Résumé de l'analyse​​ 

• La cyberguerre est un aspect de plus en plus présent de la rivalité hégémonique irano-saoudite au Moyen-Orient. Les cyberattaques offrent de nouvelles vengeances (par exemple, l’attaque de 2012 contre Saudi Aramco) et des opportunités de propagande dans ce conflit de longue date de type « guerre froide ».​​ 
• Suite aux frappes aériennes saoudiennes au Yémen fin mars, le conflit cybernétique irano-saoudien s'est intensifié. Les données OSINT révèlent un échange rapide de défigurations de sites web et de détournements de comptes de médias sociaux entre des pirates informatiques saoudiens et iraniens à la mi-avril. Cette période a commencé lorsque des pirates informatiques pro-saoudiens, exceptionnellement les agresseurs, ont attaqué le site web de l'agence de presse Fars le 31 mars. Cet incident semble avoir incité des pirates informatiques pro-iraniens à passer à l'action, comme détaillé ci-dessous.​​ 
• L’armée cybernétique du Yémen (YCA) a émergé à la mi-avril. Inconnu avant son attaque contre le journal saoudien Al-Hayat, le groupe a depuis été lié à une violation de données au ministère saoudien des Affaires étrangères. Le calendrier des attaques de YCA, son empreinte en matière de communication (les « exclusivités » de Fars News et NewsQuickLeak.ir) et le slogan « Trancher l’épée de la justice » utilisé lors de l’attaque contre Saudi Aramco suggèrent, à tout le moins, une coordination avec des acteurs iraniens.​​ 

Parmi les nombreuses rivalités et conflits du Moyen-Orient, le conflit irano-saoudien est l'un des plus insolites et des plus singuliers. S'étendant sur plusieurs décennies, cette rivalité semble avoir tout pour plaire : des pays voisins aux religions, langues, cultures et histoires différentes ; deux nations – chiite (Iran) et sunnite (Arabie saoudite) – Persans et Arabes – qui s'affrontent pour l'hégémonie sur le Moyen-Orient.​​ 

Étonnamment, ce conflit confirme qu'il n'est pas forcément nécessaire de disposer d'une armée et d'un affrontement terrestre pour qu'une véritable guerre éclate. Au fil des ans, la nature de ce conflit a évolué et s'est parfois enflammée ; il implique des efforts diplomatiques réciproques, la formation d'alliances, une implication publique et clandestine dans la vie politique de l'autre camp, des confrontations indirectes par le soutien à des puissances opposées dans la région (comme c'est actuellement le cas au Yémen), et la mise en œuvre de mesures financières opposées et sévères afin d'affaiblir la position du rival. Néanmoins, la situation n'avait jamais dégénéré en une véritable confrontation directe – elle se déroulait toujours « en coulisses » – jusqu'à l'introduction de la cyberguerre.​​ 

Iran contre Arabie saoudite : capacités et cibles cybernétiques​​ 

Au cours des cinq dernières années environ, l'Iran est devenu un acteur majeur du paysage cybernétique. Des individus et des groupes de hacktivistes, dont certains sont soupçonnés d'être soutenus par le gouvernement iranien, ont mené des attaques sophistiquées et préjudiciables.​​ 

L’image ci-dessous montre un grand nombre de cyberattaques prétendument commises par des hackers iraniens (hacktivistes et prétendument parrainés par l’État) entre la mi-2010 et aujourd’hui. À noter, la chronologie se concentre sur les pays ciblés et ne prend pas en compte les attaques iraniennes contre des organisations et entreprises individuelles.​​ 

Il est clair que les tentatives cybernétiques de l’Iran visent un grand nombre de pays, dont beaucoup sont en conflit politique avec l’Iran, et certains en l’extérieur. En regardant cette liste, il est notable que l’Arabie saoudite est l’un des pays les plus ciblés par l’Iran, aux côtés des États-Unis. L’attaque la plus significative contre des actifs saoudiens attribuée à des hackers iraniens visait la compagnie pétrolière Saudi Aramco. Les actifs saoudiens ont également été ciblés dans le cadre d’une Campagne cybernétique iranienne plus longue baptisée Opération Cleaver.​​ 

En comparaison, l’Arabie saoudite est loin derrière en matière d’attaques extérieures attribuées à son gouvernement et/ou aux hacktivistes. En regardant l’image suivante, on peut constater qu’il y a beaucoup moins d’activité, avec des cibles spécifiques à un pays qui proviennent apparemment d’Arabie saoudite.​​ 

La comparaison des attaques entre ces deux pays montre que l'Iran mène davantage d'attaques contre l'Arabie saoudite que l'inverse. Même considérés dans leur ensemble, le nombre d'événements uniques est relativement faible ; de nombreux points sur la chronologie ci-dessous indiquent reporting suite à l' incident d'Aramco. Jusqu'à très récemment, ces deux pays n'avaient pas d'histoire significative en matière de cyberguerre menée publiquement.​​ 

Le déséquilibre qui existe peut s’expliquer en partie par l’avantage démographique de l’Iran : alors que seulement 30 % des citoyens iraniens ont accès à Internet, cela représente 23,5 millions d’utilisateurs, soit bien plus que les 60 % d’Arabies saoudiennes qui y ont accès – soit un total de 17,28 millions d’utilisateurs.​​ 

De plus, les hackers saoudiens concentrent une partie de leurs efforts sur le territoire national, participant à des opérations telles que « #opSaudi » – une Campagne en cours menée par SaudiAnonymous en protestation contre le régime saoudien. Ce phénomène ne se produit pas à une telle échelle en Iran.​​ 

Une autre explication de la différence entre l'Iran et l'Arabie saoudite sur le plan cybernétique réside dans le fait que, tandis que l'Iran agit principalement seul dans le cyberespace, l'Arabie saoudite disposerait de solides alliés partageant ses intérêts géopolitiques. Les Iraniens affirment souvent que les Saoudiens ont parfois tendance à laisser d'autres pays faire leur « sale boulot » à leur place.​​ 

Événements actuels : Cyberpropagande au Yémen​​ 

En 2004, un soulèvement chiite a éclaté dans le nord du Yémen et se poursuit encore aujourd'hui. L’Iran et l’Arabie saoudite sont tous deux impliqués dans cette saga : l’Iran soutenant les rebelles et l’Arabie saoudite conseillant et finançant le gouvernement yéménite à majorité sunnite.​​ 

L'implication saoudienne est passée de simples actions diplomatiques et politiques contre l'implication iranienne à des frappes aériennes contre les rebelles houthis au Yémen fin mars. Cela a déclenché une cyberguerre entre des pirates informatiques affiliés aux deux pays.​​ 

Une semaine après les premières frappes aériennes, on constate une attaque présumée de pirates informatiques saoudiens contre le site web de l'agence de presse iranienne Fars . Cet incident, qui à l'époque constituait un acte isolé de propagande contre une agence de presse largement considérée comme l'organe de presse du gouvernement iranien, n'était que le début.​​ 

Bientôt, une vague d’opérations hacktivistes se propagea. Par exemple, le 13 avril, le compte Twitter d’une chaîne de télévision d’État iranienne (Al-Alam) a été piraté et a publié une fausse annonce concernant la mort du chef rebelle soutenu par l’Iran. La chaîne YouTube d’Al-Alam a également été piraté et a diffusé une chanson louant le roi saoudien, tandis que plus tard dans le mois, le site web du ministère iranien de la Défense a été vandalisé par un hacker saoudien.​​ 

De l’autre côté, un compte Twitter appartenant à une petite compagnie pétrolière saoudienne a été vandalisé et des tweets insultant le roi saoudien ont été publiés (qui ont depuis été supprimés). D’autres sites de presse saoudienne et municipaux locaux ont également été piratés.​​ 

Parmi les nombreuses attaques qui ont eu lieu avec succès rapide, la plus intéressante a été revendiquée par un nouveau groupe hacktiviste de type « Anonyme » appelé l’Armée cyber yéménite (YCA). Leur première attaque revendiquée a eu lieu le 12 avril, lorsqu'ils ont fermé le site web d'Al-Hayat (l'une des plus importantes sources d'information pro-saoudiennes au monde, publiée à Londres). Le groupe a affirmé que cette action était un acte de protestation contre l'intervention saoudienne au Yémen ; il allait bientôt viser une cible encore plus importante.​​ 

L'armée cybernétique yéménite et ses liens avec l'Iran​​ 

Comme mentionné plus haut, l’armée cybernétique yéménite a piraté le site d’information saoudien Al-Hayat le 12 avril. Cet incident a eu lieu alors que d’autres sites saoudiens étaient également ciblés par des acteurs pro-iraniens, tous entre le 11 et le 15 avril.​​ 

Il est intéressant de noter que le groupe YCA présente des similitudes avec d'autres équipes de pirates informatiques iraniens. Le groupe a inclus l'expression « Trancher l'épée de la justice » dans son message Pastebin revendiquant l'attaque du ministère saoudien des Affaires étrangères (voir la page en cache ici et la capture d'écran ci-dessous). Ceci est particulièrement intéressant étant donné que cette même expression unique a été utilisée dans une publication Pastebin par des attaquants contre Saudi Aramco en août 2012, se prétendant « l'Épée tranchante de la justice ». L'attaque contre Aramco aurait été menée en signe de protestation contre la politique du régime Al-Saoud ; cette expression apparaît très rarement sur Internet et semble être caractéristique de ces attaques.​​ 

À l'instar des Qassam Cyber Fighters, de Parastoo et de l'armée cybernétique iranienne, le YCA n'est pas présent sur les réseaux sociaux populaires comme Facebook et Twitter. C'est extrêmement étrange pour un groupe de hacktivistes qui cherche à obtenir du soutien pour sa cause.​​ 

Le YCA utilise le site web QuickLeak.ir, qui est similaire à Parastoo, pour extraire le contenu des violations de données et communiquer. Le site ne reçoit par ailleurs que très peu de publications provenant de groupes hacktivistes. Enfin, il convient de souligner qu'aucune activité des groupes cybernétiques yéménites n'était visible dans les données OSINT avant l'émergence soudaine de la cyberarmée yéménite.​​ 

Le piratage d' Al-Hayat a été révélé en premier lieu par l'agence de presse iranienne Fars dans un reportage « exclusif ». Le média s'est rapidement imposé comme le porte-parole de la YCA. Un mois plus tard (le 21 mai), le YCA a de nouveau fait sa une « exclusivité » en affirmant avoir enfreint les règles de plusieurs agences gouvernementales saoudiennes, dont le ministère des Affaires étrangères. L'intégralité des informations recueillies dans le cadre de cette opération a finalement été publiée par WikiLeaks le 19 juin, à l'occasion du troisième anniversaire de la demande d'asile de Julian Assange à l'ambassade d'Équateur à Londres.​​ 

Nous remarquons également une quantité démesurée de reporting sur le YCA par Fars News (voir ci-dessous). Ce sont de loin les sources les plus en vue, en dehors des publications sur les réseaux sociaux, qui rapportent les activités de la YCA, et, comme mentionné plus haut, elles qualifient à plusieurs reprises les activités de la YCA de rapports « exclusifs ».​​ 

Il n’existe aucune preuve irréfutable dans les données OSINT qui nous permette de relier directement la cyberarmée yéménite à des acteurs iraniens. Cependant, si les attaques sont menées par des pirates informatiques yéménites et non iraniens, une coordination avec des acteurs iraniens semble fort probable compte tenu du calendrier des actions de l'YCA et de son étroite collaboration avec les médias iraniens.​​ 

L’affaire démontre parfaitement comment le cyber est parfait pour mener (ou faire avancer) des guerres par procuration. L’attribution peut être difficile, et il y a une faible barrière à une action efficace grâce à une formation technique, à la fourniture d’infrastructures et à des conseils stratégiques. Comme le montre le cas actuel du Yémen, la lutte continue pour la domination au Moyen-Orient entre l’Iran et l’Arabie saoudite trouve désormais à la fois ses excès physiques et cybernétiques.​​