00:00On revient sur ce piratage de données, c'est quand on regarde le nombre de comptes, on l'a effectivement,
00:06c'est plus de 678 000 comptes, mais il y a les données cadastrales aussi.
00:10Il y a deux choses, parce qu'on est focalisé sur le fisc, Mélanie Bertrand, mais il y a le
00:14fisc et le cadastre, et au total, le cadastre c'est 2 millions de personnes, c'est ça ?
00:19Oui, il me semble, là sur les 678 000, je crois qu'il y a 400 000 de comptes de
00:24particuliers, à peu près, et le reste effectivement c'est sur les entreprises.
00:28Pour les entreprises, c'est sans doute un peu moins dangereux. Pour les particuliers, on l'évoquait à l'instant,
00:32la palette des infractions, elle est malheureusement immense.
00:35Est-ce que je peux me retourner contre l'État ?
00:37Je ne sais pas si c'est moins dangereux pour les entreprises. En fait, je pense que le danger, il
00:41est juste déplacé, il est légèrement différent.
00:43Il est moins personnalisé.
00:44Il est moins personnalisé, quoique on peut quand même s'attendre, je parle sous votre contrôle messieurs, on peut quand
00:50même s'attendre à des attaques beaucoup plus structurées en termes d'ingénierie,
00:55parce qu'on va récupérer de la donnée, on aura fiabilisé, notamment avec le cadastre sur des parcelles, etc.
01:02Et donc on peut sans doute avoir des attaques qui seraient plus compliquées à mettre en œuvre, mais qui auraient
01:07un impact de déstabilisation plus fort pour les entreprises.
01:11Et après...
01:12Est-ce que je peux me retourner contre l'État ? Est-ce que je peux porter plainte contre l
01:15'État ?
01:15D'abord, il faudrait se retourner contre les cybercriminels, parce qu'en réalité, l'État est aussi victime dans cette
01:20histoire.
01:21Il ne faut pas oublier que nous aussi, en tant qu'administrés, on est victime de ça aussi, tous les
01:25deux, que ce soit l'État ou nous-mêmes.
01:27Bien sûr, mais il ne faut pas oublier quand même qu'à la base, il y a des gens qui
01:30commettent une infraction, et c'est quand même vers eux.
01:33D'ailleurs, si vous portez plainte demain, ce sera une plainte contre X. Vous n'allez pas porter plainte contre
01:37l'État.
01:39Est-ce qu'on peut se retourner contre l'État ? Aujourd'hui, c'est difficile de le dire, puisqu
01:42'il faut démontrer une faute ou une inaction.
01:50Si aujourd'hui, on n'a pas l'un ou l'autre pour mettre en cause la responsabilité de l
01:54'État devant le tribunal administratif,
01:56ça va être très difficile de mettre en cause la responsabilité de l'État.
01:58Mais la question n'est peut-être pas de savoir si on peut mettre en cause la responsabilité de l
02:03'État
02:03pour récupérer une somme qui ne sera sans doute pas aussi importante que si nous étions, par exemple, aux États
02:10-Unis,
02:10puisqu'on n'a pas les mêmes modes de sanctions.
02:12En revanche, moi, ce que je trouve important, c'est qu'aujourd'hui, on a une loi qui est bloquée,
02:18qui n'avance pas sur la transposition de Nice 2.
02:21Alors, il faut expliquer ce que c'est.
02:22C'est une directive européenne sur la protection, justement, sur la cybersécurité.
02:27Exactement, sur la cybersécurité qui, en fait, aujourd'hui, est une protection qui existe déjà,
02:33mais pour les grands organismes, pour les OIV, et donc qui existe déjà.
02:37Là, elle s'étend et on attend une loi de transposition.
02:40Et aujourd'hui, cette loi de transposition, on le voit, elle est indispensable pour faire avancer les choses
02:45et pour qu'y compris l'État, en fait, prenne la mesure des actions.
02:50Je veux bien mettre, mais aujourd'hui, le piratage, la cybercriminalité, c'est pas tombé avant-hier.
02:56Donc, on est d'accord.
02:58Donc, l'État a besoin, on a besoin d'une transposition de loi pour mettre le paquet sur la cybersécurité.
03:03A savoir que la DGF a déjà été piratée, il y a en début d'année, notamment avec les documents
03:08de FICOBA,
03:09donc les fichiers bancaires.
03:10Il y a eu plusieurs millions de numéros qui ont été retirés avec les informations des titulaires,
03:15la banque et tout ce genre d'informations, qui, une fois regroupées, est catastrophique.
03:19Donc, l'ANTS aussi a été piratée.
03:21Donc, ça veut dire que les moyens auraient pu être déployés bien avant et que ça n'a pas été
03:24fait.
03:24L'agence a su à des titres sécurisés, c'est tout ce qui est passeport, carte d'identité et autres.
03:28C'est dramatique.
03:29Ça veut dire qu'on est au courant qu'il y a eu des failles dans le passé,
03:32mais rien n'a été déployé pour éviter que ça ne se reproduise, de ce que moi, je comprends.
03:36Et là, de ce que moi, je comprends également dans la communication de Bercy sur cette fuite de données,
03:41c'est qu'ils ne précisent pas qu'ils ont été mis au courant de la fuite de données et
03:45qu'ils l'ont détectée.
03:46Et ils ont communiqué suite au communiqué de Zero Byte.
03:50Pourquoi ? Parce qu'eux-mêmes ne l'avaient pas détecté.
03:52Ils n'ont pas pu le détecter.
03:53Selon leurs mots, c'est parce que c'était un procédé qu'ils n'avaient encore jamais vu.
03:57Alors, quel est ce procédé, justement ? Est-ce qu'on peut l'expliquer ?
03:59Sans être trop technique.
04:00Sans être trop technique.
04:01Bercy et dans la communication du ministre, David Amiel, il parle d'une attaque sophistiquée.
04:07Je suis désolé, on est très, très, très loin d'être en face d'une attaque sophistiquée.
04:11Une attaque sophistiquée, ça aurait peut-être pu être ce qui s'est passé il y a quelques semaines de
04:14ça,
04:15du côté de chez OpenAI, un autre géant de l'intelligence artificielle,
04:18où il y a leur intelligence artificielle qui s'échappe de sa prison dorée,
04:22qui se connecte à Internet et va pirater une autre entreprise,
04:25revient ensuite au Berkay.
04:26Ça, on est sur une attaque sophistiquée.
04:28Et là, ce qui s'est passé, c'est qu'il y a eu un compte qui a été volé.
04:31D'ailleurs, lorsque je discutais avec ce cybercriminal en lui disant
04:33« Est-ce que la cyberattaque sur la DGFIP était préméditée ? »
04:37Il me répond que c'est totalement par hasard parce qu'il trouve le compte d'un agent de la
04:42DGFIP
04:42et qu'ensuite, il peut se connecter à son insu.
04:45Et comment il arrive à se connecter à son compte ?
04:47En fait, aujourd'hui, hélas, je pense que pour vous,
04:50je pense aussi que pour pas mal de gens qui nous regardent,
04:52on retrouve facilement leurs identifiants de connexion dans ce qu'on appelle des lignes.
04:56Donc, c'est simplement votre nom, votre adresse mail, votre mot de passe et une URL
05:00parce que vous avez cliqué sur des liens,
05:02parce que vous êtes connecté à des sites auxquels vous ne devriez pas vous connecter.
05:07Et donc, on récupère vos identifiants.
05:09Et ils sont vendus vraiment à quelques centimes d'euros, donc par lot.
05:12Et donc ça, aujourd'hui, vous avez des cybercriminels qui les récupèrent
05:14et ensuite se connectent derrière.
05:16Après, il y a aussi un autre sujet par rapport à l'État,
05:18c'est qu'on se rend compte que lorsque la CNIL,
05:20qui est vraiment la Commission nationale informatique et liberté,
05:24préconise depuis avril 2025 de venir instaurer ce qu'on appelle du MFA.
05:28Donc, du MFA, pour faire très simple,
05:29ici, on a tous fait des achats Internet autour de la table
05:33et on reçoit la plupart du temps un code à quatre chiffres ou à six chiffres
05:37de se rendre compte qu'aujourd'hui,
05:39il n'y a pas vraiment ces différents dispositifs-là qui sont mis en place.
05:42Ça pose en effet question.
05:43Et surtout, ça pose un peu la responsabilité de l'État.
05:46Est-ce que les différentes administrations ont tout mis en œuvre pour nous protéger ?
05:51Si c'était le cas, ce serait vraiment une faute de l'État
05:55vis-à-vis de la sécurité et des mesures minimum.
05:58J'ai vraiment, on passe notre temps à le dire aussi dans les administrations
06:01pour lesquelles on travaille et dans les entreprises.
06:03Maître, ce que le ministre dit, c'est que là, il incite fortement
06:07que prochainement, il y ait un peu du MFA.
06:09Non mais ça, c'est absolument...
06:11Enfin, je n'ai pas entendu ça, mais vraiment, si c'est le cas...
06:13C'est un aveu d'impuissance et d'échec.
06:14Non mais là, c'est un manque d'hygiène.
06:17En termes d'hygiène, c'est zéro.
06:20Ça veut dire qu'en termes d'hygiène, ce qu'on préconise,
06:23ce sont des mesures qui sont vraiment...
06:25Enfin, qui sont en plus faciles à mettre en œuvre.
06:27Alors, je dirais même qu'à l'heure actuelle, dans les tribunaux,
06:30les magistrats se connectent sur leur espace
06:32via une carte d'authentification,
06:34à même l'ordinateur, comme on a dans les gendarmeries.
06:36Ça veut dire que, plutôt que même d'avoir un code à usage unique
06:39qui change toutes les 30 ou les 60 secondes,
06:41mais pourquoi est-ce qu'on ne met pas en place
06:43un système d'authentification biométrique, par exemple,
06:45avec une carte à puce, où on est le seul à en avoir le code
06:48et la possibilité de mettre la main dessus ?
06:50Pourquoi ça n'est pas mis en place ?
06:52C'est utilisé dans les armées,
06:53c'est utilisé dans les administrations un minimum sérieuses,
06:56et ça n'est pas fait.
06:58Pourtant, ça ne coûte quasiment rien à mettre en place.
06:59C'est une carte à puce programmable.
07:01C'est le même principe qu'une carte bancaire.
07:04Alors qu'on nous présente la direction générale des finances publiques
07:07comme étant l'un des bastions où toutes les mesures sont prises,
07:10où on a le plus de données sensibles, quoi, finalement.
07:12Mais ils parlent de déployer ça.
07:13Ça veut dire quoi ? Qu'ils étaient en dessous de tout ?
07:15Non, mais clairement, si je vous dis, est-ce qu'ils sont en dessous de tout ?
07:18Ils sont en dessous de tout, parce que le problème réel ici,
07:21c'est qu'il y a un manque d'investissement en sécurité.
07:24On ne peut pas lésigner sur les moyens
07:26quand on parle de l'intégralité des personnes qui payent des impôts en France.
07:29On ne peut pas mettre ça de côté.
07:30Il faut mettre une authentification à double facteur forte.
07:34Parce que même si on reste sur une authentification sur l'ordinateur
07:37ou sur le téléphone, qui nous dit que le téléphone ne peut pas être volé,
07:39piraté, et ainsi de suite, il faut quelque chose qu'on ne peut pas intercepter.
07:43Et à ce moment-là, si c'est une carte que l'on a toujours sur soi,
07:46sur notre portefeuille, que l'on peut déclarer volé à tout moment,
07:49on a un minimum de sécurité quand même.
07:51Là, ça craint un petit peu, en fait.
07:53– Surtout qu'on nous pousse de plus en plus vers la dématérialisation.
07:57Justement, on nous dit qu'il faut tout avoir sur le portable.
08:00Il y a des applis pour les impôts, il y a des applis pour la sécurité sociale,
08:03pour la carte vitale.
08:04Donc, on commence à se dire qu'on est tous piratables, de toutes les manières.
08:09– Non, mais c'est pour ça que le sujet, je pense que ce n'est pas uniquement
08:14d'un point de vue financier, c'est aussi une problématique de compréhension de l'enjeu.
08:18– Mais ça, nous, on l'a compris.
08:20– Oui, mais les politiques ne l'ont pas compris.
08:22– Je me permets d'insister, c'est pour ça que j'ai parlé de la loi Résilience
08:25et que je parle de la transposition, c'est que c'est un problème de compréhension
08:28de l'enjeu, de l'effet de masse que ça va avoir comme la conséquence
08:35sur l'effet de masse, en fait.
08:36Parce que vous parliez tout à l'heure des gens qui sont hyper fortunés.
08:39OK, mais c'est combien de personnes sur la totalité ?
08:42Sans doute un nombre important ou bien négligeable.
08:45Mais si c'est 20 euros sur l'intégralité des autres comptes,
08:48mais le volume financier que ça génère chez un cyberattaquant,
08:52qui du coup va lui-même financer d'autres actions qui peuvent être liées au terrorisme, etc.
08:58En fait, c'est ça le sujet.
08:59Et donc c'est cette cascade-là qui, à mon avis, est assez peu comprise
09:05des gens dont ce n'est pas le métier à la base.
09:08Et vraiment, j'invite nos politiques à vraiment se faire conseiller
09:11par des gens qui maîtrisent ce sujet.
09:13On a de bon là, on a de bon.
09:15Et c'est là où nos politiques sont peut-être totalement un peu démago.
09:18Lorsque vous voyez qu'aujourd'hui, on est en train de vouloir faire voter une loi
09:22par rapport à l'interdiction des réseaux sociaux au moins de 15 ans.
09:25Qui heureusement a été censurée d'ailleurs.
09:26C'est une catastrophe, ça.
09:27Qui a été censurée, mais qui reviendra peut-être par d'autres moyens.
09:30Et de se dire, il se passe quoi si demain, une telle loi venait à être votée
09:34ou d'autres choses un peu comme Tchad Control.
09:36À un moment donné, on donne quand même de plus en plus d'informations
09:38à des tierces parties.
09:39Et que cette tierce partie se fait pirater avec l'équivalent
09:41de plusieurs milliers ou millions de pièces d'identité
09:44et des visages, y compris d'adolescents.
09:47Il y a peut-être moyen un peu de repenser absolument tout ça.
09:50À un moment donné, on parle beaucoup des ingérences étrangères.
09:52Et je pense que la Russie doit bien se gausser
09:54quand elle voit actuellement ce qui est en train de se passer
09:56au niveau de la France.
09:57Merci de nous avoir aidé à comprendre l'ampleur de ce piratage
10:01dont on n'a pas fini de mesurer les conséquences.
10:03C'est ce que l'on retient à travers ce que vous venez de nous dire.
Commentaires