La France est-elle prête à se défendre contre la menace cyber ?

J'ai décidé de consacrer cette émission aux cybermenaces parce qu'il y en a plusieurs par semaine, ça passe, on y fait de moins en moins attention alors qu'elle cause beaucoup de dégâts. Avec vous, Guillaume Poupard, bonjour, vous êtes un grand spécialiste de ces cybermenaces, vous avez dirigé l'Agence Nationale de la Sécurité des Systèmes d'Information de 2014 à 2022, vous êtes coprésident du Conseil de l'Intelligence Artificielle et du Numérique, vous avez publié une note sur la cyber, Elia, on va y revenir, et vous êtes aujourd'hui Chief Trust Officer chez Orange. Voilà, je peux traduire ça comme Directeur de la Sécurité. De la Confiance. De la Confiance.

Bon, et par conséquent, vous êtes l'interlocuteur adéquat pour nous expliquer par exemple en quoi consistait cette dernière attaque, qui n'est qu'une attaque parmi d'autres, mais bon, qui témoigne de nos fragilités dans ce domaine. Donc, elle a touché le site ANTS que les auditrices et les auditeurs connaissent, parce que c'est le site qu'on utilise pour obtenir des papiers d'identité. Et donc, c'est un site qui contient à peu près toutes les informations sur les Français.

C'est un site sur lequel on s'enregistre avec son nom, son prénom, sa date de naissance, de manière à préparer un dossier pour ensuite avoir des papiers d'identité. C'est un site internet, comme il y en a beaucoup. Je ne sais pas vous, mais moi, je passe mon temps à créer des comptes pour acheter sur internet. C'est le monde numérique dans lequel on vit, il y a beaucoup d'avantages. Avec des mots de passe. Il faut mettre des mots de passe, on pourra y revenir, c'est un autre sujet, ces mots de passe. Mais le gros problème de ces sites internet, c'est qu'ils sont, c'est une sorte de vitrine, en fait.

C'est quelque chose qui est très exposé sur l'extérieur, qui est très ciblé par les attaquants. Et ce qui s'est passé avec la NTS se passe malheureusement, comme vous l'avez dit, plusieurs fois par semaine, avec des enseignes commerciales, avec des fédérations sportives, avec plein de gens qui sont attaqués. Les conséquences, c'est quoi ? La réaction initiale, c'est comme la consternation, parce qu'on s'attend quand même à ce que les données que l'on met sur internet soient protégées. C'est la moindre des choses, c'est la loi. Il y a de vraies obligations, notamment avec le RGPD, sur la protection des données personnelles.

Mais en pratique, ce qu'il faut bien comprendre, c'est que toutes ces attaques font que votre nom, votre prénom, votre date de naissance, plus grave, votre adresse mail, voire votre adresse postale, sont aujourd'hui sur internet. J'ose même pas dire Darknet, parce que c'est une manière de se rassurer, mais c'est très accessible. Et donc, il y a tous les escrocs de la planète qui peuvent utiliser ces données pour chercher ensuite à vous faire de mauvais coups. Donc c'est ça qui est vraiment embêtant, en pratique.

Dans le cas de la NTS, il y a 12 millions de comptes qui auraient fuité. En quoi a consisté l'attaque ? Est-ce qu'on en sait plus, Guillaume Poupard, sur ce qui s'est déroulé ?

Moi, je ne suis pas dans le secret, mais de ce qui ressort finalement des sources ouvertes, c'est le fait qu'il y avait une vulnérabilité dans ce site internet qui fait que l'attaquant a pu énumérer un petit peu tous les comptes et récupérer comme ça ses noms. Les mots de passe, je ne suis pas sûr, mais dans le doute, je conseille à tout le monde de les changer. De toute manière, quand il y a le moindre doute, il faut changer les mots de passe. Mais il faut surtout faire très attention, parce que si vous êtes contacté par SMS ou par mail, par quelqu'un qui semble vous connaître, en ayant justement ce genre d'informations, il faut plus que jamais être paranoïaque.

Ça va forcément continuer à se produire. Ça se produit déjà, de toute manière. Justement, ça sert à quoi de pirater la NTS ? Ça sert à ça. Ça sert à préparer de futurs escroqueries. Ce ne sont pas des attaques très complexes, malheureusement. C'est d'autant plus agaçant, probablement. C'est vraiment de la petite criminalité. Je ne sais pas, il y a des fois, les auteurs, si les attaques se font attraper, il y a des fois, on tombe sur des gamins ou des ados. On est encore à ce niveau-là, on est en attaque sur les services russes.

On peut être ados et très habile pour craquer des...

Oui, mais non. Ce genre de sites doivent résister à ce genre de menaces.

Je n'ai pas dit que c'était normal qu'ils ne résistent pas.

Il y a des gens très doués. La question n'est pas là. Les outils sont très accessibles sur Internet. Quelqu'un qui veut se lancer dans ce genre d'activités totalement illégales peut assez facilement se former et trouver les choses. Non, ce qu'il faut vraiment, c'est impérativement, du côté des sites eux-mêmes, renforcer la sécurité. On ne le dira jamais assez, même si, on voit bien, elle n'est pas du tout à 100% cette sécurité. Et de l'autre, que chacun est conscient du fait que ces données sont malheureusement en liberté, on va dire, et utilisables par tout le monde.

Mais alors, pour craquer un site comme celui de la NTS, on ne va pas donner un tuto, mais on s'y prend comment ? Comment est-ce que vous avez compris comment ces pirates s'y étaient pris, par exemple ?

On ne va pas forcément rentrer dans le détail technique, mais vous savez, quand vous êtes sur Internet, il y a une adresse, il y a une URL. Bon, cette URL, en général, ça donne le nom du site et puis quelques éléments. Et puis derrière, il y a des éléments techniques qui peuvent être transmis. Donc là, manifestement, il y a une erreur de sécurisation dans la gestion de ces données, ce qui fait qu'un attaquant qui avait une URL, donc une adresse valide, et qui modifiait les données à la fin, pouvait accéder aux données d'autres personnes auxquelles il n'aurait pas dû avoir accès. Donc, c'est pour ça que je parle d'énumération.

C'est un truc assez classique, malheureusement, c'est d'autant plus agaçant. Ça fait partie des failles, normalement, qu'on regarde en premier quand on fait un audit de sécurité. Donc là, il faudra, moi, je ne suis pas dans le secret, mais il faudra évidemment que les enquêtes qui sont en ce moment diligentées comprennent comment ce genre de failles a pu se produire sur un site aussi en vue, quelque part, que celui de la NTS.

Et donc, ensuite, les données sont utilisées par ceux qui les ont craquées

ou elles sont revendues, ou les deux ? Les deux, elles sont revendues plutôt. Il y a tout un business, en fait, de gens qui vendent des données. Je peux acheter des données, donc des masses de données ? Ce n'est pas très dur. Ce n'est pas très dur. C'est cher ? Ce n'est pas si cher que ça, voire même, il y a des gens qui s'amusent. Parce qu'une fois que ça a été vendu, une fois, deux fois, trois fois, ça tombe un peu dans le domaine commun. Donc, il y a des gens qui s'amusent, entre guillemets, à récupérer toutes ces données, à en faire de grandes bases. Et donc, si je veux avoir les données vous concernant ou me concernant, ça peut se trouver même gratuitement.

Aujourd'hui, sur Internet, après, si vous voulez des choses plus précises, des numéros de cartes bancaires, des choses comme ça, là, c'est payant, c'est plus compliqué à obtenir. Donc, ça a plus de valeur, ça permet de gagner plus d'argent pour les escrocs. Mais il y a tout un business, objectivement, autour de ça. La justice cherche à traquer ceux qui font ça. Après, ils peuvent être n'importe où sur la planète. Donc, ça rend quand même la traque très complexe. Et pour ceux qui sont un peu prudents, qui ne viennent pas passer leurs vacances en France, ils se mettent dans des endroits où ils sont bien protégés, probablement.

On reçoit dans le même temps, mais j'imagine que c'est le corréla, des arnaques de mieux en mieux préparées, avec des mails qui ressemblent à de vrais mails, avec votre numéro de téléphone, votre nom, voire des détails précis qui donnent une certaine vraisemblance à ces emails frauduleux ou à ces SMS frauduleux.

Il y a quelques années, on disait encore, faites attention aux mails que vous recevez, les fameux mails de phishing, qui sont des mails d'arnaque. Attention s'il y a des fautes d'orthographe, attention s'il ne fait pas les bons logos. Aujourd'hui, un attaquant qui fait des fautes d'orthographe, c'est qu'il n'a pas d'intelligence artificielle à disposition. Donc, il n'y en a plus. Et quelqu'un qui se trompe dans le logo, c'est vraiment en dessous de tout. Donc, voilà, les mails sont très, très bien faits, objectivement. Ils se nourrissent de toutes ces données qui ont été volées à droite, à gauche. Donc, c'est assez crédible.

Et là où ça peut devenir très complexe, c'est typiquement dans le secteur hospitalier, par exemple, il y a eu beaucoup d'attaques informatiques où les données étaient volées. Et là, ça peut rendre les choses très crédibles. Si demain, vous recevez un mail qui vous dit, ou qui peut être même un message par courrier, qui vous dit, vous êtes monsieur machin, vous avez été soigné par tel médecin pour telle chose, vous nous devez telle facture. Je ne sais pas si vous avez déjà reçu des factures d'hôpital, c'est parfaitement illisible de toute manière. Donc, si vous recevez ça, vous allez payer, en toute bonne foi, même si vous êtes un peu paranoïaque.

Donc, on peut avoir des arnaques comme ça extrêmement précises et très inquiétantes. Il y a d'autres cas, par exemple, on parle beaucoup des prises d'otages sur les ententeurs de crypto-monnaies. Malheureusement, l'adresse de ces gens-là vient très probablement de fuite d'informations suite à des attaques informatiques. Donc, voilà, son nom, son prénom, sa donne essence qui est dans la nature, c'est agaçant, il faut être prudent. Mais dans certains cas particuliers, ça peut être beaucoup plus grave. Et donc, le fait de... Le conseil d'être très paranoïaque, quelque part sainement paranoïaque, comme je dis toujours, reste valable.

Mais parfois, on peut vraiment se faire avoir, même quand on est prévenu. Ça, le très gros problème. Pourquoi les hôpitaux ?

Parce qu'il y a eu une vague d'hôpitaux qui ont été, là aussi, piratés. On ne comprend pas. Alors, est-ce que c'est du cynisme de la part des pirates ?

Il y a de tout. Il y a de tout. Alors ça, je l'ai bien connu quand j'étais à l'Annecy, notamment en pleine période Covid, où on a eu comme ça toute une vague d'hôpitaux attaqués. Dans le lot, il y avait des attaquants totalement cyniques qui disaient, voilà, on est en plein Covid, si je bloque l'hôpital, parce que là, on ne parle même plus de vol de données, on parle bien de bloquer les systèmes. Je vais bloquer l'hôpital, je vais demander un million en échange du déblocage. Vu le bazar que c'est, ils vont payer. Et effectivement, ils payaient ? Les hôpitaux publics en France ne payent pas parce que c'est la doctrine. Ils n'ont pas l'argent. Non, c'est pas si...

Il y en a de l'argent, mais il y a la volonté de ne pas encourager le crime, tout simplement. Si on commence à payer, évidemment, ça ne va faire que multiplier le nombre d'attaques. Donc ça, c'est un vrai problème. Et dans le lot, il y avait également des attaquants qui se trompaient. Parce qu'on est dans le monde numérique. Très souvent, ce n'est pas des francophones. Donc on a eu des cas et des attaquants qui bloquaient des hôpitaux. Et quand on leur passait le message quand même, ce n'est pas cool d'attaquer un hôpital en plein Covid, il y a des gens qui se sont excusés et qui ont débloqué gratuitement les systèmes. Donc il y a tout dans la nature.

Du plus grand cynisme avec des gens qui disent un hôpital, c'est une victime comme une autre, jusqu'à d'autres qui se font un petit peu au bain des bois, même s'il faut faire très attention sur la moralité de ces attaquants. Bien sûr, mais là aussi, parce qu'un hôpital, a priori, on préfère braquer une banque plutôt qu'un hôpital. C'est beaucoup plus dur. C'est beaucoup plus dur. Ces attaquants, ils ont l'embarras du choix sur les cibles, en fait. Il faut bien comprendre ça. Et d'ailleurs, c'est un motif d'espoir pour ceux qui doivent se protéger. C'est le message. Chacun doit se protéger dans les entreprises, les administrations, les hôpitaux.

Si vous faites suffisamment d'efforts, en fait, les attaquants, c'est des fédéants, ils vont aller taper là où c'est beaucoup plus facile. Donc ça, c'est très rassurant. Sur d'autres meurances, on pourra parler d'espionnage, de trucs très précis, c'est différent parce qu'on a affaire à des services de renseignement qui sont très puissants et qui sont assez obsessionnels. Mais on ne fait pas une obsession sur un hôpital, normalement. C'est pour ça que le conseil que je donne toujours, c'est élevez votre niveau de sécurité et comme ça, vous allez vous mettre à l'abri de cette criminalité, de ce tout venant. Et c'est déjà énorme, objectivement.

Bon, mais comment cela se fait-il que les hôpitaux n'aient pas été préparés à ce type d'attaque puisque j'ai cru comprendre qu'il y avait notamment beaucoup d'exercices qui consistaient à permettre à des cyber-spécialistes de vérifier que tel ou tel organisme

était bien protégé ? Oui, alors, ce qu'il faut bien comprendre, c'est que tous les secteurs sont concernés par la menace numérique, la menace informatique. En 2014, on a, au niveau de l'ANSI, de l'agence que je dirigeais, on a pris tous ces secteurs de front et à chacun, on a dit il faut vous protéger, on a expliqué un petit peu comment faire et puis après, c'est à eux de faire, c'est à chacun. Ça ne peut pas être juste une agence d'État qui sécurise tout le monde, ça n'a absolument aucun sens.

Certains ont réagi très vite, vous citiez les banques, les banques ont une culture de sécurité depuis toujours, voilà, tout le monde en veut à leur argent, donc voilà, ils ont un côté par nez, ils ont des moyens pour se protéger. Donc les banques sont très sérieuses. D'autres secteurs étaient plus surpris. Dans les actualités, on parlait tout à l'heure de la panne électrique en Espagne, bon mais le secteur de l'énergie, attaquer le secteur de l'énergie, jusque-là, ce n'était pas vraiment un scénario. Donc ces gens-là ont réagi très très vite, ont une bonne culture de sécurité aussi et se sont mis en ordre de bataille.

Et puis d'autres domaines, il y a deux secteurs qui étaient un peu plus compliqués, il y a celui des médias, typiquement, qui ne voyaient pas à l'époque en quoi ça pouvait être une menace et puis on a eu la chance, je mets des guillemets évidemment. Et alors vous le voyez ? Si, si, vraiment dans l'échange que j'avais, les gens n'y croyaient pas. Mais alors ça sert à quoi de...

Eh bien, l'exemple est venu malheureusement en vrai des attaquants en 2015 avec l'attaque de TV5Monde, certains s'en souviennent, un écran noir, quelque chose de très violent où d'un seul coup finalement le monde des médias a compris qu'ils étaient une cible parce que dans le jeu géopolitique, parce que couper une chaîne, perturber une retransmission, c'est une manière de protester, c'est une manière de mettre la pression sur un État comme la France.

Donc voilà, le secteur des médias a pris conscience grâce à TV5Monde quelque part des risques et le secteur hospitalier a parfois englué dans des problèmes justement financiers, des problèmes de priorité a attendu un peu plus tard et donc tout le travail qui a été fait et il est colossal le travail qui a été mené par le ministère, par les hôpitaux, il faut vraiment, au contraire, il ne faut pas critiquer les gens qui bossent, il faut vraiment leur rendre hommage. Voilà, on rattrape tout ce qui n'avait pas été fait avant quelque part et aujourd'hui il y a beaucoup moins d'attaques objectivement que dans la période Covid où c'était un hôpital par mois, c'était dramatique.

A priori, avec des méthodes assez simples qui consistaient à faire des chevaux de trois envoyés à l'un des collaborateurs de l'hôpital ?

Toute la difficulté pour l'attaquant c'est de réussir à rentrer dans les systèmes informatiques. Donc ça peut passer par le mail, ça peut passer par... Voilà, tout y passe. Est-ce que c'est simple ? Est-ce que ce n'est pas simple ? Je ne sais pas juger. Ce qui est certain c'est que c'est des technologies qui sont connues et il n'y a pas vraiment

d'excuses. Il faut s'en prémunir. Voilà, c'est-à-dire que vous savez juger, c'est ce que vous venez de dire. A priori, si c'est connu, est-ce que vous, par exemple, à chaque fois que vous voyez une fraude, Guillaume Poupard, vous vous dites bon mais ça, on sait s'en prémunir normalement.

Il y a des choses assez triviales. Donc là, c'est pas normal, c'est vrai que c'est agaçant. C'est quoi, trivial ? Trivial, c'est des outils d'attaque qui sont sur Internet, qui sont largement connus, qui sont même utilisés à des fins d'audit, à des fins totalement positives pour aller tester de manière très honnête la sécurité. Donc il y a des fois, ça suffit finalement à pénétrer. Ce dont on parlait tout à l'heure avec la NTS, aller modifier les données dans l'URL, on ne peut pas dire que ce soit de la très haute technologie.

Et puis il y a des fois, on a au contraire affaire à des gens très très forts qui développent des outils spécifiques qui de plus en plus aujourd'hui vont utiliser l'intelligence artificielle. Ça sert à quoi l'intelligence artificielle ? On va en reparler dans quelques minutes

puisque c'est un vaste sujet.

Ça permet d'augmenter. On parle toujours du collaborateur ou de l'agent augmenté. En fait, avec de l'intelligence artificielle, vous pouvez en faire beaucoup plus que si vous étiez simplement avec votre cerveau. Et donc vous pouvez avoir vos petites armées à vous qui vont vous aider soit à défendre, soit à attaquer. Et tout l'enjeu, c'est que ça bascule plutôt du côté des défenseurs.

Et est-ce que vous pensez qu'aujourd'hui, alors vous ne dirigez plus l'Agence Nationale de la Sécurité des Systèmes d'Information puisque vous l'avez dirigée jusqu'en 2022. Mais est-ce que les systèmes sont à jour ? Je mets de côté la NTS puisque apparemment la NTS n'était pas

complètement à jour. Non. Et puis, attention, ce n'est pas tous les systèmes qu'il y a derrière. Ce n'est pas les systèmes du mystère de l'intérieur. C'est la vitrine quelque part. C'est agaçant. Mais ce n'est que la vitrine qui a été touchée. C'est un combat permanent. C'est l'école de la modestie, la cybersécurité parce qu'on est constamment en train de boucher des trous, on est constamment en train de réparer, d'essayer d'anticiper sur les attaquants et de temps en temps, il y a un but qui passe. Et là, c'est très agaçant à ce moment-là. Donc, ce qu'il faut, c'est le faire et le faire de manière proportionnée avec le niveau de sensibilité, évidemment, des systèmes informatiques concernés.

Guillaume Poupard, on se retrouve dans une athènes de minutes. Vous allez nous expliquer justement ce que change l'intelligence artificielle puisque récemment, Anthropik disait ne pas vouloir lancer sa dernière application, sa dernière mise à jour d'application par peur justement que celle-ci serve à des cyberbrigants. On en parle donc dans une vingtaine de minutes. En attendant, il est 8h sur France Culture.

6h30, 9h, les matins de France Culture. Guillaume Erner.

Nous sommes en compagnie de Guillaume Poupard, ancien directeur général de l'Agence nationale de la sécurité des systèmes d'information. On a évoqué les cyberattaques qui se multiplient en France. Je ne vais pas vous faire réagir au billet politique de Stéphane Robert mais j'aimerais savoir si vous avez des conversations ou si vous avez eu des conversations avec des responsables politiques.

Guillaume Poupard. A l'Annecy, c'était régulier. Le sujet cyber, c'est un sujet de conseil de défense. Donc au niveau du président, du premier ministre et des principaux ministres et dirigeants de services de sécurité, le sujet cyber revenait tous les mois au plus haut niveau. Et ça, c'est absolument indispensable. Et quelque part, par symétrie, dans les entreprises, dans les ministères, c'est absolument indispensable que ceux qui décident soient bien conscients et se sentent concernés par ces questions-là.

Bon, alors, conseil de défense, mais pour autant, on l'a vu encore avec le site de la NTS, la France est mal protégée. Comment cela se fait-il ? Pas plus mal protégée que les autres. Enfin, on ne peut pas se prévaloir de la faiblesse d'autrui.

Quand on se compare, on se rassure, mais non, non. Par contre, le travail n'est pas terminé. Les attaquants ont parfois encore le dessus, ce qui est absolument inacceptable. Et surtout, là, on parle de choses qui sont très visibles, qui sont choquantes, mais très visibles et très simples. Aujourd'hui, il faut bien comprendre qu'on fait la guerre dans cet espace numérique. Et ça, c'est des gens qui sont probablement beaucoup plus forts et a des impacts qui pourraient être beaucoup plus graves si jamais il y avait la volonté de nous toucher. Donc, c'est plus là-dessus que la priorité de la NTS en termes de préparation.

Bon, suite à cette attaque de la NTS, le Premier ministre Sébastien Lecornu a évoqué le fait que l'État français était sous la menace cyber. Il a expliqué qu'il voulait faire de la sécurité numérique une priorité. C'est quoi ? C'est le discours habituel des politiques ?

Non, je pense que c'est plus que ça. C'est le fait de rappeler et de rappeler dans la durée parce que ce n'est pas juste un problème que l'on résout et qu'on passe à un autre. Il faut que tout le monde se sente concerné. Donc, le message du Premier ministre, il était pour ses ministres, je pense, pour ses administrations, mais également pour le secteur privé qui est tout aussi attaqué. Et parfois, il y a des choses qu'on ne voit pas. On n'a pas parlé d'espionnage, par exemple. de l'activité de l'ANSI de lutter contre l'espionnage parce que c'est totalement invisible. Il n'y a pas de criminels qui font des revendications ou des choses comme ça.

On a des gens très forts qui vont chercher les données là où elles se trouvent et qui ne vont surtout pas se vanter de les avoir obtenues. Donc, il faut se préparer contre ça immanquablement et avec vraiment des impacts autrement qui peuvent, au niveau économique, stratégique, politique, militaire, qui peuvent être extrêmement graves si on ne se protège pas suffisamment.

Alors, toujours dans ce discours du Premier ministre, il y avait, semble-t-il, j'ai l'article du Figaro sous les yeux un certain nombre de pays qui étaient visés puisque ces cyberattaques, elles sont menées par des groupes de criminels ou par des groupes de criminels

aidés par un État ? Non, il y a vraiment deux types de menaces. Il y a une menace criminelle avec des gens qui sont là pour faire de l'argent, c'est du crime organisé, c'est des gens qui avancent du trafic de drogue, ils ne sont pas forcément arrêtés mais ils se sont mis là-dessus parce que ça rapporte beaucoup plus et c'est beaucoup moins dangereux. C'est vrai ? Ça rapporte plus que le trafic de drogue ? Ah bah oui, ça rapporte énormément avec une prise de risque qui est beaucoup plus faible puisqu'il n'y a pas de contact avec les victimes. On se fait payer en crypto-monnaie, on n'a pas besoin... On ne peut pas être condamné ? On peut être condamné mais il faut déjà être attrapé pour ça.

Je vous disais tout à l'heure, ceux qui n'ont pas... Attrapé, c'est-à-dire, j'imagine que... Quelqu'un qui est en Russie, qui est à l'autre bout du monde, dans une zone de non-droit, s'il n'a pas la grande idée de venir passer ses vacances en Europe, il ne sera jamais attrapé, objectivement. Donc on ne peut pas être attrapé. Donc pour beaucoup de criminels, finalement, le risque est faible et le gain est élevé. Donc c'est pour ça qu'ils vont là-dessus, de toute manière. Et à côté de ça, il y a des attaquants très très différents qui sont des services étatiques, des services de renseignement, des militaires qui planifient, qui préparent leurs attaques.

En fait, c'est une nouvelle arme, le cyber.

Mais est-ce qu'on peut imaginer, je ne sais pas, que par exemple, le site de la NTS ait été piraté

par un gouvernement ? J'ai bien peur que non. J'ai bien peur que non. Ça ressemble beaucoup à de la petite criminalité. C'est d'autant plus agaçant, probablement. Par contre, si l'ensemble du système d'information du missile intérieur était comme ça corrompu par un État adverse, là, on serait dans une autre dimension, très clairement. Et c'est ça qu'il faut éviter, évidemment, en priorité.

Alors, les pays qui sont souvent suspectés,

la Russie, l'Iran, la Corée du Nord, la Chine. Oui, c'est une bonne liste. On peut parfois ajouter nos alliés aussi pour compliquer un tout petit peu le débat. Ça commence à dater maintenant, mais toutes les révélations d'Edward Snowden nous montraient que nos alliés anglo-saxons étaient très curieux vis-à-vis de nos informations et utilisaient déjà l'intérêt informatique.

Là, on parle de l'outil cyber à des fins de déstabilisation d'influence.

Oui. On n'imagine pas que nos alliés commencent à détruire nos systèmes ou à manipuler nos... Je ne sais rien, c'est vous le spécialiste. C'est de la géopolitique. Ça me dépasse, évidemment. Non. Il faut se méfier de tout le monde dans le domaine cyber. C'est ce que l'on fait, d'ailleurs. C'est ce que l'on fait de longue date. Ça n'empêche pas de collaborer. On a heureusement des alliés, des gens avec qui on échange de l'information, mais c'est toujours très dosé parce qu'on ne veut pas se faire manipuler, justement.

Nos alliés ne nous déstabilisent pas,

mais ils nous espionnent. L'espionnage, il n'y a pas de règle. Tout le monde est très curieux et veut savoir ce que font les autres, y compris les amis. Donc, sur l'espionnage, il n'y a pas d'amis. Sur l'espionnage, il faut se protéger de tout le monde, y compris des alliés les plus proches. Malheureusement, c'est le constat que l'on fait. C'est vrai pour le cyber, c'était vrai avant, probablement, mais le cyber rajoute une dimension à tout ça.

Après, sur l'usage des attaques informatiques à des fins de destruction, à des fins quasiment militaires, là, on rentre dans du classique, malheureusement, où ce sont les pays adverses, et malheureusement, déstabilisés très fortement en s'attaquant à nos systèmes critiques, au secteur de l'énergie, au secteur des télécoms, au secteur de la finance. Le meilleur est à venir, malheureusement, et il faut s'y préparer.

Justement, quand on évoque cela, donc ces tentatives de déstabilisation et où ces tentatives d'espionnage, là aussi, est-ce qu'on a augmenté la sécurité ? Bon, les dernières tentatives d'espionnage qui avaient été faites, elles ont notamment utilisé un logiciel qui est maintenant très célèbre, qui est un logiciel israélien, dont les Marocains, par exemple, avaient acheté la licence.

Vous faites allusion à Pegasus. Ça, c'est un sujet compliqué qui est lié au fait que, dans certains cas, il est légitime d'espionner. Voilà, quand les écoutes administratives, judiciaires, visent justement, dans l'intérêt de la sécurité nationale et de notre sécurité à nous, visent à espionner certains.

C'est à l'intérieur d'un État avec un juge averti.

Mais le gros problème, c'est que la technologie, elle est agnostique, quelque part. Et donc, bien utilisé, évidemment, c'est encadré, comme c'est le cas en France et en Europe. Mal utilisé, ou finalement, ce genre d'outil, c'est très tentant pour un service de renseignement qui dispose de ça, d'aller bien au-delà des usages légitimes que l'on peut en faire. Donc voilà, la technologie, elle est là. Ce qu'il faut impérativement, c'est nous, nous en protéger si on ne veut pas être touché par ça. Mais en même temps, c'est compréhensible que les services d'enquête, notamment, disposent de ce genre de capacités. Bon, ça, c'est effectivement

compréhensible. Mais est-ce qu'on peut aujourd'hui imaginer, puisque ce dont on s'est rendu compte à la faveur, donc, de cette utilisation de Pegasus, c'est que Emmanuel Macron avait un téléphone normal sur lequel on pouvait installer des logiciels anormaux, comme des logiciels d'espionnage.

Non, le Président, comme tous les VIP, ils ont des téléphones normaux et ils ont des téléphones sécurisés. Tout l'enjeu, quand j'étais à l'Annecy, c'était de porter le message qu'il y a des choses qui peuvent aller sur un téléphone normal parce que tout n'est pas secret, tout n'est pas... Et puis, c'est bien pratique, évidemment. Et puis, quand ça devient plus sensible, il faut utiliser d'autres moyens qui sont un petit peu moins ergonomiques ou simplement pas des smartphones. Donc, évidemment, on n'est plus habitué à ça. Mais il faut être capable d'utiliser les bons outils au bon moment. Ça, autrement, on peut avoir tendance à l'oublier.

Mais là, on parle du personnel politique, mais c'est tout à fait la même chose dans le secteur privé. Les dirigeants d'entreprises, certains sont très imprudents, peuvent se faire espionner, ce sont de très belles cibles aussi et peuvent comme ça porter atteinte à la sécurité de leur entreprise, sécurité économique, sécurité au sens technique du terme. Donc, c'est important de rappeler ce message régulièrement.

Avec aujourd'hui un risque supplémentaire, l'intelligence artificielle, on l'a commencé à l'évoquer. Je parlais d'entropique. L'entreprise a expliqué qu'elle repoussait la date de lancement de Mythos. Mythos, c'est sa dernière application ou la dernière mise à jour de son logiciel. Pourquoi repousser

au nom de la cybersécurité ? C'est très intéressant ce qui s'est passé. D'abord, il faut comprendre que l'intelligence artificielle, il y a un truc qui a fait super bien, c'est programmer, coder, faire du code informatique. C'est quelque part la machine qui crée la machine, un petit peu comme dans la science-fiction. Donc ça, anthropique comme les autres, d'ailleurs Mistral le fait très bien aussi, sont capables de faire des modèles qui aident à programmer, voire qui demain programmons quasiment sans l'humain. Et quand on est capable de bien programmer, on est capable de trouver des vulnérabilités dans du code informatique. C'est exactement ce qui se passe avec les nouveaux modèles.

Et dans la communication faite par anthropique, un petit peu sur le thème, tout ça est tellement fort, tellement puissant que ça en est dangereux, il faut distinguer deux choses. Il y a une part de marketing et de communication. C'est une manière de dire qu'on est très fort. Le fait de dire qu'on est tellement fort qu'on est dangereux.

Ce n'est pas un mauvais argument de vente.

Voilà. Donc il y a du marketing. Il ne faut pas l'oublier. Mais il n'y a pas que ça. Et il y a évidemment le fait que quand on a une nouvelle technologie comme ça, qui une fois encore est agnostique, si elle est entre de bonnes mains, elle permettra de sécuriser les systèmes numériques. Si elle est entre de mauvaises mains, elle permettra de les attaquer. Donc il faut donner un coup d'avant aux défenseurs. J'aimerais comprendre comment. En fait, ces modèles, quand on leur donne accès notamment au code source, au programme de systèmes numériques, ces modèles sont capables d'aller trouver des erreurs là-dedans, des failles. Donc on le fait de longue date. C'est l'histoire de l'informatique.

On passe son temps à chercher des failles, à les corriger. Sauf que là, la machine peut le faire beaucoup plus vite. Et manifestement, ce qui apparaît, c'est qu'elle est capable de le faire à un niveau totalement inégalé. Et donc, qu'est-ce qui va se passer ? Utilisé par des défenseurs, on va trouver des vulnérabilités, on va faire des correctifs, on va installer les correctifs et on sera plus sûr. Utilisé par des attaquants, ces vulnérabilités, évidemment, ils ne vont pas les révéler, ils vont en faire des outils d'attaque, ils vont rentrer dans les systèmes et après, ils vont espionner, ils vont détruire, ils vont voler les données.

On retombe sur de la cyber classique aidée par la machine. Mais donnez-moi des exemples comment on peut s'y prendre ? Parce qu'il ne s'agit pas de craquer un code secret. Non, non, ce n'est pas de la cryptographie, ce n'est pas ça qu'il s'agit. L'idée, c'est d'aller chercher des failles. Il y en a plein, malheureusement, dans le code informatique, dans la programmation informatique, on fait tous des erreurs. La machine fait des erreurs aussi, d'ailleurs. Le fait que ce soit l'IA qui programme maintenant, ça ne change pas le problème. Et donc, quand on a des vulnérabilités comme ça, on peut contourner les mécanismes de sécurité.

Et donc, là où normalement, on ne peut pas rentrer de manière illégitime, grâce à ces failles, on peut contourner les mécanismes. Imaginez, chez vous, vous avez mis des verrous aux fenêtres, vous avez une porte blindée, tout ça, mais il y a la porte du jardin qui est grande ouverte. En fait, la machine, elle est capable d'être encore plus forte que l'humain pour aller détecter le fait que derrière, il y a une porte ouverte et donc permettre d'en rentrer comme ça. Et ça, c'est quelque chose contre lequel on peut lutter ? C'est indispensable de lutter contre. Mais ceux qui se contentent d'observer vont être des victimes pour qui ça va être terrible.

Donc ce qui est indispensable, c'est d'intégrer ces technologies, de rechercher les vulnérabilités. Tous les correctifs qui vont arriver de manière encore plus rapide, il faudrait être capable de les installer. Donc c'est un travail énorme pour ceux qui gèrent les systèmes numériques. Mais ceux qui ne seront pas dans cette course-là vont être dépassés et ce sont les attaquants qui vont en profiter en premier.

Donc on est toujours dans une course entre le glaive et le bouclier, entre les attaquants et les défenseurs, où il est important de rappeler, d'abord de donner les moyens aux défenseurs et puis de rappeler que ce n'est pas une option le fait de se défendre et de rester dans cette course.

Oui, parce que le problème, c'est que ces cyberattaques, elles se multiplient. Alors, on a vu qu'il y avait donc un certain nombre de cyberattaques. J'ai cité les pays qui en étaient les auteurs principaux et il y a aussi beaucoup d'ingérences numériques. Oui.

Alors c'est un autre domaine. Le fait de chercher à manipuler les opinions, typiquement, et typiquement en période électorale, c'est quelque chose qui se développe depuis maintenant une dizaine d'années. On a vu ça apparaître lors de la campagne électorale américaine en 2016. Ça a été le... C'est déjà Trump face à Hillary Clinton à l'époque. Il y a eu des attaques cyber qui ont volé des mails, accédé à des boîtes mail de certains membres des campagnes électorales. Certains de ces mails ont été manipulés, modifiés pour faire croire à des scandales. Ça a été diffusé.

Et dans une élection qui était essentiellement du 50-50, il est permis de se dire que ça a fait basculer du côté qui n'était pas le côté naturel. Donc ça, ça a lancé... section de manipulation. Et aujourd'hui, du fait des réseaux sociaux, du fait évidemment de notre lien très fort avec le numérique, il y a cette tentation de la part des attaquants de chercher à manipuler les opinions pour les emmener là où elles veulent. Et le grand danger pour nos démocraties, il est là quelque part. Ce n'est pas le coup d'État qui va faire tomber la démocratie.

C'est vraiment finalement des citoyens qui vont être manipulés, transformés, très jeunes parfois, et qui à la fin vont avoir leurs opinions transformées à leur insu par les systèmes numériques.

Il y a aussi un espionnage qui est un espionnage. Alors, je ne sais pas s'il est légal ou pas, mais hier, par exemple, j'ai un camarade qui m'a parlé d'un livre en me disant que c'était un très bon livre et ce livre m'a été proposé par Spotify en audiobook tout à l'heure. c'est peut-être un hasard

mais ce sont des hasards qui se produisent souvent. Il y a rarement des hasards. Il faut bien comprendre que les fameux GAFAM, les gens numériques américains ont des modèles économiques tous différents les uns des autres mais la plupart du temps, d'ailleurs, ce qu'ils vous proposent c'est gratuit. On l'a beaucoup répété mais ça reste vrai quand c'est gratuit c'est vous le produit. Donc quelque part, c'est vos données qui ont de la valeur et qui sont récupérées, qui sont captées. Donc on le sait très bien nos smartphones, nos outils numériques ont tendance à être très curieux sur ce que l'on fait. Légalement, vous demandez est-ce que c'est légal ou pas. C'est une bonne question.

Normalement, quand vous acceptez d'utiliser ces outils vous dites que vous êtes d'accord. Vous n'êtes pas conscient évidemment, moi non plus. Personne ne lit les conditions d'utilisation. Mais voilà, on a quand même un vrai sujet qui nécessite ou la seule arme quelque part pour nous protéger c'est la réglementation, c'est la régulation. Donc on critique souvent la régulation européenne notamment les textes, le DMA, le DSA qui sont des textes qui ne sont pas faciles d'accès probablement pour les citoyens.

Mais le rôle de ces textes est justement d'imposer à ces géants du numérique dans un rapport de force qui est totalement disproportionné des règles pour que justement ils ne puissent pas faire n'importe quoi à notre insu avec nos données et qu'ils ne puissent pas nous espionner légalement comme vous l'avez dit. Oui, parce que

le problème c'est qu'on a affaire à un certain nombre d'informations qui sont quoi ? Alors collectées, stockées puisque pour qu'elles soient piratées il faut qu'elles soient collectées d'une manière ou d'une autre.

Il y a beaucoup d'informations qui sont collectées de manière légitime. Les informations de la NTS étaient légitimes. C'était à des fins voilà, il n'y a aucun espionnage derrière ça, il n'y a aucune volonté d'aller voler de l'information des utilisateurs. Mais à côté de ça les géants numériques qui nous proposent ces systèmes de réseaux sociaux qui nous proposent du mail gratuitement et tout ça ça n'a rien de gratuit.

Ils ont un intérêt derrière c'est d'accéder connaître nos correspondances connaître savoir nos sujets d'intérêt savoir de quoi on parle avec nos amis c'est évidemment une manière de nous proposer de la publicité ciblée c'est le modèle économique dominant dans ce domaine là et évidemment il y a une masse de données colossales qui est derrière tout ça qui se vend et se revend en Europe c'est très contrôlé mais typiquement aux Etats-Unis c'est très peu contrôlé ce genre de choses et le but évidemment c'est de créer de la valeur comme on dirait économiquement avec ça mais à notre insu très souvent.

Bon et contre ça est-ce qu'il y a des réponses adaptées en France parce que vous m'avez dit tout à l'heure bon mais les autres ne sont pas beaucoup plus au point que nous

non une fois encore on parle de menaces qui sont très différentes il y a des menaces légales liées aux GAFAM là ça passe par la régulation il y a des menaces d'escroquerie de petites attaques qui peuvent nous cibler à titre individuel là ça passe par une vraie paranoïa à développer par tout un chacun moi je ne peux qu'encourager nos auditeurs à être très prudents quand ils reçoivent des SMS des mails le livreur qui n'a pas réussi à déposer le colis il faut être totalement paranoïaque dans ces cas là puisque de toute manière c'est de l'arnaque à conçue le livreur qui n'a pas déposé le colis là on a fini par comprendre oui mais il y en a des vrais aussi c'est pour ça que des fois mais c'est bien de le répéter parce que et des personnes vulnérables peuvent être évidemment plus facilement victimes que d'autres donc voilà c'est important de le redire et puis il y a des menaces qui touchent directement à la sécurité nationale à nos grandes entreprises à nos capacités militaires là pour le coup c'est pris très très au sérieux c'est le rôle de l'état évidemment d'imposer des règles et de sécuriser ce qu'il doit l'être et après tout un chacun dans le secteur privé notamment de prendre en compte ces questions de sécurité d'investir dans la sécurité de travailler avec des gens compétents qui sont capables d'apporter une véritable expertise en matière de sécurité donc vous voyez quand on dit cyber il y a tout et n'importe quoi là dedans donc il peut y avoir des choses extrêmement graves contre des systèmes extrêmement sensibles et puis la petite criminalité qui s'est déportée dans le monde numérique non mais est-ce que l'Europe fait quelque chose ?

l'Europe fait beaucoup de choses alors l'Europe est très forte évidemment pour réguler c'est ce qui a fait probablement le mieux il y a une vraie coopération à l'échelle européenne entre les états membres et la commission une coopération technique enfin il ne faut surtout pas s'imaginer qu'il ne se passe rien il y a en espèce de 10 ans il y a eu des progrès considérables de faits le problème c'est que les attaquants y progressent aussi donc c'est une course permanente entre les deux et le fait de ça peut prêter à sourire mais le fait d'imposer la sécurité aux acteurs critiques comme on le fait depuis 2014 c'est une manière de mettre le dossier sur le dessus de la table et de faire en sorte que les décideurs les patrons des entreprises les conseils d'administration traitent cette menace de la cybersécurité au juste niveau bon mais alors est-ce que ça veut dire

que la France est aujourd'hui on a vu qu'il y avait eu la NTS le site de la NTS qui avait été piraté est-ce que ça nous sert de leçon ou est-ce que les discours par exemple de Sébastien Lecornu

chaque piqûre est une piqûre de rappel et donc c'est un bien pour un mal probablement ce qu'il faut c'est que ce soit une action dans la durée et c'est le travail de l'ANSI justement de veiller à ce que chacun soit mobilisé c'est un travail également de suivi technique parce qu'on voit avec l'intelligence artificielle quand même les menaces évoluent donc il ne faut pas se faire surprendre par ça donc c'est vraiment un combat collectif à mener en permanence à adapter en permanence le seul message un peu négatif que j'aurais c'est de dire que ce combat cette lutte contre les attaquants je ne vois pas quand est-ce qu'il va s'arrêter donc on est un peu condamné quelque part à lutter en permanence à se protéger c'est frustrant de devoir constamment se protéger et c'est agaçant mais si on ne fait pas cet investissement permanent dans tous les secteurs pour se protéger et bien on va continuer à avoir des drames et ça c'est inacceptable

qu'est-ce qu'on peut donner comme conseil à nos auditrices et à nos auditeurs puisque le piratage sont aussi des piratages individuels

parfois donc à titre personnel attention à vos mots de passe on ne le dira jamais assez s'il y a un mot de passe attention à vos mots de passe il faut éviter les mots de passe trop triviaux idéalement il faut utiliser des outils qui les mémorisent à votre place parce que c'est très dur de mémoriser des mots de passe moi passé 4 chiffres j'y arrive plus donc

quelle est la différence entre utiliser un mot de passe qui s'appellerait mot de passe et un mot de passe beaucoup plus compliqué parce que généralement vous avez 3 tentatives

oui c'est ça en fait si vous utilisez un mot de passe qui est trop simple il y a le risque que l'attaquant puisse simplement essayer tous les mots de passe simples et tomber dessus par chance bon c'est de moins en moins vrai le risque il est plus d'avoir le même mot de passe partout même compliqué à un moment il a été volé je ne sais pas n'importe où sur une boutique en ligne où vous avez acheté des chaussures vous avez mis un mot de passe qui est le même que pour votre boîte mail il est volé à cet endroit là et les attaquants ils savent très bien qu'un mot de passe il est réemployé donc ils vont le réutiliser les gestionnaires de mot de passe est-ce que c'est sûr ?

j'aimerais vous dire oui c'est pas toujours le cas malheureusement c'est là où ça se complique bon il ne faut pas être totalement parano autour de ça moi j'ai beaucoup plus peur quelque part des arnaques qu'on reçoit par mail ou par sms on a vite fait de cliquer parce qu'on est mis sous pression ils sont doués ces escrocs ils savent nous faire faire des erreurs donc c'est plus là-dessus il faut faire attention et avec comme conseil si vous avez un doute ne faites rien si c'est quelqu'un de légitime qui cherche à vous contacter il saura de toute manière vous contacter autrement voilà merci beaucoup Guillaume Poupard

je rappelle que vous êtes Chief Trust Officer chez Orange et ancien directeur général de l'Agence Nationale de la Sécurité des Systèmes d'Information dans quelques instants mes camarades Lucille Comeau et François Saltiel et le 8h45 Dan Lorchouin