Fuite de données : à qui la faute ?

Il y a moins de 15 jours, 243 000 agents de l'éducation nationale se sont retrouvés à poil. Passez-moi l'expression, les noms, les numéros de téléphone, les périodes d'absence, les adresses postales, tout a fuité. L'indice, c'est le CNUS, l'organisme qui chapeaute tous les crousses. 800 000 étudiants, anciens étudiants, pareil, fuite de données. Désormais, il y en a partout, on en parle tout le temps et c'est quasiment tous les jours. Et pire, si vous êtes comme moi, vous avez peut-être déjà reçu un mail. Et attention, nous avons été victimes d'un vol de données. Changer votre mot de passe, est-ce que vous l'avez fait ? Pas moi.

Et j'ai bien envie de demander à nos invités quand même si je suis totalement inconsciente ou si, au final, j'ai bien fait. Parce qu'une fois que mes données sont dans la nature, qu'est-ce que je peux faire ? Mon nom, mon numéro de téléphone, mon numéro de sécu, mes antécédents médicaux, ceux de ma famille, tout doit y être évidemment. L'autre question, c'est comment font-ils ? Et j'ai bien peur que nous soyons tous un peu responsables. Et là encore, moi, la première, est-ce que j'ai tellement de sites que j'utilise tout le temps, que j'utilise donc aussi le même mot de passe ? Non.

Je vous demande ça parce que, pour les pirates, il est devenu inutile d'essayer de forcer l'entrée d'un serveur. Il suffit d'aller chercher un employé qui a été feignant sur son mot de passe. Imaginez un cambrioleur qui n'a pas besoin de forcer la serrure parce que vous avez laissé la clé dessus. C'est un peu pareil. Après, la faute aux entreprises, aux administrations, aux fédérations aussi, à qui il faudrait, pardonnez-moi, demander une double authentification qui, peut-être, ont aussi du matériel daté. Et là aussi, c'est un peu comme si vous accrochiez votre code secret sur votre carte bleue. Une fois qu'on a dit ça, qu'est-ce qu'on fait ?

Est-ce que vous voulez des méthodes, peut-être des trucs, des idées pour qu'on n'entre pas chez vous comme dans un moulin ? Est-ce que c'est encore possible ? On va essayer de voir ça. Essayez aussi de comprendre quel est le rôle de la CNIL. Qu'est-ce qu'on peut faire une fois que nos données ont été volées et sont utilisées ? Et c'est vrai qu'on a tous sur nos ordis, sur nos téléphones, beaucoup de choses aujourd'hui. Est-ce qu'il faudrait être un peu plus futé et raconter beaucoup moins de choses ? C'est le téléphone sonne. Soyez les bienvenus.

Le téléphone sonne. 0145 24 7000.

Lucie, vous êtes la première et vous êtes la bienvenue. Bonsoir.

Merci. Bonsoir. Donc en fait, j'entends ce que vous dites. Est-ce qu'on n'est pas tous un peu responsables ? Mais il y a aussi les administrations, je pense, qui sont très responsables. Je travaillais pour l'éducation nationale. Donc quand j'ai entendu la fuite de données, j'ai de suite pensé à mon expérience. C'est-à-dire que ça fait des mois que je n'y travaille plus. Et avant de vous appeler, j'ai vérifié et j'ai toujours accès à cette boîte mail. C'est-à-dire que j'ai toujours des échanges internes, des documents administratifs, des données personnelles. C'est un accès sans droit, puisque moi, j'ai plus le lien juridique avec l'administration.

Et le risque de fuite de données, il est concernant le nombre des élèves, les situations sociales. Et en mon sens, c'est une ouverture, une entrée pour pouvoir récupérer des données et tester à la chaîne avec des robots, plein de mots de passe. C'est aussi un non-respect du RGPD, donc j'ai vérifié et je ne suis pas la seule. Il y a énormément, et je me demande même, en fait, si on désactive les adresses mail, en tout cas au rectorat de Paris, puisqu'elles sont toutes actives. Quand on met un arrobas, on les voit toutes défilées. Non, ne nous donnez pas les clés non plus. Non, mais quand on a accès à la boîte mail.

Mais justement, ces clés-là, en fait, je pense que c'est important de les avoir et que c'est quand même grave qu'une ancienne salariée le sache et que ce ne soit pas corrigé. Et je trouve quand même que c'est grave que n'importe qui puisse avoir accès à ça et que, enfin, je ne suis pas une experte en informatique. Donc, si je le sais, combien d'autres le savent ? Et voilà, donc il y a aussi une responsabilité de la part des administrations et il faut qu'elles prennent ce sujet à bras le corps.

Merci beaucoup, Lucie, c'est une vraie bonne question et on va tâcher d'y répondre avec nos invités autour de la table. Il y a Baptiste Robert, d'abord, bonsoir. Bonsoir. Vous êtes chercheur spécialisé en cybersécurité. Il y a Jérôme Notin, vous êtes directeur général de cybermalveillance.gouv.fr.

Tout à fait, bonsoir.

Il y a aussi Xavier Demany, bonsoir Xavier. Bonsoir Fabienne, bonsoir à vous. Journaliste au service web de France Inter. On sait, grâce à vous, un reportage que vous avez fait récemment, que toutes vos données sont dans la nature. Peut-être les miennes aussi. En tout cas, j'en ai bien peur. Alors, j'aime bien ce qu'elle dit, Lucie Baptiste Robert. Est-ce qu'au fond, on n'est pas tous totalement ignorants et totalement inconscients ? En fait, entreprises, particuliers, de ce qu'on laisse traîner dans la nature. Donc, une adresse e-mail, effectivement, qu'on n'a pas fermée, qu'on devrait fermer. Est-ce qu'on a tous besoin d'une petite piqûre de rappel ?

Ce sont vos données qui sont à l'intérieur de ces boîtes ?

Alors, il se trouve qu'on dit souvent la pédagogie, et on est dans le sujet, la pédagogie, c'est l'art de la répétition. Et effectivement, on a tous besoin d'une piqûre de rappel, et non seulement on a besoin de cette piqûre de rappel régulièrement, que ce soit dans le cadre professionnel, mais aussi dans le cadre personnel, parce que ce qui est vrai dans la vie personnelle est vrai dans la vie professionnelle. Lucie a tout à fait raison, c'est que la responsabilité est partagée. Et en fait, la vérité, elle est toujours un peu dans la nuance. C'est aux utilisateurs d'avoir les bonnes pratiques, et parfois, ça ne s'invente pas. Il faut aussi avoir des sensibilisés, formés à ces sujets-là.

Mais c'est aussi de la responsabilité des administrations, des concepteurs de logiciels, des concepteurs de systèmes, d'intégrer les bonnes pratiques de cybersécurité, et la sécurité qui va avec directement dans les logiciels.

Lucie nous explique que c'est très simple de trouver les adresses mail de chacun, mais honnêtement, on pourrait jouer la même chose à Radio France. Xavier, ce serait finalement assez facile. Et quand Baptiste Robert-Jérôme Notin dit, effectivement, c'est de la responsabilité de chacun, peut-être que ce qu'on n'a pas vu, c'est qu'on était passé à une autre ère, en fait. Et qu'il y a des choses qu'on faisait, qu'on ne doit plus faire aujourd'hui. Peut-être même une ultra-simplification de nos adresses mail, ou des choses de ce genre-là. Peut-être que ça en fait partie, en fait. On a passé à un autre Rubicon, là, quand même, depuis quelque temps, non ?

Alors, on a passé à un Rubicon du fait des fuites massives de données depuis 2024. Vous expliquez en introduction les mots de passe, et vous l'avez dit vous-même.

Pardon, vous dites 2024, je vous interromps, vous reprendrez après. Ça veut dire, effectivement, qu'on peut même chiffrer, en fait, qu'on peut même dater, en disant, il y a eu la mode des rançons logicielles, par exemple, des choses comme ça. Depuis 2024, boum, fuite de données.

Il y a eu, depuis début 2024, et c'est public, donc je peux m'exprimer sur le sujet, des grosses fuites de données. Les médias ont commencé à en parler. On parle de prestataires de mutuelles de santé, via Medisal-Méris. Il y a eu ensuite la Fédération française de football, la première fois, puisque...

Et toutes les fédérations y sont passées.

Alors voilà, tout à fait. Mais la FFF a été compromise plusieurs fois, en tout cas, trois fois, victime, merci Baptiste, de fuites de données. Donc voilà, après, pour revenir à votre question très directement, vous évoquiez la nécessité, que vous aviez bien comprise, d'avoir un mot de passe spécifique par plateforme. Et vous avez dit vous-même que vous ne le faisiez pas. Bien sûr que non. Donc, chez cybermalveillance.gouv.fr, une de nos trois missions, c'est une mission de prévention et de sensibilisation. Donc ça fait maintenant pratiquement dix ans qu'on le répète.

Et alors, si on veut être très pratique, effectivement, c'est un petit peu compliqué d'avoir un mot de passe pour toutes les plateformes qui nous demandent de créer des comptes. J'en ai bien conscience. Mais voilà, peut-être le conseil sur ce sujet à retenir, c'est d'avoir un mot de passe fort sur votre boîte de messagerie. Parce que si j'ai accès à votre messagerie, j'ai accès à votre vie numérique. Et là, je peux réinitialiser tous les comptes de toutes les plateformes sur lesquelles vous avez créé un compte.

Xavier ? Trois petits points sur les fuites de données. Et c'est l'ANSI qui le dit dans son dernier rapport annuel. L'ANSI dit, les rançons JCL, donc demander une rançon en échange du déblocage du système informatique d'une entreprise, d'une administration, aujourd'hui, ça ne paye plus. Et les cybercriminels s'orientent vers le vol de données, la commercialisation derrière de ces données sur un marché. Autre point, en fait, c'est vrai que vous aviez raison, Fabienne, en disant, oui, ça fait 15 ans qu'on est sur Internet sans faire gaffe, pour parler clairement. Et que là, on commence à prendre conscience de tout ça.

Et pour revenir sur le témoignage de Lucie, pour faire le reportage dont vous parliez, qui est passé hier matin sur France Inter, moi, je suis allé discuter sur ces forums de hackers avec certains d'entre eux et qui disent, effectivement, on n'a plus besoin d'aller craquer un serveur, d'aller dans les lignes de code pour parler simplement. Et qui disent, ben oui, en fait, des comptes utilisateurs corrompus, c'est facile d'en avoir. C'est facile de tester des comptes.

Et effectivement, le cas de Lucie, avec des accès qui restent autorisés après le délai, des comptes, une mauvaise gestion des comptes utilisateurs, des droits d'administration des bases de données, c'est un des aspects, une des raisons qui conduisent à ce type de fuite de données.

On parlera à la CNIL tout à l'heure, mais Baptiste Robert, moi, je me demandais s'il fallait obliger toute entreprise désormais à avoir une double authentification, à avoir un matériel qui aurait telle ancienneté, etc. Est-ce qu'il y a des choses qu'on ne demandait pas aux entreprises avant, qu'on est obligé de demander aujourd'hui, quitte à ce que ce soit même coercitif ? En fait, si vous n'avez pas ça, vous n'avez pas le droit d'exister. Enfin, j'en sais rien, je ne sais pas comment on fait, mais comment on fait pour obliger à la double authentification ?

C'est un peu compliqué, la double authentification est une des solutions, mais n'est pas la solution. Et par rapport à ce qui est dit, pour reprendre l'exemple de Lucie, c'est que vous avez, et toutes les personnes qui nous écoutent l'ont en tête, quand vous arrivez dans une entreprise, on vous donne un ordinateur, on vous donne les premiers accès, et vous avez une procédure pour l'entrée dans l'entreprise. Effectivement, ce que nous explique Lucie ici, c'est qu'il n'y a pas de procédure de sortie. Et c'est vrai que dans beaucoup d'entreprises, les nouveaux qui arrivent, on s'en occupe, ils sont là, il faut tout leur expliquer.

J'espère que le recteur de Paris est en train d'écouter cette émission. Effectivement, et la procédure de sortie, on est parfois plus light. Et donc, il faudrait obliger, conseiller, il faudrait pousser les entreprises, donner des bonnes pratiques, et c'est ce que fait notamment Cybermalveillance, pour dire aux sociétés, il faut avoir une procédure de sortie. Et là-dessus, est-ce qu'il faut être coercitif ? On a aujourd'hui, par exemple, on ne va pas rentrer dans les textes, on a Nice 2, qui amène plus, et Jérôme nous en parlera un peu plus, qui amène des obligations sur un plus grand nombre d'entreprises.

Mais il est compliqué d'être répressif sur ces sujets-là, parce que déjà l'État n'a pas la responsabilité, n'a pas le pouvoir, n'a pas les moyens d'aller dans chaque entreprise. Et donc, il y a un moment donné, c'est vrai qu'on le fait de moins en moins, mais c'est l'intelligence collective aussi de tous, et pour le bien économique de sa société, c'est indifférenciant d'être sécurisé, d'avoir une solution que je peux m'arqueter et dire, si vous allez chez moi, vos données seront en sécurité.

Voici Alex qui nous attend au Standard. Bonsoir, Alex.

Oui, bonsoir. On vous écoute. Effectivement, j'avais une remarque, parce qu'en fait, de plus en plus, je trouve qu'on nous demande, quand on veut acheter, par exemple, quand on va aller au théâtre, ou quand on va aller voir une exposition, on demande de créer un compte avec un mot de passe, notre adresse, notre numéro de téléphone, alors qu'en fait, une simple utilisation anonyme, on veut juste un billet, on l'achète, ça nous permettrait de ne pas mettre toutes ces données, et du coup, je me demandais pourquoi, de plus en plus, on nous demande toutes nos données.

C'est une vraie bonne question, Alex. Combien de fois il nous est arrivé à tous, y compris en achetant n'importe quoi dans un magasin, donnez-moi votre adresse e-mail, etc. Et on a envie de dire, ben non. Et est-ce qu'on est obligé, Jérôme Notin, de donner toutes ces informations ? Qu'est-ce qui se passerait si, au moment d'acheter un billet, effectivement, je donne une... l'important, c'est que je reçoive le mail, avec le billet, un faux numéro de téléphone, une fausse adresse, etc. et même un faux nom, après tout. Ben oui. Parce que j'ai pas intérêt à faire ça, mais...

Ben oui, vous avez tout à fait intérêt. Alors, l'adresse e-mail, non, puisque...

Alors, il faut bien que je reçoive mon billet, en tact.

Voilà, tout à fait. Mais, pour paraphraser ce qu'a pu dire Baptiste, on se connaît depuis quelques temps maintenant, vous n'êtes pas obligé de dire la vérité.

Ben, c'est bon à savoir, ouais.

Oui. Et alors, pour le magasin, par exemple, ben, vous pouvez expliquer que, non, vous ne souhaitez pas de carte de fidélité. Ça, c'est facile, oui. Personnel, moi, je refuse toute carte de fidélité, parce que c'est à des fins de marketing. Et derrière, vous allez recevoir, dans le meilleur des cas, des off-marketing. Et puis, si la société qui opère la base de données est compromise, on passe sur de la cybercriminalité.

Donc, effectivement, mentons, en fait, Baptiste Robert. Mais vraiment, faisons-le sans vergogne.

Exactement. Et c'est quelque chose que j'explique très souvent dans mes interventions. N'hésitez pas à mentir. Mais il faut être un bon menteur. Et ça, ça s'apprend d'être un bon menteur. Alors, il y en a qui ont plus de facilité que d'autres. On ne donnera pas de nom. Mais il faut, globalement, quand on vous pose une question, parce que vos parents vous ont bien élevés. Et vous ont appris, de base, à dire la vérité. Donc, quand on vous met un formulaire et qu'on vous demande des informations, quand vous êtes à la caisse, quand on vous demande votre adresse e-mail, un code postal, ben, votre première réaction, ça va être de dire la vérité.

Mais la réalité, c'est que si vous dites un faux code postal, si vous mettez une fausse adresse e-mail,

il ne va rien se passer.

Ben, en fait, ils vont quand même vous vendre le produit. Ils vont quand même vous rendre le service. Et donc, de fait, vous pouvez tout à fait mentir.

Xavier ? Il y a un point, quand même. On a tout à fait le droit de mentir, effectivement, sur des services qui ne sont pas forcément essentiels. Et là, j'ai envie de vous poser la question à tous les deux. Parce que quand c'est les impôts, quand c'est des services qui sont des services des administrations, là, pour le coup, on ne peut pas mentir. Et pour autant, il y a des fuites de données aussi, en fait.

Jérôme Nottin, c'est pour vous.

Alors, je crois que la réponse est dans la question de Xavier. Il y a évidemment certains services. Mais les impôts, ce n'est pas des fins de marketing. C'est des fins de prélèvement pour le bien commun et le budget de la France. Donc, il y a évidemment des entités pour lesquelles il faut donner des éléments véridiques. Mais je reviens sur l'exemple qu'on prenait dans le magasin. Là, bien évidemment, comme je l'ai dit, ce sont des fins de marketing. Et donc, dans le meilleur des cas, c'est du marketing. Et puis, là aussi, si jamais la structure est compromise...

Si la structure est compromise, c'est de la cybercriminalité. Et voici Luigi. Bonsoir, Luigi. Oui, bonsoir. On vous écoute.

Oui, alors, je tiens à préciser d'emblée que je ne suis pas complotiste. Vous allez comprendre pourquoi je le précise en début de mon intervention. C'est relativement simple. Vous l'avez rappelé tout à l'heure, bien souvent, les entités, les organismes, les sociétés qui ont été piratées prétendent, en fait, que le pirata, la cause du piratage, c'est un employé peu consciencieux qui n'a pas géré son mot de passe. Est-ce que, pour des questions d'image de marque, il n'est pas plus aisé d'accuser, en fait, un employé en disant qu'il a mal fait son boulot, plutôt que d'avouer à la face du public, du rang public, qu'en fait, on était une bande d'incapables.

Et que nos informaticiens ou les gens à qui on a confié le développement informatique n'ont pas été en mesure de protéger correctement le site ? C'est ça ma question.

Eh bien, la réponse de Jérôme Nautin. Alors ?

Alors, on parlait de mensonge. Là, effectivement, c'est un vrai mensonge et honté. Non, alors, évidemment, il ne faut pas le faire, parce que derrière, il peut y avoir un contrôle. Vous avez parlé de la CNIL. Et que si la CNIL s'aperçoit que la communication publique qui a été faite suite à la compromission de la fuite de données, je pense que la demande potentielle sera renforcée de ce fait-là.

Voilà, ça veut dire qu'effectivement, parce que quand on a une entreprise et qu'on a été ou une organisation, peu importe, et que les données ont fuité, on a l'obligation, Baptiste Robert, de le signaler à la CNIL. Et qu'est-ce qui se passe après ?

Exactement, on a l'obligation de le signaler à la CNIL. Et effectivement, après, dans les explications, le pourquoi du comment, c'est une règle de communication de crise. Il y a des gens qui sont experts de ça. La règle de base, c'est de ne pas mentir. C'est de présenter la situation de manière honnête. Vous n'êtes pas dans l'obligation de tout dire à l'instant T. Est-ce que ça veut dire, est-ce que quelqu'un le saura ?

Si, par exemple, il y avait une fuite de données à Radio France et qu'on dit c'est à cause de deux manies parce que son mot de passe, c'est 1, 2, 3, 4, 5, on se rendra compte assez vite que ce n'est pas vrai ou pas ?

Alors, il y a des gens, et dont je fais partie, des sociétés spécialisées qui vont avoir la capacité de vérifier par où les hackers sont entrés. C'est un métier qui s'appelle la réponse à incident. C'est-à-dire que le jour où Radio France, et j'espère que ça n'arrivera pas, se fait hacker, il y a des gens qui vont venir et qui vont essayer de refaire l'histoire par où le hacker est rentré, qu'est-ce qu'il a fait hacker, quelles sont les opérations qu'il a faites. Essayer de reprendre tout le chemin pour trouver la porte d'entrée de base. Et on verra qu'effectivement, c'est bien le mot de passe de Xavier qu'ils ont utilisé.

Et là-dessus, et pour réagir au témoignage de Luigi, ce n'est pas être complotiste que de dire ça. C'est-à-dire qu'il faut y voir un aspect de communication, de marketing. Et la réalité, c'est malheureux à dire, c'est qu'aujourd'hui, il y a énormément d'accès d'employés qui sont dans la nature pour la quasi-totalité des entreprises. Je fais ce métier, je travaille dans la cybersécurité depuis maintenant plus de 10 ans. Le niveau, je peux le dire sans aucun problème, le niveau est catastrophique globalement. En termes de cybersécurité, des accès à des applications critiques dans plein d'organisations, il y en a beaucoup malheureusement.

Je disais tout à l'heure en introduction que quand je reçois un mail en disant « Attention, fuite de données, changez votre mot de passe » et que je ne le fais pas. Est-ce que c'est une immense connerie ? Est-ce que je devrais tout de suite ? Est-ce qu'il faut que je croie systématiquement chacun des mails que je reçois et qu'ils disent ça ?

Sur les recommandations, si vous recevez un email qui vous dit « Changez de mot de passe », il faut changer de mot de passe. Et effectivement, quand vous avez une notification d'un incident, et pour les gens qui nous écoutent, c'est important, ne le prenez pas par-dessus l'épaule. Et c'est là que votre responsabilité arrive. Ici, on vous dit « Il y a eu un incident de cybersécurité, et peut-être qu'ils vont essayer de réduire l'impact, de dire que ce n'est pas si grave que ça.

» Votre premier réflexe, ça doit être d'aller sur le compte, de changer votre mot de passe, de supprimer les informations un peu inutiles qui traînent, des fois on laisse un peu les choses traîner, c'est de supprimer ce qu'il faut supprimer, et peut-être supprimer tout le compte, parce qu'on a plein de comptes, en fait, on ne s'en sert plus, et de se dire « C'est une bonne opportunité pour moi de nettoyer un peu ma vie numérique. »

C'est un travail, pardon, je rebondis là-dessus, c'est un travail qui est fastidieux, pour l'avoir fait moi-même, sur mes comptes, ça m'a pris beaucoup de temps.

Depuis que vous savez que tout est dessus, c'est là que vous avez changé ?

Non, mais ça m'a pris, là, ces dernières semaines, beaucoup de temps. J'ai repassé tous mes mots de passe qui sont enregistrés dans mon navigateur, j'ai changé les e-mails, j'ai changé les mots de passe quand c'était des services critiques. Et que, effectivement, ça prend du temps. Mais, voilà, c'est un travail qui est sans doute à faire pour chacun d'entre nous, en fait. Jérôme Notan ?

Et, pour changer ces mots de passe, surtout, qu'est-ce qu'on ne fait pas ? On ne clique jamais sur le lien qu'on a reçu dans le mail. Parce qu'il est très facile d'usurper l'identité graphique, et de se faire passer pour Radio France. Et donc, si moi, je veux récupérer votre mot de passe, surtout votre nouveau mot de passe, eh bien, qu'est-ce que je vais faire ? Je vais vous envoyer un message en disant « Attention, Radio France a été compromise, cliquez ici pour changer votre mot de passe, vous allez changer votre mot de passe, je vais vous demander le nouveau, l'ancien, pardon. » Et donc là, vous allez me le communiquer, et je vais me connecter à votre nom sur votre messagerie Paris.

Juste avant qu'on écoute Isabelle, une question. Est-ce qu'il faut avoir confiance dans les mots de passe automatiques qui sont générés ? Vous dites tous les trois « oui » autour de la table.

Il faut avoir confiance.

Parce qu'en général, c'est dingue, moi, je change exprès parce que je me dis « mais ça, on ne sait pas ».

Alors, il y a une chose qu'il ne faut pas faire, et on l'a lu récemment dans la presse, c'est demander à ChatGPT de faire générer son mot de passe. Non, il y a des générateurs automatiques de mots de passe dans les navigateurs, dans des services, des générateurs qui le font plutôt bien. Et c'est vrai qu'il faut faire confiance.

Très loin dans votre protection numérique par une bonne gestion des mots de passe, il ne faut pas utiliser, enregistrer dans le navigateur, parce qu'il y a certains types de petits malware virus qui vont être en capacité de les récupérer. Il faut l'enregistrer dans un outil spécifique. Il y en a des libres, des gratuits, qui passent, par exemple, qui contraint un petit peu dans l'usage, mais qui, lui, est beaucoup plus sécurisé que le coffre-fort du navigateur.

C'est tant de choses qu'on ne fait pas les uns les autres, c'est le moins qu'on puisse dire. Isabelle, bonsoir ! Oui, bonsoir. On vous écoute. Oui, moi, je voulais témoigner. Je ne suis pas du tout une femme de tout ce qui est site Internet, mais j'ai eu un employeur récemment qui m'a obligée à créer un coffre-fort pour avoir tous mes documents, tels que bulletins de salaire et autres,

pour pouvoir en bénéficier. Donc, j'ai dû le faire. Et pour créer ce coffre-fort, il a fallu vraiment donner plein d'informations personnelles. Il se trouve que j'ai quitté cet employeur. J'ai essayé d'arrêter de supprimer ce coffre-fort.

Je n'ai pas pu le faire. Je me suis fait aider par un informaticien. Je n'ai pas pu le faire. J'ai appelé l'ex-employeur qui m'a dit

« Je vais vous donner les coordonnées de l'entreprise qui s'occupe de tout ce qui est gestion de bulletins de salaire et autres. » Et qu'il me dise qu'il n'y a que moi qui peux le faire. Donc, voilà. Même quand on essaye d'être prudent, n'est-ce pas, Fabienne ?

Ce n'est pas toujours simple. Baptiste Robert, elle est coincée, notre amie Isabelle, ou pas ?

Non, on n'est jamais coincée. Et ce que vous expliquez, en fait, ce n'est pas vraiment un problème de cybersécurité. Mais c'est plutôt un problème d'accompagnement sur nos interactions et sur la manière dont on interagit avec la technologie, avec le numérique, globalement. Et vous avez raison de le dire. Et encore plus, à l'heure de l'IA, c'est un vrai sujet. C'est-à-dire qu'on l'a expliqué en introduction. Aujourd'hui, ça fait 15 ans qu'on a des comptes un peu partout. Est-ce que vous êtes en capacité, pour les gens qui nous écoutent, faites cet exercice ? Dites-vous, combien de comptes, depuis que vous avez Internet, combien de comptes avez-vous créé depuis le départ ?

Est-ce que vous êtes capable de donner un ordre de grandeur ? 700, moi. 100, 500, 700. Plus de 700. Moi, j'en ai 1200. Et est-ce que vous êtes capable de retenir, on dit qu'il faut un mot de passe différent pour chaque compte, est-ce que vous êtes capable de retenir 1200 mots différents ? Évidemment que non.

C'est pour ça qu'on a toujours le même.

Exactement. Et donc, c'est pour ça qu'il faut des générateurs de mots de passe. Et pour revenir sur ce cas-là, effectivement, il y a un vrai sujet de formation, de sensibilisation, d'accompagnement. Et la question, c'est quelle est la responsabilité ? Qui s'occupe de ça ? Est-ce que c'est la partie de l'employeur ? Est-ce que c'est un petit peu l'État ? Est-ce que c'est un peu tout le monde ? C'est une vraie question. Il y a un entendu Isabelle qui est encore en ligne

et qui dit non, moi j'ai un petit carnet. Et je dois avouer que moi aussi j'ai un petit carnet. Mais bon, enfin... Non, mais c'est plus sûr, un petit carnet, après tout, que si je les avais dans les notes de mon téléphone, non ?

On sépare l'usage numérique de la vraie vie physique.

On est en train de parler de fuite de données dans le téléphone, avec Baptiste Robert qui est chercheur spécialisé en cybersécurité, avec Jérôme Dautin qui est directeur général de cybermalveillance.gouv.fr, avec Xavier Demany aussi qui est l'expert numérique de France Inter.

France Inter, le 18-20, 01-45-24-7000.

Bonsoir Marie-Laure Denis. Bonsoir Fabienne Sintès. Vous êtes présidente de la CNIL. Merci beaucoup d'être avec nous, parce qu'à un moment ou à un autre, forcément la CNIL arrive dans ce genre de conversation. Vous avez entendu une partie de ce qu'on disait les uns les autres. D'abord, tous les jours on entend parler de fuite de données. Moi j'aimerais savoir, vous, puisqu'on doit vous prévenir à chaque fois qu'il y a une fuite de données, est-ce que vous diriez qu'on est loin du compte ? Est-ce que c'est tous les jours ? Est-ce que c'est plusieurs fois par jour ? On a cet ordre de grandeur ou pas ?

Oui, c'est plusieurs fois par jour, puisqu'effectivement en 2025, la CNIL a reçu 6200 notifications de violations de données. Donc c'est plus de 50% par rapport au nombre de violations qu'on avait reçues en 2022. Et ces violations, elles concernent tous les acteurs. Et on observe aussi une augmentation des violations concernant les grandes bases de données, celles notamment qui concernent plus d'un million de personnes. Pour vous donner un ordre de grandeur, nous en avons constaté une quarantaine l'année dernière. Et même plus que l'année précédente, mais c'est l'ordre de grandeur.

Donc ça veut dire qu'il y a une urgence à non seulement rappeler les bonnes pratiques, mais appliquer les bonnes pratiques. Vous, vous avez ce pouvoir auprès des administrations, auprès des fédérations, auprès de tout ça, de leur dire, voici les chiffres, voilà ce qui vous est déjà arrivé, ou ce qui va vous arriver bientôt, changer vos pratiques. Vous avez ce pouvoir-là ou pas ?

Oui, en tout cas, en tant que régulateur, on a plusieurs types de missions qui concernent beaucoup la sensibilisation des publics dont vous avez déjà parlé. Et je pourrais, en tout cas, suggérer d'autres conseils aux particuliers, aux organisations qui nous écoutent. Et notamment, comme l'a dit Gérôme Notin, en cas de doute, ne pas cliquer, ne pas de répondre à des sollicitations suspectes.

Mais pour les organisations, pour répondre à un sujet que vous avez abordé à plusieurs reprises, la CNIL exige depuis janvier, après avoir prévenu les organisations, entreprises et administrations depuis avril dernier pour leur laisser le temps de se préparer, d'une authentification multifacteur, c'est-à-dire qu'en plus d'un mot de passe, le salarié qui maintenant est souvent à distance, ou le sous-traitant ou le prestataire, ce qui accroît les vulnérabilités, doit aussi s'authentifier par un code, par exemple reçu par mail ou par SMS, parce que dans ces cas-là, son mot de passe, qui a été compromis, ne permettra pas aux hackers d'accéder à ces informations.

J'ajoute d'ailleurs que sur le site de... Oui, pardon. Non, je vous en prie, mais si on ne le fait pas, qu'est-ce qui se passe ? Si on ne se fait pas, la CNIL a débuté depuis janvier toute une vague de contrôles qui peuvent se traduire par des sanctions allant jusqu'à 2% du chiffre d'affaires mondial d'une entreprise et pour les administrations, jusqu'à 10 millions d'euros. La CNIL a sanctionné en janvier de cette année, France Travail, à hauteur de 5 millions d'euros. Donc, nous, notre but, ce n'est pas de sanctionner pour sanctionner, c'est vraiment d'obtenir la mise à niveau des acteurs.

Et donc, l'action du régulateur, elle passe à la fois par des recommandations, comme celles que nous avons faites pour les organisations sur l'authentification de multiples facteurs, sur la sensibilisation, mais il faut naturellement que le régulateur aussi soit crédible et qu'il soit capable de sanctionner et de vérifier, c'est ce que nous faisons.

Après, ça change tellement vite. Marie-Laure Denis, on le disait tout à l'heure, c'est Jérôme Nautin qui en parlait, il y a eu toute la période des rançongiciels, et puis voilà que depuis 2024, on se retrouve avec des vols de données, des fuites de données, effectivement, qui sont absolument gigantesques. Est-ce que vous avez l'impression parfois qu'il faut toujours courir derrière ? Est-ce que vous avez le sentiment d'avoir réellement les outils pour lutter contre quelque chose qui va tellement vite et qui change tout le temps ? J'ai l'impression souvent que les pirates sont plus forts que nous, et même que vous à la CNIL.

C'est un peu toute la difficulté de la régulation du numérique en général, mais comme pour le dopage, comme pour des tas d'autres types de fléaux qu'on souhaite combattre. Et l'avantage de la CNIL, c'est qu'elle peut réagir de façon très agile en s'adaptant à la menace. Vous avez vu, on a constaté beaucoup plus de fuites de données concernant des grandes bases de données. Très rapidement, la CNIL dit aux organisations, si vous n'adoptez pas une authentification multifacteur et ça sera à partir de telle date, nous vous sanctionnerons et nous faisons des contrôles pour le faire. Donc, évidemment, on le fait avec les ressources qui sont les nôtres. Et la CNIL ne peut pas non plus agir seule.

Elle agit avec cybermalveillance. Elle agit avec l'ANSI. Mais c'est au-delà de l'action de la CNIL. Il faut une mobilisation générale, collective, nationale, parce que des efforts de chacun dépendent la sécurité de tous.

Est-ce qu'il est trop tard, une fois que mes données sont dans la nature ? Parce que je ne vais pas changer de dossier médical, je ne vais pas changer de numéro de sécu, je ne vais pas changer de nom, je ne vais changer de rien. Donc, une fois que, de toute façon, mes données ont fuité, est-ce que c'est trop tard ?

Non, ce n'est jamais trop tard. Il ne faut jamais se résigner. Il faut combattre cette résignation. Parce qu'en fait, c'est vrai que ce qui est dangereux avec des grandes quantités de données qui ont fuité, c'est que, notamment avec l'intelligence artificielle, les personnes malveillantes peuvent individualiser plus finement les attaques, faire des arnaques plus personnalisées, du fait de l'agrégation et du recoupement d'une grande quantité de données usurpées. Et donc, il faut être d'autant plus attentif à la vigilance que l'on doit avoir.

Vous savez, quand vous recevez, en fait, les mails que vous évoquiez en début d'émission, en disant « mes données ont été hackées », c'est la CNIL qui demande très souvent aux organisations, quand elles leur notifient les violations, d'informer les personnes pour qu'elles soient plus sensibles, mais pas le lendemain, pas deux jours après, mais sur plusieurs semaines, voire davantage, aux tentatives d'âmeçonnage, d'usurpation d'identité. Il faut aussi consulter ces comptes régulièrement. Donc, il ne faut jamais baisser la garde, jamais se résigner. Et il y a des bonnes pratiques.

J'ai une dernière question pour vous, Marie-Laure Denis. Après, il y a Arnaud qui nous attend au standard. Est-ce que j'ai le droit de me retourner contre un organisme, une fédération, une administration, une entreprise qui a subi une fuite de données ? Ce n'est pas de ma faute. Je sais que mon nom a été utilisé pour une usurpation d'identité ou pour quelque chose d'autre. Est-ce que je peux me retourner contre cette entreprise ou pas ?

Alors, pour ce qui concerne la CNIL, nous, nous sanctionnons, par exemple, sur le fondement du RGPD et du Règlement Général sur la Protection des Données. Nous sommes les seuls à pouvoir le faire. Ce qui, quand même, crée un vrai effet de levier positif pour les organisations. Mais rien n'empêche les personnes qui ont été victimes de violations de données, mais ce n'est pas du ressort de la CNIL, de saisir un juge, le parquet.

Et en tout cas, pour votre information, nous communiquons également au parquet cyber du tribunal judiciaire de Paris les notifications de violations les plus importantes et celles qui concernent également les rançons logicielles, même si elles baissent, elles continuent à affluer.

On va y revenir là-dessus, Marie-Laure Denis. Je vous remercie beaucoup. Et on va y revenir grâce à Arnaud qui nous attend. Bonsoir, Arnaud.

Bonsoir.

On vous écoute.

Bonsoir à tous les intervenants. Oui, j'ai une question, en fait, toute simple. On nous dit que quand il y a des hackers qui ont volé toutes nos données, toutes les données personnelles, en fait, on comprend qu'ils les vendent derrière, mais concrètement, à qui ils les vendent et ces acheteurs de données personnelles, en fait, est-ce qu'ils ne sont pas au final complices parce qu'au final, c'est du recel d'informations, de données. Et voilà, je voulais voir du coup qui étaient ces acheteurs de données confidentielles.

Qui sont ces acheteurs ? Merci beaucoup Arnaud, Jérôme Notin.

Des mafias, tout simplement.

Donc c'est surtout pour utiliser mon nom, en fait, mon numéro de sécu, des choses comme ça.

Pour vous arnaquer et pour enrichir la donnée qu'ils ont, ou ils ne vont pas, par exemple, détenir votre numéro de carte bancaire. Donc vous avez un groupe, c'est de la verticalisation de la criminalité. Vous avez des gens spécialisés dans la compromission des systèmes d'information, c'est-à-dire dans cette capacité de rentrer dans un système d'information d'une entreprise. Vous avez des groupes qui sont ensuite spécialisés dans la récupération, d'autres dans les outils pour faire ça. Et donc, ensuite, on parle souvent dans les médias, par exemple, de la fraude au faux conseiller bancaire. Elle ne tombe pas du ciel, la fraude au faux conseiller bancaire.

Quand vous recevez un SMS ou un email qui vous alerte d'une compromission, en tout cas d'une tentative d'arnaque sur votre compte bancaire, eh bien, c'est pour enrichir avec le numéro de carte. Et ensuite, ils vont revendre à d'autres qui sont des vrais plateaux de personnes qui vont appeler, qui vont récupérer de l'argent, qui vont ensuite voir un autre groupe pour blanchir cet argent, par exemple.

Baptiste Robert, je posais la question tout à l'heure à Marie-Laure Denis. Une fois que mes données sont dans la nature, elle me dit qu'il ne faut jamais baisser les bras d'un tact. Mais enfin, si mon nom et mon numéro de téléphone sont déjà dans la nature, je ne vais pas changer de numéro... Enfin, si, il faudrait que je change de numéro de téléphone, quasiment.

Comme on dit, l'espoir fait vivre. Mais... Et encore, ce n'est pas le plus sensible, le numéro de téléphone. Ah ben non, non, non. Et ce n'est pas le plus sensible.

Mais c'est ce qui se change facilement. Mon identité, c'est plus dur. Alors, il y a plusieurs techniques. C'est-à-dire que vous posiez la question de qui... Et notre auditeur posait la question de qui achète. Qui achète, il y a effectivement la cybercriminalité, mais il y a aussi tous les groupes qui font du marketing. Les gens qui veulent vous cibler pour une raison X ou Y en fonction de certains critères. Ça peut être aussi pour du ciblage commercial. Ça peut être pour du ciblage politique. Et on l'a vu dans plein de pays différents. Attendez, ça veut dire que pour du ciblage commercial,

il y a des gens qui achètent des données dont ils savent que c'est des données qui ont été fuitées. Et pourquoi ils ne le feraient pas ?

C'est ça, mais est-ce que le business, on a quelque chose à faire du bien et du mal ? La vérité, c'est que tous les moyens sont bons. Et pour certains, il y a l'éthique. L'éthique est un vaste mot. Et globalement, ça permet d'avoir de la donnée précise sur des populations particulières pour ensuite les cibler. Et en fait, la contre-mesure à ça, c'est-à-dire qu'une fois que vos données ont fuité, elles ont fuité, elles ont fuité. C'est terminé. Vous n'allez pas les changer. Par contre, vous allez pouvoir noyer les informations. Et j'en reviens au conseil de tout à l'heure, qui était de dire, sur Internet, vous pouvez mentir.

Sur Internet, et c'était la philosophie d'Internet au départ, vous pouvez être n'importe qui. Vous pouvez prendre l'identité de votre choix. Donc, sur Internet, personnellement, j'ai plusieurs identités.

Mais alors, attendez, comment je noie ? Je sais que Fabienne Synthès a été fuitée. Donc, je sais parce que c'est, j'en sais rien, la sécu qui m'envoie un message. Donc, je sais qu'en plus, il y a un risque sur mon dossier médical ou des choses comme ça. Bon, comment je noie ces informations ?

Eh bien, la prochaine fois, vous appelez Thierry et vous avez 25 ans et vous habitez à Toulouse. Mais il va savoir que c'est un autre, que ce n'est pas moi. Et en fait, vous allez utiliser cette légende, ce nouveau personnage. J'aime assez l'idée. Et vous allez utiliser ce nouveau personnage pour une certaine utilisation d'Internet. Quand je m'inscris à un jeu, en fait, je m'appelle Thierry, j'ai 25 ans et j'habite à Toulouse. Quand je m'inscris pour des sites, pour les magasins, je m'appelle Janine et j'ai 86 ans. Et ces identités, si j'ai envie, je peux les supprimer d'un coup. C'est du travail, c'est comme un dictapé, c'est fastidieux, c'est un peu pénible à faire.

Il faut être attentif à ce qu'on fait. Mais il faut mentir, mais mentir de manière cohérente.

Une chose sur ce que disait Marie-Laure Denis de la CNIL, elle parlait de la double authentification et on en parle beaucoup comme une solution. Moi, j'aimerais juste dire, et j'en ai beaucoup parlé avec les experts que j'ai interrogés ces derniers temps, ces derniers jours, ce n'est pas non plus la panacée, ce n'est pas le remède miracle, la double authentification. Et les cybercriminels sont des petits malins et sont, j'allais dire, des joueurs, en fait, qui essayent de rentrer. Et en fait, notamment par l'intelligence sociale, l'exploitation de nos failles humaines, parfois arrivent à contourner, y compris des systèmes comme la double authentification.

Donc, on en revient à cette responsabilité collective, des systèmes d'information sécurisée et une vigilance de tous les instants.

On attend Aurélie qui a une bonne question à nous poser là et on y viendra. Eh bien, voilà, elle est là. Bonsoir Aurélie. Bonsoir. Allez-y. Oui, j'ai une petite question.

En fait, moi, je me pose la question de savoir pourquoi il n'y a pas d'obligation pour les entreprises et les plateformes d'effacer les données qui sont collectées. J'ai reçu il n'y a pas très longtemps un mail informant de la fuite de mes données

sur une plateforme et je pense que ça faisait 10 ans que je n'étais pas là-dessus. J'avais même oublié que j'avais ce compte-là et je ne m'en servais pas. Et donc, pourquoi en fait, au bout de trois ans, toutes les données collectées ne seraient pas effacées quitte à qu'on les remette si on a besoin de se reconnecter ? Je trouve que c'est une vraie bonne question. Merci beaucoup Aurélie. On en a une autre du même genre sur WhatsApp à l'instant avec Nicolas qui se souvient que la fédération de volets a été hackée aussi et qui dit mais pourquoi est-ce qu'il gardait des photos de cartes d'identité qui avaient plus de 10 ans ?

Est-ce qu'on peut obliger à enlever les données et puis surtout, effectivement, je suis inscrite à la fédération de volets mais je ne suis plus inscrite ? Enlevez ma fiche, non ?

Nous avions le privilège d'avoir la présidente de l'ACNIL tout à l'heure, Marie-Laure Denis. C'est elle qui aurait pu mieux répondre que moi mais le RGPD nous protège de ces choses-là. Après, c'est un règlement. Est-ce qu'il est appliqué ou pas par les structures ? En l'occurrence, ce que vous décrivez là laisse penser qu'ils n'ont pas appliqué le RGPD qui impose la suppression de données.

Donc normalement, une entreprise est censée le faire. Vraiment, est-ce qu'il faut que je lui demande spécifiquement enlever mes données ou elle doit le faire toute seule ?

Normalement, non. Et juste, Jérôme, dites-moi si je me trompe mais je crois que l'opérateur Free tout récemment a été condamné par l'ACNIL à une lourde amende de plusieurs millions d'euros notamment parce qu'il avait gardé des dossiers sur une trop longue durée. Notamment.

Notamment et aussi par le fait qu'il n'avait pas donné de recommandations suffisamment précises lorsqu'il a informé les victimes de ces actes de cybermalveillance.

Franchement, c'est mieux de s'éloigner le plus possible de cette technologie nous dit Duken sur WhatsApp.

La difficulté, c'est que et c'est notre auditrice précédente qui a raison on nous le demande tout le temps et y compris effectivement sur un billet de train sur autre chose par exemple quand il s'agit de date de naissance par exemple on n'est pas obligé de donner sa date de naissance mais moi j'ai toujours peur quand j'entends une mauvaise lorsqu'il s'agit d'acheter un vrai truc un billet de train ou je ne sais quoi qu'il fasse des vérifications juste pour être sûr que c'est bien moi en fait que c'est bien ma carte bleue et du coup si je mets une mauvaise date de naissance je vais me retrouver coincé je ne sais jamais en fait à quel moment j'ai le droit de faire ça ou pas.

C'est le croisement des données la SNCF vous devez mettre moins l'année après un service public type les impôts évidemment vous devez dire la vérité par contre là encore si c'est pour par exemple prendre un abonnement téléphonique il n'y a pas un opérateur en France qui est ma vraie date de naissance

Est-ce que c'est une immense bêtise de garder l'empreinte de sa carte bleue comme ça c'est plus simple pour payer un truc ? Oui Personnellement je ne le sais pas Même vous vous ne le faites pas ? Non Surtout nous Surtout vous Ou alors il faut avoir une fausse carte bleue mais ça aussi Ça existe

ça peut s'acheter mais ce n'est pas super légal

Normalement c'est totalement illégal Écoutez je vous remercie beaucoup en tout cas pour ces conseils ça vaudra le coup d'y retourner parce qu'il y a beaucoup d'appels et on est ravis en tout cas si on a pu vous rendre service je ne sais pas à qui je dois dire au revoir donc les uns les autres puisque vous avez tous des identités complètement différentes Merci Pardon ?

Juste un dernier mot si vous êtes victime 17cyber.gouv.fr Ça c'est quelque chose à retenir on ne vous ment pas sur le 17cyber

Et bien écoutez 17cyber.gouv.fr c'est noté Merci beaucoup