Blackhat (2015), de Michael Mann, suit un hacker condamné, libéré pour traquer l’auteur d’une attaque contre une centrale nucléaire à Hong Kong. Conseillé par d’anciens hackers comme Kevin Poulsen, le film montre avec justesse l’hameçonnage ciblé, les clés USB piégées et les attaques d’automates industriels inspirées de Stuxnet. Il force le trait ailleurs, avec une clé de chiffrement cassée en quelques secondes, et a été un échec en salles malgré ces qualités.
Boudé par le public à sa sortie, Blackhat a pourtant été salué par des experts en sécurité pour la justesse de ses scènes de piratage. Voici notre critique et le tri entre le vrai et le faux.
Sommaire
La fiche du film
| Réalisation | Michael Mann |
| Scénario | Morgan Davis Foehl |
| Sortie | Janvier 2015 aux États-Unis |
| Avec | Chris Hemsworth, Tang Wei, Viola Davis, Wang Leehom |
| Conseillers techniques | Kevin Poulsen et Christopher McKinlay, anciens hackers |
| Budget et recettes | 70 millions de dollars de budget pour 19,7 millions de recettes |
L’histoire
Un pirate provoque un accident dans une centrale nucléaire à Hong Kong, puis manipule les cours du soja à la bourse de Chicago. Les enquêteurs découvrent que son logiciel reprend un code écrit des années plus tôt par Nicholas Hathaway, un hacker emprisonné aux États-Unis. Celui-ci est libéré sous condition pour aider le FBI et les autorités chinoises à remonter la piste, de Hong Kong à Jakarta.
Ce que le film montre de vrai
Plusieurs scènes s’appuient sur des techniques bien réelles :
- Les automates industriels. L’attaque contre la centrale modifie les automates qui pilotent les pompes, comme l’avait fait le virus Stuxnet contre les centrifugeuses iraniennes.
- L’hameçonnage ciblé. Hathaway piège un employé de la NSA avec un e-mail personnalisé qui l’incite à changer son mot de passe.
- La clé USB piégée. Une clé abandonnée ou remise à la bonne personne suffit à infecter un poste.
- L’ingénierie sociale. Les personnages obtiennent plus d’informations en manipulant des gens qu’en tapant du code.
Ces méthodes sont toujours utilisées contre les entreprises, comme nous l’expliquons dans notre article sur l’ingénierie sociale en entreprise.
Ce qui est exagéré
Le film prend des libertés pour garder le rythme :
- une clé de chiffrement de 512 bits cassée en une dizaine de secondes par un supercalculateur de la NSA ;
- une clé d’authentification présentée comme une simple clé USB de stockage ;
- l’analyse d’un logiciel malveillant dans un éditeur de texte, là où les chercheurs utilisent des outils spécialisés ;
- un passage direct de l’ordinateur d’un agent de sécurité au réseau interne d’une banque, normalement isolé.
Pour quel public ?
Blackhat est d’abord un film d’action, avec des fusillades et des scènes violentes. Il convient plutôt aux adultes et aux grands adolescents qui s’intéressent au piratage. Pour découvrir le vrai métier de ceux qui testent les systèmes, lisez notre fiche Pentester, et retrouvez d’autres films dans notre sélection.
Sources
- Wikipedia, Blackhat (film)
- SentinelOne, How technically accurate is Blackhat the movie?
