L'État est-il fragile face aux cyberattaques ?

Un acte très grave, c'est en ces termes que le ministre de l'Intérieur, Laurent Nunez, a qualifié la cyberattaque dont son ministère a été la cible le 17 décembre dernier. L'attaque a duré plusieurs jours et des fichiers confidentiels, à l'instar d'antécédents judiciaires et le fichier des personnes recherchées, ont été volés. Quelques jours plus tard, la Poste a elle aussi été touchée par une cyberattaque revendiquée par un groupe russe, No Name 057. Entre 2019 et 2023, la cybercriminalité a augmenté de 40% et entre 2024 et 2025, l'ANSI, l'Agence française de sécurité informatique, a enregistré une hausse de 15% des événements de sécurité sur des sites informatiques.

Alors, face à une menace grandissante, l'État français prend-il ses responsabilités ? La numérisation des données administratives des citoyens est-elle désormais trop dangereuse ? Quels moyens sont déployés pour prévenir les risques ? Deux invités pour nous éclairer et en débattre ce soir. Antoine Chauveau, bonsoir. Bonsoir. Vous êtes doctorant en sciences politiques à Paris, Panthéon-Sorbonne, et vous rédigez une thèse sur les nouvelles technologies au sein des conflits et des mutations de l'État. Face à vous et à distance, Sylvain Guillet, bonsoir. Et bonsoir.

Vous êtes chercheur à l'École Normale Supérieure, directeur technique de SecureIC, co-auteur du livre intitulé Comprendre la cybersécurité, qui a paru cette année aux éditions Apogée. Merci à vous deux d'être présents ce soir dans Questions du Soir. Oui, je vous confirme qu'on a fait l'objet d'une intrusion malveillante il y a quelques jours maintenant, qui a eu lieu par un individu ou un groupe d'individus qui s'est introduit dans nos systèmes d'information en utilisant nos messageries.

Et donc, à partir de certaines boîtes professionnelles, il a pu récupérer des codes d'accès qui sont échangés en clair, en dépit de toutes les règles de prudence, pourtant que l'on diffuse très régulièrement. Il suffit de quelques individus qui ne respectent pas ces règles. Il a pu consulter un certain nombre de fichiers importants pour nous, notamment le fichier que vous citez, les antécédents judiciaires, notamment, et procéder à un certain nombre d'extractions. Ce que je peux vous dire, c'est qu'en administratif, on a mis en oeuvre tous les moyens pour remédier à tout cela, évidemment, que c'est grave. Je reste très prudent sur le niveau des compromissions.

La voix du ministre de l'Intérieur, Laurent Nunez, il était l'invité de France Info le 17 décembre dernier. Cinq jours plus tôt, le groupe Shiny Hunters revendiquait l'accès aux données de plus de 16 millions de personnes issues de fichiers sensibles, comme le TAJ, le traitement d'antécédents judiciaires, et le FPR, le fichier des personnes recherchées, ou encore des données liées à la DGFIP, la Direction Générale des Finances Publiques. Dans ce domaine, Antoine Chauveau, est-ce que vous estimez que cette attaque à l'encontre du ministère de l'Intérieur est grave, et que le ministère a pris la mesure de ce qui se passait ?

Alors, cette attaque, en soi, peut-être grave, puisqu'elle permet de parler de la responsabilité de l'État. C'est-à-dire, est-ce que l'État est capable de protéger ses citoyens ? Est-ce qu'il est capable de protéger ses ministères les plus régaliens ? Est-ce qu'il a les capacités de le faire ? Et là, cette attaque, elle montre qu'à minima, l'État n'a pas su former certains agents, certains fonctionnaires du ministère de l'Intérieur, qui ont donc échangé en clair, comme le disait le ministre, des codes sensibles, et qui ont permis ensuite à des hackers d'accéder à des données sensibles.

Donc, cette attaque est grave en ce sens que des groupes criminels, par exemple, on pourrait prendre l'exemple d'un baron de la drogue, par exemple, qui pourrait servir des données récoltées, pour voir si les personnes qui travaillent pour lui sont surveillées, pour avoir un assondance sur l'État. Donc, en ce sens, c'est relativement grave. On pourrait dire que c'est grave.

En revanche, on pourrait peut-être temporiser un petit peu, nuancer cela, en disant que c'est une attaque assez restreinte, que des attaques d'envergure peuvent être menées par des services de renseignement, par des gros groupes de hackers, et que là, en l'occurrence, il n'y a pas d'informations ultra-sensibles pour l'État, pour la défense de l'État qui ont été divulguées. Il y a quand même le nom de personnes fichées S qui a été divulguées, lâchées dans la nature, ça vous dites que ce n'est pas si grave ? C'est-à-dire que c'est sensible, ça peut être très mal utilisé, ça peut être utilisé par des groupes criminels, en l'occurrence.

Ça aurait pu être encore plus grave si des systèmes informatiques de l'État, d'un service de renseignement, ou directement des données de l'Élysée, par exemple, avaient fuité à cet écart. Sylvain Guillet, sur la première partie de la réponse d'Antoine Chauveau, lorsqu'il explique que l'État a fauté, notamment dans sa capacité à protéger les citoyens. Je vous sais plus nuancer sur ce point-là également. Tout à fait. Ce qu'il faut voir, c'est que cette attaque est assez classique. Il n'y a pas de grande sophistication. Le ministre l'exposait très clairement. Certaines précautions n'ont pas été prises.

L'attaquant a simplement eu à récupérer des couples identifiants, mots de passe, qu'il a réussi à obtenir de manière probablement assez triviale. Et ce qui lui a permis d'opérer ce qu'on appelle des mouvements latéraux. C'est-à-dire à partir d'informations sur un utilisateur, d'essayer d'explorer via simplement le courrier électronique et d'exfiltrer de l'information. Cette attaque n'est pas entrée vraiment en profondeur dans les systèmes d'information du ministère de l'Intérieur. Donc à ce titre, c'est une aubaine et effectivement une très grande opportunité pour cet attaquant qui a donc pu glaner pas mal d'informations. Maintenant, la parade est très claire.

Et en fait, le ministre a lui-même annoncé les mesures à prendre. Simplement mettre en place de l'authentification plus forte, à double facteur par exemple, pour empêcher que du vol d'identifiant permette d'entrer comme ça dans un ministère régalien. Mais j'ai quand même un peu, pardonnez-moi, un peu de mal à vous suivre l'un et l'autre lorsque vous expliquez que ce vol de données n'est pas si grave. C'est tout de même une mission régalienne, une mission qui appartient à l'État, que de protéger des traitements d'antécédents judiciaires, des données liées aux fichiers des personnes recherchées.

Vous nous dites au fond, bah non, ce n'est pas si grave, l'État n'a pas été atteint en profondeur, Antoine Chauveau, vraiment ? Il y a peut-être deux choses à distinguer. D'abord sur la défense de l'État, c'est-à-dire que ce n'est pas vraiment une faille technique, ce n'est pas un problème technique de l'État, c'est une faille dite humaine, une erreur d'un fonctionnaire de l'État. Donc c'est là qu'on a tendance à dire que ce n'est pas une... Ce sont des agents de l'État qui ont manqué à leur fonction. Exactement, ça c'est la première chose. Et puis la deuxième, c'est que dans le cyberespace désormais, pratiquement tous les appareils numériques peuvent être atteints.

Si vous voulez une anecdote assez parlante, le vice-président des États-Unis, il y a quelques années, avait un pacemaker qui était relié à un hôpital proche à Washington. Et des personnes de l'État américain se sont rendues compte qu'on pouvait hacker le pacemaker de cette personne. Donc on peut réellement, dans l'espace numérique, faire beaucoup de dégâts, bien plus que faire fuiter des dossiers qui sont pour le coup des données confidentielles. Il y a des choses très graves qui peuvent être faites dans le cyberespace. Sylvain Guillet, vous persistez également. Ce n'est pas si grave, dans le fond, ce qui s'est déroulé le 12 décembre dernier.

Alors, difficile d'être absolument positif sur la réponse à cette question. Mais ce qui est sûr, c'est qu'un monde où il y a zéro attaque, simplement, n'est plus possible. Donc ce qu'il faut aujourd'hui, c'est plutôt raisonner sur le fait, un, quel est l'impact, et deux, quelles sont les mesures prises pour endiguer le problème, quel est le processus d'amélioration continue au niveau humain, comme on le mentionnait, au niveau de l'hygiène informatique, et deux, au niveau des services informatiques qui, encore une fois, eux, ne sont pas mis en cause. Donc, pour moi, on a là, en fait, une opportunité de peaufiner la cybersécurité des agents et du ministère.

Et, en fait, ce qui va se passer dans les années à venir, c'est qu'il va y avoir aussi un peu d'apprentissage, un peu d'essai-erreurs, voilà, pour s'aligner sur les bonnes pratiques et obtenir une couverture à 100% de la cyberprotection. Est-ce que, Antoine Chauveau, cette attaque-là, encore une fois, du 12 décembre, est une exception dans le paysage des cyberattaques, ou bien, d'une manière générale, l'État faillit, dans l'ensemble, à protéger les citoyens en matière numérique ? Alors, d'autres attaques sensibles, similaires, qui ont touché des intérêts dits vitaux de l'État, des grandes entreprises, ou bien la Poste récemment, on aura peut-être l'occasion de reparler.

Donc, des affaires similaires... On pense à la CAF, on pense à France Travail et à d'autres. Complètement, des affaires similaires qui sont arrivées. En fait, l'État, depuis peu, met beaucoup de moyens pour assurer la cybersécurité des entreprises, des citoyens de l'État, mais a tendance à faillir sur certains points. Je vous donne un exemple sur le ministère de la Justice, qui a créé une section J3, au sein du parquet de Paris, pour traiter la cybercriminalité. Ils n'ont que quatre magistrats.

C'est-à-dire que l'État a tendance à ne pas apporter suffisamment de moyens à soit faillir sur des points très spécifiques, comme cette affaire, soit à ne pas mettre suffisamment de moyens dans la justice ou dans la police. Mais là, vous nous parlez, Antoine Chauveau, de moyens dits humains, mais s'agissant, pour commencer, des moyens techniques. Est-ce que, là encore, au niveau des infrastructures numériques, l'État vous semble aujourd'hui bien protégé pour faire face à la montée de la menace, sa complexification et sa transformation ? J'ai envie de vous dire que ça dépend beaucoup des parties de l'État dont on parle.

C'est-à-dire que vous avez des services du premier cercle, du premier cercle, pardon, des services de renseignement qui, là, sont à la pointe, qui ont un excellent niveau de défense et d'attaque. Et puis, vous avez ensuite différents services de l'État, différents pans de la société qui sont plus ou moins protégés. Et c'est là que ça peut pêcher sur certains fonctionnaires de police, certains fonctionnaires de l'État, ou à des niveaux peut-être un peu moins précis que ce que font les services de renseignement. Vous êtes en phase, Sylvain Guilet, l'État n'est pas un bloc homogène et selon les services, il est plus ou moins bien protégé face aux cyberattaques ? Je suis assez en phase.

En fait, comme toute organisation, il y aura un maillon faible, d'accord ? Et là, c'est ce qui s'est passé. Bien entendu, les attaquants ne vont pas chercher l'exploit pour l'exploit et vont plutôt chercher, justement, les brebis galeuses ou les cibles faciles d'accès. Donc, c'est évident. Maintenant, quant à la question de est-ce que l'État met les moyens ? J'aimerais juste rappeler deux points. C'est que, en fait, l'État est le premier prescripteur de normes, et même au-delà de la France, en Europe, de règlements, au niveau communautaire, sur la cybersécurité. Et donc, il y a vraiment tout un arsenal réglementaire. On peut citer le European Cyber Resiliency Act.

On peut citer, par exemple, Nice 2, qui est aussi pas mal médiatisé et qui concerne à la fois les administrations et les entreprises. Donc, d'une part, un rôle très responsable et très moteur de l'État. Mais ça, pardonnez-moi, je vous coupe, vous êtes à distance, Antoine Chauveau, pardonnez-moi, qu'est-ce que ça change de produire de la norme, dans le fond, en quoi ça nous protège des cyberattaques, très concrètement ? Sylvain Guilet. Ah, pardon. Donc, ce que ça protège, comment ça protège, c'est très clair. C'est qu'une protection à une cyberattaque, il ne faut pas le voir sous l'angle purement réactif. Donc, en fait, ça ne s'improvise pas, la cybersécurité.

La cybersécurité, c'est une préparation de très long terme. Donc là, en l'occurrence, quand on parle de fonctionnaires qui n'ont pas forcément appliqué des règles d'hygiène informatique, on voit bien que c'est un process. Et donc, appliquer des normes et donc l'existence de ces normes, l'existence de processus, du coup, de respect, de conformité, c'est la colonne vertébrale de la cybersécurité. La cybersécurité, c'est avant tout des bonnes pratiques. Alors, ça se traduit derrière en une infrastructure, j'ai envie de dire en oignon, en profondeur. Mais les normes sont essentielles pour donner le cadre d'application, en déduire les bonnes fiches réflexes à chacun.

Et donc, c'est en ce sens que je pense que comme, encore une fois, l'État est à l'origine de nombreuses de ces normes, l'État prépare bien le terrain. Est-ce qu'il n'y a pas en même temps, dans le même temps, Antoine Chauveau, j'allais dire, au fond, un problème aussi d'acculturation des responsables politiques à ces enjeux de cybersécurité. Sont-ils correctement formés ? Prennent-ils la mesure de la menace qui existe aujourd'hui ? C'est un des enjeux principaux quand on parle de cyberespace, c'est le manque d'acculturation des hommes et femmes politiques à ces questions de cybersécurité, même plus largement de numérique, d'intelligence artificielle.

Je peux vous donner là aussi quelques exemples d'hommes politiques célèbres qui, dans l'actualité récente avec le ministre de l'Europe et des Affaires étrangères, s'est fait hacker sur WhatsApp. Jean-Noël Barraud. Jean-Noël Barraud et a refusé de transmettre ensuite ses appareils électroniques à l'Agence nationale de la sécurité du système d'information qui est la grande agence civile qui s'occupe de la cybersécurité. Vous avez d'autres exemples très parlants. Sur ce point, pardonnez-moi, il n'existe pas aujourd'hui d'obligation pour un ministre une fois que son téléphone a été piraté. Il n'y a pas d'obligation de le remettre à l'Annecy ? Non.

Il est très difficile pour une administration centrale de soumettre un ministre et de l'obliger de le contraindre à transmettre ces informations. L'Annecy en a fait la demande en revanche. Deuxième exemple ? Deuxième exemple. Vous avez d'autres exemples historiques avec par exemple Nicolas Sarkozy qui voulait absolument travailler sur des tablettes électroniques qui sont en clair comme on dit dans les services d'enseignement ou bien François Mitterrand qui lorsqu'il s'exprimait avec des homologues étrangers ne souhaitait pas utiliser le téléphone crypté qui avait tendance à l'époque à modifier un peu la voix et donc il s'exprimait en clair avec des homologues étrangers.

Ce sont quelques exemples historiques mais très parlants qui montrent que les hommes et les femmes politiques ne sont pas forcément acculturés à ces questions et ont donc des difficultés à mettre en place des politiques publiques cohérentes sur ces questions de cybersécurité. Et comment vous l'expliquez ça par ailleurs on sait que certains responsables politiques ont une tendance à la paranoïa pas tous mais certains d'entre eux je pense par exemple à François Mitterrand et là on apprend qu'il n'aimait pas spécialement protéger ceux qui auraient pu circonscrire sa vie privée.

Oui vous avez plusieurs choses d'abord l'expertise technique il y a un très haut niveau de technicité quand on parle de cybersécurité des couloirs de nage très distincts donc il est difficile pour des généralistes de se pencher sur ces questions avec précision et puis ce sont aussi des questions assez récentes même si là on parle de François Mitterrand et de questions assez anciennes les enjeux d'intelligence artificielle de sophistication des cyberattaques sont très récents et sont peut-être difficiles à intégrer pour ces hommes et ces femmes politiques.

Sylvain Guilet je reviens sur la cyberattaque qui a visé le ministère de l'intérieur le 12 décembre dernier on a parlé de l'amont de la façon dont l'état était capable de se protéger plus ou moins bien de se protéger qu'en est-il de l'aval cette fois-ci est-ce qu'il vous semble que face à cette cyberattaque le ministère de l'intérieur a correctement et rapidement réagi ?

Alors bien sûr tout à fait il n'y a aucune improvisation de ce que j'ai pu voir en fait avec les mêmes sources d'informations publiques que l'on partage tous à savoir tout de suite informer prendre connaissance de l'attaque de ce que l'attaque a pu avoir comme impact quel est le périmètre des données qui ont été exfiltrées et puis planifiées planifiées les mesures correctives et donc en l'occurrence le ministre s'est exprimé sur ce sujet et comme je vous le disais un petit peu en début d'émission la vraie vulnérabilité était d'avoir simplement une absence d'accès de contrôle d'accès à facteurs multiples et donc le ministre s'est clairement exprimé que en fait ceci allait être corrigé très rapidement et que qu'en déplaise en quelque sorte à ces quelques agents qui vont effectivement devoir comme maintenant l'essentiel de la société civile passer à de l'authentification à multiples facteurs donc une petite perte d'ergonomie mais pour un niveau de sécurité qui va être rejoint de celui de l'état de l'art Antoine Chauveau vous mettez la même note mention très bien dans la réaction de l'état oui avec une nuance néanmoins c'est que les personnes qui ont réussi à accéder à ces fichiers l'ont fait pendant plusieurs jours certains parlent de 26 jours donc il y a quand même une longue période durant la crise ça veut dire ça ils ont passé 26 jours au sein des serveurs du ministère de l'intérieur sans être repérés alors c'est une source du canard enchaîné mais plusieurs médias mettent en avant que pendant plusieurs jours jusqu'à 26 pour le canard enchaîné ces personnes ont réussi à accéder aux fichiers de manière répétée donc pourquoi l'état n'a pas réussi à identifier avant cette intrusion ça c'est la première chose ensuite effectivement dans la réaction ce qu'on dit généralement d'une bonne cyberattaque c'est qu'elle n'est pas détectée donc là l'attaque a été détectée ils ont réussi à identifier les personnes à l'origine de cette attaque et déjà ça c'est quelque chose de bien en soi puisqu'il est souvent très difficile dans le cyberespace d'accéder aux attaquants de remonter à la source aux personnes qui ont attaqué pour de vrai à identifier donc ça c'est une réussite pour le ministère de l'intérieur d'avoir géré cette faute plus ou moins bien donc c'est la faute qui a tendance à nous faire dire que l'état a failli et non pas la réaction à cette faute que cherche Sylvain Guilet que cherche le groupe dont nous avons déjà parlé Shiny Hunters ce groupe qui a perpétré la cyberattaque contre le ministère de l'intérieur à quoi sert-il au fond de récupérer ces données liées au traitement d'antécédents judiciaires aux fichiers des personnes recherchées une fois qu'ils en sont une fois qu'ils les possèdent qu'en font-ils ?

Alors les ressorts des attaques sont très multiples Mais sur celle-ci en particulier ?

Il y a un aspect réputation le cyberattaquant cherche à faire valoir ses exploits ça c'est un premier mobile le deuxième mobile c'est simplement le commerce d'informations sensibles ou potentiellement classifiées et donc la mise à disposition de ces informations-là soit sous forme pour en retirer c'est simplement un avantage un avantage financier en l'occurrence et donc les plateformes typiquement du dark web permettent d'échanger de monétiser ces informations Antoine Chauveau le cyberattaquant est d'abord un être évaniteux évanal Alors ça change beaucoup en fonction des attaquants dans ce cas-là effectivement vous avez souvent l'aspect pécunier des cyberattaquants qui vont chercher à revendre les données parfois à des prix très élevés ou bien effectivement pour se faire recruter ou bien pour faire un coup d'éclat vous avez effectivement des formes de hacking Mais vendre à qui ?

Alors c'est très large comme le disait notre autre interlocuteur ça peut être revendu sur le darknet ça peut être revendu à des personnes à des criminels eux-mêmes ça peut être revendu à des entreprises ça peut être revendu de façon très large les acheteurs peuvent être très différents Mais pour en faire quoi encore une fois ? Que fait-on là aussi très concrètement de ces données ?

Alors un exemple très concret si vous avez une attaque sur la poste par exemple vous pouvez avoir accès aux identifiants et aux mots de passe de façon assez classique des personnes qui avaient un compte la poste et il suffit ensuite que ces personnes utilisent, réutilisent ces identifiants et ces mots de passe sur d'autres sites y compris au travail pour que vous ayez accès à des boîtes mail privées pour que vous ayez accès à tout un tas d'informations c'est un des exemples clés vous avez ensuite des données de masse un deuxième exemple des données de masse ça peut servir à alimenter des bases de données à renseigner sur des façons de consommer quand on parle de la poste ou d'autres éléments ou là dans le cadre du ministère de l'Intérieur avoir des données sensibles sur les personnes pouvoir faire pression sur elles ou pouvoir avoir des informations sensibles sur ces individus une autre cyberattaque qui a défrayé la chronique ces derniers jours a concerné la poste plusieurs services de la poste ont été arrêtés durant plusieurs jours Sylvain Guillet est-ce que pour vous il s'agit d'une cyberattaque d'une même nature que celle qui a concerné le ministère de l'Intérieur ou bien on est là dans une démarche absolument différente ?

Ah oui c'est complètement différent donc elle a été commentée comme une attaque en déni de services probablement distribués une attaque tout de suite revendiquée pro-russe comme précisé donc là on est dans plutôt de pour moi une attaque d'une nature de coup de semence donc de puissance étatique entre guillemets à puissance étatique puisque l'attaque porte sur une des infrastructures d'importance vitale de notre pays donc à la fois l'origine de l'attaque l'objectif de l'attaque sont très nettement différents L'origine de l'attaque qui concernait le ministère de l'Intérieur était française elle était individuelle là on apprend à travers les propos de Sylvain Guillet que le cyberattaquant qui a visé la poste était un groupe lié à l'état russe Antoine Chauveau à quoi sert-il encore d'attaquer un groupe comme la poste pour la Russie est-ce que l'une des visées fondamentales de la Russie dans ce travail c'est notamment de tester la résilience française en matière de numérique et de cyberattaque Oui vous avez deux éléments importants la première c'est de pouvoir pour la Russie montrer qu'il y a des failles dans les systèmes de cybersécurité français Mais ça ça nous rend plutôt service d'apprendre qu'il existe des failles on peut y faire face et tenter de les résorber non ?

Effectivement mais ça renvoie donc au deuxième point au deuxième élément important où là ça porte atteinte à la confiance que les citoyens ont en l'état ou dans les infrastructures proches c'est-à-dire qu'en attaquant un ministère ou en attaquant la poste ou une autre grande entreprise c'est aussi envoyer le message aux citoyens français que les services publics peuvent être défaillants que les hôpitaux qui sont beaucoup touchés par des cyberattaques ne savent pas se défendre que le système santé français a aussi failli et donc c'est envoyer un message très important très négatif à la société française et à ses citoyens de dire attention nous pouvons vous attaquer vos services publics ne sont pas parfaits Vous êtes d'accord Sylvain Guillet c'est aussi la confiance qui lie le citoyen français à ses institutions qui est visée dans ces cyberattaques par les russes pour le dire rapidement ?

Ah bah oui parce que le gain de cette attaque vous voyez aucune information n'a été récupérée donc c'est vraiment une attaque de sabotage c'est une attaque pour mettre à mal un service de la poste d'ailleurs qui s'est étendu à différents services et donc vous voyez il y a certains certains services postaux qui ont également été contaminés et un dysfonctionnement du coup dans la circulation des colis à une période de Noël donc effectivement ça a fait de la grogne ça montre aussi qu'effectivement on a des services qui là n'ont pas su résister à une attaque qui effectivement semble être une attaque quand même un peu le B à bas des attaques les attaques en déni de service c'est vieux comme la cybersécurité donc effectivement là-dessus je pense que la poste va réagir pour mettre en place des systèmes techniques qui existent qui sont disponibles sur étagères pour prévenir ces attaques-là mais effectivement l'effet escompté par l'attaquant a été atteint je voudrais qu'on parle de souveraineté de souveraineté étatique aussi c'est un enjeu que permet de soulever ces cyberattaques et vous lire un extrait d'une tribune qui a été signée par Audrey Loa et présidente décrit-elle dans le journal Les Echos elle écrit mais ce qui frappe le plus encore dans cette affaire elle parle de l'attaque de la cyberattaque à viser le ministère de l'intérieur ce n'est pas tant l'attaque elle-même les cybermenaces sont une réalité quotidienne c'est la contradiction flagrante entre nos discours sur la souveraineté et nos pratiques d'achat qui relèvent souvent d'une candeur béate en juin 2025 dans le cadre d'une audition au Sénat j'ai tiré la sonnette d'alarme sur ces risques c'était quelques jours seulement après une cyberattaque d'envergure contre le ministère de l'éducation nationale le contexte de cette attaque soulève des questions troublantes elle est intervenue immédiatement après le changement de fournisseur de sécurité d'un groupement de trois services publics majeurs pilotés par le ministère de l'éducation le prestataire choisit une entreprise américaine c'est vrai qu'on peut se poser aussi la question de savoir quel logiciel quel matériel l'état utilise et il se trouve que ce matériel ces logiciels sont très très souvent américains Antoine Chauveau bien sûr vous avez des géants du numérique sur le marché des grandes entreprises du numérique qui sont très généralement étatsuniennes il y en a d'autres également en Chine dans d'autres pays mais très peu en France et peu en Europe c'est à dire que la France et l'Europe n'ont pas de géants du numérique en nombre pour subvenir à leurs besoins et donc ont tendance à utiliser des logiciels des solutions qui peuvent provenir des Etats-Unis ou d'ailleurs et ça ça pose une question de souveraineté très importante c'est qu'y compris des services régaliens vont être contraints c'est le cas avec Palentir par exemple pour la DGSI vont être contraints d'utiliser Palentir on rappelle ce que c'est c'est une grande société américaine dont la spécificité l'avantage comparatif c'est de rapprocher des très très très très grandes données entre elles et d'être capable de les utiliser ensemble on rappelle aussi que c'est une entreprise qui est très politisée très liée à l'extrême droite américaine vous avez donc des solutions états-uniennes qui sont utilisées directement par des services français alors ces services français essaient de développer leurs propres solutions mais c'est un enjeu de souveraineté central sur les questions de cybersécurité et plus largement sur les questions de numérique d'intelligence artificielle il y a quelques géants en France et en Europe on parle souvent de Mistral pour l'intelligence artificielle mais ils sont peu nombreux peu efficaces et ils ont du mal aussi à s'exporter et pour terminer peut-être sur ce point dans le cyberespace une des particularités du cyberespace c'est qu'on peut être à la fois attaqué par des cybercriminels par des concurrents ou compétiteurs économiques, politiques mais également par des alliés c'est-à-dire qu'en matière d'intelligence économique de grandes affaires l'ont démontré en termes de vol de brevets ou de connaissances de savoir vous avez des pays qui sont normalement les alliés de la France qui peuvent aussi attaquer et donc utiliser leurs solutions peut poser problème en termes de souveraineté et on ajoute que le ministère de l'Intérieur a renouvelé il y a quelques mois certains contrats avec cette fameuse entreprise Palantir Sylvain Guilet on parle de Palantir alors c'est peut-être l'entreprise américaine la plus sombre dans ce domaine mais expliquez-nous en quoi c'est aussi problématique que certains services de l'Etat s'en remettent à des entreprises telles que Microsoft ou Google dans ce domaine alors évidemment du côté américain un certain nombre de lois sont extraterritoriales et donc s'appliquent y compris aux utilisateurs de solutions américaines donc le typiquement le Cloud Act donne la prérogative à l'État fédéral américain en gros pour je caricature d'avoir accès aux informations hébergées par les opérateurs Cloud qui effectivement aujourd'hui quand on regarde les usages en France dominent le marché français donc c'est effectivement une sérieuse entrave à la souveraineté alors pour autant la France en est bien consciente et donc la NSSI toujours pour la cité a mis en place un référentiel qui s'appelle Secnum Cloud on ne peut pas être plus clair qui donne des exigences techniques sur l'indépendance notamment au niveau de l'administration du système Cloud voilà pour des solutions d'hébergement Cloud et en fait des entreprises françaises sont d'ores et déjà labellisées donc il existe une alternative voilà maintenant effectivement on observe et c'est un peu le paradoxe soulevé un désalignement en fait entre l'offre française qualifiée et les usages et là en fait l'état ne peut pas contraindre en fait les choix de chaque administration ou de chaque entreprise voilà et donc le problème réside là-dedans en fait bon mais je vous pose la même question Antoine Chauveau en quoi est-il problématique de confier ces données l'armature censée protéger l'état l'armature numérique censée protéger l'état en quoi est-ce problématique de s'en remettre à des entreprises américaines type Google Microsoft alors de façon très triviale une entreprise qui va construire une infrastructure cyber et l'exporter ensuite en France par exemple peut très bien au sein de cette infrastructure placer des éléments qui vont lui permettre de récolter des données ou qui vont lui permettre d'avoir ensuite une influence sur l'utilisation sur les données collectées par ces outils de base de données ou autre donc c'est un élément de souveraineté centrale parce que les personnes aux Etats-Unis ou ailleurs qui vont bâtir une infrastructure numérique peuvent ensuite je ne veux pas dire contrôler à distance mais vont pouvoir mettre des backdoors vont pouvoir mettre des éléments des backdoors ce sont des entités protectrices c'est ça ?

pour récupérer par exemple des données vont pouvoir mettre tout un tas de mécanismes en place à l'intérieur de ces systèmes numériques pour récupérer ensuite des données c'est aussi peut-être pour terminer là-dessus c'est aussi un élément central parce que quand on parle de questions de souveraineté d'innovation de commerce international le fait de ne pas avoir de géant du numérique dans une société ultra numérisée où tous les services publics sont numérisés c'est aussi avoir une véritable faiblesse économique en termes d'innovation en termes de recherche sur ces questions numériques qui sont au centre de notre société mais pour poser Antoine Chauveau une question sans doute extrêmement naïve est-ce que lorsque la Poste s'en remet à des entreprises américaines pour protéger ses serveurs pour se protéger face aux cyberattaques est-ce que ces entreprises ont accès aux données liées aux clients de la Poste ?

normalement non c'est-à-dire qu'officiellement il y a suffisamment de prérequis qui sont demandés suffisamment de barrières pour que les consommateurs soient suffisamment protégés c'est en théorie ensuite des services de renseignement la NSA par exemple peut entretenir des liens avec des entreprises états-uniennes peut peut-être se servir plus facilement de ces entreprises qui vendent des solutions à la France par exemple tout cela est bien rassurant la voix de Laura Ewing qui est porte-parole des NISA et regrette le manque d'experts en Europe en cybersécurité

Aujourd'hui l'Europe manque de 500 000 experts compétents en cybersécurité si ce manque continue de s'accroître ou si ce manque de compétences n'est pas comblé rapidement ça va créer de grosses difficultés à l'avenir pas seulement à cause des pénuries de personnel mais aussi parce qu'à mesure que nous avançons dans la digitalisation certains secteurs continuent à utiliser des technologies dépassées et à mesure qu'ils s'orientent vers la sécurisation de leurs données internet nous allons avoir besoin de nouveaux niveaux d'expertise partout en Europe afin de pouvoir garantir la cybersécurité de nos sociétés Et Nisa je le précise

c'est l'agence européenne pour la cybersécurité Sylvain Guillet vous êtes d'accord on est face à un manque cruel d'experts européens en matière de cybersécurité et de prévention face à la cybersécurité Oui c'est indéniable on le voit simplement en fait si on fait une petite cartographie des formations en France en cybersécurité et bien en fait elles font le plein et en fait quelque part on manque aussi d'enseignants de professeurs à même de former suffisamment de classes d'âge en fait voilà maintenant si on prend des événements comme la European Cyber Week qui a lieu chaque année à Rennes et bien en fait on voit un réel engouement et on voit que ça décolle très très fort la France et notamment autour de Rennes qui est un peu le pôle d'excellence de cybersécurité français est très dynamique donc je pense qu'il faut regarder non pas l'état la photo à l'instant T mais aussi comment est-ce que on réagit et donc la relève arrive et encore une fois aussi sur le plan économique là je prends ma casquette de directeur technique aux côtés de Secura ici j'anime moi au sein de au sein de l'association Embedded France le groupe de travail cybersécurité et il y a réellement des pépites et qu'il faut effectivement maintenant porter de l'état comme ça plus j'ai envie de dire à devenir à des entreprises qui deviennent suffisamment matures pour pouvoir être adoptées à large échelle en France et en Europe vous êtes d'accord Antoine Chauveau c'est pas la photo qu'il faut regarder mais le film on manque aujourd'hui d'experts on en aura bien plus demain oui mais alors j'ai peut-être deux inquiétudes qui sont encore plus élevées sur ce point c'est que sur le haut du spectre sur la protection des ministères l'action de l'étage j'ai pas trop d'inquiétudes les budgets sont en hausse les recrutements j'ai en revanche deux grosses inquiétudes la première c'est sur d'autres pans de la société sur les petites et moyennes entreprises qui n'ont pas forcément les moyens d'avoir des experts en cybersécurité ou de payer des solutions étrangères très coûteuses ou bien d'autres cas de cyberattaque très récents la mairie de Lens par exemple a été cyberattaquée très récemment et donc des petites mairies dans des villes plus modestes n'ont pas forcément les moyens de se payer de grands cyberprotecteurs ou des solutions ça c'est la première grande inquiétude puis la deuxième grande inquiétude c'est le rapport de force entre le public et le privé c'est à dire que oui les écoles françaises en informatique le NS par exemple avec son département d'informatique arrive à produire à faire sortir des étudiants brillants mais pas forcément à les fidéliser et à leur permettre d'accéder aux services publics c'est à dire que vous avez des personnes qui sortent des écoles et qui soit vont partir directement dans le privé où les salaires sont très attrayants et donc vider un peu le public de ses talents soit vont passer quelques années dans le public dans des services comme l'agence nationale de la sécurité des systèmes d'information dont on parlait et vont très vite partir dans le privé et donc vous avez un rapport de force à l'avantage des grandes entreprises du numérique en France et ailleurs qui a tendance à piller un peu l'état en expert cyber en talent et ça c'est une question centrale quand on parle de cybersécure je reviens un instant quand même sur votre première inquiétude Antoine Chauveau lorsque vous dites que effectivement les petites et moyennes entreprises les collectivités petites et moyennes également sont parfois démunies face à la cybersécurité que leur propose l'état dans ce domaine c'est bien son rôle là d'intervenir oui alors l'état propose trois choses généralement la première de façon assez douce c'est la prévention c'est à dire de former d'essayer de sensibiliser ses administrations locales je ne m'attarde pas trop là dessus les deux autres missions c'est généralement l'audit alors il est possible par exemple pour l'ANSI d'auditer certaines administrations des grandes entreprises elles le font parfois un peu moins à l'échelle locale mais elles le font tout de même de mesurer donc la résilience de certaines collectivités de certaines entreprises exactement d'essayer d'identifier quelques pistes d'amélioration et puis la dernière chose ce sont un peu les pompiers de la cybersécurité c'est à dire la réaction la gestion de crise essayer pour l'ANSI ou pour d'autres entités d'apporter de l'aide aux hôpitaux aux collectivités territoriales qui font face à ces cyberattaques et qui n'ont pas forcément les moyens toute l'année pour y répondre Merci beaucoup à tous les deux de nous avoir éclairé et néanmoins inquiété un tantinet Antoine Chaux vous êtes docteur en sciences politiques à Paris 1 Sylvain Guillet chercheur à l'école normale supérieure directeur technique de Sécur IC merci également à celles et ceux celles surtout d'ailleurs qui ont préparé cette émission Louise Cognard Juliette Moellig Diane Devancet Maud Yaïch Louise Morfouas à suivre après le journal Génération Z ce concept est-il pertinent pour comprendre les révolutions qui ont traversé plusieurs pays en 2025 et qui ont traversé

les révolutions et qui ont traversé les révolutions et qui ont traversé les révolutions