Lors de conversations avec des directeurs informatiques, des responsables de la sécurité informatique et des décideurs politiques du monde entier, leurs préoccupations sont étonnamment similaires : notre infrastructure de communication est soumise à une pression extraordinaire et notre capacité à lui faire confiance s'érode. La campagne d'espionnage mondiale Salt Typhoon a déjà infiltré plus de 600 fournisseurs de télécommunications dans plus de 80 pays, et des campagnes similaires ont été découvertes plus récemment. Exploitant des systèmes non patchés et des infrastructures vieillissantes, les pirates volent des enregistrements d'appels, des données de localisation et des métadonnées à une échelle sans précédent. Avec l'IA désormais à la portée des criminels, des taux de compromission autrefois inimaginables sont devenus monnaie courante, des réseaux entiers étant cartographiés, clonés et transformés en armes en quelques heures.

Aucun pays n'est à l'abri. Les communications transitant par les mêmes réseaux mondiaux, la compromission des infrastructures centrales à l'étranger rend vulnérable le trafic gouvernemental partout dans le monde. La sécurité des communications n'est donc pas seulement un défi régional, mais un impératif mondial.

De la vie privée à la sécurité nationale

Malgré les risques potentiels, de nombreuses organisations, y compris des ministères, recourent à la commodité des applications de messagerie grand public largement disponibles pour leurs communications officielles. Ces plateformes ont été conçues pour démocratiser la confidentialité, en offrant aux citoyens un cryptage qui n'était pas disponible auparavant avec les SMS standard. Mais les outils conçus pour protéger la vie privée des individus n'ont jamais été conçus pour sécuriser les informations classifiées d'un pays.

Les audits internationaux soulignent cette lacune. Une étude réalisée en 2023 par l'OAIC australienne a révélé que 73 % des agences autorisaient l'utilisation de ces applications à des fins professionnelles, mais que seule la moitié d'entre elles disposaient de politiques garantissant le respect des lois en matière d'archivage ou de confidentialité. D'autres pays sont confrontés au même problème de gouvernance : les documents classifiés, les négociations en matière d'approvisionnement ou les enquêtes policières doivent-ils être traités sur des plateformes souvent exploitées par des criminels ?

La menace est aggravée par ce que nous négligeons souvent : les métadonnées.

Le problème des métadonnées

Même lorsque les messages sont cryptés, les métadonnées révèlent qui a contacté qui, quand, à quelle fréquence et depuis où.

Les applications gratuites monétisent les métadonnées en collectant des numéros de téléphone, des identifiants d'appareils, des adresses IP et des statistiques d'utilisation, puis en les vendant à des tiers. Pour les gouvernements et les infrastructures critiques, ce n'est pas un détail mineur, mais une faille de sécurité inacceptable. Les métadonnées révèlent les schémas des mouvements militaires, les calendriers de déplacement et les calendriers de négociation. En termes de sécurité nationale, les métadonnées constituent des renseignements.

Et cette exposition est sur le point de croître de manière exponentielle.

Le multiplicateur IA

L'intelligence artificielle a changé la donne. Les pirates utilisent désormais l'IA pour cartographier les réseaux, automatiser la reconnaissance et générer des contrefaçons réalistes de voix, d'images et de comportements. En 2024, une filiale hongkongaise de la société d'ingénierie Arup a perdu 25 millions de dollars après que son personnel ait été trompé par un appel vidéo dont la plupart des participants étaient des deepfakes générés par l'IA. Pour tous les DSI, le message est clair : les obstacles à la création de contrefaçons convaincantes de votre voix, de votre image ou de votre style de communication ont pratiquement disparu. L'espion du futur ne porte pas de trench-coat. C'est un algorithme dans le cloud.

Le temps des discussions est révolu ; les gouvernements et leurs alliés ont déjà décidé d'agir.

Apprendre auprès de partenaires internationaux

Les pays alliés apprennent les uns des autres et prennent des mesures décisives. L'Australie, par exemple, a redéfini son secteur des télécommunications comme une infrastructure critique. En réponse aux attaques commanditées par des États et menées par des groupes tels que Salt Typhoon, Canberra a élargi la portée de sa loi sur la sécurité des infrastructures critiques (SOCI), a adopté une loi sur le renforcement des mesures de prévention et d'intervention qui confère aux organismes de réglementation le pouvoir d'imposer des mesures correctives, et a lancé le programme de sécurité et de gestion des risques dans le domaine des télécommunications (TSRMP).

Dans le cadre de ces réformes, les fournisseurs doivent mettre en place des plans de gestion des risques liés à la cybersécurité, au personnel, à la chaîne d'approvisionnement et aux menaces physiques, et sont tenus de signaler tout incident à l'Australian Cyber Security Centre. D'ici 2027, les fournisseurs devront également respecter des niveaux minimaux stricts en matière de maturité de la cybersécurité.

Un changement similaire est en cours aux États-Unis dans le cadre de la Cybersecurity Maturity Model Certification (CMMC) 2.0, qui rendra obligatoires à partir de 2025 des contrôles cybernétiques robustes pour tous les sous-traitants de la défense traitant des informations non classifiées contrôlées. Basé sur la norme NIST SP 800-171, le CMMC 2.0 exige une protection vérifiée des données sensibles sur tous les systèmes et canaux de communication. Ensemble, ces cadres illustrent un mouvement mondial coordonné vers des normes plus strictes et applicables pour la protection des systèmes critiques, où l'alignement, la responsabilité et le partage des renseignements sont essentiels à la résilience collective.

Ce que cela signifie pour les dirigeants mondiaux

En termes simples, la sécurité nationale dépend de la confiance dans les communications. L'OTAN, l'ASEAN et les pays de l'UE s'éloignent déjà des applications grand public pour se tourner vers des plateformes souveraines qui peuvent être hébergées, gérées et contrôlées sous contrôle national. Il s'agit d'une mesure nécessaire, non pas par crainte, mais par prévoyance.

Comment BlackBerry Secure Communications relève ce défi

Chez BlackBerry, nous avons développé des solutions de communication sécurisées qui protègent déjà les dirigeants mondiaux, les ministères de la Défense et les partenaires du G7.

Notre cryptage certifié NIAP, BSI et OTAN protège les conversations aux niveaux de classification les plus élevés. Les déploiements peuvent être hébergés dans des clouds souverains ou sur site, garantissant ainsi un contrôle total des données et des clés. Nous sommes agréés FedRAMP, bénéficions de la confiance du gouvernement fédéral américain et nous préparons déjà à la cryptographie post-quantique afin d'aider les pays à rester résilients face aux menaces de demain.

Les vulnérabilités qui fragilisent aujourd'hui les communications sont précisément les défis que BlackBerry s'efforce de relever.

Réflexion finale

Après avoir rencontré des dirigeants mondiaux et constaté de mes propres yeux comment les nations renforcent leurs communications, je pense que les gouvernements se trouvent à un moment charnière. Nous ne pouvons pas attendre qu'une violation nous oblige à agir. La prochaine décennie ne sera pas déterminée par ceux qui disposent de la plus grande armée ou du plus grand nombre de satellites, mais par ceux qui peuvent avoir confiance en leurs communications.

Pour BlackBerry, protéger cette confiance n'est pas une nouveauté : c'est notre mission depuis plus de 40 ans. Ce qui a changé, c'est le sentiment d'urgence. Les gouvernements du monde entier doivent faire un choix clair : être à l'avant-garde en matière de confiance ou se laisser mener par le compromis.