurité, qu’ils s’agissent des CERT où des structures comme l’Agence nationale de la sécurité des systèmes d’information (ANSSI) qui est en France l’autorité nationale en matière de sécurité et de défense des systèmes d’information, rattachée au Secrétariat général de la défense et de la sécurité nationale (SGDSN), collaborent étroitement avec des spécialistes venant de tous les horizons. Les « mauvais hackers » évoluent eux loin des lampions, derrière les rideaux, dans la discrétion, l’opacité et la clandestinité nécessaire à la bonne conduite de leurs activités ! Au Sénégal, comme partout ailleurs, il existe ces deux types de hackers et il faut se réjouir de trouver parmi eux des « white hats » dont l’apport ne peut qu’être positif pour la société, d’une manière générale, et pour les spécialistes de la sécurité informatique, en particulier, qu’ils exercent leur activité au sein des forces de défense et de sécurité (armées, police, gendarmerie, douanes, etc.), dans l’administration, dans les universités ou dans le secteur privé, notamment dans les banques, les établissements financiers dans toutes les structures qui gèrent où manipulent de la monnaie électronique. Cette activité est d’ailleurs officiellement reconnue et fait partie intégrante des formations spécialisées avec la certification « Ethical Hacking » qui utilise les mêmes connaissances et outils que les hackers malveillants, mais d’une manière légale et légitime pour évaluer la sécurité d’un système cible. Dans ce contexte, les services responsables de la lutte contre la cybercriminalité, de même que la justice, doivent faire leur aggiornamento et laisser au vestiaire les postures datant du XXème siècle pour adopter celles qui s’imposent au XXIème siècle. Les uns et les autres doivent comprendre que la cybersécurité n’est pas l’apanage des seuls spécialistes mais qu’elle est devenue une problématique globale qui requiert le concours de tous. Dès lors, il urge qu’ils s’informent et se forment de manière à être capables de distinguer la bonne graine de l’ivraie dans le monde des hackers.

Amadou Top
Président d’OSIRIS