Cybermenaces : ce que l’ANINF dit vraiment des 900 000 alertes qui font polémique

Présentées comme le symptôme d’une vulnérabilité inquiétante du dispositif numérique gabonais, les 900 000 alertes enregistrées en deux mois racontent, selon l’ANINF, une tout autre histoire : celle d’un système capable de voir la menace plutôt que celle d’un système déjà submergé par elle. Dans un dossier consulté par GabonReview, l’Agence démonte les confusions, répond à la polémique sur les pare-feu et défend une lecture beaucoup moins spectaculaire, mais techniquement plus rigoureuse, du chiffre qui a fait sursauter l’opinion.

Libreville sous surveillance numérique : pour l’ANINF, les 900 000 alertes traduisent d’abord une capacité à détecter la menace, pas 900 000 intrusions réussies. © GabonReview (illustration générée par IA)

À la suite de la communication du ministre de l’Économie numérique, de la Digitalisation et de l’Innovation, Mark-Alexandre Doumba, consacrée à la cybersécurité, les 900 000 alertes cyber enregistrées en deux mois au Gabon ont frappé les esprits. Peut-être trop. Car entre une alerte détectée, une tentative d’attaque, un incident et intrusion effectivement réussie, il existe des frontières techniques que la polémique a parfois balayées. C’est précisément ce que l’Agence nationale des infrastructures numériques et des fréquences (ANINF) entreprend de rétablir dans un dossier de neuf pages transmis aux rédactions. Son message tient en une phrase : «Il ne traduit pas 900 000 compromissions.»

Premier point essentiel : ce chiffre ne décrit pas, à lui seul, l’ensemble du cyberespace gabonais. L’ANINF précise qu’elle assure la protection, la supervision et la résilience des «infrastructures numériques relevant de son périmètre». C’est sur ce champ supervisé que ses dispositifs remontent plusieurs centaines de milliers d’événements de sécurité.

900 000 alertes, mais pas 900 000 intrusions

L’Agence remet donc de l’ordre dans le vocabulaire. Une alerte est «un signal généré par un équipement ou une solution de sécurité lorsqu’une activité inhabituelle ou potentiellement malveillante est détectée». Une tentative d’attaque peut être repérée puis bloquée sans effet. Une compromission suppose, elle, qu’un acteur non autorisé ait effectivement réussi à accéder à un système, une ressource ou des données. D’où cette mise au point sans détour : «900 000 alertes ne signifient donc ni 900 000 intrusions, ni 900 000 attaques réussies, ni 900 000 systèmes compromis.»

Le volume peut agréger des scans automatisés, tentatives de connexion, attaques par force brute, recherches de vulnérabilités, campagnes de phishing ou activités de reconnaissance. Autrement dit, toute une activité hostile ou suspecte qu’un système de surveillance a précisément vocation à faire remonter. L’ANINF pousse même le raisonnement jusqu’à une formule éclairante : «Une infrastructure qui ne remonte aucune alerte n’est pas nécessairement une infrastructure qui n’est pas attaquée. Elle peut aussi être une infrastructure qui ne voit pas suffisamment ce qui se passe.»

Voir la menace, puis agir

Reste la question décisive : que se passe-t-il après la détection ? Sur ce point, l’ANINF revendique une chaîne d’intervention complète. Ses capacités incluent l’analyse des événements de sécurité ; l’investigation numérique ; l’expertise forensic, c’est-à-dire l’analyse technique des traces après un incident ; la recherche d’indicateurs de compromission ; l’isolement des environnements affectés ; les audits de sécurité et l’accompagnement à la restauration.

Lorsqu’un organisme est confronté à un incident, l’Agence affirme pouvoir établir un diagnostic, analyser les traces disponibles, identifier les systèmes touchés, rechercher les vecteurs possibles d’attaque, proposer des correctifs et contribuer, si nécessaire, au rétablissement des services.

Cette défense est d’autant plus crédible que l’ANINF ne promet pas l’infaillibilité. «Aucun dispositif ne peut garantir un risque nul», reconnaît-elle. Une organisation cyber mature doit donc être capable non seulement de protéger, mais aussi de réagir lorsqu’un événement survient.

Pare-feu et licences : l’ANINF réfute

Le dossier avance enfin sur le terrain le plus polémique : l’hypothèse d’une expiration de licences ou d’abonnements affectant certains équipements de protection. L’ANINF affirme qu’aucun élément technique vérifiable ne permet, à ce stade, d’établir un lien de causalité avec les 900 000 alertes. Selon elle, une telle conclusion exigerait notamment d’identifier précisément les équipements concernés, d’en vérifier le statut et la configuration, d’examiner les journaux techniques et de qualifier les alertes remontées.

Au fond, l’Agence demande que le débat change de focale. «Le débat ne doit donc pas porter sur le simple volume d’alertes. Il doit porter sur la capacité à les détecter et à les traiter.» Les 900 000 alertes disent ainsi deux choses à la fois : la menace existe, et une partie de cette menace est visible. Dans la guerre numérique, voir n’est pas encore gagner. Mais ne rien voir serait déjà perdre.

L’ANINF assure d’ailleurs que ces capacités ne restent pas théoriques. «Au cours des derniers mois», plusieurs organismes publics et parapublics l’auraient sollicitée pour des audits, des analyses techniques ou des investigations en cybersécurité. Pour l’Agence, ces interventions confirment sa montée en puissance comme centre d’expertise mobilisable lorsque des systèmes d’information sont confrontés à un incident.