00:00Et après les données fiscales de particuliers et de professionnels, le fisc confirme donc le vol de millions de données,
00:05notamment liées aux successions.
00:07C'est un été encore sous haute tension sur le plan de la cyber. On en parle avec notre invité
00:11ce matin. Bonjour Benoît Grumnenwald.
00:13Bonjour.
00:13Merci d'être avec nous et de nous accompagner ce mercredi. Vous êtes expert en cybersécurité chez EZ.
00:20Benoît, d'abord, qu'est-ce que ce piratage dit de l'état de sécurisation et du niveau de protection
00:25de nos données ? C'est quand même assez inquiétant.
00:27Alors, si on parle du point de vue entreprise, ça dit qu'il y a aussi beaucoup d'attaques qui
00:34sont menées contre les entreprises privées.
00:37Si on regarde du côté de l'État, effectivement, depuis le début de l'année 2026, on peut considérer qu
00:42'il y a à peu près 14 attaques qui ont été significatives.
00:47Ça montre qu'il y a effectivement des accès qui sont non autorisés et qui résultent de fuites de données,
00:53de violations de données, comme on dit au niveau de la CNIL.
00:56Et qui sont effectivement peut-être un petit rappel à ceux qui disent « je n'ai rien à cacher
01:02».
01:02Peut-être qu'il y a une prise de conscience maintenant du numérique et de son importance qui devrait commencer
01:07à poindre dans les esprits.
01:09Mais là, sur des services et des plateformes qui sont quand même censées, en tout cas dans nos esprits, être
01:13ultra sécurisés, inviolables.
01:16Et on se rend compte que les dégâts, quand même, ils sont assez énormes.
01:22On parle de millions de données quand même personnelles, alors plus ou moins sensibles, mais en tout cas des données
01:27personnelles, confidentielles.
01:28Oui, alors plus ou moins sensibles.
01:29Détenues par l'État.
01:30Détenues par l'État et plus ou moins sensibles parce qu'en fait, c'est la fusion de ces données
01:34qui, au final, va donner une méga base,
01:37qui va faire que nos profils, avec des fuites de données liées à des opérateurs de téléphonie,
01:42où parfois on avait des relevés d'identité bancaire,
01:44et puis les données fiscales où on va savoir quel est notre taux d'imposition,
01:48c'est ce croisement de données qui, au final, est fortement problématique.
01:52Bon, donc le gouvernement qui dit que le piratage a eu lieu il y a quelques semaines,
01:55mais qui vient seulement d'être circonscrit, est-ce qu'on en sait plus sur le profil des hackers ?
02:00Alors, les attaquants ont un profil assez singulier
02:03et qui est révélateur de ce qui se profile dans l'industrie du cybercrime,
02:08dans son industrialisation et dans sa façon de fonctionner.
02:12Selon les discussions qui ont eu lieu avec ces personnes,
02:15il semblerait qu'elles soient françaises, francophones en tout cas, ça c'est sûr,
02:19qu'elles soient a priori installées à l'extérieur de la métropole,
02:24et elles sont surtout a priori assez jeunes.
02:26Et c'est un profil que l'on avait retrouvé déjà dans des groupes d'attaquants
02:31qui, eux, ne font pas de l'exfiltration de données pour l'exfiltration,
02:34mais plutôt du rançongiciel.
02:35Je pense à des groupes comme Lapsus ou Scattered Spider,
02:38où il y avait eu des arrestations,
02:39et ces arrestations ont montré qu'il y avait parfois même des mineurs dans ces groupes
02:43et des nationalités diverses et variées,
02:46notamment anglaises et ou brésiliennes pour Lapsus.
02:49Mais Benoît Grenemval, est-ce que ce n'est pas d'autant plus préoccupant
02:52de dire que ce sont des mineurs qui arrivent à détruire ces systèmes-là ?
02:58On parle quand même du fisc en l'occurrence,
03:00mais il y a eu aussi l'éducation nationale.
03:03Ce n'est pas des grandes organisations internationales.
03:06On est d'accord.
03:06On ne fait pas face à des groupes d'attaquants sponsorisés par des États
03:09avec des moyens quasiment illimités.
03:11On fait face à des jeunes qui ont de l'ingéniosité,
03:15qui n'ont peut-être pas une compétence technique très avancée.
03:19On ne les a pas vus développer des logiciels malveillants,
03:21extrêmement puissants,
03:22et ou faire de la rétro-ingénierie sur des logiciels et ou des matériels.
03:27Ils utilisent la ruse.
03:28Ils utilisent également un socle de la cybercriminalité
03:32qui s'organise très bien,
03:34où on voit qu'on peut acheter ou générer des accès légitimes.
03:38C'est bien souvent le cas.
03:39Ou utiliser des failles, on a vu, de type IDOR,
03:42c'est-à-dire de faire en sorte que lorsque l'on a un identifiant
03:46dans une barre d'adresse, on va le modifier.
03:48On ne devrait pas, mais pourtant, on va accéder au compte de quelqu'un d'autre.
03:52Donc, on est sur quelque chose qui est assez simple.
03:55Certainement que pour les identifiants, il y a une raison,
03:58c'est l'ouverture liée à la Covid.
04:01C'est-à-dire que le bastion des systèmes d'information
04:04tels qu'ils avaient été pensés, qui fonctionnaient plutôt bien auparavant,
04:09se retrouve avec un certain nombre de portes d'entrée,
04:11de portes ouvertes, qui vont permettre à des tiers,
04:14mais également à des agents de travailler à distance,
04:16de se connecter depuis chez eux et de pouvoir continuer à travailler.
04:20Est-ce que les données bancaires sont mieux protégées que le reste ?
04:22Parce que là, on n'a pas parlé de données financières,
04:25c'est plutôt des données personnelles, des adresses,
04:29mais pas de données bancaires.
04:30Ça veut dire que le niveau de sécurisation est différent ?
04:34Alors, il y a les données bancaires détenues par les banques
04:37et les services financiers, qui, eux, depuis très longtemps,
04:40apportent un soin particulier et certainement mettent des budgets
04:43et considèrent leurs données bancaires comme extrêmement sensibles,
04:46ce que confirme d'ailleurs le règlement DORA,
04:50qui entre en application pour protéger ce secteur en particulier.
04:54Et on voit aussi,
04:55alors je ne connais pas complètement le système des impôts,
04:58mais on voit aussi qu'il y a quand même une certaine segmentation
05:01dans les différentes bases,
05:03qu'on n'a pas une méga base de l'État
05:05et que ça nous permet de tout sortir.
05:07On se souvient de l'attaque notamment sur l'ANTS.
05:10L'ANTS, le pirate, n'a pas accédé au cœur du système.
05:13Il n'a pas pu générer des titres d'identité.
05:17Il a récupéré des informations qui étaient accessibles,
05:20entre guillemets, plutôt facilement,
05:22mais en tout cas, il n'est pas descendu jusqu'au cœur du système.
05:24Alors, on voit que les entreprises aussi sont attaquées.
05:27Nous étions hier sur ce plateau avec le directeur général de Bureau Valet,
05:32l'entreprise française fourniture de bureaux,
05:35qui a elle aussi été attaquée,
05:37et visiblement par les mêmes hackers.
05:40C'est, pour le coup, avec des conséquences qui restent
05:44sur des vols de données personnelles,
05:47pas de paralysie du système,
05:50contrairement à ce qu'on a pu voir au Royaume-Uni avec Jaguar,
05:53ce qu'on a pu voir aussi dans une usine de fabrication de bière au Japon
05:55il y a quelques mois.
05:57Les conséquences, elles peuvent être quand même très importantes économiquement,
06:01avec parfois des conséquences sur le PIB même du pays.
06:06Est-ce qu'on est suffisamment aguerris en France ?
06:09Enfin, la France qui est quand même plutôt bien classée,
06:11qui a un certain nombre de dispositifs de protection cyber.
06:14Malgré tout, le risque zéro n'existe pas.
06:16Mais comment est-ce qu'on peut aller plus loin dans la sécurisation,
06:19avec peut-être de l'intelligence artificielle ?
06:20On parle beaucoup du quantique.
06:22Tout ça va permettre d'aller plus loin, mais on n'y est pas encore.
06:25Alors, on n'y est pas encore.
06:27Avant d'aller jusqu'au quantique, je dirais,
06:29et si on reprend les quelques exemples des attaques qui ont fait l'actualité
06:34sur cette dernière année,
06:35on s'aperçoit quand même qu'il y a un certain nombre de bases
06:38qui mériteraient d'être revues.
06:41Une faille IDOR, par exemple,
06:44ou une attaque via un compte légitime sans authentification multifacteur
06:50n'a pas besoin du quantique ni de l'intelligence artificielle.
06:53Donc, reprendre ces bases, d'ailleurs elles existent,
06:55elles sont parfaitement documentées.
06:57Il y a ISO 27001, il y a l'ANSI qui produit des guides
07:00qui sont accessibles en quarantaine de mesures, par exemple.
07:04Et puis ensuite, il y a la surveillance.
07:07Parce que si ces applications et ces systèmes d'information
07:11peuvent produire des traces, ce qui n'est pas toujours le cas,
07:14mais ça peut se palier,
07:15eh bien il faut qu'il y ait des professionnels de la sécurité,
07:18et là, effectivement, généralement accompagnés par l'intelligence artificielle,
07:21parce qu'il y a énormément de traces
07:22qui vont analyser les comportements suspects.
07:25Ça veut dire que si monsieur ou madame Martin
07:28a un login et un mot de passe qui se connectent à 23 heures,
07:32et qu'ensuite il commence à scanner le réseau
07:34pour chercher d'autres ordinateurs disponibles ou des serveurs,
07:38eh bien là, ça doit éveiller les soupçons
07:40de ce que l'on appelle le Security Operation Center,
07:43c'est-à-dire ceux qui surveillent au quotidien
07:45le fonctionnement des systèmes d'information,
07:47et surtout leur cybersécurité.
07:48Et est-ce qu'en tant que particulier,
07:50on peut aussi faire mieux pour se protéger,
07:52pour diminuer le risque ?
07:54Alors oui, on n'a pas d'emprise sur une fuite de données
07:57telle que celle des impôts, on n'a pas d'emprise.
07:59Par contre, on va pouvoir réagir,
08:01et on va pouvoir agir.
08:02C'est ce qu'on appelle l'hygiène informatique.
08:04On a le permis de conduire,
08:05on a un certain nombre d'éléments qui font que
08:07quand on prend sa voiture,
08:08on est plus ou moins en sécurité.
08:10Eh bien ça va être la même chose pour le numérique.
08:12Ça me fait penser à ceux qui disaient
08:14il y a encore quelques années,
08:14je n'ai rien à cacher.
08:16On voit qu'aujourd'hui,
08:17quand les informations qui nous concernent,
08:19telles que les impôts, sortent,
08:20ça fait quand même mal.
08:23Donc il faut soi-même faire en sorte
08:25d'avoir un bon gestionnaire de mots de passe,
08:27avoir l'authentification multifacteur
08:29sur la majorité de ses comptes.
08:30Respecter finalement,
08:31c'est transposer ces 40 règles d'hygiène de l'ANSI
08:35à son propre usage,
08:37mettre à jour ses systèmes d'information
08:38et se documenter.
08:40Se documenter sur des blogs,
08:43sur des sites qui sont bien souvent accessibles.
08:45Nous en avons un,
08:46il s'appelle willivesecurity.com.
08:48Il y a le site de cybermalveillance.gouv.fr,
08:51celui de l'ANSI un petit peu plus ardu,
08:54mais tout aussi disponible.
08:56Et surtout, si on a des questions,
08:57il y a le 17 cyber.
08:59Merci beaucoup pour toutes ces explications
09:02et ces rappels importants.
09:03Avec nous ce matin,
09:04Benoît Grenemval,
09:05expert en cybersécurité chez EZ.
09:07Sous-titrage Société Radio-Canada
Commentaires