Cour pénale internationale : une tentative de cyberespionnage

Mi-septembre, la Cour pénale internationale (CPI) indiquait faire l’objet d’une cyberattaque. Une investigation a immédiatement été lancée, impliquant les Pays-Bas, ainsi que « des experts externes en cybersécurité ». 

Dans un communiqué de presse, la CPI indique aujourd’hui que les « indices disponibles à ce stade indiquent une attaque ciblée et sophistiquée avec l’espionnage pour objectif ». Selon elle, « l’attaque peut être interprétée comme une tentative sérieuse de pénaliser le mandat de la Cour ». 

Toutefois, indique la CPI, « les informations actuellement disponibles » ne permettent pas « de confirmer qui est responsable de l’attaque ». 

Pour autant, « en conséquence de l’attaque, le tribunal renforce son cadre de gestion des risques et identifie des mesures et des procédures pour être prêt à réagir à d’éventuelles répercussions de l’attaque informatique, y compris tout risque potentiel pour la sécurité des victimes et des témoins, des responsables du tribunal et des activités du tribunal ».

Enfin, « dans le cadre d’une évaluation plus globale des actions potentielles d’acteurs malveillants, le tribunal a également noté qu’il pourrait y avoir des campagnes de désinformation visant la CPI et ses responsables, dans le but de ternir l’image de la CPI et de délégitimer ses activités ».

Citrix a récemment levé le voile sur la vulnérabilité CVE-2023-4966 tandis que Mandiant a indiqué qu’elle était exploitée activement depuis au moins la fin août, alors qu’elle était inconnue, et vraisemblablement à fin d’espionnage. 

La CPI exploite un système Citrix Gateway qui a été affecté par cette vulnérabilité. Il n’a pas été visible des sondes d’Onyphe du 15 septembre au 19 octobre 2023. 

Nous avons demandé à la CPI si cette vulnérabilité avait effectivement été exploitée contre son système d’information. Dans un e-mail adressé en réponse à la rédaction, le service de relations publiques de la Cour n’a ni confirmé ni infirmé cette hypothèse, indiquant ne pas pouvoir donner de détails additionnels « à ce stade ».