Comment faire face à la menace cyber ?

Et peut-on encore échapper à la cybercriminalité ? Y a-t-il des cibles plus vulnérables que d'autres ? Près de 350 000 atteintes numériques enregistrées l'an dernier, c'est 74% de plus qu'il y a 5 ans. Que les cibles soient des personnes ou des institutions, d'ailleurs, ces derniers jours, la Poste, deux ministères aussi ont subi des cyberattaques. Les motivations varient selon les profils des hackers. Il y a ceux qui demandent des rançons, ceux qui veulent surtout faire parler d'eux, ceux qui font de l'espionnage industriel et ceux qui veulent déstabiliser ou saboter. On va donc parler ce soir de hameçonnage, d'espionnage, d'activisme. Activisme avec un H comme hacker.

On évoquera des attaques par déni de service. Ça veut dire quoi ? On verra comment l'intelligence artificielle s'est immiscée dans cette malveillance informatique. On cherchera aussi les pistes pour mieux s'en prémunir, pour se rendre compte au final que la cybersécurité, c'est bien l'affaire de chacun. J'attends donc vos questions, vos témoignages au standard ou bien sur l'appli Radio France. Le téléphone va sonner jusqu'à 20h.

Le téléphone sonne. 0145 24 7000.

Avec un premier témoignage ou question, celui d'Alice. Bonsoir Alice.

Oui, bonsoir.

Vous êtes à l'antenne.

Alors, moi je vous appelle pour témoigner du fait que j'ai demandé au service du département du 92 le transfert d'un dossier qui concernait de l'aide à la personne et le département du 92, en tout cas ce service-là a été victime du cyberattaque en début d'année et a mis quasiment une année à s'en relever. Donc j'étais vraiment interpellée par la difficulté qu'un service de cette ampleur avait à se relever d'une cyberattaque. Et puis ça me questionne aussi sur les motivations des hackers.

Merci de ce premier témoignage avec ce soir pour vous répondre. Deux invités. Jérôme Notin, vous êtes directeur du site gouvernemental Cybermalveillance. En ligne également, Damien Bancal, spécialiste en cybersécurité et fondateur du média d'information numérique Zataz. Première question d'Alice qui constate qu'un an après une cyberattaque, les dégâts se font encore ressentir. Jérôme Notin, vous êtes un peu le spécialiste des questions pour bien se protéger de tout ça et puis pour aussi dire que ce soit pour des PME ou pour que ce soit des individus, il faut s'en protéger.

Vous n'êtes pas surpris par le fait qu'un an et demi, un an après, le système soit toujours un peu convalescent, voire un peu bloqué toujours.

Bonjour, bonsoir. Non, pas surpris du tout. Ça arrive pour les structures publiques, ça arrive pour les entreprises. On sait que, par exemple, une attaque par rançongiciel, elle aura un impact majeur.

Alors, rançongiciel, ça veut dire ce que ça veut dire, mais on demande de l'argent en faisant une attaque.

Le rançongiciel, c'est un petit virus, je dis petit, mais il est très méchant, qui va rentrer dans un système d'information, donc des réseaux, des serveurs, des sauvegardes, et qui va détruire en fait les sauvegardes et chiffrer, c'est-à-dire rendre inaccessible la donnée. En échange, d'où le nom d'une rançon, en disant, si jamais vous me payez la somme que je vous demande, je vous remettrai à disposition vos données. Heureusement, très peu de gens payent, et quand bien même on paye, on n'est pas du tout certain de pouvoir accéder à nouveau à nos données.

Donc, oui, une année pour un système d'information d'un conseil départemental qui est très complexe, il est interconnecté, c'est pas surprenant, parce que dans notre jargon, on utilise le mot remédiation. Lorsqu'on fait de la remédiation, il faut y aller étape par étape et déjà comprendre par où l'attaquant est rentré. Parce que si vous remettez un système d'information à plat, si vous remettez un système d'information fonctionnel, mais avec les mêmes vulnérabilités, si c'était une vulnérabilité technique, il arrive parfois que l'humain soit aussi à l'origine, malheureusement, de compromissions de système d'information.

Donc, si vous le remettez à l'identique, vous êtes quasiment certain que vous serez à nouveau attaqué et que le service sera à nouveau indisponible.

Damien Bancal, année après année, les attaques sont donc toujours plus nombreuses et plus ciblées aussi. Pour commencer, dites-nous quelle est l'ampleur du phénomène aujourd'hui ?

Oui, bonsoir. Cette ampleur, justement, elle est quand même impressionnante à regarder. Pourquoi ? Parce que s'il y a 20 ans, l'informatique et le début d'Internet étaient véritablement pour le grand public, il n'était pas aussi massif qu'aujourd'hui. Et aujourd'hui, le problème, si on peut appeler ça un problème, c'est qu'on est tous connectés, interconnectés. On a tous au moins l'utilisation d'un ordinateur. On a de plus en plus ces ordiphones, ces téléphones portables qui sont clairement intelligents et qui sont clairement des ordinateurs dans nos poches, qui sont donc des outils, on va dire des moissonneuses-batteuses, de données.

Et les malveillants, les pirates informatiques, les escrocs ont bien compris que la donnée aujourd'hui était l'élément qui va leur rapporter de l'argent, d'abord numérique, mais ils vont tout faire pour que ce dernier soit transformé en euros. Et donc, du coup, cette masse informatique fait que les attaques sont effectivement aujourd'hui beaucoup plus importantes et beaucoup plus nombreuses qu'il y a 10 ans ou 20 ans.

Oui, plus 75% en 5 ans. Jérôme Notin, vous nous disiez tout à l'heure que les réseaux de hackers sont interconnectés entre eux. Ils échangent ou ils revendent les données qu'ils sont allés piller ?

On peut considérer qu'on a en face de nous une véritable mafia. Vous avez des gens qui sont spécialisés dans simplement le fait de pouvoir rentrer dans un système d'information. d'autres qui vont développer des petits logiciels comme les rançons logiciels que nous évoquions tout à l'heure. D'autres qui vont utiliser tout ça, qui vont récupérer la donnée. Et aujourd'hui, effectivement, on pense que sur cette année 2025, on aura peu ou prou le même nombre de victimes de rançons logiciels qu'en 2024, qui correspondaient à une baisse par rapport à 2023. Donc, plutôt une bonne nouvelle.

Sauf que si on regarde avec un petit peu plus de hauteur, on se rend compte, et l'actualité, vous avez évoqué quelques cas, mais l'actualité nous fait part depuis début 2024 de nombre, d'un très grand nombre, d'un trop grand nombre de systèmes d'information, de structures publiques et privées qui sont compromises. On n'a pas chiffré les données. On a simplement, comme le disait Damien Bancal, récupéré la donnée qui vaut de l'or. Et donc, ces données-là, elles vont être exploitées pour faire derrière, par exemple, des tentatives d'hameçonnage qui sont très ciblées. L'hameçonnage, on va expliquer aussi ce que c'est aux auditeurs.

C'est un milieu de la pêche, c'est du phishing, ça veut dire qu'on lance un abson, on espère que ça va mordre. Damien Bancal, dans le cas des services informatiques de La Poste, ciblées récemment par une attaque, la piraterie a été revendiquée par des hackers pro-russes, baptisés No Name 057, et ce ne sont pas des inconnus. Qui sont-ils ?

Oui, alors il faut savoir que malheureusement, dans ce monde de la malveillance, des pirates informatiques, on a différents, allez, on va vraiment dire différents types de pirates. On a ceux qui volent de la donnée, ceux qui vont espionner, et puis on a une petite branche qu'on va appeler des activistes, avec un H, comme vous le disiez tout à fait pertinemment tout à l'heure, avec H comme hackers. Bon, eux, on va plutôt les appeler des cyber-manifestants.

Et donc, leur mission est de trouver un moyen pour qu'on puisse parler d'eux, dans tous les cas, qu'ils puissent montrer, et en tout cas, affirmer, afficher, eh bien, une politique, par exemple, qui est clairement, eux, affichée, politique du Kremlin, ils sont pro-Kremlin. Et donc, du coup, ils lancent ce qu'on appelle des DDoS. Alors, c'est quoi ? C'est tout simplement, façon de parler aussi, bloquer un système informatique par des masses de connexions fantômes. Au lieu que ce soit vous et moi qui nous connections au site de La Poste, eh bien, ce sont des connexions qui n'existent pas, en tout cas, il n'y a pas d'humain derrière. On pourrait imaginer ça comme un camion poubelle.

Vous avez un camion poubelle qui déverse, eh bien, tous leurs déchets devant vos portes et vos fenêtres, vous ne pouvez plus rentrer et vous ne pouvez plus sortir. Eh bien, ces pirates de No Name, qui existent véritablement depuis 2022, eh bien, utilisent exactement cette technique. Alors, ils ont attaqué La Poste, mais ils ont attaqué aussi des dizaines d'autres entreprises, un peu partout dans le monde, en tout cas, des pays qu'ils considèrent comme totalement contre la politique guerrière du Kremlin.

Jérôme Notin, quelles sont les motivations, avant de fêter Noël, quelles sont les motivations des hackers de venir ainsi perturber les services informatiques de La Poste ? Le message, c'est quoi derrière ?

Alors, c'est compliqué pour moi de m'exprimer sur une affaire en cours, d'autant plus que la revendication, elle pose question. Est-ce que c'est vraiment ce groupe ? Parce que certains éléments techniques laissent apparaître que, finalement, ce n'est peut-être pas eux qui, en tout cas, c'est peut-être un effet d'aubaine. Ils ont revendiqué, mais ils ne sont peut-être pas à l'origine du... Exactement, exactement. Après, la cybermavillance, la grande majorité, en tout cas, ce qui nous concerne, c'est crapuleux. C'est faire de l'argent au détriment des victimes.

Damien Bancal, ce groupe, No Name 057, qui revendique l'attaque de La Poste, ils sont protégés par les services de renseignement russes. Ils sont apparus après la guerre en Ukraine, pro-russes. Est-ce qu'on peut dire que ces hackers travaillent même pour le FSB, les services de renseignement russes ?

Alors, je vais déjà répondre, effectivement, comme disait M. Notin, il a complètement raison. On ne sait strictement pas si, effectivement, c'est un petit gars basé au Kremlin qui a cliqué sur un bouton à la demande du FSB. Faut-il rappeler, No Name, les arrestations qu'on a pu voir ces derniers temps, c'était une Ukrainienne, des Espagnols et un Français. Donc, autant dire qu'ils sont bien loin du pays de l'Est qui peut être potentiellement montré du doigt par l'informatique.

Parce que ces pirates informatiques, soyons très clairs, il n'est pas compliqué, en tous les cas, de pouvoir se cacher ou d'afficher une information lors d'une cyberattaque qui a clairement pour mission de vous convaincre que ça vient bien, je ne sais pas moi, de Dunkerque ou de Marseille alors que ça a été envoyé du Québec, par exemple. Donc, y a-t-il un état derrière ce genre de cyberattaque ? Y a-t-il véritablement une envie d'un service de renseignement, quel qu'il soit ? Je ne suis franchement pas capable de vous répondre.

Par contre, je peux vous répondre en vous disant qu'il suffit malheureusement de piocher dans ce grand Internet qui est le village planétaire du numérique, faut-il le rappeler, pour trouver des gens qui ont tout simplement, encore une fois façon de parler, mais tout simplement envie de participer parce qu'ils pensent que c'est une bonne politique, ils pensent que ça sera le meilleur moyen de cybermanifester, ou tout simplement, on appelle ça le troll, tout simplement se dire « Et si j'ai embêté le monde ? » Et on verra un petit peu comment le monde va se dépatouiller avec tout ça.

On va retourner au standard de France Inter, 01-45-20-47000, Nicolas est en ligne. Bonsoir Nicolas.

Bonsoir, merci beaucoup pour votre émission qui est absolument passionnante. Est-ce que la France s'investit suffisamment et à la bonne échelle dans la cybersécurité, notamment au niveau de ses administrations et entreprises stratégiques ? Et est-ce que les citoyens que nous sommes sont véritablement sensibilisés et suffisamment formés aux questions de cybersécurité qui, de mon point de vue, devraient toutes nous concerner ?

Alors, la sensibilisation des Français, des entreprises et la formation, même, c'est le job de Jérôme Notin, en partie directeur du site gouvernemental Cybermalveillance. Est-ce que la France investit suffisamment et fait comprendre aux entreprises, elle l'investit pour faire comprendre aux individus que ce n'est pas une petite blague ?

Alors, si je peux me permettre, je vais répondre à la première partie de la question. Est-ce que l'État, au sens large, est organisé pour lutter contre les cyberattaques ? Oui, on a la chance aujourd'hui, en France, depuis maintenant plus d'une dizaine d'années, d'avoir une autorité nationale qui est rattachée au service du Premier ministre, qui s'appelle l'ANSI, et qui a pour vocation et pour mission de protéger les institutions... L'Agence Nationale de Sécurité et des Systèmes d'Information. Il y a dix ans, on parlait de SSI, aujourd'hui, on parle de cyber. L'ANSI. C'est la même chose, effectivement.

Et donc, cette entité, cette structure, qui est plutôt bien armée, elle s'est normalisée, elle s'est légiférée, elle s'est allée intervenir lorsqu'un ministère, un grand ministère, ou ce qu'on appelle un opérateur d'importance utile, est attaqué. Et donc, voilà. L'ANSI a fait le constat, il y a un peu plus de dix ans aussi, que pour les autres victimes, et on rejoint un petit peu la deuxième partie de la question de notre auditeur, donc pour les autres victimes, les particuliers, les entreprises non régulées et les collectivités, il fallait un machin, un machin pour les accompagner sur la prévention lorsqu'ils sont victimes, et pour observer la menace qui les concerne.

Et ce machin, c'est cybermalveillance.gouv.fr, donc il y a ces trois missions. Alors après, pour répondre très directement à la mission, moi je rêve, en tant que directeur général de ce machin, de pouvoir avoir les moyens de faire des campagnes de sensibilisation sur le modèle de la sécurité routière. Je suis assez convaincu que le retour sur investissement serait assez important, parce qu'on a un budget, nous, tout compris de 3 millions d'euros sur toutes les missions, donc on a un tout petit dispositif. Maintenant, voilà, la situation actuelle budgétaire fait que c'est compliqué d'investir avec un retour sur investissement qui n'est pas en première intention.

Il n'est pas immédiat le retour sur investissement, mais dites-vous, vous nous dites, Jérôme Notin, que la France investit suffisamment, je sais que vous êtes mal placé pour en parler, mais la France investit pour se prémunir des attaques, et les attaques, les cyberattaques, vont toucher le ministère de l'Intérieur, le ministère des Sports. C'était de la provocation de la part de ces hackers-là d'aller chercher justement les ministères ?

Provocation, opportunisme, récupérer de la donnée. Vous l'évoquiez tout à l'heure, le mot amsonage, on pêche au chalut, c'est-à-dire qu'on va lancer des filets et puis un petit poisson ou un gros poisson qui n'a pas été vigeant va tomber dans notre filet. Donc là encore, je ne vais pas m'exprimer sur des dossiers en cours. Maintenant, ce qui a été intéressant pour au moins une des deux victimes, c'était, en tout cas pour les attaquants, c'était récupérer de la donnée, de la donnée qui vont permettre de bien personnaliser, questionner ce qu'est le hameçonnage. Si je vous prends l'exemple de SMS, je suis le livreur, votre colis ne rentre pas dans la boîte aux lettres.

Bon, voilà, vous avez compris. Bim, on est hameçonnés. Alors si vous mordez, si vous rentrez dans les filets.

Je fais une question très technique mais qui intéresse tout le monde. Est-ce qu'on ouvre simplement ce message, on est déjà hameçonné ou il ne faut pas l'ouvrir ? Qu'est-ce qu'il faut faire pour être hameçonné au final ?

Il faut rentrer de la donnée personnelle. C'est-à-dire qu'ils ont déjà une partie de la donnée personnelle et moi ce qui me fait peur sur cette année 2025, c'est le nombre de fuites de données qui contenaient des données très précises. Des centres de contrôle technique qui disposent des plaques minéralogiques. Si vous recevez un message « Bonjour monsieur Intel, votre véhicule, tel numéro de plaque minéralogique, Intel, et je suis une société d'autoroutes libres » et donc cliquez sur paiement-autoroutes-libres.fr. Là, si vous cliquez, il n'y a pas de danger en général. Il n'y a pas de charge active.

Dès qu'on envoie de l'information, c'est mort.

C'est ça, c'est mort et ça va être ensuite utilisé pour faire du faux conseiller bancaire.

Évidemment. Damien Bancal, je reviens à cette attaque, à cette berattaque contre le ministère de l'Intérieur. Il y a le cas de Melvin Hell qui a été mis en examen il y a quelques jours pour le piratage de ce ministère. Il a 22 ans, il est en difficulté scolaire, déjà connu de la justice. Est-ce qu'ils sont nombreux à avoir ce profil ?

Il est là le problème. C'est qu'aujourd'hui, alors je vais apprendre une histoire que vous racontent nos grands-parents, ça va de 7 à 77 ans. Et j'exagère à peine. Pourquoi ? Parce qu'aujourd'hui, ces profils de pirates informatiques, je n'appelle pas ça des hackers, vraiment de pirates informatiques, voire même de cybercriminels, je vais vous donner un exemple très concret que j'ai pu vivre. On commence avec des adolescents qui se retrouvent sur des réseaux sociaux, ils discutent, ils partagent, ils se disputent, même comme dans une cour de récré.

Sauf qu'avec le numérique, certains veulent se venger, se disent, écoute, tu t'es moqué de moi, de mes parents, de ma façon de jouer aux jeux vidéo, peu importe, je vais tout retrouver sur toi en information. Et là, vous en avez 2-3 qui ont des moyens, on va dire, intellectuels et technologiques un petit peu plus poussés. Et donc, ils aident en expliquant, si on trouve des bases de données, on aura tout sur sa vie à cette personne que tu n'aimes pas et sa famille. Sauf que le troisième larron apparaît et se dit, mais il y a de l'argent à se faire.

Et si on crée un outil qui permettra pour 10 euros, par exemple, de pouvoir sortir des fiches de n'importe quel internaute en France si on a la base de données, qu'on va pouvoir revendre. Voilà. Vous venez de tomber dans un engrenage de simples, pardon du terme, jeunes qui veulent jouer à ils viennent de mettre le pied dans la cybercriminalité. Et c'est pour ça que les parents doivent véritablement jouer aussi à un jeu avec leurs enfants d'entre eux, deux jeux justement.

Discutons, vérifions, regardons ce qu'ils font parce que pour avoir la chance de rencontrer énormément de collégiens, j'en ai rencontré plus de 3000 depuis début septembre, quand je commence à voir un jeune de 11 ans qui commence à m'expliquer qu'il s'intéresse à l'informatique, qui commence à coder et je commence à entendre des mots de vocabulaire qui me font comprendre qu'il est en train de malheureusement basculer du mauvais côté de la force, c'est à nous adultes de dire mais voilà un potentiel pour notre pays, pour nos entreprises, pour son avenir.

Voilà, c'est tous ces éléments-là qui font dire que cette cybercriminalité, c'est pas obligatoirement un espion, la James Bond cachée quelque part au fin fond d'un pays qu'on ne connaît pas, c'est peut-être votre fils ou votre voisin. C'est pour ça qu'éduquez les autres, ce que fait parfaitement le machin, je n'aime pas le père, moi je préfère cybermalveillance.gouv.fr mais c'est vraiment voilà, l'éducation. L'éducation

et le rôle de chacun, c'est déterminant. Jérôme Notin, directeur du site gouvernemental Cybermalveillance, cette cybercriminalité, elle est d'autant plus difficile à détecter depuis l'arrivée de l'intelligence artificielle ?

On n'a pas d'utilisation à date démontrée de masse, d'utilisation de masse pour faire de la cybermalveillance slash de la cybercriminalité. En face de nous, on a des gens qui sont, on l'a dit, très bons, très informés, donc évidemment, on pense qu'ils utilisent. Maintenant, il n'y a pas eu ce raz-de-marée de cybercriminalité qu'on pouvait redouter, bien évidemment. Avec l'intelligence artificielle.

Une question sur le site de l'appli Radio France, question de Jean-Bernard de Dordogne, je vais vous la soumettre pour commencer, Damien Bancal, est-ce que les diverses cyberattaques pourraient être un test pour une plus grande attaque généralisée à tout un pays, voire à tout un continent ?

Alors, ne tombons pas dans la paranoïa. On n'est pas dans des films de science-fiction où effectivement une cyberattaque bloque tout un pays. Mais la prudence est quand même à mettre à notre portée de chaque citoyen cybercitoyen. Parce que l'entraînement, n'oublions pas quand même de ça, dans cinq mois, ce sont les municipales. Dans un an et demi, ce sont les présidentielles. N'oublions pas les cyberattaques qu'on a connues aux autres élections et donc malheureusement, ces malveillants se sont entraînés, ont des nouvelles techniques, ont des nouveaux moyens et ils ont très vite compris aussi que perturber une élection, c'est perturber un pays.

C'est peut-être perturber aussi une population mafieuse comme on en parlait tout à l'heure qui pourrait se dire eh bien voilà, perturbons ce pays, ça nous permettra peut-être de gagner de l'argent. Donc voilà, n'ayons pas peur.

N'ayons pas peur, soyons vigilants tout de même. C'est exactement ça. Jérôme Notin, cyberattaque, ça peut être un test pour une opération de plus grande envergure ?

Alors une fois n'est pas coutume, j'irai un petit peu à l'opposé de ce que dit Damien Bancal. Quand on a lancé le dispositif en 2017, le directeur général de l'ANSI de l'époque qui était le président de notre dispositif a dit une phrase qui aujourd'hui sonne encore, j'en suis convaincu. Il a dit si on a 10% des TPE qui sont au tapis pour quelques raisons que ce soit, qui ne sont plus fonctionnelles, un problème de sécurité nationale. Et donc on l'a vu pendant Covid, c'est peut-être pas 10%, mais on sait qu'aujourd'hui il n'y a plus un grand donneur d'ordre qui ne se base pas sur une chaîne de sous-traitance. Et pourquoi je dis ça ?

C'est que quand on regarde le niveau de maturité du monde professionnel, en général, alors il y a des cas particuliers dont l'actu peut parler parfois, mais en général, les gros donneurs d'ordre, les gros industriels sont bien sécurisés, voire très bien sécurisés. Et donc comment on fait pour rentrer ou pénaliser ou générer un problème de sécurité nationale, on va attaquer la chaîne de sous-traitance. Parfois même, d'ailleurs, il y a des... Les sous-traitants

sont des portes d'entrée pour des cibles plus grandes.

Exactement, ils sont connectés aux donneurs d'ordre et nombre de fuites de données qui ont eu lieu en 2024-2025, ce n'est pas la structure en tant que telle qui est attaquée, c'est un sous-traitant qui est connecté au système d'information et c'est par-de-là qu'on va récupérer la donnée.

Question de Pascal sur l'appli Radio France, je vous la soumets d'un bancal, on a parlé de la Russie tout à l'heure, alors est-ce que devant les attaques revendiquées venant de Russie, est-ce que la France réplique en sous-main mais de la même manière ?

Alors, on a la chance nous quand même de vivre en démocratie avec un pays et surtout des autorités qui respectent la loi. Mais ça n'empêche pas cependant qu'on prend l'exemple du ministère de la Défense qui ont clairement mis en avant et ils l'ont affiché même dernièrement avec la mise en avant d'une équipe militaire, je vais utiliser un terme un peu plus simplifié, qui clairement est capable de se protéger, de nous protéger et donc de défendre et d'avoir de l'offensif. Oui, c'est indispensable.

Alors maintenant qu'il y ait des choses sous le manteau, je pense que voilà, non, en tout cas pas chez nous mais rien n'empêche de se dire qu'aujourd'hui des autorités ont besoin juste dans l'offensif d'infiltrer. Infiltrer, c'est regarder, regarder, c'est comprendre et comprendre, c'est pouvoir protéger.

Les points faibles qui permettent aux cyberattaques de prospérer, est-ce que ça tient, je vous pose la question Jérôme Notin, au comportement des plus jeunes, les 18-34 ans, est-ce que cette partie de la population est plus vulnérable que d'autres ?

Alors en tout cas, et c'est peut-être pas par hasard que vous me posez cette question puisqu'effectivement on a fait une étude dans le cadre du mot européen de la cybersécurité qu'on pilote sur justement l'appréhension du risque par la population et donc si on regarde le verre à moitié plein, quelques chiffres en tête, on sait qu'on voit, cette étude démontre en tout cas que 58% des Français se considèrent comme suffisamment prêts à lutter contre une cyberattaque, ça veut dire qu'on a 42% qui pensent ne pas l'être.

Et quand on regarde dans le détail, effectivement, il y a une très grande différence de comportement au sens large et de compréhension de la menace entre effectivement les 18-35, c'était notre critère à nous, et les 55-75. Et on parlait d'un psonnage tout à l'heure, moi il y a quelque chose qui me frappe énormément, c'est qu'on a 29% des plus jeunes, donc des 18-34 ans, 35 ans, pardon, 34, excusez-moi. 18-34 ans à l'étranger. Autant pour moi. 18-34, c'est l'étude, elle a quelques mois, donc non, elle a trois mois, mais bon, comme vous prenez beaucoup d'études, vous me passerez le petit faux pas.

Donc effectivement, dans cette tranche d'âge, ils sont quatre fois plus nombreux les jeunes à avoir reçu un appel d'un faux conseiller bancaire. Et si on reçoit un appel d'un faux conseiller bancaire, c'est qu'en général, on a nous-mêmes saisi, comme on le disait tout à l'heure, le numéro de notre carte bancaire qui va faire qu'on rentre dans cette matrice d'arnaque.

Et on verra dans un instant comment il faut s'en prémunir de tous, quels sont les réflexes à avoir pour éviter à notre niveau de subir trop de cyberattaques. Olivier est en ligne 01-45-24-7000. Bonsoir Olivier.

Oui, bonsoir à vous. Merci de prendre mon appel et ma question. Voilà, je m'interrogeais sur un sujet. Mon téléphone portable est fabriqué en Chine. Dessus, c'est un système d'exploitation Android qui est produit par Google. sur mon ordinateur personnel, alors pas le mien parce que moi, j'utilise un système qui s'appelle Linux, mais sur la plupart des systèmes d'exploitation des citoyens français, on travaille avec Mac, on travaille avec Microsoft qui sont des produits fournis par des pays étrangers.

Et je voulais savoir comment, dans une telle situation, on pouvait avoir une stratégie de préservation contre les cybermenaces, sachant qu'on ne maîtrise pas les outillages et les terminaux qu'on utilise dans notre pays.

Merci beaucoup de cette question. Je la soumets à Damien Bancal pour commencer. Le fait que nos téléphones, que nos systèmes d'exploitation, que tout, viennent de l'étranger, est-ce que ça nous rend plus vulnérables ?

Alors, j'aurais un mot qui est assez simple, c'est oups. Oui, effectivement, aujourd'hui, on a de l'informatique qui vient clairement de partout, sauf de chez nous. Alors, il faut clairement avoir une éducation sur ce matériel. Du coup, qu'est-ce que je vais mettre dedans ? Comment je vais l'utiliser ? Et puis ensuite, n'oublions pas que ce sont des outils qui nous permettent de nous connecter ailleurs. Donc là, on doit clairement avoir, nous, aujourd'hui, utilisateurs, je ne parle même pas de professionnels, je parle simplement d'utilisateurs dans la famille, avoir une stratégie cybersécurité. Qu'est-ce que je fournis ? Comment je le fournis ? Qu'est-ce que je consomme ?

Qu'est-ce que j'utilise ? Et puis, ne pas hésiter à clairement s'interdire des éléments aujourd'hui, c'est utiliser le même mail partout où je m'inscris, par exemple. Ne pas utiliser la double authentification. Je pense que Jérôme Notin nous l'expliquera encore mieux tout à l'heure, mais il existe plein de méthodes pour se protéger, non seulement gratuitement, mais efficacement. Mais effectivement, face à des outils qui viennent d'ailleurs, ce n'est pas simple.

Eh bien, allons-y, justement, avec vous, Jérôme Notin. Je rappelle que vous êtes le directeur du site gouvernemental Cybermalveillance pour se prémunir des cyberattaques ou des hackers ou des... des esprits qui voudraient nous hameçonner. Premier réflexe à avoir, peut-être, c'est... Et pour éviter ces attaques, c'est qu'il faut être très prudent sur ce qu'on donne de soi sur Internet.

Alors oui, effectivement, d'une manière générale, il faut être très prudent. On utilise des pseudonymes sur les réseaux sociaux, par exemple. C'est quelque chose qu'il faut vraiment faire avec rigueur, sauf quand c'est un usage professionnel. Après, les règles de base, elles sont assez simples, entre guillemets, on les répète, mais elles permettent quand même de vraiment se protéger contre énormément de menaces. Si, par exemple, je reçois un message, quel que soit le média, ça peut être du SMS, ça peut être de l'email, et qu'on me met un lien sûr dans ce message, je ne clique pas. Si j'ai commandé quelque part, je vais sur le site où j'ai commandé.

Si les impôts me doivent de l'argent, les impôts, ils ont mes coordonnées bancaires. Donc, on a un espace privé sur les impôts. La première des règles, c'est ça. La deuxième, si on met ces systèmes et ces logiciels à jour, c'est fondamental parce que les mises à jour permettent en général de porter des correctifs de sécurité. Ce qu'on appelle encore, désolé un petit peu le gérant de ce soir, mais de patcher le système d'exploitation, les applicatifs, pour justement empêcher que des vulnérabilités connues soient exploitées. Et puis, vous avez parlé de notre plateforme d'une manière générale aussi. Alors, les sauvegardes, je le dis.

Et puis, le quatrième conseil, c'est cybermalveillance.gouv.fr. Vous avez tous ces conseils avec des petites vidéos, avec des fiches pratiques, des fiches réflexes.

On va vous racheter un oeil effectivement sur cybermalveillance.gouv.fr. Extrême vigilance également concernant les mots de passe, nous demande cet auditeur sur l'appli ?

Alors, les mots de passe, oui. La REC, c'est un mot de passe spécifique long, non prédictible par application. Il y a des méthodes comme par exemple des gestionnaires de mots de passe. On parlait de l'ANSI tout à l'heure, l'ANSI a qualifié un mot de passe logiciel libre pour Olivier, je crois, qui utilise Linux. Kipass est un logiciel libre donc on peut s'assurer de son bon fonctionnement. Il dit ce qu'il fait et il fait ce qu'il dit. Kipass permet de stocker d'une manière sécurisée son mot de passe sur un outil spécifique.

Si j'avais juste un conseil, ce n'est pas toujours facile d'avoir plein de mots de passe différents et de les stocker sur Kipass, mais au moins sur la messagerie parce que la messagerie, c'est notre centre de vie numérique. Si j'ai accès à votre messagerie, je vais réinitialiser tous les mots de passe des différents sites et donc là, je vais me faire passer pour vous.

On a parlé là des réflexes que chacun peut avoir. On va voir dans un instant avec vous, Jérôme Notin, également les bons réflexes à avoir en entreprise parce que là encore, c'est un autre contexte. Je reviens vers vous en attendant Damien Bancal parce qu'un auditeur nous demande concernant les profils de hackers, il faut non seulement rappeler à quel point les motivations sont disparates, il y a aussi des hackers qui s'appellent des hackers éthiques. Alors, notre auditeur ne comprend pas ce qu'est un hacker éthique. Que souhaitent-ils ces hackers éthiques ?

Alors moi, je préférais utiliser le terme cyber citoyen. Hacker éthique, hacker gentil, gentil hacker et tout ça, c'est quand même pré-marketing. Non, un cyber citoyen, c'est par exemple un informaticien, c'est peut-être votre fils, votre grand tonte, peu importe en tout cas, ce sont des gens qui vont vouloir apporter une aide. Voilà, une aide à quoi ? Eh bien, déjà réparer votre ordinateur, mais aussi trouver qui pourrait permettre à un malveillant de rentrer dans une PME, PMI, et aujourd'hui, on a des entités. On a des entités économiques, d'ailleurs, on en a deux en France qui sont très connues de par le monde, comme par exemple CS ou IAC, c'est quoi ?

Ils font appel à des informaticiens qui ont l'autorisation de tester la cybersécurité d'une entreprise, bien sûr, dans un cadre tout à fait légal, contrat et compagnie, et donc du coup, ces hackers éthiques vont clairement utiliser les mêmes méthodes que les pirates informatiques pour essayer de comprendre comment ces pirates informatiques pourraient potentiellement rentrer chez vous. l'ennemi, c'est clairement le bloquer. Et donc voilà, ces hackers éthiques, ces cybercitoyens sont là aussi pour être des leviers, clairement, de notre protection. Des ministères ont fait appel à des hackers éthiques pour justement pouvoir tester certaines applications.

On a énormément d'entreprises aujourd'hui qui font appel à ces cerveaux un peu différents. Alors, ils ne sont pas différents parce qu'ils sont clairement étranges, non, non. Ils vont réfléchir comme ces malveillants qui, eux, n'auront aucune pitié, qui ne respecteront pas la loi. Des cerveaux compétents

mais qui ne sont pas malveillants, Jérôme Notin.

Oui, juste, Damien Vancal l'a dit et juste rebondir sur ça parce que c'est une petite fierté, moi, en tant qu'agent de la fonction publique. Les administrations, l'État au sens large, les ministères ont été parmi les premiers en France à utiliser ces plateformes de bug bounty et qui fait qu'aujourd'hui, on a deux champions qui rayonnent à l'international et on ne peut que s'en réjouir. On ne peut inviter qu'inviter nos auditeurs s'ils se posent des questions sur les outils qu'ils peuvent utiliser pour se sécuriser. Alors, c'est évidemment dans un contexte professionnel mais à faire appel à ces pépites nationales.

Jean-François, je vous retourne la question, Jérôme Notin, il vous a écouté, Jean-François, et il dit mais moi, je tourne depuis des années avec un vieux Windows 7 alors je veux bien faire toutes les mises à jour possibles mais est-ce que les nouveaux systèmes d'exploitation finalement ne sont pas plus vulnérables parce que plus ciblés, parce que plus à la pointe ?

Malheureusement, Windows 7 n'est plus maintenu par son éditeur Microsoft et donc je vais évoquer les vulnérabilités tout à l'heure. Là, il y en a plein qui sont connus et qui sont exploités et qui n'ont pas de correctif. Donc, si vous avez une vieille machine, Olivier parlait de Linux tout à l'heure, je peux vous inviter à franchir le pas. C'est une démarche effectivement qui est un petit peu longue qui demande de l'engagement et du temps mais vous pourrez conserver votre matériel et vous aurez un système d'exploitation qui sera maintenu et donc sécurisé. Qui dit maintenu dit sécurisé.

On va retourner au standard 0145 24 7000 avec Thierry qui est en ligne. Bonsoir Thierry.

Bonsoir.

Vous êtes à l'antenne.

Oui, alors moi j'avais une question à poser qui concernait toutes les demandes qu'on nous fait à chaque fois qu'on va sur un site internet que ce soit la poste ou autre. On nous demande nom, prénom, adresse, numéro de téléphone, adresse, est-ce qu'on ne nous demande pas trop d'informations justement par rapport à ce dont tu as besoin le site ? En question, est-ce qu'on propage nos données ?

Merci de cette question pertinente que je soumets à Damien Bancal, spécialiste en cybersécurité. Est-ce qu'on ne donne pas trop d'informations dès qu'on nous demande de remplir des formulaires et Dieu sait s'ils sont nombreux ?

C'est une excellente question effectivement parce qu'on a vraiment énormément de questions qui sont même souvent imposées. Pourquoi on a besoin de connaître mon âge ? On veut savoir si j'ai plus de 18 ans. Pourquoi a-t-on besoin de mon numéro de téléphone ? C'est pour pouvoir vous envoyer un message par SMS. Est-ce que j'ai besoin de donner mon adresse physique ? C'est à nous, internautes, de clairement réfléchir à si oui, je souhaite donner mon adresse mail à moi de trouver le moyen de créer une adresse mail spécialement pour cette entité.

Alors effectivement, quand c'est pour l'administration, ne soyons pas dupes, on est obligés de fournir ces informations parce que ça va se corroborer aussi avec les données que l'administration par exemple possède déjà. Pour des boutiques, pour des forums, pour des blogs, non, ayons une stratégie de cybersécurité qui est ils veulent ce type de données, bon, au pied, mais ils n'auront pas les vraies. N'ayons pas peur, pardon du terme, de mentir aussi un petit peu avec des données qui pourraient se retourner contre nous parce que c'est comme ça et que l'informatique ça pourrait mal finir. Et je me permettrais de répondre aussi à propos du Windows 7.

C'est comme s'il y avait une voiture avec les pneus lisses depuis 20 ans. Il y a un moment, ça risque de rouler beaucoup moins bien.

Ça ne me rappelle pas quelque chose. Question, Jérôme Notin, on a parlé des risques, de prévenir les risques quand on est individuel en entreprise. Est-ce que les salariés sont suffisamment formés aux risques qu'ils peuvent faire prendre à l'entreprise ?

Je vais dire que ça dépend des structures. Là aussi, on fait des études et les chiffres évoluent peu par la prise de conscience même des chefs d'entreprise que leur structure ou les élus dans les collectivités, que leur structure, elle peut être cyberattaquée. J'ai pu en tête, peut-être l'avez-vous, la statistique, mais de mémoire, je crois que c'est plus de 40% des chefs d'entreprise qui considèrent qu'ils ne sont pas victimes potentielles de cyberattaque. Et comme on l'a dit en propos d'introduction Damien Bancal, à partir du moment où on utilise un outil numérique, on s'expose à un risque. Il parlait de véhicule, on nous a appris à conduire un véhicule.

Aujourd'hui, il n'y a pas une personne qui se dit quand elle prend son véhicule qu'il n'y a pas un risque. Après, il ne faut pas être... Voilà, si on a une nécessité de prendre la voiture, on la prend, mais on a conscience de ça. Et ce n'est pas malheureusement le cas, et en particulier en entreprise.

Et un dirigeant d'entreprise peut-il être tenu responsable de la violation de données personnelles de ses clients ?

Alors, question inverse. Par le RGPD, on a une loi européenne du RGPD qui oblige... Exactement, très protecteur et qui, en tant que citoyen, dont on peut se réjouir. Après, c'est pareil, il faut que tout le monde respecte ce règlement européen.

Donc, il peut être tenu responsable s'il ne rentre pas dans les critères du RGPD.

Il peut être tenu responsable.

Gilles est en ligne. Bonsoir, Gilles.

Oui, bonsoir. je vous remercie de prendre ma question. Avec plaisir. Et merci pour vos émissions qui sont quand même très très intéressantes.

C'est gentil.

C'est normal. Je vous appelle pour savoir parce qu'en fait, je sais qu'il y a eu une loi qui a été votée pour que les cookies, on puisse refuser les cookies et à chaque fois qu'on tombe sur un site, un site marchand ou des choses comme ça, il y a est-ce que vous acceptez est-ce que vous refusez ? Alors bon, des fois, il y a juste le clic où on refuse tout et puis voilà. Alors moi, je prends toujours le temps de... des fois, il faut aller dans un truc pour refuser, clac, clac, clac, tiquer, toutes les choses. Quel impact ça, en fait, finalement ?

Est-ce que réellement, voilà, ma question c'est ça, est-ce que réellement, cette question que les sites nous posent, accepter ou refuser les cookies, ça fonctionne ? Il y a une loi française qui est passée là-dessus. Est-ce que sur des sites qui sont à l'autre bout du monde, qui nous posent la question parce qu'ils sont bien obligés, est-ce qu'ils appliquent ? Est-ce que ça vaut le coup ? Vous voyez ce que je veux dire ?

Très bien, je vais synthétiser parce que je vais transmettre la question à Damien Bancal pour commencer. Est-ce qu'on a le choix d'accepter ou de composer avec les cookies ? Oui, parce qu'il y a une loi, mais ça vaut quoi au final, Damien Bancal ?

Je crois que les cookies sont les petits gâteaux numériques les plus dangereux qui puissent exister sans exagérer. Pourquoi ? Parce que le cookie, en premier abord, c'est quelque chose de plutôt sympa. Je vais sur un site internet et il va garder plus ou moins en mémoire ce que j'ai lu parce que ça va me permettre de me refournir les mêmes lectures. J'ai choisi une couleur d'un site internet, ça va me redonner cette couleur. Sauf que le cookie, derrière, se cache quelque chose d'un petit peu plus permissieux et ce sont tout ce qui a rapport à la communication et à la publicité.

Et donc, du coup, ces cookies sont carrément devenus indispensables avec l'internet et le marketing qu'il y a autour de tout ça. Et donc, la loi dont le RGPD a pris en compte, le cookie, doit être, dans tous les cas, autorisé ou non dans un ordinateur. Il ne nous reste qu'un seconde.

pardon de vous couper Damien Bancal parce que Jérôme Notin voudrait réagir aussi en 15 secondes sur le cookie.

Permettant, mot de conclusion, on a parlé de prévention. Si malheureusement vous êtes victime, 17cyber.gouv.fr, vous avez tous nos services avec la possibilité d'échanger par tchat avec un policier, un gendarme, 24h sur 24. Donc, 17cyber.gouv.fr, le guichet unique de la lutte quand on est victime contre la cybermine de veillance.

Eh bien, merci à tous les deux, Jérôme Notin, Damien Bancal, d'avoir remarquablement répondu aux auditeurs de France Inter. Le téléphone sonne, c'est terminé. À suivre leur philo de Patricia Martin sur les liens entre la mode et la philosophie. Ce sera après le flash de 20h. Et après les petits bateaux, ces bouts de choux qui ont toujours une question pertinente à poser.

Bonjour, j'ai 7 ans et je voudrais savoir pourquoi les enfants ne peuvent pas boire d'alcool. Merci. Sous-titrage MFP.