L'attribution des attaques informatiques : une compétence étatique souveraine ?

Attributing cyber attacks : a sovereign State power?

• Auteur / Autrice : Coline Boniface
• Direction : Karine Bannelier-christakis, Cédric Lauradoux
• Type : Projet de thèse
• Discipline(s) : Sécurité Internationale et défense
• Date : Inscription en doctorat le ; Soutenance le 12/12/2023
• Etablissement(s) : Université Grenoble Alpes
• Ecole(s) doctorale(s) : École doctorale sciences juridiques
• Partenaire(s) de recherche : Laboratoire : Centre d'études sur la sécurité internationale et les coopérations européennes (Grenoble ; 199.-....)
• Jury : Président / Présidente : Jean-François Ponsot
• Jury : Examinateurs / Examinatrices : Karine Bannelier, Christina Binder, Serena Forlati, Frederique Segond
• Jury : Rapporteurs / Rapporteuses : Christina Binder, Serena Forlati

Mots clés

Mots clés libres

Application droit international au cyber espace

Attribution technique; juridique et politique

Projet d'articles sur la responsabilité internationale des Etats pour fait internationalement illicite

Due diligence

Application of international law to cyberspace

Technical; legal and political attributions

Draft articles on Responsibility of States for Internationally Wrongful Acts

Due diligence

Résumé

L’émergence d’un nouvel « écosystème cyber » bâti sur des principes de dématérialisation, d’anonymat, d'ubiquité d'accès et d'instantanéité des communications, a complexifié l’application de certains principes de droit international, largement employés pour éviter les conflits armés dans les relations internationales. L’observation de ces principes est pourtant essentielle dans le le cyberespace, car celui-ci est également devenu, pour reprendre les termes de Guillaume Poupard, un « espace géopolitique où l’on fait la guerre ». C'est un lieu où les États se comparent, se regardent et se livrent des conflits discrets et invisibles mais dont les effets se font ressentir dans le monde physique. Si le terme de "cyber guerre" ne fait pas l’unanimité aujourd'hui, la menace est bien réelle et trouve un écho tous les mois dans les médias qui relatent des attaques informatiques d'ampleur, capables d'impacter des secteurs stratégiques. Ces attaques peuvent être le fait d'acteurs étatiques ou non étatiques mais conduites sous le contrôle d'un État ou répondant à ses objectifs. Pour obtenir réparation du préjudice qu'il a subi, l'État victime doit engager la responsabilité internationale de l'État auteur du fait en se référant au droit coutumier de la responsabilité internationale. Si son application au cyberespace est établie depuis 2015 par les travaux du Groupe d’experts gouvernementaux chargés d’examiner les progrès de la téléinformatique, on cherche aujourd’hui à établir les modalités de cette application Cette question soulève des enjeux techniques comprenant l'examen des éléments issus de l'analyse des réseaux et des machines infectées ainsi que ceux issus du travail du renseignement humain. Le résultat de cette enquête est susceptible d'être utilisé par le juge international dans le contexte de l'attribution juridique qui, du fait de ses spécificités, souffre aujourd'hui d'une absence de pratique ou d'exemple concret. Ces résultats sont donc majoritairement utilisés par les États qui décident de nommer publiquement le responsable de l'attaque à des fins stratégiques et politiques. Depuis quelques années, cette pratique de l'attribution passe également entre les mains d'acteurs privés qui développent une certaine expertise en la matière, comme en témoignent les enquêtes conduites par les des firmes de sécurité informatique sur lesquelles les États s'appuient dans leurs déclarations officielles d'attribution. Les enjeux techniques, juridiques et politiques de l'attribution des attaques informatiques méritent d'être analysés sous l'angle du droit international mais sans négliger les aspects informatique et géopolitique, afin de déterminer si les spécificités du cyber espace limitent la souveraineté des États en la matière.

The emergence of a new "cyber ecosystem" based on the principles of dematerialisation, anonymity, ubiquitous access and instantaneous communications has made it more difficult to apply certain principles of international law, which are widely used to avoid armed conflict in international relations. Compliance with these principles is essential in cyberspace, because it has also become, in the words of Guillaume Poupard, a "geopolitical space where war is waged". It is a place where states compare and compete with each other, and conduct discrete, invisible conflicts whose effects are felt in the physical world. Although the term 'cyber war' is not unanimously used today, the threat is real and is highlighted each month in the media reporting large-scale computer attacks capable of affecting strategic sectors. These attacks may be perpetrated by State or non-State actors, although they may be carried out under the control of a State or for State purposes. In order to obtain compensation for the damage it has suffered, the victim State must engage the international responsibility of the State that committed the act, by referring to the customary international law on State responsibility. While its application to cyberspace has been established since 2013 by the work of the Group of Governmental Experts on Developments in Telecommunications, we are now seeking to establish the modalities of this application. This question raises technical issues involving the examination of elements derived from the analysis of infected networks and machines as well as those derived from human intelligence work. The results of this investigation are likely to be used by international judges in the context of legal attribution which, due to its specific features, currently suffers from a lack of practice or concrete examples. These results are therefore mainly used by States that decide to publicly name the person responsible for the attack for strategic and political purposes. For some years now, the practice of attribution has also passed through the hands of private actors who have developed a degree of expertise in the field, as shown by the investigations carried out by the IT security firms that governments rely on in their official declarations of attribution. The technical, legal and political issues involved in attributing cyber attacks should be analysed from the perspective of international law, without neglecting the IT and geopolitical aspects, in order to determine whether the specific characteristics of cyberspace limit the sovereignty of States in this area.