Dans un rapport publié le , la société de sécurité informatique Mandiant accuse cette unité de l'armée chinoise d'être à l'origine depuis 2006 d'une vaste opération de cyber-espionnage principalement contre des entreprises et organisations anglo-saxonnes,. Le gouvernement chinois a immédiatement nié être à l'origine de ces cyberattaques.
Présentation
Le 3edépartement de l'état-major général de l'armée chinoise, dont les effectifs sont estimés à 130 000 personnes a notamment des activités similaires à celle de la National Security Agency (NSA) américaine.
Au sein de ce 3e Département, l'unité 61398 (aussi appelée 2ebureau), qui n'a pas d'existence officielle dans l'organigramme de l'armée chinoise, est notamment chargée d'activités de renseignement sur les questions politiques, économiques et militaires. Cette unité se focaliserait sur les États-Unis et le Canada, alors que l'unité 61046 (aussi appelée 8ebureau) serait spécialisée sur l'Europe,.
La date de création exacte de cette unité demeure inconnue, cependant elle recrutait de jeunes diplômés en informatique de l'Université de Zhejiang dès 2004,.
Début 2007, la construction d'un immeuble dédié à cette unité a commencé, dans le district de Pudong à Shanghai. En 2009, cette unité a bénéficié, au nom de la «raison d'État», du soutien de l'opérateur d'État China Telecom pour construire son architecture réseau en fibre optique. L'immeuble est situé au 208 Datong Road, occupe douze étages et 12 138 m2.
En 2013, l'effectif de cette unité est estimée à 2 000 personnes.
Soupçons récurrents de cyberespionnage 2002-2012
Depuis des années, les experts en sécurité informatique ont mis en garde les États et les entreprises contre la hausse des tentatives de cyberattaques en provenance de Chine, mais sans le démontrer – publiquement – de manière probante.
Deux groupes de cyberespions, le Comment Crew et l'Elderwood Group, qui auraient tous les deux participé à l'Opération Aurora, sont néanmoins régulièrement soupçonnés d'être liés à la Chine,.
Le groupe Comment Crew, en particulier, serait basé à Shanghai et lié à l'armée chinoise:
la société américaine de cybersécurité Fireye attribue à ce groupe plus d'un millier de cyber-attaques entre 2002 et 2012;
ce groupe s'intéresse aussi à des hommes politiques de premier plan: il serait à l'origine du vol en moins de 14 minutes de la messagerie électronique du président de la Commission européenne en , durant les négociations sur la crise économique grecque;
il est aussi identifié sous le nom de Shanghai Group ou de Byzantine Candor (ce dernier nom est évoqué dans un câble diplomatique américain de 2008 dévoilé par Wikileaks).
Accusations directes de cyberespionnage en 2013
Rapport APT1 de la société Mandiant publié en février 2013
La société privée américaine de sécurité informatique Mandiant a été fondée en 2004 par Kevin Mandia, qui était précédemment enquêteur en cybercriminalité au sein de l'US Air Force.
Depuis sa création, cette société a enquêté sur les failles de sécurité informatique de centaines d'organisations à travers le monde. En 2006, elle a identifié une équipe de hackers réalisant du cyberespionnage qu'elle a appelée APT1 (Mandiant a identifié en tout plus d'une vingtaine de groupes similaires, dont les attaques proviennent de Chine). Et à ce jour, en 2013, ce groupe APT1 est, selon ses observations, l'un des groupes de cyberespions les plus prolifiques en termes de quantité d'informations volées.
En raison de l'ampleur des cyberattaques, la quantité de données sensibles volées et leurs impacts, la société a publié, le , un rapport sur les activités de ce groupe APT1 (aussi dénommé Comment Crew ou Shanghai Group). À noter que l'ensemble des informations publiées sont soit issues de leurs observations directes durant les 7 dernières années, soit d'informations librement accessibles sur internet.
Après la publication du rapport, celui-ci a été diffusé sous forme de spam par des hackers, infecté par des virus.
Groupe de cyberespions Shanghai Group
Selon la société Mandiant, le groupe de cyber-espions APT1 a systématiquement volé, depuis 2006, des volumes très importants de données dans au moins 141 organisations, et a démontré sa capacité à espionner des dizaines d'organisations simultanément:
cette opération aurait permis de dérober des quantités très importantes (plusieurs centaines de téraoctets) d'informations sensibles en s’infiltrant dans des réseaux informatiques;
les informations volées couvrent un large spectre de données sensibles en termes de stratégie (mémos internes, agendas, comptes-rendus), développements de produits (technologie, conception de systèmes, manuels, résultats de tests), processus industriels (standards, procédures propriétaires), informations commerciales (business plans, négociations contractuelles, grille tarifaire), opérations de croissance externe (fusions/acquisitions) ou de partenariat, contenu des messageries électroniques des dirigeants, ainsi que les identifiants et mots de passe;
le groupe réussit à maintenir des accès aux réseaux informatiques des entreprises pour une durée moyenne d'un an (356 jours). Dans un cas, le groupe a réussi à maintenir ses accès au réseau interne de l'entreprise durant 1 764 jours, soit quatre ans et dix mois.
Selon le même rapport de la société Mandiant, le groupe de cyber-espions APT1 se concentre sur des organisations anglophones:
parmi les 141 victimes d'APT1, 87% d'entre elles ont leur siège social dans des pays où l'anglais est la langue maternelle;
les entreprises ou organisations gouvernementales victimes sont essentiellement situées aux États-Unis, au Canada et en Grande-Bretagne, dans 20 secteurs d'activité différents. Une seule entreprise française a été recensée.
La société complète son rapport en précisant que ce groupe APT1 maintient une vaste infrastructure de systèmes informatiques dans le monde entier:
au cours des deux dernières années, la société a observé le groupe APT1 établir presque un millier de serveurs de commandement et de contrôle (C2), hébergé sur des adresses IP distinctes dans 13 pays. La majorité de ces 849 adresses IP uniques a été enregistrée en Chine (709), suivie des États-Unis (109). De plus, dans 97% des cas recensés, les hackers se sont connectés sur ces serveurs de commandement et contrôle depuis des adresses IP localisables dans la région de Shanghai en Chine;
sur la même période, la société a identifié 2 551 noms de domaine internet complets attribués à APT1. À noter que la société Mandiant a publié la liste de ces noms de domaine sur son site internet.
Shanghai Group serait l'unité 61398
Selon la société Mandiant, l'hypothèse la plus probable est que le groupe de cyber-espions appelé APT1 ou Shanghai Group est l'Unité 61398 de l'armée chinoise:
de par l'envergure de ces opérations de cyberespionnage, seul un État est capable de mobiliser autant de moyens financiers, humains et matériels sur une aussi longue période;
les compétences techniques et linguistiques requises pour mener à bien ces missions sont similaires aux compétences recrutées par le 3edépartement de l'état-major général de l'armée chinoise, et en particulier l'Unité 61398 (qui serait spécialisée sur les États-Unis et le Canada);
les schémas tactiques, méthodes et procédures sont appliquées avec rigueur par les cyber-espions, comme le feraient des militaires: Mandiant n'a identifié aucune destruction de données ou escroquerie financière dans les organisations victimes, ce qui contraste nettement les hackers ou le crime organisé;
l'analyse des secteurs d'activités des 141 organisations espionnées démontre une nette corrélation avec les objectifs stratégiques du douzième plan quinquennal Chinois (2011-2015) en termes de secteurs économiques à développer;
la majeure partie des informations recueillies (adresses IP, coordonnées utilisées, localisation de certains cyber-espions, systèmes développés et utilisés en chinois) durant ces 7 années converge vers la même localisation, c'est-à-dire Shanghai.
Partie immergée de l'iceberg du cyberespionnage économique chinois
Plusieurs pays sont réputés disposer de capacités de cyber-espionnage: en premier lieu, les États-Unis, mais aussi la Russie, Israël ou la France. Néanmoins, de par le volume considérable de données sensibles volées et le nombre d'organisations victimes recensées, l'unité 61398 pourrait n'être que la "partie émergée de l'iceberg" d'une des plus vastes opérations d'espionnage économique et industrielle de l'histoire.
Accusations réfutées par les autorités chinoises
Le gouvernement Chinois a vigoureusement réfuté être à l'origine de ces activités de cyber-espionnage:
le jour même de la publication du rapport par la société, le , le ministère chinois des Affaires étrangères a déclaré que les allégations étaient «irresponsables et non professionnelles» et a rappelé que «la Chine s'oppose fermement aux actions de piratage et a établi des lois et règlements et pris des mesures policières strictes pour se défendre contre les activités de piratage en ligne»;
Néanmoins, le gouvernement chinois n'a pas démenti l'existence de cette unité, tandis que les photos et vidéos du building censé être son quartier général ont été reprises par de nombreux médias.
Notes et références
↑(en) John Avlon et Sam Schlinkert, This is How China Hacks America: Inside the Mandiant Report, The Daily Beast, 19 février 2013 à lire en ligne
↑Anne Flaherty, A look at Mandiant, allegations on China hacking, the Associated Press, 20 février 2012 à lire en ligne
↑«Rapport Mandiant APT1», , p.19 Un document interne de China Telecom de 2009, publié dans le rapport, fait référence à l'Unité 61398 du 3edépartement de l'état-major général et à la construction d'un réseau pour la Défense nationale
↑«Rapport Mandiant APT1», , p.11 La société a estimé le nombre de collaborateurs sur la base de la taille et de l'espace de l'immeuble occupé par cette unité
(en) APT1 - Exposing One of China’s Cyber Espionage Units, États-Unis, Société privée Américaine de sécurité informatique Mandiant, , 74 (hors annexes) (lire en ligne)
