Aujourd’hui, la cybersécurité est au cœur des grands événements sportifs. Dans un contexte où le sport génère des milliards d’euros et rassemble une audience chiffrée à des millions de spectateurs, il s’agit de se prémunir du risque grandissant d’attaques cybercriminelles. Si la digitalisation du sport est une formidable opportunité pour le domaine, elle apporte aussi son lot de nouvelles menaces en matière de cybersécurité. Le point.

Premier League : cyberattaque déjouée sur un deal d’un million de livres sterling !

En juillet 2020, le Centre national de cybersécurité anglais (NCSC) a déclaré que l’adresse électronique du directeur général d’un club de la Premier League avait été piratée lors d’une négociation de transfert, et que seule l’intervention de la banque avait empêché le club de perdre environ 1 million de livres sterling.

C’est l’un des nombreux incidents mis en évidence comme preuve que le sport doit améliorer sa cybersécurité alors qu’il est confronté à une pression accrue de la part des cybercriminels. Par exemple, un autre club de la Premier League a subit une attaque Ransomware (logiciel de rançon) qui a infecté ses systèmes de sécurité, bloquant les tourniquets. Cela a failli conduire à un report de match ! Le rapport du NCSC sur la cybermenace pour les organisations sportives a également révélé qu’un membre du personnel d’un hippodrome a perdu 15 000 livres sterling après avoir tenté d’acheter du matériel de jardinage sur une version piratée de la fameuse plateforme de vente en ligne américaine eBay.

Par ailleurs, le NCSC a déclaré que son rapport a révélé que les pirates informatiques essayaient de compromettre les organisations sportives au quotidien, souvent en ciblant le courrier électronique ou en utilisant des logiciels de rançon pour prendre le contrôle de systèmes critiques. Ainsi, l’organisme a exhorté les clubs de Premier League à mettre en place des mesures de cybersécurité et à sauvegarder leurs données afin d’éviter de tels incidents.

Paul Chichester, directeur des opérations du NCSC, a déclaré à ce sujet que « le sport est un pilier de notre vie et nous attendons avec impatience le retour de stades pleins et d’un calendrier sportif chargé. Si la cybersécurité n’est peut-être pas une considération évidente pour le secteur du sport lorsqu’il réfléchit à son retour, nos conclusions montrent que la menace cybercriminelle sur cette industrie est très réelle. J’invite instamment les organismes sportifs à profiter de cette période pour examiner les domaines dans lesquels ils peuvent améliorer leur cybersécurité. Le faire maintenant les aidera à se protéger, ainsi que des millions de supporters, des conséquences de la cybercriminalité ».

Terminons par souligner le fait que, selon le même rapport, environ 30 % des incidents ont causé un préjudice financier direct, d’une valeur moyenne de 10 000 livres sterling à chaque fois, le plus gros préjudice individuel étant de plus de 4 millions de livres sterling. Plus de 70 % des entreprises interrogées ont déclaré avoir connu au moins un incident au cours de l’année écoulée, et 30 % ont déclaré en avoir connu plus de cinq au cours de cette période.

La cybersécurité devrait être indissociable du sport

De manière quelque peu paradoxale, la cybersécurité semble assez peu évoquée dans le sport professionnel. Pourtant, la menace est bien réelle. Nous venons de le voir à travers le rapport du NCSC anglais sur les cyberattaques qu’a connu la Premier League, le plus grand championnat de football de la planète, et celui qui génère le plus de revenus.

A quels types de risques le sport s’expose-t-il ? Le livre blanc du Center for long-term cybersecurity (CLTC) distingue quatre typologies de cyberattaques susceptibles de toucher les grands événements sportifs internationaux :

1/ L’infiltration des sites sportifs et leurs systèmes d’information

A ce niveau, plusieurs incidents ont été enregistrés. Il s’agit notamment des cyberattaques sur les sites de la Formule 1, ou encore la Fédération Anglaise de rugby. Même la coupe du monde de football 2014 au Brésil n’y a pas échappée, subissant une attaque de type DDos qui a paralysé le site du ministère du sport du pays.

2/ L’escroquerie liée à la billetterie

Un hacker va monter un site factice de vente de billets pour leurrer les spectateurs. On appelle ça le « Phishing ». Ces derniers, croyant acheter leurs places sur un site officiel, et donc de confiance, payent avec leur carte de crédit. Cela permet aux cybercriminels de récupérer les codes confidentiels des dites cartes. Cela est arrivé à de nombreuses personnes aux Jeux Olympiques de 2008 à Beijing, mais aussi à ceux de 2012 à Londres.

3/ Vol et divulgation de données personnelles des athlètes

En 2015, une cyberattaque a visé l’Agence Mondiale de l’Antidopage, ce qui a conduit à la divulgation de données concernant plusieurs olympiens américains.

4/ Les cyberattaques contre les spectateurs

En 2014, pendant les Jeux Olympique d’hiver de Sotchi, le comité d’organisation a sensibilisé les fans (proies faciles des hackers s’il en est) à une potentielle infiltration de leurs données personnelles.

Les cyberattaques sur le sport se multiplient

Les exemples des cyberattaques sur le sport (événements, organisations sportives, équipes, clubs, athlètes…) se multiplient depuis quelques années. Durant les JO de Pékin en 2008, Atos, l’entreprise qui fournit l’infrastructure informatique des Jeux depuis 1992 a répertorié plus de 12 millions d’attaques par jour ! Il en va de même pour les Jeux Olympiques d’hiver de Sotchi de 2012, où 200 événements à risque ont été détectés. Et lors des JO de Rio au Brésil, de nombreux ransomwares ont été téléchargés par le biais de sites factices présentant les résultats des compétitions. Ainsi, de larges campagnes de phishing ciblées et la compromission de spots WiFi non sécurisés permettant l’injection de chevaux de Troie bancaires ont été répertoriées.

Constat : les plus grands événements sportifs de la planète sont vulnérables aux attaques des hackers, qui ont malheureusement les outils et les compétences nécessaires pour arriver à leurs fins. Evidemment, la cybercriminalité est attirée par l’augmentation saisissante du volume de transactions financières dans les grands événements sportifs. Les cybercriminels sont aussi motivés par le retentissement médiatique des grandes rencontres sportives mondiales. A travers elles, ils peuvent profiter d’une caisse de résonance pour véhiculer ce qu’on pourrait appeler leur « cause », ou leur idéologie. Ce fut notamment le cas lors de la coupe du monde de football au Brésil en 2014, où les revendications des hackers étaient surtout politiques.