Les pirates du marché carbone

Holcim, première victime d'un piratage en quelques clics.
©

Des hackers ont dérobé, à la mi-janvier, près de 3 millions de quotas de CO2 dans cinq pays européens, conduisant à la suspension de toutes les transactions sur le marché au comptant. Un casse qui laisse les acteurs du marché en plein désarroi.

Réveil difficile. Après deux semaines de suspension, les transactions sur le marché européen du carbone reprennent. Banquiers, industriels et intermédiaires financiers restent groggy : des escrocs se sont invités au banquet des quotas de CO2. Leur butin s'élèverait à au moins 50 millions d'euros. Un piratage informatique inédit qui a poussé la Commission européenne à geler les opérations au comptant dans les 30 pays soumis au système d'échange de quotas.

Petit retour en arrière pour comprendre cette arnaque. Le 30 novembre 2010 : le cimentier suisse Holcim annonce que des hackers ont usurpé son identité et dérobé 1,6 million de quotas de CO2 sur le compte carbone de sa filiale roumaine. Montant estimé de la perte : 15 millions d'euros. L'affaire aurait pu passer inaperçue. Mais à la mi-janvier, cinq pays font les frais de braquages informatiques. Après l'Autriche, l'Estonie, la Grèce et la Pologne, c'est au tour de la République tchèque. Le 18 janvier, à 12 heures 30, la police reçoit une alerte à la bombe. Elle vise les bâtiments du registre tchèque des quotas de CO2. Durant leur évacuation, qui dure trois heures, les cybercriminels s'emparent de 1,3 million de quotas.

Le modus operandi paraît simple : les criminels neutralisent les systèmes de sécurité informatique et s'introduisent dans les registres nationaux, sortes de livrets comptables référençant toutes les opérations liées aux quotas. Une fois les comptes vidés en quelques clics, les quotas sont transférés et revendus en Estonie, au Liechtenstein, en Suède... Près de 3 millions de quotas se sont ainsi volatilisés en quelques jours.

Des pistes mafieuses

Peu d'industriels reconnaissent avoir été victimes de ces vols. Les énergéticiens CEZ et RWE, la filiale grecque du cimentier Italcementi, le papetier Drewsen Spezialpapiere l'ont fait savoir et attendent de revoir la couleur de leurs quotas. Soutenus par Interpol et Europol, les services de police de chaque pays pistent les quotas afin de stopper leur revente. Chacun d'entre eux est identifié par un numéro de série comme les billets de banques, ce qui a déjà permis d'en restituer une partie. Le hic : tous les acteurs du marché carbone n'ont pas accès à la liste complète des quotas volés. Bluenext, la bourse carbone implantée à Paris, a réussi à élaborer un logiciel interdisant l'entrée dans son système de certains quotas dérobés. La traque des escrocs ne fait que commencer. « Notre hypothèse est que les récentes attaques sont liées au crime organisé. Nous suspectons les personnes derrière ces attaques d'avoir un lien avec les individus responsables des vols précédents [notamment des arnaques à la TVA, ndlr]. Cependant, le mode opératoire est plus sophistiqué », affirme Rob Wainwright, le directeur d'Europol. D'autres acteurs évoquent des pistes mafieuses en Israël, au Pakistan, en Italie et en Roumanie.

Quoi qu'il en soit, les malfaiteurs ont su profiter des fragilités du marché carbone, lancé en 2005. Chaque État membre est responsable de la sécurité de son registre, mais les mesures de protection demeurent très inégales d'un pays à l'autre. Certains se contentaient d'un simple identifiant et d'un mot de passe... La Commission européenne estime d'ailleurs qu'une quinzaine de pays n'ont pas pris les mesures de sécurité adéquates. Elle attend désormais des garanties avant d'autoriser la réouverture de tous les registres, ce qui pourrait prendre plusieurs mois. « Alors que la sécurité des banques en ligne a été renforcée, les États membres ont échoué à protéger un marché de 80 milliards d'euros », confirme l'Association internationale pour l'échange de droits d'émission. Même s'ils n'ont dérobé que 0,02 % des quotas du marché, les pirates ont réussi à semer la panique. « Nous réfléchissons à renforcer la sécurité informatique pour diminuer le risque de fraude interne », explique Vincent Majes, le directeur Initiatives changement climatique chez Lafarge. Il y a aussi la crainte d'acquérir à son insu certains de ces quotas volés encore en circulation. Avec le risque d'être poursuivi pour recel ! « Certains de nos clients savent qu'ils possèdent des quotas volés. Vont-ils être remboursés s'ils doivent les rendre ? », demande Stéphane Colin, le directeur général de Sagacarbon, société spécialisée dans la gestion et la négociation de quotas de CO2. Pour plus de sécurité, il faudra attendre 2013 et l'harmonisation du système avec la mise en place d'un registre unique européen. Pas sûr que cela suffise à éloigner les escrocs...