00:00RTL Matin, Thomas Soto
00:05Il est 8h18 face à Fogiel, l'interview de Marc-Olivier Fogiel.
00:08Ce matin, vous recevez Vincent Strubel, c'est le directeur général de l'Agence Nationale de la Sécurité des Systèmes
00:13d'Information.
00:14Et il vient, bilan tout chaud et tout neuf en main, nous dire quelles sont les vraies menaces qui pèsent
00:19sur chacun d'entre nous.
00:20Bonjour Vincent Strubel, merci d'être là.
00:22Bonjour.
00:22Merci, donc vous êtes le gendarme d'Internet.
00:24Un mot d'abord sur les élections, avant de rentrer dans le détail du rapport.
00:28Un mot sur cette ingérence numérique qui a visé hier deux candidats LFI, Sébastien Delogu et François Picmal,
00:35et qui avait déjà visé Pierre-Yves Bournazel à Paris.
00:37Aujourd'hui, derrière ces opérations, on a des états qui tentent de déstabiliser notre démocratie ?
00:42On a tout un tas de gens qui nous attaquent dans le numérique, et des attaques qui rythment l'actualité.
00:48Donc on a ce besoin de faire un bilan annuel, de prendre un peu de recul pour analyser la menace.
00:52Et parmi les cibles, oui, il y a nos processus démocratiques.
00:56Sur les élections, concrètement ?
00:57Sur les élections, sur tout le processus qui sous-tend notre démocratie.
01:01Mais ça vient d'où ? Parce qu'on a tendance à dire ingérence russe.
01:04C'est essentiellement là que ça se passe ?
01:06Il faut toujours être un tout petit peu prudent dans l'analyse, et pas faire de la...
01:10Moi, je ne ferai pas de l'analyse en direct de menaces d'actualité, parce que ça se travaille, ça
01:16se regarde avant d'être sur des conclusions.
01:18Dans les ingérences sur les élections ?
01:19Il y a des États qui nous attaquent de manière générale, il y a des États, c'est un fait,
01:23ils espionnent, ils déstabilisent, ils se tabotent potentiellement.
01:26Il y a des criminels qui sont là pour faire de l'argent, il y a des activistes qui sont
01:30là pour se mettre en valeur.
01:32Parmi les gens qui s'en prennent à des scrutins électoraux, oui, il y a des États, évidemment.
01:36Attaquer, ça veut dire quoi, concrètement ?
01:37Attaquer, ça peut vouloir dire plein de choses, ça peut vouloir dire voler des données, ça peut vouloir dire les
01:41publier, ça peut vouloir dire manipuler l'information et faire de l'éditorialisation des données publiées.
01:47Sur les scrutins électoraux, on a la chance d'avoir un système de vote qui est quand même essentiellement papier.
01:51Donc on n'est pas dans un scénario où on va truquer une élection directement.
01:54Mais dans une élection concrètement, justement, l'attaque d'une élection, ça se passe comment, concrètement ?
01:58Les exemples qu'on a, et on n'est pas sur des choses nouvelles, on n'est pas dans un
02:01raz-de-marée nouveau, on est dans une marée haute de cyberattaques qui durent, qui s'éternisent un petit peu.
02:06Et donc on a des exemples d'attaques d'élections qui remontent à 2016-2017.
02:10Et donc concrètement, ça se passe comment ?
02:10Concrètement, ce n'est pas forcément le système de vote lui-même qui est attaqué, surtout pas en France où
02:14il est quand même papier.
02:16Mais voler les données d'un parti politique, les publier, les éditorialiser, faire de la déstabilisation de manière générale, c
02:22'est une réalité.
02:23La cyberattaque, on se souvient, en Pologne, fin décembre, le pays a subi une série d'agressions sans précédent sur
02:29son réseau électrique, a frôlé le blackout.
02:31L'objectif des attaquants était de provoquer des coupures d'électricité et de chauffage pour les citoyens.
02:35Est-ce que ça, c'est ce qui risque de nous arriver en France, concrètement ? Est-ce que vous
02:39le voyez dans votre rapport ?
02:40C'est ce à quoi on se prépare depuis déjà des années.
02:42On se prépare à ça.
02:43On s'y prépare.
02:44L'attaque qu'a subie la Pologne en décembre, c'est pour moi peut-être la plus significative de 2025.
02:48Ce n'est pas celle dont on a parlé le plus, mais c'est celle qui est le fait nouveau
02:52d'une attaque de cette nature-là,
02:53qui est une réalité en Ukraine depuis des années, mais qui touche pour la première fois un État membre de
02:57l'OTAN, de l'UE,
02:59qui est quelque chose, un scénario auquel on se prépare depuis des années.
03:01Quand vous dites qu'on se prépare, c'est parce qu'on est soutien de l'Ukraine que les mêmes
03:05intérêts, donc russes, viendraient nous nous paralyser d'une certaine manière.
03:09Ce qu'on risque, c'est la paralysie.
03:11On ne peut pas décorréler le cyberespace du contexte géopolitique.
03:15Et effectivement, la brutalisation du monde qu'on vit en ce moment, elle se répercute dans les attaques cyber.
03:20Et donc, c'est quelque chose qui peut nous arriver.
03:23C'est un scénario qu'on a bien identifié.
03:25Par exemple, dans la revue nationale stratégique de 2025, qui nous donne un scénario du pire.
03:29Alors, le pire n'est jamais inéluctable, mais il faut s'y préparer.
03:32Quand vous dites qu'on peut s'y préparer, puisque la Pologne l'a subi de plein fouet, on s
03:37'y prépare, comment on peut éviter des coupures d'électricité, de chauffage, ce qui viendrait nous déstabiliser ?
03:43On peut l'éviter ?
03:44C'est quelque chose qu'on a anticipé depuis longtemps, parce que la France a été le premier pays dans
03:48le monde, quelque part, à réguler, à imposer des règles de cybersécurité à ses opérateurs critiques.
03:52Notamment ceux de l'électricité, mais pas que.
03:54Pour avoir des bonnes pratiques de cybersécurité, ça ne met pas à l'abri de toutes les cyberattaques, mais ça
03:59les fait échouer potentiellement, ça les rend détectables.
04:01Ça nous permet de réagir vite.
04:03Les Polonais ont réussi à contenir l'attaque qui les a ciblées, donc c'est aussi un message d'espoir.
04:08Quand c'est bien fait, on peut éviter ce type de...
04:10En décembre, avant Noël, qu'est-ce qui s'est passé à La Poste ?
04:12Le site de La Poste était inaccessible et livraison de colis très perturbé.
04:16Ça n'a pas paralysé le pays, mais là, de la même façon, on a donc été cyberattaqué, précisément, La
04:22Poste, pour paralyser Noël.
04:23Dans les constats qu'on fait dans ce panorama annuel, c'est qu'on est à un niveau haut.
04:28On n'est pas à une explosion de la menace, mais on est à un niveau haut de la menace,
04:31avec toutes ses composantes criminelles, activistes, étatiques.
04:35On est aussi dans un brouillard technologique, organisationnel, qui fait que c'est parfois de plus en plus compliqué de
04:41dire qui attaque.
04:42Et peut-être que dans le cas de La Poste, c'est un peu ça.
04:44Aujourd'hui, on ne sait pas qui nous a attaqués, parce que clairement, on a saturé de requêtes les serveurs
04:49informatiques, jusqu'à ce qu'ils finissent par lâcher.
04:51C'est une espèce de raid numérique, d'une certaine manière.
04:54Il faut bien comprendre ce type d'attaque.
04:57Ce n'est pas une technique d'attaque nouvelle, c'est ce qu'on appelle un déni de service.
05:00C'est de la saturation, c'est l'opération escargot version numérique.
05:03Je comprends.
05:04Ce n'est pas un cambriolage, ce n'est pas une effraction, il n'y a pas eu intrusion dans
05:06les serveurs de La Poste.
05:08Juste saturation, qui prend fin au moment où l'attaquant s'arrête.
05:11Aujourd'hui, on ne sait toujours pas qui a fait ça.
05:12C'est aussi assez illustratif de quelque chose qu'on voit d'assez nouveau, c'est ce brouillard et des
05:17revendications qui ne sont parfois pas réelles.
05:20Ça a été revendiqué, cette attaque contre La Poste, par un groupe activiste pro-russe qui s'appelle No Name.
05:25Très probable que ce ne soit pas eux.
05:27Alors maintenant, qui c'est ?
05:28C'est quelqu'un qui ne l'a pas revendiqué.
05:30Pourquoi ? C'est une bonne question.
05:31Parce qu'au milieu de tout ça, il y a souvent ce que vous appelez des rançons J-Ciel.
05:35C'est qu'on bloque, on demande de l'argent et on débloque si jamais on paye.
05:39Ça a été le fléau de ces dernières années.
05:41Alors avec une bonne nouvelle, c'est que ça devient de moins en moins efficace.
05:45Le rançon J-Ciel, c'est ce qui a paralysé les années précédentes un certain nombre de nos hôpitaux, par
05:48exemple.
05:49Avec des conséquences qui peuvent être très très vite, très graves.
05:51Et donc ça, ça a été notre priorité.
05:53Mais ça, il faut payer ou pas payer ?
05:54Il ne faut surtout pas payer.
05:55Il y a plein de raisons à ça.
05:56Déjà, il ne faut pas nourrir le crime.
05:58Mais payer, ce n'est pas la garantie de retrouver ses données, de retrouver son système d'information.
06:03La réalité de la menace aujourd'hui, elle évolue un petit peu dans cette sphère criminelle qui est motivée par
06:07l'appât du gain.
06:08Ils font moins de rançons J-Ciel parce que ça marche moins bien.
06:10Parce qu'on s'est amélioré collectivement.
06:12C'est l'État, mais aussi les entreprises.
06:14Ils font beaucoup plus de vols de données.
06:15Ça, c'est une tendance forte de l'année 2025 et pas totalement nouvelle non plus.
06:19C'est plus facile.
06:21Sans doute que ça leur rapporte.
06:22Ce n'est pas impossible à contrôler.
06:23On y vient en vols de données, mais dans le rapport, quand même, le précisé là,
06:27les quatre secteurs qui concentrent presque 80% des incidents,
06:30c'est l'éducation, la recherche, les ministères et les collectivités, la santé et les télécommunications.
06:36Pour l'auditeur qui nous écoute, le vol de données, c'est ce qu'il y a le plus immédiat.
06:41C'est grave de se faire voler ces données ?
06:42C'est toujours grave de se faire voler ces données parce que ça...
06:46Alors déjà, c'est des intrusions dans notre vie privée, potentiellement,
06:48quand on touche à des données de santé.
06:51Quand on nous vole nos adresses e-mails, concrètement, elles sont déjà dans la nature depuis un moment.
06:55On n'a pas attendu 2025 pour recevoir du spam.
06:57Quand on est sur des données bancaires, par exemple, ça demande une vigilance particulière.
07:02Sur les données bancaires, il faut écouter les messages de vos banques
07:05parce que les banques, elles préviennent leurs clients quand leurs données se sont fait voler
07:09et elles donnent des conseils.
07:10En se faisant piquer ces données, on n'est plus vulnérable d'une certaine manière
07:12et vulnérable aux arnaques qui nous arrivent les jours.
07:15Ça rend plus faciles des arnaques.
07:17Ça ne les rend pas automatiques.
07:19Ce n'est pas parce qu'on s'est fait voler son RIB qu'on va se faire vider son
07:22compte.
07:22Par contre, il faut être un peu vigilant.
07:24Et ça, il y en a de plus en plus ?
07:25Il y a une volumétrie qui change un peu.
07:28C'est un pivot de la menace cybercriminale.
07:30Il faisait du rensonjiciel avant.
07:32Il paralysait des infrastructures.
07:33Maintenant, il vole des données.
07:35Donc, on est dans une course permanente avec ces cybercriminels.
07:38Ils ont pris un virage.
07:40Donc, ils ont creusé un tout petit peu l'écart.
07:41On va les rattraper et on continuera.
07:43Mais ces cybercriminels, c'est quoi le profil qu'on comprenne ?
07:46Le profil, ça peut être plein de choses.
07:48Ça peut être des individus.
07:49Ça peut être des Français.
07:50Mais alors, ceux-là, ils se font rapidement arrêter
07:51parce qu'on a quand même une justice qui fait son travail
07:53et on peut s'en féliciter.
07:55Ça peut être des groupes de crimes organisés.
07:58Ce n'est pas des États.
07:59Après, il y a une forme de laisser-faire d'un certain nombre d'États
08:03qui interrogent.
08:04Si les cybercriminels russes ne se font jamais arrêter,
08:06il y a quand même une question qu'on peut se poser derrière.
08:08Mais ça peut être un peu n'importe qui.
08:10Donc, ça, c'est les cybercriminels.
08:11Vous parlez des États.
08:12Est-ce que, clairement, il y a l'espionnage aussi ?
08:14Est-ce qu'il y a des acteurs étatiques qui cherchent des secrets militaires,
08:17des informations diplomatiques, des données ?
08:18Est-ce qu'il y a ça dans votre rapport ?
08:21En gros, des États qui viennent nous espionner via le cyber ?
08:24Il y a ça, ce n'est pas nouveau.
08:26Pour fixer les choses, le vol de données,
08:28c'est une attaque sur sept parmi celles qu'on traite.
08:30Les six autres, il y en a aussi des graves dans le lot.
08:32Le vol de données, c'est grave, mais l'espionnage, c'est grave aussi.
08:35Mais l'espionnage, c'est quoi ?
08:36L'espionnage, c'est des groupes beaucoup plus discrets
08:38qui ne vont pas aller se vanter sur Internet du vol de données, etc.
08:42qui ciblent nos réseaux diplomatiques, par exemple.
08:45Ça, c'est évident que c'est des cibles intéressantes pour des espions,
08:47qui ciblent des entreprises, qui ciblent aussi des ONG,
08:50qui ciblent des médias, qui ciblent Reporters sans frontières, par exemple.
08:54Parce que des États qui ne sont pas forcément très démocratiques non plus
08:59défendent leurs intérêts et cherchent des informations d'intérêt pour eux.
09:01Pour conclure, vous publiez donc ce rapport.
09:03C'est très détaillé, c'est très clair, c'est très concernant.
09:06On sait lutter contre ça ?
09:07On n'est pas des armées.
09:10Ce rapport, ce n'est pas juste pour faire une description, un tableau de la menace.
09:13Mais c'est intéressant ce tableau de la menace.
09:15C'est ce qui dit de notre action.
09:16Mais l'action, comment on est équipé pour ça ?
09:18Il y a des gendarmes, il y a quoi ?
09:19On a une ANSI qui est quand même reconnue dans le monde.
09:22C'est notre agence pour son expertise.
09:24On a un écosystème français, des acteurs, des prestataires privés,
09:27des régions qui se mobilisent là-dessus.
09:30Donc on a une vraie compétence.
09:31Mais ils n'ont pas toujours un coup d'avance sur nous ?
09:33Les attaquants auront régulièrement un coup d'avance.
09:36C'est une course qui est sans fin et c'est une course sans répit
09:38entre les défenseurs et les attaquants.
09:40On n'est pas largué, on n'est pas distancé totalement.
09:43Parfois, ils prennent un virage et donc ils creusent un peu l'écart.
09:45On les rattrape ensuite.
09:47La solution n'est pas forcément très sorcière.
09:49C'est des bonnes pratiques de sécurité.
09:51C'est aussi ça qu'on rappelle dans notre panorama de la menace.
09:54Parce qu'au-delà de lister la menace, c'est
09:55qu'est-ce qu'on peut faire pour la contrer ?
09:56Qu'est-ce qu'on va faire ?
09:57On va aussi agir dans le domaine de la loi.
09:59Parce qu'on fait de la sensibilisation depuis des années.
10:01Ça ne suffit pas.
10:02C'est comme les ceintures dans les voitures.
10:04Il y a des tas de bonnes raisons de les porter.
10:06Mais à la fin, on l'impose.
10:08Parce qu'il faut l'imposer à un moment.
10:09C'est très clair.
10:10Merci Vincent Strubel.
10:11Merci patron de l'Agence Nationale de la Sécurité des Systèmes d'Information.
10:15Merci à vous et merci Marc Collier.
10:16On se retrouve évidemment demain.
Commentaires