L’origine du problème était une faille dans le langage de programmation PHP. Même les sites internet de certaines banques étaient temporairement inaccessibles. Faut-il pour autant s’inquiéter pour ses propres données ?
PHP est un langage de programmation performant qui fonctionne bien depuis de nombreuses années. Entre 70 % et 80 % des sites web dans le monde utilisent PHP. Rien qu'au Luxembourg, quelque 6.000 serveurs y ont recours. En cas de faille de sécurité comme celle révélée mercredi, des données peuvent toutefois tomber entre de mauvaises mains, explique Pascal Steichen, directeur général de Luxembourg House of Cybersecurity :
"Le site internet peut alors passer sous le contrôle d’un criminel et être utilisé, par exemple, pour mener des attaques contre d’autres cibles ou pour tenter d’infiltrer une entreprise afin d’y voler des données. Cela signifie que c'est un programme qui présente désormais une vulnérabilité. Cette faille ne se trouve toutefois ni sur nos téléphones portables ni sur nos ordinateurs, mais sur les serveurs."
Pascal Steichen se veut également rassurant concernant les sites qui permettent d’effectuer des transactions, comme les plateformes de banque en ligne.
"Cela concerne vraiment le site Internet lui-même, c’est-à-dire ni LuxTrust ni un système bancaire. Cela ne concerne pas le système sous-jacent ni l’application qui réalise les transactions, ni LuxTrust en tant que tel, mais uniquement leur site web."
Il existe aussi des sites de vente en ligne où les utilisateurs peuvent enregistrer les données de leur carte bancaire afin d’effectuer leurs achats plus rapidement. En théorie, des cybercriminels pourraient également accéder à ces informations, mais cela ne signifie pas pour autant qu’ils seraient en mesure de voler de l’argent.
"Si ce site est compromis, s’il utilise PHP, un criminel pourrait éventuellement consulter ces informations. Cela ne veut toutefois pas dire qu’il pourra effectuer une transaction ou voler directement de l’argent. Il disposera simplement de ces données, comme s’il vous avait dérobé votre carte bancaire dans votre poche. Ensuite, de nombreuses autres choses doivent encore se passer pour que l'argent soit perdu."
De telles failles de sécurité apparaissent régulièrement. Des organismes spécialisés, comme le House of Cybersecurity au Luxembourg, sont informés de ce type d’incidents et des mises à jour sont développées afin de corriger le problème. Ce qui était exceptionnel dans ce cas précis, c’est que l’information concernant la faille a fuité.
"Quelqu’un parmi ceux qui étaient au courant, l’a, d’une manière ou d’une autre,
divulguée, et l’information est soudainement devenue publique. Une énorme pression s’est alors exercée sur PHP pour publier cette mise à jour. Mais une fois le correctif disponible, les choses reviennent à la normale."
Il n’y a donc aucune raison de paniquer, assure Pascal Steichen. Jusqu’à présent, aucune cyberattaque majeure n’a été observée en lien avec cette faille et la situation continue d’être suivie de près.
