- il y a 6 semaines
Ce mardi 21 octobre, Benoit Grunemwald, expert en cybersécurité chez ESET France ; Adrien Merveille, directeur technique France de Check Point Software Technologies et Pascal Le Digol, directeur France de WatchGuard Technologies, se sont penchés sur les cyberattaques contre nos industries, les exemples de Jaguar Land Rover et Asahi, les annonces de l'ANSSI sur le chiffrement post quantique, les attaques à répétitiion par supplychain, dans l'émission Tech&Co Business présentée par Frédéric Simottel. Tech&Co Business est à voir ou écouter le mardi sur BFM Business.
Catégorie
📺
TVTranscription
00:01Tech & Co-Business, le décryptage cyber.
00:05Allez, décryptage de l'actualité cyber avec nos experts.
00:08Benoît Grunemval, expert en cybersécurité chez ISET France.
00:11Bonjour Benoît.
00:13A tes côtés, Adrien Merveille.
00:14Bonjour Adrien.
00:15Bonjour.
00:16Première visite dans ce plateau des experts cyber,
00:20directeur technique France chez Checkpoint Software Technology.
00:23Bienvenue Adrien, merci d'être avec nous.
00:25Et Pascal Lediguel, directeur général France de WatchGuard.
00:27Bonjour Pascal.
00:28Bonjour.
00:28Merci d'être avec nous.
00:30Alors, démarrons.
00:31Je ne sais plus qui avait proposé ce sujet.
00:33C'était les annonces de l'ANSI sur le chiffrement.
00:35Il y a eu beaucoup d'annonces autour de l'ANSI.
00:37Je regardais évidemment sur Nice 2, les cyberattaques, la désinformation.
00:41Et puis, moi je trouvais que c'était intéressant de s'intéresser un peu à ce qu'a dit Vincent Strubel,
00:44le directeur général de l'ANSI, qui a insisté sur le chiffrement post-quantique.
00:50Mais il n'a pas juste dit qu'il faut s'y intéresser.
00:51Il a carrément dit qu'à partir de 2027, l'ANSI n'acceptera plus de qualifier des produits de sécurité
00:57et qu'ils n'intégreront pas une cryptographie résistante à l'informatique quantique.
01:01Et en 2030, elle imposera de ne plus acquérir de solutions qui n'implémentent pas à long terme cette résistance quantique.
01:07Donc, il en passe à l'acte, Benoît.
01:09Oui, et il l'a dit, c'est demain, le quantique.
01:12Ah ben 2027, oui.
01:13C'est demain, donc il faut vraiment s'y mettre.
01:15Alors, il faut s'y mettre côté employé, côté entreprise cliente.
01:22Mais il faut s'y mettre en tant que fournisseur.
01:24Et en tant que fournisseur, il y a deux aspects pour moi.
01:26Le premier aspect, c'est les moyens de chiffrement que l'on a en interne
01:32pour faire en sorte que les solutions fonctionnent.
01:33Et puis ensuite, ceux qui vont vraiment proposer des moyens de chiffrement.
01:37Ce qu'on le rappelle, pour ceux qui suivraient un peu ce débat d'un peu loin,
01:41évidemment, le quantique permet de casser des clés de code beaucoup plus facilement,
01:46le jour où il sera là.
01:48Et alors, on va se dire, oui, mais le jour où ils seront là, tout sera chiffré.
01:50Non, il y a des vols de données d'aujourd'hui pourront être déchiffrés.
01:53Et il y a certaines des données qui, même si elles sont déchiffrées dans deux ans,
01:56peuvent être cruciales.
01:57Oui, des données stratégiques, par exemple, des données volées à des États,
01:59des données volées à des grandes entreprises de la propriété industrielle.
02:03On peut voir le bon côté des choses aussi.
02:04Si on est une entreprise ou un particulier, qu'on s'est fait chiffrer ces données,
02:07on peut se dire qu'avec le quantique, si elles sont toujours valables dans deux, trois ans,
02:10on pourra peut-être aussi les retrouver sans payer de rançon en logiciel.
02:15Mais nous, en tant que fournisseurs, on voit vraiment ça de deux côtés.
02:18On ne propose pas, nous, directement de chiffrement.
02:21On utilise le chiffrement dans nos solutions.
02:24Ce qui veut dire qu'il va falloir faire en sorte que ces solutions évoluent.
02:27Et on l'a vu, quand il y a des algorithmes qui sont obsolètes, de type Shawan, etc.
02:32Eh bien, en fait, il va falloir mettre à jour toute la chaîne de discussion
02:35entre les différents éléments, les différentes briques qui nous composent.
02:40Et ça, c'est un travail sur lequel on se penche depuis déjà longtemps,
02:43parce que c'est un travail assez colossal,
02:44comme passer de HTTP à HTTPS, de SSL1 à SSL2, etc.
02:49Tout ça est très important et très consommateur en ressources.
02:52Et il faut avoir une vision.
02:53Et Adrien, c'est bien que Vincent Strubel ait dit qu'il fallait s'y intéresser maintenant
02:57et pas attendre.
02:58Parce que souvent, on se dit le quantique, post-quantique,
02:59on verra ça en 2030 ou 2035.
03:03Non, c'est dès aujourd'hui.
03:04Vous avez deux aspects de la chose.
03:06Vous avez, comme vous l'avez dit, la notion de « harvest now » et « decrypt later ».
03:10C'est-à-dire qu'aujourd'hui, il y a des flux qui sont capturés.
03:12Et si on ne les chiffre pas mieux ou avec des algorithmes plus puissants,
03:17eh bien, dans quelques années, quand il y aura les ordinateurs suffisamment puissants
03:20pour les déchiffrer, eh bien, on récupérera les données.
03:23Donc, c'est pour ça que dès maintenant, dans les entreprises,
03:26il faut commencer à penser à monter des tunnels VPN,
03:28par exemple, avec des algorithmes de chiffrement quantique.
03:31Le deuxième aspect, c'est…
03:32Ces algorithmes, ils existent aujourd'hui ?
03:33Enfin, on peut déjà commencer à avoir des algorithmes de chiffrement plus quantique.
03:37Vous avez des produits de sécurité qui les proposent déjà.
03:40Dans les dernières versions logicielles, en général, c'est le cas.
03:42En tout cas, chez nous, ça l'est.
03:43J'imagine que chez mes voisins aussi.
03:47Mais vous avez aussi le deuxième aspect, c'est quand une entreprise achète un firewall,
03:52qui est souvent utilisé pour monter des tunnels VPN,
03:55elle l'achète pour quelques années.
03:57Donc, si vous n'achetez pas un équipement aujourd'hui,
04:00pour une durée de vie de 5, 6, 7 ans peut-être,
04:03dans 7 ans, on ne sait pas, mais probablement, le quantique, il sera là,
04:06il sera incapable de déchiffrer les flux.
04:09Donc, c'est pour ça que je pense que l'ANSI met la pression.
04:10C'est d'une part pour protéger les flux dès à présent,
04:14mais c'est aussi pour être équipé par les bons matériels
04:17lorsque le quantique sera vraiment là.
04:20Et ça porte quand c'est la voix de l'ANSI, Pascal, notamment.
04:24Oui, et c'est son rôle.
04:26Oui, en plus.
04:28Parce qu'effectivement, on peut parler des entreprises qui ont besoin de faire ça,
04:32mais aussi et surtout les États,
04:34puisque c'est les États qui ont quand même beaucoup de données
04:36qui sont critiques et importantes.
04:39et donc aux États aussi de chiffrer leurs données aujourd'hui,
04:42dans l'état de l'art qui va leur permettre de pérenniser ces données-là.
04:47Là, les nouveaux algorithmes post-quantiques,
04:49on estime entre 20 à 30 ans, leur durée de vie.
04:52Il faut bien comprendre, c'est que ce mécanisme-là,
04:54il existe depuis longtemps.
04:55Oui, c'est fermé.
04:56On est placé au triple DES par AES et ainsi de suite.
04:58Quand on définit un algorithme,
05:00on le définit en fonction des technos
05:01qui vont être capables de le casser dans les 20 à 30 ans.
05:04Donc là, on a un saut technologique qui arrive,
05:07qu'on estime.
05:09Qu'on estime, parce qu'on ne sait pas comment les ordinateurs quantiques
05:12eux-mêmes vont progresser par la suite.
05:14Donc on estime à 2050, à peu près, l'assurance de ces algorithmes-là.
05:20Donc certains ont été validés par le NIST américain,
05:23donc ils sont déjà bien en place.
05:26Mais il faut bien voir que c'est une mécanique normale
05:28qui ne va pas s'arrêter.
05:29C'est-à-dire qu'on va changer aujourd'hui,
05:30dans quelques années, il faudra des nouveaux algorithmes
05:33encore plus puissants
05:34puisque la technologie aura continué à évoluer
05:37au niveau ordinateur.
05:37Et aujourd'hui, j'imagine que si Vincent Schruvel en parle aussi,
05:40donc c'était dans le cadre des assises de la sécurité à Monaco,
05:44c'est que ça concerne tout le monde
05:45et pas uniquement les grandes industriels de la défense
05:48ou les grandes industries dans l'énergie, le transport.
05:52C'est tout le monde, y compris la TPE.
05:56Il faut bien comprendre que...
05:57On voit souvent les attaques de tiers,
05:58enfin par les tiers souvent qui sont très importantes
06:00dans des sous-traitants ou des sous-traitants de sous-traitants.
06:03C'est par là que souvent qu'on rencontre les virus, les pirates.
06:07Et ce qu'il faut bien faire comprendre à tout le monde,
06:09c'est que ce n'est pas une hypothétique attaque
06:12dans quelques années.
06:13Il y a déjà des cas de figure,
06:14Salt Typhoon en Chine, etc.,
06:17qui ont commencé à engranger de la donnée chiffrée
06:20dont ils ne peuvent rien faire aujourd'hui.
06:22Mais ils savent qu'ils l'auront plus tard.
06:24Les exemples sont déjà là sur le terrain.
06:26Ça a déjà commencé à harvester, comme tu disais.
06:29Et du coup, c'est les solutions qui sont...
06:32Est-ce que je suis une PME ?
06:34Je sais que j'ai des informations sensibles.
06:36Enfin, même sans informations sensibles,
06:38de toute façon, il ne faut pas que je me fasse pirater.
06:40Mais on se dit, si c'est du quantique, c'est forcément cher ?
06:44Non, pas forcément,
06:45parce qu'on l'a déjà implémenté dans nos solutions.
06:48Et c'est là où la...
06:49Surtout, alors, PME va devoir se reposer sur ses fournisseurs,
06:52sur ses tiers,
06:53pour faire en sorte de monter en maturité.
06:55Finalement, on en revient encore à Nice 2,
06:57le maillon le plus faible de la chaîne détermine
06:59la solidité intégrale de la chaîne.
07:01Donc, chacun va devoir faire des efforts.
07:03Il est clair que si vous êtes une grande industrie,
07:05vous allez prendre le sujet à bras-le-corps,
07:07parce que vous allez avoir en interne
07:08beaucoup de sujets de chiffrement.
07:10Si vous êtes une TPE, PME, ETI,
07:12vous aurez moins de sujets de chiffrement.
07:14Et là, il va falloir s'appuyer sur vos fournisseurs
07:16pour monter au fur et à mesure,
07:18notamment dans le cas d'acquisition de nouveaux matériels,
07:20des matériels qui soient estampillés quantique ready.
07:23Et c'est exactement ce que nous disait l'Annecy lors des assises.
07:27Et eux-mêmes disent,
07:28nous n'achèterons plus de matériel qui n'est pas prêt pour le contenu.
07:31Oui, c'est ce qu'on dit depuis les années 2027, 2030, Pascal.
07:33Je rappelle aussi que la qualification,
07:35elle est aussi à destination des organismes vitaux d'État.
07:37Donc, c'est vraiment extrêmement important pour eux
07:39de se mettre à jour là-dessus.
07:42Et Adrien, on disait, c'est un label que les solutions ont.
07:45Enfin, voilà, si je nous écoute en ce moment,
07:48et je suis patron d'une entreprise,
07:50que je veux me fournir là-dedans,
07:51oui, il y a ce label ?
07:52C'est ce qu'on appelle de la cryptographie post-quantique.
07:54Ce sont des algorithmes de chiffrennement
07:56qui sont comme des algorithmes classiques,
07:59mais plus puissants et plus difficiles à casser,
08:01et donc résistants à des ordinateurs quantiques
08:03qui vont être plus performants.
08:05Voilà, je voulais revenir sur ça,
08:07parce qu'il a parlé de beaucoup de choses,
08:08Vincent Strubel, il a évidemment parlé de la sécurité de l'IA,
08:10du règlement NIS2,
08:13de la gestion des cyberattaques,
08:14la désinformation,
08:15qui aujourd'hui, on envoie des exemples à tout moment.
08:19Autre sujet sur lesquels je voulais vous entendre,
08:23c'est ce...
08:24Parce qu'ils sont toujours dedans,
08:26c'est Jaguar Land Rover,
08:27alors il y en a d'autres,
08:28il y a Asahi, la bière japonaise qui est prise là-dedans,
08:31et là, pourquoi on en parle,
08:32c'est que non seulement c'est une attaque,
08:33mais on dirait comme d'autres entreprises,
08:35non.
08:36Là, on se rappelle 2017,
08:37notre Pétia,
08:38des industries Saint-Gobain, Renault,
08:40qui ont des sites de production,
08:41alors qu'ils les avaient arrêtés,
08:42c'était pas arrêté forcément par les...
08:44Ils les avaient arrêtés pour essayer de trouver les virus.
08:46Là, on a des sites de production à l'arrêt,
08:48parce qu'on n'y arrive plus.
08:49Je ne sais pas qui commence.
08:50Adrien ?
08:51Je peux commencer ?
08:52Oui.
08:53Effectivement, l'impact d'une cyberattaque
08:55pour une entreprise peut être très colossal
08:58dans le résultat business.
09:01Ici, vous avez une entreprise
09:02qui a des chaînes de production,
09:04des usines,
09:05et quand il faut arrêter une chaîne
09:07parce qu'on doit faire une opération
09:09sur le système qui monte les voitures,
09:12dans ce cas-là,
09:13eh bien, l'impact est immédiat.
09:15Je crois que c'est plus...
09:16C'est une dizaine...
09:17C'est 10 millions de dollars
09:18d'impact quotidien.
09:19Oui, c'est ça.
09:20C'est par jour.
09:20Par jour.
09:21Donc, c'est catastrophique.
09:23Au-delà de l'image,
09:24de tout ce que ça peut entraîner derrière.
09:26Et là, on est dans le cas
09:27d'une entreprise
09:27qui appartient au groupe Tata,
09:29donc qui est un groupe
09:29avec une certaine assise financière.
09:31Imaginez quand ça touche une PME.
09:33Il y a beaucoup d'entreprises
09:34qui sont aujourd'hui victimes de cyberattaques
09:35et qui ne se relèvent jamais.
09:37Et on se demande...
09:38Alors, en plus,
09:39ça fait partie d'un grand groupe.
09:41Ils ont eux-mêmes...
09:42D'ailleurs, ils ont des filiales
09:44parce qu'il y a Tata Consultant and Services.
09:46Enfin, voilà, ils ont...
09:46Et on imagine...
09:47Je ne vais pas aller regarder dans le détail,
09:48mais il doit y avoir des boîtes
09:49aussi qui font le cyber
09:50dans tout ce conglomérat indien.
09:52Comment ça se fait
09:53qu'on réussisse encore ?
09:55Notre Pétia, c'était 2017.
09:57C'était il y a quelques années.
09:59Et on trouve encore des...
10:02Ce fait-à-vous,
10:02enfin, entre guillemets...
10:03Oui, c'est les vulnérabilités,
10:06s'il faut résumer.
10:07Deux grandes vulnérabilités.
10:08Vulnérabilités logicielles,
10:10que ce soit à l'intérieur de l'entreprise
10:11et notamment dans des entreprises industrielles.
10:14Et exposées à Internet.
10:15Si on prend la messagerie, par exemple,
10:17c'est forcément exposé à Internet.
10:18Et puis ensuite,
10:19on a les vulnérabilités humaines.
10:21Et dans ce cas-là,
10:22on voit qu'on est sur quasiment 50-50
10:24en termes de probabilités.
10:26Et il suffit que tout cela s'enchaîne,
10:28soit indifféremment, soit combiné,
10:30pour qu'on ait effectivement
10:31cette usine qui est à l'arrêt.
10:33Ce qui est d'ailleurs très problématique
10:34parce qu'en emploi direct,
10:35on a 30 000 emplois qui sont concernés.
10:37Et il y a tous les sous-traitants.
10:39C'est à peu près 200 000 emplois concernés.
10:42Et donc là, on est sur un volume qui est important.
10:44Il y a des sociétés qui sont tierces
10:46et qui fournissent des pièces.
10:47Et comme les chaînes sont à l'arrêt,
10:49ces sous-traitants-là, eux aussi, sont à l'arrêt.
10:52Et ils attendent que ça veuille bien repartir.
10:54Et en plus, souvent, parfois,
10:55parce qu'ils partagent les mêmes sous-traitants,
10:57les différents constructeurs.
10:58Je me souviens toujours de Guillaume Fleury,
11:00le patron d'Airbus,
11:01à qui une question avait été posée.
11:03en disant, tiens, les difficultés de Boeing,
11:05ça doit vous arranger.
11:06Il dit, en fait, pas trop,
11:07parce qu'on a les mêmes sous-traitants.
11:08Et si les sous-traitants sont en difficulté
11:10à cause de Boeing,
11:12ils risquent d'être en difficulté
11:13par rapport à nous.
11:14Et ça ne nous arrange pas tant que ça.
11:16Donc, finalement,
11:17il vaut mieux qu'il y ait une compétition
11:19plus saine dans ce domaine.
11:20Et on imagine que c'est la même chose ici, Pascal.
11:23On n'avait dit pas la bière.
11:28Oui, parce qu'il y a aussi Azaï,
11:29donc la bière japonaise,
11:30qui est prise aussi dans notre tourment.
11:33Je voulais juste rajouter une chose.
11:34Il faut rappeler que 2025,
11:35on est sur une grosse année de vulnérabilité.
11:37Le nombre de vulnérabilités logicielles, justement.
11:40C'est quoi ?
11:40C'est l'IA qui a accéléré ça ?
11:43C'est multifactoriel.
11:45C'est qu'on cherche plus, déjà.
11:47On trouve plus.
11:49Le monde de la cyber et les cybercriminels
11:52se sont industrialisés aussi.
11:53Et puis, c'est ce qu'on communique plus aussi.
11:55Les entreprises communiquent davantage.
11:56Donc, c'est vraiment un ensemble.
11:58Beaucoup de choses.
11:58Ce n'est pas qu'il y en a plus,
12:00c'est qu'on en connaît plus.
12:01Oui, on en parle plus.
12:02Peut-être qu'il y en avait tout un temps avant.
12:03Mais on en parle moins.
12:04On ne le saura pas.
12:05Donc, ça, c'est le premier élément.
12:06Et puis, dans ce genre d'attaque,
12:08ce qu'on voit bien aussi
12:09et ce qui pose la difficulté,
12:10je pense qu'on est tous ici,
12:12sur ce plateau,
12:13confrontés à ça régulièrement.
12:14C'est qu'on est dans des environnements de prod
12:17qui sont très complexes
12:18et où la cyber a encore un peu de mal
12:20à parfois sécuriser
12:22parce qu'il y a ce conflit.
12:25Attention, il faut une fenêtre
12:25pour arrêter les serveurs,
12:27pour bien mettre à jour, etc.
12:28Ah oui, mais on ne peut pas couper la prod comme ça.
12:30Et il y a toujours ce fight qui se fait
12:31avec des petites ou des grosses entreprises,
12:33petites entreprises,
12:35petits problèmes de problème.
12:37Mais des grosses entreprises,
12:38ça ne doit pas être simple
12:38d'arrêter les serveurs comme ça.
12:40ce qui fait que la cyber,
12:42ça restera toujours très compliqué
12:44à mettre dans ces environnements.
12:45Oui, et puis quand ça devient trop contraignant,
12:47on le voit à titre personnel,
12:49on se dit,
12:49bon allez, je mets un mot de passe tout simple.
12:51Je l'ai vu dans la tousbuche,
12:53j'ai tellement d'entreprises
12:55qui vont faire un pushback
12:56sur trop de cyber
12:58en se disant,
12:59oh là, on met là,
13:00ça va avoir trop d'impact sur la prod.
13:01Et au final, non,
13:02ce qui a trop d'impact sur la prod,
13:03c'est ce qu'on ne va pas voir.
13:03C'est le jour où ça s'arrête.
13:05Et comment faire justement,
13:08je ne sais pas Adrien,
13:08pour pousser un peu les entreprises
13:10on l'a vu tout à l'heure
13:11avec Jean-Noël de Galzin,
13:14la présidente d'Exatrust,
13:16qui met en avant,
13:17alors lui, c'était sur la souveraineté,
13:19mais côté solution,
13:20il mettait en avant le fait
13:21qu'il fallait davantage
13:22d'utiliser aussi de solutions cyber.
13:23Mais je regardais,
13:24j'ai vu une étude sur les budgets,
13:25ils étaient légèrement en baisse.
13:27Et ça ne veut pas dire
13:28que tout le monde n'est plus mature.
13:29Je ne suis pas sûr que ce soit ça
13:30la seule raison.
13:31Je voudrais commenter le fait
13:33qu'il y ait plus de vulnérabilité
13:35qu'avant ou pas.
13:37Je pense,
13:38je n'ai pas la réponse,
13:39mais je pense qu'on a aujourd'hui
13:40un tissu d'outils
13:41qui est plus large qu'avant.
13:43C'est-à-dire,
13:44il suffit de le voir
13:45dans les salons cyber,
13:46le nombre d'exposants
13:47a augmenté.
13:48C'est-à-dire que statistiquement,
13:50le nombre d'outils
13:50qui est présent dans chacune des entreprises...
13:52Exatrust,
13:52ils sont 150 entreprises tricolores.
13:54Jean-Démarie,
13:55ils étaient 8 ou 10.
13:56Et donc,
13:57c'est autant de produits
13:58qui pourraient proposer
13:58des vulnérabilités.
13:59Et ce nombre-là,
14:00il augmente aussi
14:01à l'intérieur d'une seule entreprise.
14:02Je crois qu'on est entre 20
14:03et 40 outils
14:04d'informatique,
14:06de cyber d'ailleurs,
14:07je crois,
14:08dans une seule entreprise.
14:09Donc, ça veut dire
14:10potentiellement
14:11autant de risques
14:12d'avoir une vulnérabilité.
14:13Il n'y a pas d'outils
14:14qui orchestrent tout ça ?
14:15Alors, justement,
14:16si, c'est la réponse
14:17que je voudrais apporter.
14:19Aujourd'hui,
14:19vous commencez à voir
14:21des outils
14:22qui mettent en parallèle
14:23des outils
14:24qui vont détecter
14:25des vulnérabilités
14:26avec les potentielles
14:27remédiations.
14:29On parle de virtual patching,
14:30peut-être de patching,
14:31mais pas encore.
14:32Je pense virtual patching,
14:33c'est-à-dire qu'on va trouver
14:33des outils
14:34qui ont déjà des protections
14:35pour les vulnérabilités
14:36qu'on découvre
14:37et qui vont pouvoir
14:38les activer automatiquement
14:40et rapidement
14:41pour éviter que, justement,
14:42la vulnérabilité
14:43se fasse réellement exploiter.
14:44Ça, c'est parce qu'on parle
14:45beaucoup dans d'autres domaines
14:47de l'IA agentique,
14:49de ces agents autonomes.
14:51C'est ça sur lequel
14:52vous travaillez tous les trois,
14:53évidemment,
14:54autour de cette davantage
14:55d'automatisation,
14:57d'analyse de données,
14:58automatisation,
14:59parce qu'en plus,
15:01ça, c'est un autre souci
15:02en manque de compétences.
15:03Donc, on ne peut pas mettre
15:04un homme derrière
15:04chaque solution cyber ?
15:06Non, on en est effectivement là,
15:08on en est sur l'IA agentique,
15:10tout en sachant que,
15:11dans des domaines industriels,
15:12l'IA agentique
15:13n'est encore pas tellement décisionnel.
15:16Parce qu'on le disait tout à l'heure,
15:18moi, je pense à un grand fabricant
15:19de voitures français
15:21que l'on protège,
15:22ils ont une fois la possibilité
15:23de rebooter des machines
15:24par année.
15:25Donc, on imagine bien
15:27que ce n'est pas beaucoup
15:29et qu'il faut,
15:31dans ce cas-là,
15:32faire en sorte que
15:32la machine fonctionne
15:34le plus possible
15:35et que ça soit vraiment,
15:36si on la reboote,
15:36c'est dans ce cadre-là.
15:37Donc, si on doit,
15:38par exemple,
15:38bloquer une machine
15:39ou l'isoler
15:40parce qu'elle est susceptible
15:41d'être attraquée,
15:43autant sur du bureautique,
15:44on peut se dire,
15:45bon, bah,
15:45je vais bloquer le PC
15:46d'un tel ou un tel,
15:47autant sur de l'OT,
15:49donc industriel,
15:50on ne va peut-être pas
15:51déléguer complètement
15:52la décision à l'IA,
15:54aussi agentique
15:55et intelligente soit-elle.
15:56Donc, on a encore besoin
15:57de ces humains
15:57et l'IA, dans ce cas-là,
15:58va plutôt nous aider
15:59à modéliser,
16:01à comprendre,
16:02à réagir vite,
16:03à anticiper.
16:04Mais la décision finale
16:06de ce que l'on fait
16:06sur les usines,
16:08on est encore dans l'humain,
16:09surtout que sur les usines,
16:10généralement,
16:11on a des humains
16:12qui sont là.
16:13Alors, oui,
16:13il y a des dark usines,
16:16mais la plupart du temps...
16:17En Chine,
16:18on en a parlé de certaines.
16:19Mais la plupart du temps,
16:20on a quand même
16:21des humains qui sont là,
16:22qui sont d'astreinte
16:23et quand l'usine tourne,
16:23les humains sont là
16:24pour superviser.
16:25Donc, on est encore obligé
16:26et c'est une bonne chose
16:28d'engager la responsabilité
16:31et l'intelligence de l'humain
16:32dans ces milieux-là
16:33en particulier.
16:34Et ce que je trouve intéressant
16:35aussi dans ces exemples...
16:36Enfin, j'avais pris
16:37ces deux exemples,
16:37il y en a d'autres,
16:38mais en tout cas,
16:38c'est les plus significatifs
16:40aujourd'hui,
16:40Jaguar Land Rover et Azaïe,
16:41c'est qu'on est...
16:42Voilà, on est une entreprise
16:44britannique,
16:45mais avec un financeur,
16:48enfin, un investisseur,
16:49un actionnaire indien.
16:51Azaïe, c'est des Japonais.
16:52Enfin, on voit,
16:53c'est pas uniquement
16:54les Russes
16:55contre les Américains.
16:56Et puis, l'Europe au milieu
16:56qui prend des coups.
16:58On voit ce...
16:59Je ne sais pas qui peut...
17:00Adrien ?
17:01Moi, je voulais réagir
17:01par rapport à ce que tu disais.
17:04Effectivement,
17:04il y a une inertie
17:05dans le secteur industriel
17:06qui est due au fait
17:08qu'il n'y a jamais d'arrêt.
17:09Les arrêts sont tellement critiques
17:11parce que quand on arrête
17:11la chaîne de production,
17:12ça a un impact,
17:13on le voit bien
17:14par rapport à l'impact financier
17:15du Jaguar.
17:16Mais du coup,
17:17le retard que ces équipements
17:20prennent en termes de patching,
17:22en termes de correctif
17:22de vulnérabilité,
17:23s'accumule.
17:24Et donc, la surface d'attaque
17:26mécaniquement augmente.
17:28Pascal ?
17:29Pour répondre à ta question,
17:31il n'y a pas que les Américains,
17:32les Russes, etc.
17:33Parce que, certes,
17:34il y a de la géopolitique
17:35dans le piratage,
17:35mais il y a aussi du financier.
17:37Et quand ça peut rapporter,
17:38ça touche tout le monde.
17:39Alors, autre sujet,
17:42c'était les attaques
17:43par supply chain
17:43avec deux exemples récents.
17:46C'était Sales Love Drift.
17:50Alors, qu'est-ce qui avait mis ça
17:50et puis la perturbation ?
17:52C'est Adrien, vas-y.
17:53Oui, c'était deux attaques
17:54qui illustrent ce qu'on appelle
17:55les attaques par chaîne
17:56d'approvisionnement.
17:57C'est-à-dire,
17:58on attaque une entreprise
17:59et les victimes, au final,
18:02vont être des clients
18:03de cette entreprise-là.
18:05Donc, Sales Love Drift,
18:06c'est une attaque
18:06qui a touché Sales Force
18:08via un de ses plugins
18:09qui s'appelle Sales Loft
18:10et un outil qui s'appelle Drift,
18:12qui est un chatbot
18:13qui peut s'intégrer
18:14dans Sales Force.
18:16Et au final,
18:16c'est des géants de l'industrie
18:18et de la cybersécurité,
18:19d'ailleurs,
18:19qui ont été touchés en victimes
18:20parce que Sales Force
18:22est utilisé
18:22dans tout notre site de France.
18:24Alors, je ne sais pas vous,
18:24mais nous, on l'utilise.
18:25On l'utilise.
18:26Et ce qu'il y a à l'intérieur,
18:27c'est vraiment des données
18:28assez puissantes
18:31en termes de données personnelles.
18:34Et là, c'est quoi la raison ?
18:35C'est qu'on a
18:35ils n'ont pas communiqué
18:41suffisamment tôt
18:41pour prévenir
18:42toute la chaîne derrière.
18:45Sales Loft Drift ?
18:46Ça a été assez rapide.
18:49Je pense qu'une entreprise victime,
18:51donc là,
18:51on parle vraiment
18:52de celle qui est au bout
18:53de la chaîne,
18:55ne peut pas se rendre compte
18:56de si Sales Force
18:59est infectée ou pas.
19:00Par contre,
19:01elle peut se rendre compte
19:01des dépendances
19:02de son outil Sales Force
19:05avec d'autres outils
19:06qui pourraient être à risque.
19:08Et c'est là où c'est difficile.
19:10Aujourd'hui,
19:10il existe des outils
19:11d'analyse SaaS
19:13pour détecter les permissions
19:14entre les différentes applications,
19:16celles qu'on maîtrise,
19:17celles à qui on paye un service,
19:20des fournisseurs
19:20de ces solutions-là.
19:21D'accord.
19:22Oui, c'est ça.
19:22C'est cette partie cartographie
19:24sur laquelle il faut être
19:25beaucoup plus attentif, Benoît.
19:26Oui, complètement.
19:27Et puis, moi,
19:27j'imaginerais bien
19:28un petit jingle Nice 2.
19:29Parce que là, au final,
19:31à chaque fois qu'on évoque un sujet,
19:33on pourrait lancer
19:34le petit jingle Nice 2,
19:36sujet supply chain,
19:37qui est éminemment...
19:38Nice 2, c'est ça,
19:39on rappelle,
19:39c'est une réglementation...
19:40C'est une directive
19:41qui vient de l'Europe,
19:43qui est en cours de transposition
19:45et qui doit être votée
19:46sur chacun des territoires,
19:48dont la France.
19:49Pour la France,
19:50on est encore un peu en attente
19:52d'avoir un gouvernement
19:53qui va se pencher dessus.
19:55Par contre,
19:55il y a eu un travail extraordinaire
19:57qui a été fait
19:57par les différentes personnes.
19:58Ça doit être toujours
19:59un peu plus de 15 000 entreprises.
20:01C'est ça,
20:0115 000 entreprises
20:02directement impactées.
20:04Et ensuite,
20:05la question,
20:05c'est qui sera impacté
20:06par rebond ?
20:07Quelle supply chain
20:08sera concernée par rebond ?
20:10Et c'est là
20:11où ça devient vraiment intéressant
20:12parce que cette vulnérabilité
20:13que l'on voit
20:14en étant finalement
20:16fournisseur ou tiers,
20:18eh bien,
20:18on va la renforcer
20:19grâce à Nice 2
20:20en disant,
20:21toi,
20:21je vais t'auditer
20:22ou je vais te demander
20:24que tu montres
20:24pâtes blanches
20:25et le fait que tu aies toi-même
20:27un bon niveau
20:28de cybersécurité.
20:29La question,
20:29ça sera
20:30où va-t-on trouver
20:31ces budgets
20:32pour aller encore plus loin ?
20:33Oui.
20:34Pascal ?
20:35Nice 2,
20:36Nice 2,
20:36Nice 2,
20:37c'est sûr.
20:38Il y a un autre combat aussi
20:39souvent à l'intérieur
20:41des entreprises,
20:42c'est que
20:42le sujet de la supply chain
20:44touche le sujet
20:45des logiciels
20:46qui ont été validés
20:47à l'intérieur de l'entreprise
20:48comme m'a utilisé.
20:49Je suis sûr
20:51que mes collègues
20:52et mes confrères
20:53ont aussi le cas de figure.
20:55Bien souvent,
20:55les personnes
20:57qui font de la cyber
20:57dans ces environnements-là
20:58vont mettre
20:59beaucoup d'exceptions
21:00de sécurité
21:01pour ces outils-là
21:02puisque c'est ceux
21:03qui sont censés fonctionner
21:04tout le temps,
21:04c'est ceux qui font tourner
21:05la boîte.
21:06Pour sortir de la crise,
21:07c'est quelqu'un
21:07qui m'a dit autre jour
21:08pour sortir de la crise,
21:10on va s'affranchir des règles.
21:12Oui,
21:12mais les règles,
21:13c'est le mal.
21:16L'exception,
21:16elle est souvent mise
21:17sur le sujet
21:18de la supply chain
21:19parce que vous comprenez,
21:20c'est un outil
21:21qu'on utilise depuis 10 ans.
21:24Il n'y a pas besoin
21:25que vous vérifiez
21:25la cyber de ça,
21:26sauf qu'il faut en revenir.
21:28En fait,
21:28ça serait Nice 2,
21:28Nice 2,
21:29mais aussi 0-3,
21:290-3,
21:300-3.
21:30Il ne faut pas faire confiance
21:31à un outil
21:31même si c'est lui.
21:32L'exemple SolarWinds.
21:35L'exemple SolarWinds.
21:36On n'a pas attaqué
21:38la bijouterie,
21:38on a attaqué l'armurerie.
21:40Il y en a plein
21:41d'exemples comme ça.
21:43Autre sujet d'ailleurs,
21:44Adrien,
21:44c'est les perturbations
21:45sur les aéroports
21:46européens en septembre
21:48qui est liée
21:49à ce que l'on dit.
21:50Exactement.
21:50Ça peut aussi relier
21:51avec le sujet précédent,
21:52à savoir un ransomware
21:54dans une entreprise.
21:55Là,
21:56c'est un outil
21:57qui servait
21:58à l'embarquement
21:59et à l'enregistrement
22:00des bagages
22:01dans un certain nombre
22:01d'aéroports.
22:03Et c'est l'Allemagne
22:03qui a surtout été...
22:04sur tous les aéroports.
22:05Belge,
22:06Allemagne,
22:07il y en a eu
22:08un peu moins
22:09d'une dizaine.
22:09On disait tout à l'heure
22:11la chaîne de production
22:11arrêtée,
22:12là c'est carrément
22:12des vols annulés.
22:13Exactement.
22:14Imaginez,
22:14vous ne pouvez plus
22:14charger les bagages
22:15ni faire embarquer
22:16les passagers
22:16dans un avion.
22:17Forcément,
22:17l'avion ne va pas
22:18partir à vie.
22:20Les avions ne décollent pas,
22:21ça met du retard
22:22dans les voyages,
22:23etc.
22:26L'aéroport n'était pas
22:27directement ciblé
22:28par les pirates.
22:30C'était l'entreprise
22:31qu'ils ont affectée
22:32qui était réellement ciblée,
22:33qui était une entreprise
22:33américaine
22:35et qui a été touchée
22:37par un ransomware
22:38exactement comme Jaguar
22:40tout à l'heure.
22:41Mais ça montre aussi
22:42notre dépendance,
22:43la dépendance des entreprises
22:45à leur chaîne
22:46d'approvisionnement.
22:46Alors ça peut être
22:47leur fournisseur,
22:48ça peut être également
22:49les équipements
22:50qu'ils mettent en place
22:50chez eux,
22:52comme les nôtres
22:53respectivement.
22:54On l'a vu dans les hôpitaux,
22:55souvent ça rentrait
22:56par des appareils scanners
22:57qui avaient été installés
22:58par quelqu'un d'autre.
23:00Et donc c'est important
23:00aussi de pouvoir maîtriser
23:01les vulnérabilités
23:03qui vont sortir
23:03sur les équipements
23:04qui composent
23:05notre infrastructure
23:05pour pouvoir bien sûr
23:07les vacher derrière.
23:08Et le troisième aspect,
23:09c'est l'aspect humain,
23:09tu en parlais tout à l'heure.
23:11Vous pouvez avoir
23:12un fournisseur
23:13avec de mauvaises intentions
23:15qui va venir
23:15inclure dans votre entreprise
23:18peut-être une porte ouverte,
23:20un malware
23:20ou peut-être
23:21une mauvaise configuration.
23:22On parlait de budget
23:23tout à l'heure
23:24et de zéro trust.
23:26Aujourd'hui,
23:26le nombre de politiques
23:28de sécurité
23:28qui sont un peu
23:30trop permissives
23:31ou alors où une règle
23:32a été rajoutée
23:33pour faire un test
23:33sur un service
23:34et qui n'a jamais
23:35été supprimé,
23:36c'est vraiment le quotidien
23:37pour beaucoup d'entreprises.
23:39Moi, on parlait aussi
23:41beaucoup dans les rachats
23:42d'entreprises
23:42où souvent,
23:42on rachète l'entreprise,
23:44ils ont un logiciel maison
23:46et puis on ne fait pas trop
23:47l'audit de ce logiciel
23:48et on se rend compte
23:48qu'il est un peu vérolé,
23:49en tout cas qu'il est ouvert
23:51à d'autres menaces.
23:53Dernier sujet de ce débrief,
23:56c'est Killeen,
23:57c'est ça la franchise
23:58de ransomware
23:58qui a revendiqué
23:5940 victimes
24:00en 24 heures,
24:01c'est ça ?
24:02Oui, oui,
24:02c'est assez impressionnant
24:03et là encore une fois,
24:05on peut se trouver...
24:05Juste un mot,
24:06qu'est-ce qu'on appelle
24:07une franchise de ransomware ?
24:08C'est un gang
24:08qu'on a repéré,
24:09ils attaquent toujours
24:10de la même façon ?
24:11Toujours de la même façon,
24:12pas forcément,
24:12ils ont leur méthode préférée
24:13mais ce qui est bien
24:14c'est qu'on a des éditeurs
24:15de logiciels malveillants,
24:17des groupes de rançons logiciels
24:18et eux vont former
24:19et avoir des franchises,
24:21donc l'équivalent de prestataires
24:23à qui ils vont donner
24:24les moyens
24:25d'aller attaquer
24:26un certain nombre de cibles,
24:27alors soit ils vont
24:28leur lister des cibles,
24:29soit les cibles seront trouvées
24:30plus tôt par les franchisés
24:31et ils vont les former,
24:33ils vont leur donner des outils
24:34et ils vont faire en sorte
24:36de les aider,
24:37parfois ils vont prendre
24:37en charge la négociation,
24:39parfois ils vont leur demander
24:40de prendre directement la rançon
24:42et de leur reverser
24:43une partie de cette rançon.
24:44On a vu qu'il y avait
24:45un certain nombre
24:45de ces gangs
24:46qui avaient été démantelés
24:472024 et début 2025,
24:49l'écosystème s'est reconstruit,
24:53aujourd'hui à date
24:53on va compter à peu près
24:5490 gangs vraiment structurés
24:56avec des franchisés
24:57et dans le cas de Kylind
24:59qui est assez intrigant
25:00c'est qu'ils s'appellent
25:02eux-mêmes avec plusieurs noms
25:03de gangs passés
25:04qui sont soit ont été démantelés
25:06soit sont un peu
25:08en perte de vitesse,
25:09donc on voit une sorte
25:10de fusion entre
25:11les différents acteurs.
25:13Et ils ont attaqué
25:13des lycées, des mairies,
25:14enfin notamment...
25:15Alors en particulier en France
25:16on a eu un certain nombre
25:17d'administrations
25:18qui ont été touchées
25:18dans les Hauts-de-France
25:19à un certain nombre de lycées
25:20et moi ça m'amène
25:22à aussi cette réflexion
25:23que l'on abordait juste avant
25:24du fournisseur
25:25parce que quand vous avez
25:26le même fournisseur
25:28et qu'il se fait attaquer
25:29alors c'est bien
25:30quand vous avez le même fournisseur
25:31vous économisez certainement
25:32les coûts d'achat,
25:33vous économisez
25:34la formation du personnel
25:35mais quand celui-ci
25:36se fait attaquer
25:36et bien en fait
25:37vous avez une réaction en chaîne
25:38qui au lieu d'avoir
25:39un seul établissement
25:40qui est touché
25:41vous avez X établissements
25:42qui sont touchés.
25:44Et là c'est effectivement
25:44ce qui s'est passé
25:45c'est qu'en utilisant
25:47les mêmes technologies
25:48on se retrouve avec
25:49quand il y a une faille
25:50il y a plusieurs entiers
25:51qui sont touchés en même temps.
25:53Pascal sur ce sujet là.
25:54Il y a plusieurs choses
25:55que je trouve intéressantes
25:56par rapport à Kylin.
25:58Le premier c'est
25:59déjà comment est-ce qu'ils arrivent
26:01à avoir ce nombre
26:02de victimes
26:03aussi important.
26:06Alors il y a plusieurs éléments
26:07le premier c'est
26:08vous savez que justement
26:10dans le système de franchise
26:10comme l'a expliqué Benoît
26:11il y a des affiliés
26:12donc plus vous les attirez
26:14plus ils vont attaquer
26:15c'est du commerce
26:16et pour les attirer
26:17ils ont augmenté le taux
26:19a priori
26:19ils sont entre 80-85%
26:21du montant
26:22qui va à l'affilie
26:23et du coup
26:24ils ont tout intérêt
26:24à bosser avec Kylin
26:25c'est le premier point.
26:26Ah oui c'est ça
26:27il y a une vraie stratégie commerciale
26:28il y a des promos
26:30en ce moment
26:30on le voit des fois
26:33au sein d'un même gang
26:35c'est-à-dire qu'au fil du temps
26:36ils vont avoir besoin
26:37d'attirer des nouveaux affiliés
26:38donc ils vont le faire
26:39et là ils ont mis le paquet
26:40d'entrées de jeu
26:41deuxièmement
26:42ça a l'air d'être un gang
26:43assez méticuleux
26:44déjà ils ont augmenté
26:45la surface d'offense
26:46que font habituellement
26:48les cyber gangs
26:49c'est-à-dire qu'ils vont toucher
26:50du Windows
26:50du Linux
26:51du SXI
26:52donc forcément
26:52ils vont toucher plus de monde
26:53donc ça participe aussi
26:54à toucher plus
26:56plus de cibles
26:57dans un laps de temps donné
27:00et puis ce que je trouve intéressant
27:02c'est
27:02ben là on voit
27:03on voit du public
27:03qui a été touché
27:04mais aussi pas mal de PME
27:05et en fait on est sur un cyber gang
27:06qui bon an mal an
27:08fait du spear phishing
27:09rentre avec des accès
27:12à une mission classique
27:13il n'y a même pas encore
27:14d'IA
27:14dans l'arsenal
27:16de ces cyber gangs
27:18mais juste en faisant
27:19ce que j'ai décrit là
27:20ils ont une efficacité
27:21qui est déjà
27:22assez énorme
27:24instantanée
27:24on ne sait pas
27:24combien de temps
27:25ça va durer
27:25s'ils vont se faire attraper
27:27etc
27:27mais là en instantané
27:28ils ont une efficacité
27:29qui est redoutable
27:30sans même utiliser d'IA
27:31donc sans avoir
27:32cette réserve technologique
27:33dont je parle régulièrement
27:34qui a servi à d'autres
27:36comme la de Masta
27:37etc
27:37mais qui n'en ont pas besoin
27:38pour l'instant
27:39et je poursuis
27:41dans cette histoire aussi
27:43on parlait
27:44de cette force commerciale cyber
27:48mais il y a aussi
27:49je lisais quelque chose
27:50à un baromètre
27:50c'est Microsoft
27:51qui a sorti ça
27:51en disant que
27:52oui la France
27:53faisait partie
27:54des pays les plus attaqués
27:55notamment par les russes
27:57et je crois que c'est Jean-Noël
27:58qui le disait tout à l'heure
27:59mais pourquoi ils se font aussi attaquer
28:00c'est parce que
28:00nous on paye
28:01les assurances couvrent davantage
28:04donc ils se disent
28:04tiens eux
28:05ils seront peut-être plus enclins payés
28:06c'est vrai ça ou pas
28:07où on arrive
28:07on se dit
28:09tiens je vais attaquer ces gens-là
28:10parce que eux
28:11de toute façon
28:11comme ils savent
28:12qu'ils seront remboursés
28:13par leur assurance
28:14ils seront un peu plus enclins payés
28:15ou c'est en train de changer
28:16je ne suis pas certain
28:17qu'ils se posent ce genre de questions
28:19lorsqu'ils lancent des attaques
28:20moi je pense plutôt
28:21qu'un type de groupe
28:24comme celui-ci
28:25qui est motivé
28:26par l'appât du bien
28:27à distinguer de ceux
28:28qui ont vraiment
28:29des convictions idéologiques
28:30de la France
28:31parce qu'elle apporte son soutien
28:33je ne sais pas
28:34à l'Ukraine face à la Russie
28:35par exemple
28:35ceux-là
28:36ils vont vraiment chercher
28:37l'appât du gain
28:38donc moi je pense plutôt
28:40qu'ils vont être
28:41très généreux
28:42dans les hameçons
28:44qu'ils lancent
28:44et dès que ça mort
28:46ils vont l'exploiter
28:47ce qui prouve
28:48typiquement
28:49qu'en France
28:49le profil des victimes
28:51il n'y en a pas en fait
28:52ça peut être
28:54tous les lycées
28:55et les collèges
28:56des Hauts-de-France
28:56ça peut être des toutes
28:57petites PME
28:58dans l'industrie
28:58ça peut être des mairies
29:00il n'y a pas de profil
29:01type des victimes
29:03donc je pense
29:04qu'ils ratissent large
29:05si je puis dire
29:06et que dès qu'il y a
29:08dès qu'il y a un gain
29:09ils l'exploitent
29:10très bien
29:12messieurs merci
29:13d'avoir été avec nous
29:13pour ce débrief
29:14on a fait quelques sujets
29:16il y en a beaucoup
29:16je vous remercie d'ailleurs
29:17d'avoir fourni
29:18autant
29:18donc Benoît Grunemval
29:19d'Expérience Hypersécurité
29:20Isette
29:22Adrien Merveille
29:23directeur technique
29:24France Checkpoint
29:24Software Technology
29:25et Pascal
29:26à chaque fois je me doute
29:28quand je prononce
29:28et pourtant on se connaît
29:29Le Digoll
29:30le Pascal
29:31Le Digoll
29:31directeur général
29:32France
29:32de WatchGuard
29:34Merci messieurs
29:36on se retrouve
29:37la semaine prochaine
29:38même heure
29:38au même endroit
29:39puis nous on se retrouvera
29:39pour un décryptage
29:40on essaie de se voir
29:41à peu près tous les 15 jours
29:423 semaines
29:42pour vous décrypter
29:43toutes ces actus cyber
29:44on a l'impression
29:45parfois de répéter
29:46un peu la même chose
29:46mais c'est tellement important
29:47de s'y intéresser
29:48puis on voit
29:48les nouvelles attaques
29:50vraiment il faut
29:51cette prise de conscience
29:53doit être importante
29:53et on vous apporte
29:54des petits
29:55des indicateurs
29:57chaque à chaque débat
29:59sur la cyber
30:00merci messieurs
30:00et on se retrouve nous
30:02alors sur BFM Business
30:03mais les podcasts
30:04on est sur
30:06tous les podcasts
30:07les replays
30:08sur le site de BFM Business
30:09excellente semaine
30:10sur BFM Business
30:11Tech & Co Business
30:14sur BFM Business
Écris le tout premier commentaire