Rennes, capitale méconnue de la cyberdéfense française

Rennes, capitale méconnue de la cyberdéfense française © Jean-Christophe-Mantrant/Etat-major des armées

Par Sébastien Pommier, Chef d'enquête

Publié le 4 avril 2023 à 09h46. Mis à jour le 4 avril 2023 à 12h25.

Lecture : 4 min

Réservé aux abonnés

Difficile de soupçonner ce qui se trame derrière les grillages, plutôt ordinaires, de la base militaire de Stéphant, au sud de Rennes, dont le passé logistique est rappelé par les anciens hangars arrondis de la 807e compagnie de transmissions (807e CT). Pourtant, au cœur de ce complexe, un bâtiment jaune pâle de 120 mètres de long, entièrement barricadé et sans aucune fenêtre, détonne. Les 800 militaires qui le fréquentent, béret sur la tête et arme à la ceinture, n’ont d’ailleurs pour théâtre d’opérations ni le Sahel, ni le flanc est de l’Otan.

Ils surveillent plutôt le cyberespace et s’appliquent à protéger les systèmes d’information vitaux du pays, à commencer par ceux du ministère des Armées et ses 300.000 machines, cibles régulières des hackers. Une mission pour laquelle ils bénéficieront bientôt de deux autres bâtiments dédiés qui seront, comme le premier, autonomes en énergie et équipés de 7 kilomètres de câbles de cuivre et de fibre optique. Faisant définitivement de l’endroit, baptisé ComCyber (commandement de la cyberdéfense), le cœur de notre force de dissuasion numérique.

Et autant dire qu’elle ne chôme pas: rien que l’an passé, 15.000 événements ont été répertoriés par les autorités militaires. Sur ce volume, 14 incidents ont été classés «suspicion d’attaques» et 8 ont été traités avec un «intérêt majeur», détaille le colonel Pierre-Arnaud Borrelly, commandant de ce ComCyber. «Chaque année, la menace augmente et nous devons maîtriser notre espace, c’est pourquoi la France se dote de capacités conséquentes, notamment humaines», poursuit le gradé. L’actuelle loi de programmation militaire entend ainsi faire passer, d’ici à 2025, de 3.600 à 5.200 le nombre de nos cybercombattants, dont une bonne partie s’installeront à Rennes.

Il suffit d’ailleurs de grimper sur le toit du ComCyber pour comprendre les enjeux. Thalès, Airbus, Orange, EDF… Les grands groupes français ont tous monté leur SOC (pour «security operations center») dans les environs. «C’est 1 milliard d’euros de chiffre d’affaires dans la région, 8.000 emplois dans 160 entreprises», comptabilise Jérôme Tré-Hardy, entrepreneur et conseiller régional en charge de la cybersécurité. Dans la métropole de Rennes, on compte ainsi 150 chercheurs et 90 doctorants spécialisés en cybersécurité. Une CyberSchool y forme 580 étudiants par an.

Avec la Cyberdéfense Factory, la ville dispose aussi de l’unique incubateur d’entreprises du pays sur ce thème. Enfin, personnels académiques, industriels et militaires travaillent de concert au sein du Pôle d’excellence cyber, une structure imaginée en 2014 par la région Bretagne et le ministère des Armées, pour élaborer une filière souveraine.

L’implantation bretonne de ces effectifs, civils comme militaires, n’a rien d’étonnant. Elle doit beaucoup à l’influence, depuis 2012, de Jean-Yves Le Drian, le local de l’étape, et ex-ministre socialiste de la Défense. Son nom revient sur toutes les lèvres quand il s’agit d’évoquer la genèse de cette transformation, facilitée par l’ouverture de la ligne à grande vitesse plaçant Rennes à 90 minutes de Paris. Mais l’héritage du passé a aussi pesé dans la balance. «La région est une terre de technologie, dont Rennes est le vaisseau amiral. Il y a toute l’histoire des télécoms à Lannion (Côtes-d’Armor)», rappelle Jérôme Tré-Hardy.

En 24 heures, un virus infectant des milliers de modems a pu être décodé

Dès 1968, le ministère des Armées avait aussi installé à Bruz, à 15 kilomètres au sud de l’actuel ComCyber, son Centre d’électronique de l’armement (le Celar), depuis devenu Direction générale de l’armement – Maîtrise de l’information (DGA-MI). Les 100 hectares du site hébergent quelque 2.100 militaires et civils, directement plongés dans la guerre numérique. «Nous passons un à deux mois par an sur le terrain, en appui des forces. Les ennemis d’un niveau sérieux peuvent rester dormants très longtemps dans un système. C’est pour cela qu’une attaque cyber est rarement spontanée», nous confie le lieutenant Stéphane (le prénom a été changé, NDLR), ancien élève officier de la prestigieuse école de Saint-Cyr. Ce chef de groupe s’évertue à appliquer la science du combat traditionnel au cyberespace. Et il y a de quoi faire tant les réseaux sont agités par le conflit en Ukraine. On parle même de «guerre hybride»: digitale et physique.

Exemple le 24 février 2022, jour du déclenchement de l’invasion russe et d’une cyberattaque qui a ciblé le satellite Ka-Sat (opéré par l’américain Viasat), destiné à couvrir des zones blanches (non desservies par le haut débit) en Europe. En quelques minutes, de l’Ukraine jusqu’en France, des dizaines de milliers de modems Internet se retrouvent en panne, infectés par un virus. Sous tension, les cyberservices français en récupèrent un, pour l’envoyer à Bruz. En moins de 24 heures, grâce à leur laboratoire équipé de machines laser à plusieurs millions d’euros pièce, les experts de la DGA-MI parviennent à entrer dans la puce incriminée, et à décoder le virus. Quand il s’agit de matériel plus sensible, c’est dans la «zone rouge» que cela se passe. Derrière deux portes blindées, que des gendarmes gardent 24 heures sur 24, la DGA dispose d’outils sophistiqués. C’est sur ce site que les systèmes informatiques des Rafale ont par exemple été calibrés avant de partir en mission de surveillance à la frontière ukrainienne.

Mais le champ d’expertise s’avère bien plus vaste. «Depuis le début de la guerre en Ukraine, beaucoup d’entreprises françaises du secteur de la défense sont la cible d’attaques, notamment les sous-traitants qui peuvent être plus vulnérables», indique Lionel Morin, ingénieur général de l’armement et directeur du centre de Bruz. Entre ses murs, les équipes préparent des actions aussi bien offensives que défensives. Elles simulent, par exemple, des attaques sur des frégates, en élaborant des scénarios où un capitaine se retrouve soudainement privé de moyen de propulsion, en pleine mer, après l’intrusion d’un opposant dans le système informatique du navire.

Deux étages plus haut, un autre groupe d’ingénieurs développe les futurs modèles de smartphones sécurisés, dont les premiers exemplaires seront livrés fin 2023 aux postes les plus sensibles de l’Etat (y compris à Emmanuel Macron) pour remplacer le vieux téléphone crypté Teorem, de Thales. «L’affaire d’espionnage Pegasus, qui a frappé des hautes personnalités, a accéléré les besoins», reconnaît Lionel Morin.

C’est toutefois sa casquette de DRH que ce diplômé de Polytechnique coiffe le plus souvent, en quête de profils susceptibles de garnir ses rangs. Car la compétition fait rage avec le secteur privé. «Beaucoup d’anciens militaires poussent notre porte. Ici, un expert cyber sait qu’il va pouvoir rebondir. De plus, la Bretagne offre une qualité de vie qui fidélise ces talents», décrit Patrick Lomenech, responsable opérationnel d’Orange Cyberdefense à Rennes, lui-même breton pure souche.

Depuis leur grande tour en bordure de la capitale bretonne, les ingénieurs cyber de l’opérateur télécoms (34 ans de moyenne d’âge) travaillent pour de grands comptes ou des municipalités. Et, alors que la pandémie de Covid a incité les entreprises à mieux s’équiper en matière de cybersécurité, les dossiers ne manquent pas. Parmi les cibles défendues figurent ainsi un réseau urbain de vélos partagés, des badges de chambres d’hôtel, un arrosage public ou un flux de vidéosurveillance. Une activité intense, qui a tout du filon pour Orange, qui a réalisé 1 milliard d’euros de chiffre d’affaires en 2022 dans la cybersécurité, un résultat en hausse de 14% sur un an.