Un de chaux et un autre de sable. Le rapport sur la cybercriminalité en Espagne en 2024, rendu public ce vendredi par le ministère de l'Intérieur, montre que même si le nombre de cybercriminalités enquêtées par les forces de sécurité l'année dernière, principalement des fraudes sur Internet, a diminué pour la première fois depuis qu'il existe des statistiques, le nombre de cyberincidents qui affectent les infrastructures critiques – celles qui gèrent des services essentiels comme l'énergie, l'eau, les transports ou la santé – a doublé au fil des ans. 81 connus en 2023 à 160 sur la dernière période étudiée. Les experts qualifient d’incident cyber tout événement ayant des effets néfastes sur les réseaux et les systèmes d’information, qu’il soit d’origine malveillante ou résultant d’une erreur ou d’un accident.
Le rapport inclut également une augmentation des cyberattaques perpétrées par des groupes de hackers contre des entreprises et des organismes publics. Dans cette section, le rapport cite le groupe pro-russe, dont la structure a été partiellement démantelée en juillet dernier lors d'une opération internationale à laquelle a participé la police nationale. Parmi les dirigeants présumés de ce groupe proche du régime de Vladimir Poutine figure le professeur espagnol Enrique Arias Gil, prétendument réfugié à Moscou et contre lequel la Cour nationale a émis un mandat d'arrêt international. Il est considéré comme responsable du lancement de plus de 500 vagues de cyberattaques contre l'Espagne depuis 2022 pour se venger du soutien de Madrid à l'Ukraine.
Les auteurs du document – qui inclut à la fois les données de la Police Nationale et de la Garde Civile, ainsi que celles des forces de police régionales et locales – mettent en garde contre l'utilisation que la criminalité peut faire de l'Intelligence Artificielle (IA), qui est devenue « un catalyseur clé de cette menace, en facilitant des attaques plus complexes, automatisées et difficiles à détecter ». « La cybercriminalité représente non seulement une menace croissante pour les infrastructures critiques, les gouvernements et les entreprises, mais aussi pour les citoyens, qui sont de plus en plus exposés à la fraude en ligne, au vol d'identité et aux attaques ciblées, non seulement à l'échelle nationale, mais ces types d'activités criminelles ne connaissent pas de frontières », souligne le rapport.
Le document précise que les 160 cyberincidents gérés par l’Office de coordination de la cybersécurité (OCC, organisme de référence de l’Intérieur en matière de cybersécurité et auteur de l’étude) sont ceux catalogués « avec des niveaux de danger et d’impact élevés, très élevés ou critiques ». Ce chiffre est nettement supérieur à celui de l'année précédente (81), mais dépasse également de loin celui de 2022 (quand il y en avait 67), 2021 (avec 91) et 2020, année avec le maximum enregistré jusqu'à présent, avec 115. Parmi les épisodes connus l'année dernière, 65 (40,63%) étaient ceux dits de « disponibilité », c'est-à-dire ceux qui empêchent ou entravent l'accès à un serveur jusqu'à ce qu'il cesse de fonctionner. En deuxième position, avec 62 cas (38,75 %), se trouvent ceux qui ont compromis les informations du système victime de l'attaque. Par secteurs, le plus touché a été le transport (avec 37,5% des incidents enregistrés), suivi du système financier et fiscal (17,5%) et de l'énergie (14,38%).
Concernant les cyberattaques perpétrées par des pirates informatiques, le rapport se concentre sur celles commises par des programmes de type (qui bloquent l'accès à un certain système et exigent le paiement d'une rançon) et DDoS (déni de service, qui empêche l'accès au site Web attaqué). En ce qui concerne leur quantification, le document admet qu'il existe des données disparates sur l'incidence entre celles collectées par l'OCC lui-même et celles collectées par le Système statistique de la criminalité (SEC, également dépendant de l'Intérieur). Ainsi, alors que ce dernier dénombre 260 attaques avec , l'OCC n'en a qu'un record de 117. Au contraire, ce dernier bureau a enregistré 416 attaques DDoS et la SEC, l'a laissé à 51.
Face à la multiplication des cyberincidents et des cyberattaques, le rapport de l’OCC comporte également des nouvelles positives. La diminution, bien que légère, du nombre de cybercriminalités. L’année dernière, les forces de sécurité de l’État ont eu connaissance de 464 801 infractions pénales commises via Internet, soit 1,6 % de moins qu’en 2023 (où il y en avait eu 472 260), ce qui représente la première baisse de la série historique. Neuf sur 10 (412 850) étaient des escroqueries ou des fraudes informatiques. Viennent ensuite de loin les falsifications (19 492 cas), les menaces et la coercition (17 738) et les accès et interceptions illicites (9 773). Les délits sexuels sur Internet étaient de 1 676, soit un chiffre de 7 % inférieur à celui de 2023, où 1 804 avaient été enregistrés.
Concernant les victimes, les forces de sécurité en dénombrent 350.795, soit 1% de moins que l'année précédente. Parmi eux, plus de la moitié (51,2 %) sont des hommes et la tranche d'âge la plus fréquente se situe entre 26 et 40 ans. La majorité souffre de fraudes informatiques et surtout d'arnaques liées aux cartes bancaires ou aux chèques de voyage. Dans le cas des mineurs (2 595), la situation est différente et ils présentent une plus grande vulnérabilité aux menaces, à la coercition et aux délits sexuels.
Pour ces délits, 19.332 personnes ont été arrêtées ou enquêtées, 14% de plus qu'en 2024. Leur profil est celui d'un homme (72%), entre 18 et 25 ans (23,6%) et de nationalité espagnole (76,2%). Le nombre de cas élucidés (64 068) a également augmenté, en l'occurrence de 6,4 %. Cependant, ce chiffre ne représente que 14% des faits connus, ce qui reflète un fort pourcentage d'impunité. Par territoire, la Communauté de Madrid (avec 73 477 cas) et les provinces de Barcelone (55 965) et de Valence (24 461) sont les plus touchées et représentent à elles trois 33 % de la cybercriminalité. L'incidence de la cybercriminalité est répartie régulièrement tout au long de l'année, même si janvier est le mois avec le plus grand nombre de plaintes (48 585) et août, le mois avec le moins, avec 34 318.
