- il y a 2 jours
Charles Luylier, accompagnée de la rédaction d’Europe 1, propose à la mi-journée un point complet sur l’actualité suivi de débats entre invités et auditeurs.
Catégorie
🗞
NewsTranscription
00:0013h, 14h, Europe 1 Info.
00:0313h13, bienvenue à vous qui nous retrouvez peut-être à l'instant sur Europe 1,
00:06c'est l'heure de décrypter l'actualité avec vous Charles Huillier et vos débatteurs.
00:11Aujourd'hui, le directeur adjoint de Marianne, Adrien Matou,
00:14mais aussi Raphaël Steinville, directeur adjoint de la rédaction du GDD,
00:17et votre invité du jour, Benoît Grunemwald, expert en cybersécurité pour la société ESSEM.
00:24Oui tout à fait, je vais d'abord présenter mes deux débatteurs.
00:27Alors comment allez-vous Raphaël Steinville ? Tout va bien, en pleine forme.
00:30Je vous ai vu sur CNews ce week-end, effectivement vous étiez vous aussi rayonnant.
00:35Et puis j'accueille Adrien Matou, effectivement.
00:38Bonjour Adrien, comment allez-vous ? Le week-end s'est bien passé ?
00:42Parfait.
00:42Parfait, bon. Alors, on le disait en préambule, c'est aujourd'hui, je redeviens sérieux,
00:48c'est aujourd'hui que les quasiment 700 000 victimes du piratage de données sur le site des impôts
00:53vont être informées et prévenues.
00:56On a également appris, il y a quelques heures, un autre piratage au Crédit Agricole.
01:00Les coordonnées bancaires de 1000 clients ont été volées.
01:03Cela n'a rien à voir avec ce qu'il s'est passé à la DGFIP, mais je le précise
01:08tout de même.
01:08Bref, ça ne s'arrête pas, la cellule interministérielle de crise se réunit aujourd'hui,
01:13ce qui donne une idée, messieurs, de l'ampleur de la crise.
01:17Les sénateurs PS demandent même une commission d'enquête.
01:21Bonjour Benoît Grunemwald, bonjour à vous et merci de nous rendre visite en studio sur Europe 1.
01:27Vous êtes expert en cybersécurité pour la société ESET.
01:32Alors Benoît Grunemwald, si je reçois ce fameux SMS aujourd'hui,
01:37parce que j'ai été piraté, je fais partie des 700 000 victimes de ce piratage sur le site des
01:43impôts,
01:43« Qu'est-ce que je dois faire ? Comment dois-je réagir ? Dois-je m'inquiéter ? »
01:48Benoît Grunemwald ?
01:49Eh bien, si on suit des conseils d'hygiène informatique, on ne va pas s'inquiéter,
01:53parce qu'on va considérer, et peut-être même d'ailleurs que l'email ou le SMS que l'on
01:58va recevoir de la DGFIP,
01:59on va lui-même le considérer comme potentiellement suspect.
02:02Ah bon ? Ah oui, d'accord.
02:03Et oui, parce que tout ce qui va concerner des sollicitations liées à la DGFIP, mais pas que...
02:08Mais c'est un enfer ce truc !
02:09Alors, en fait, ça peut paraître un enfer, mais c'est plus simple que cela.
02:12À partir d'aujourd'hui, vous considérez que tout ce que vous recevez est suspect.
02:17À partir de là, vous n'allez plus cliquer dans les emails que vous recevez.
02:21Si vous recevez un email de la DGFIP, vous dites « C'est la DGFIP, le sujet, c'est changement
02:26de mot de passe. »
02:26Ok. Je ne l'ignore pas. Je ne clique pas dedans, mais je ne l'ignore pas.
02:30Je vais dans mon compte DGFIP ou je vais dans mon application DGFIP,
02:34et là, je vois s'il y a ou pas, effectivement, un message en lien avec une quelconque action.
02:38En tout cas, ce qui est sûr, c'est que email, SMS, appels téléphoniques et visites à domicile
02:45sont également à considérer comme suspects à 99,99%.
02:49C'est-à-dire que si j'ai quelqu'un qui, dans ma villa, vient me rendre visite
02:54en se présentant comme agent des impôts, je dois m'en méfier ?
02:58Complètement.
02:59Comme vous vous méfiez de n'importe qui qui vient sonner à votre porte
03:02que vous ne connaissez pas, que vous n'avez pas sollicité.
03:04Si vous avez prévu un rendez-vous avec Enedis et qu'il y a quelqu'un qui se présente
03:09avec une tenue Enedis, pas de problème.
03:11Si vous n'avez pas prévu de rendez-vous avec Enedis, là, prudence.
03:16Encore que, disait Raphaël Stainville fort justement,
03:19parce qu'effectivement, aujourd'hui, on se méfie de tout, Raphaël Stainville.
03:22On se méfie de tout et on a déjà vu des personnes qui, se déguisant, se prétendant policiers,
03:29gendarmes, se prévalant d'autres organismes, parviennent à rentrer chez les individus
03:38pour leur extraire de l'argent.
03:42Ça existe aussi.
03:43Ça existe, mais généralement, il n'y a pas de rendez-vous sur la plateforme officielle qui a été prise.
03:47Donc, effectivement, prudence lorsque vous avez des interactions, qu'elles soient numériques ou sociales.
03:53Alors, je recentre le sujet parce que nous évoquions avec vous, Benoît Grunemwald,
03:58ce piratage dont ont été victimes 700 000 contribuables sur le site des impôts.
04:03Alors, ce qui paraît quand même extrêmement difficile à appréhender pour nous,
04:09qui ne sommes pas des experts, contrairement à vous,
04:12comment est-ce possible de hacker, comme on dit, c'est-à-dire de pirater un site comme le site
04:17des impôts
04:18qui, de prime abord, semble, bon, infaillible ?
04:21En fait, pas du tout.
04:22C'est facile ou pas, ça, Benoît Grunemwald ?
04:25Alors, il n'y a aucun système infaillible.
04:27C'est-à-dire que si on prend l'image de la maison, vous pouvez avoir une forteresse,
04:31il y a toujours moyen de la cambrioler.
04:33C'est le piratage physique.
04:34L'État, les États et les sociétés font ce qu'il faut, en l'occurrence, pour se protéger.
04:41Mais il existe malheureusement toujours des petites portes.
04:44La cybersécurité, comme la sécurité, n'est pas une science exacte.
04:47Ce que l'on note dans les techniques qui sont employées aujourd'hui,
04:51et pas que chez ces profils assez jeunes,
04:53mais également dans les groupes d'attaquants alignés et ou sponsorisés avec des États,
04:57c'est qu'au lieu de cibler des infrastructures très bien protégées avec des verrons,
05:03et bien ils vont plutôt utiliser ce qu'on appelle l'ingénierie sociale.
05:06C'est-à-dire détourner des éléments légitimes à leur usage.
05:10Pour se rendre plus crédibles lors des différents piratages.
05:14Alors, non mais quand même, j'insiste sur le site de la DGFIP.
05:19Faut-il des outils très perfectionnés ?
05:21Faut-il du matériel très perfectionné ?
05:23Parce que, d'après ce qu'on comprend, les hackers du site des impôts
05:27sont finalement équipés du matériel de monsieur, madame, tout le monde.
05:31Ça c'est vrai, vous le confirmez ?
05:33Oui, je confirme qu'ils n'ont pas de matériel hautement évolué,
05:37je confirme qu'ils n'ont pas, dans le cas présent, de compétences hautement évoluées.
05:41Ils sont certainement, par contre, très malins, plutôt rusés,
05:45et ils bénéficient d'un écosystème cybercriminel important.
05:50C'est-à-dire qu'aujourd'hui...
05:51Ça veut dire quoi ça ?
05:51Ça veut dire qu'aujourd'hui, ce que l'on sait,
05:53c'est qu'ils auraient utilisé un accès VPN,
05:55donc un accès à distance, comme on utilise pour le télétravail.
05:58Un VPN, en gros, c'est pour tout simplement se servir d'une connexion.
06:03Si je suis à Paris, je peux dire, grâce au VPN, que je suis à Moscou,
06:06et comme ça, je suis un peu indétectable, c'est ça ?
06:08Alors, indétectable, non, mais en tout cas,
06:10ça me permet, quand je suis en télétravail,
06:12de me connecter à mon service informatique du travail,
06:14depuis chez moi, en sécurité.
06:17Et ce qui est assez intéressant, frappant ici,
06:20c'est que ces accès se trouvent en vente
06:23sur des cybermarchés criminels,
06:26et il y a une économie qui va capter les logins et les mots de passe,
06:30donc les identifiants, les mots de passe,
06:31pour se connecter à différents VPN.
06:33Si je revends les informations de Marlène Duray sur le Darknet,
06:36combien ça vaut ?
06:38Je serais capable de le savoir.
06:40Pour les vôtres, je dirais que ça va dépendre
06:42de s'il y a votre carte bleue.
06:44Alors, si elle est millionnaire, par exemple ?
06:46Ça peut valoir un peu cher, on va dire 200-300 euros,
06:50mais ça va surtout dépendre de ce que l'on compte en faire.
06:53C'est-à-dire que si je suis un cybercriminel
06:56et que je veux pêcher au chalut,
06:57j'achète des grandes bases,
06:58et ça coûte pas très cher,
06:59les informations sont...
07:01C'est des achats de gros, en fait, c'est ce que vous dites ?
07:03Exactement.
07:04Par contre, si je veux cibler une personne,
07:06une personne publique,
07:07et dans ce cas-là, faire un profil...
07:09Si je veux cibler Kylian Mbappé, pardon pour l'exemple.
07:12Voilà.
07:12Eh bien, dans ce cas-là, ça va coûter beaucoup plus cher,
07:14parce qu'il va falloir trouver ces entrées particulières et personnelles
07:18dans les différentes fuites de données,
07:20les croiser, et de là, faire un profil.
07:22Pourquoi ?
07:22Pour pouvoir faire des arnaques qui sont sur mesure.
07:25Raphaël Stanville.
07:26Oui, il y a quelque chose qui m'inquiète éminemment,
07:29c'est que le hacker qui a revendiqué cette attaque
07:33nous explique que ce piratage a eu lieu en juin.
07:36Comment expliquez-vous que la Direction Générale des Finances Publiques,
07:39le gouvernement,
07:41et n'est communiqué qu'à partir du moment où ce hacker
07:45ait revendiqué cette attaque ?
07:47Et deuxième chose,
07:49il semblerait que ce même hacker,
07:51et également,
07:52c'est lui qui le revendique sur Twitter,
07:55parce qu'il a un compte officiel,
07:56c'est quand même assez sidérant,
07:58revendique une autre attaque ces derniers jours,
08:01avec 2 millions de fichiers cadastraux
08:05qui ont été également pillés
08:06à ce même site,
08:08enfin, sur un serveur de la Direction Générale des Finances Publiques.
08:10Et comment expliquez-vous ce retard dans la réponse du gouvernement ?
08:13Normalement, c'est 3 jours, je crois,
08:15pour prévenir les victimes.
08:1772 heures.
08:18Alors, selon le règlement européen
08:20pour la protection des données personnelles,
08:21effectivement, il y a des procédures
08:22qui doivent être mises en place.
08:24À l'heure actuelle,
08:25ce que l'on peut imaginer,
08:27c'est deux scénarios.
08:28Un, que la DGFIP n'ait pas réalisé
08:33cette fuite de données,
08:34et donc que ce soit le cybercriminel
08:36qui leur apprenne qu'il y avait une fuite de données.
08:39Et puis, la deuxième hypothèse,
08:41c'est qu'il y a un consensus
08:44qui permet une enquête
08:45et qui fait qu'en fait,
08:48ils attendaient le dernier moment,
08:49peut-être pour saisir,
08:50arrêter le suspect
08:51et ensuite annoncer.
08:53Mais ce laps de temps est immense.
08:55C'est-à-dire qu'on parle d'une fuite de données
08:57qui date de juin,
08:59sachant qu'ils ont eux-mêmes,
09:01la Direction Générale des Finances,
09:03à identifier cette intrusion.
09:04Donc, il y avait quand même une menace.
09:06Et pour autant, malgré les 5000 informaticiens
09:08qui travaillent à Bercy,
09:10aucun n'a été à même de réaliser.
09:13C'est quand même, il y a eu une faille dans le...
09:14Mais tout va bien,
09:15parce qu'Amélie Verdier,
09:16la directrice des Finances publiques,
09:18s'est excusée ces derniers jours,
09:20sans donner d'explications valables.
09:21Voilà, donc tout va bien
09:22dans le meilleur des mondes,
09:23Raphaël Steinville.
09:24C'est quand même sidérant.
09:25Comment ça a pu...
09:25Cette distraction,
09:26comment ça a pu échapper à la vigilance ?
09:29Alors, ce qu'il faut bien comprendre,
09:30c'est que quand on protège une forteresse,
09:32on a à la fois des éléments actifs
09:34et puis des signaux faibles.
09:36Donc, la sortie, normalement,
09:38d'autant de fiches devrait ne pas être un signaux faible.
09:41Pour autant, est-ce qu'il a été repéré ?
09:43Est-ce qu'il n'a pas été repéré ?
09:44Ça, c'est l'enquête qu'il dira.
09:46Au jour d'aujourd'hui,
09:47effectivement, on peut considérer
09:48qu'il y a un délai qui est anormal
09:50entre le moment de l'attaque
09:52et la déclaration par la DGFIP,
09:54et qui a certainement été d'ailleurs
09:56court-circuitée par celle du cybercriminel.
09:58La DGFIP transmettra ces informations.
10:01Benoît Grunemwald, vous restez avec nous.
10:04Adrien Matou, directeur adjoint de Marianne, a une question.
10:06Oui, la France est devenu le deuxième pays au monde
10:08le plus touché par la fuite de données.
10:11Il y a 23,5 millions de comptes
10:12qui ont été compromis rien qu'au premier trimestre de 1926.
10:15Est-ce que c'est parce qu'on est plus ciblés
10:17que d'autres pays,
10:17ou est-ce que c'est parce que
10:19notre niveau de défense est tout à fait insuffisant ?
10:22Il y a plusieurs éléments
10:25dans cette lecture d'un classement.
10:28Classements qui souvent d'ailleurs
10:29sont effectués par des sociétés privées.
10:32Donc je pense qu'il faut les prendre avec des pincettes.
10:35En tout cas, ça n'exclut pas
10:37et ça n'enlève rien au fait que
10:39la France est particulièrement
10:41victime de fuite de données.
10:43Ça c'est évident.
10:44Il y a deux choses pour moi.
10:45La première, c'est que notre pays
10:46est extrêmement numérisé.
10:48Nous avons beaucoup de services
10:50qui nous demandent de nous connecter.
10:53une de mes filles, 12 ans,
10:55rentre au collège,
10:56il lui faut l'ENT.
10:57Donc pour aller se connecter à l'ENT,
10:59il lui faut une adresse e-mail.
11:00Donc un login, un mot de passe.
11:02Un login, un mot de passe sur l'ENT.
11:03L'ENT, c'est quoi ?
11:03L'ENT, c'est le web collège.
11:05Ça permet d'accéder aux devoirs en ligne.
11:08Donc sans ça, on n'a pas ces devoirs.
11:09Et il se trouve qu'à 12 ans,
11:11elle a déjà, pour le loisir,
11:13pour le travail, l'école,
11:15elle a déjà une cinquantaine de comptes.
11:17Donc il lui faut une bonne hygiène numérique.
11:19Et on y reviendra certainement,
11:20parce que ça, ça peut nous manquer.
11:23Donc cette numérisation du pays
11:26implique qu'il y a forcément des vulnérabilités
11:29qui vont faire que les bases de données
11:31peuvent fuiter.
11:32Et puis d'autre part, le RGPD,
11:33on en discutait,
11:35fait qu'il y a un effet d'annonce.
11:37Alors même si dans le cas présent,
11:38celui-ci est à creuser cet effet d'annonce,
11:42les sociétés doivent,
11:44pour peut-être limiter les amendes
11:47ou les conséquences de leur fuite de données,
11:52doivent signaler leur fuite de données.
11:53Ce qui n'était pas le cas avant
11:55et même après l'application du RGPD.
11:57Ça arrivait peut-être avant,
11:58mais on ne le savait pas en fait.
11:59Exactement.
11:59Donc les fluides de données
12:01étaient certainement présentes.
12:02Alors moi, je pense notamment,
12:04c'est moins important bien entendu
12:05que la DGFIP,
12:06mais je pense à un nombre
12:07très très important de forums.
12:09C'est-à-dire qu'au début d'Internet,
12:10vous aviez une passion,
12:11et bien vous montiez un forum.
12:13Et là, sans hygiène informatique correcte,
12:16vous mettiez votre vrai nom,
12:17votre prénom,
12:19votre adresse e-mail
12:19que vous utilisiez
12:20pour aussi communiquer
12:21avec les impôts,
12:22avec la famille,
12:23avec tout le monde,
12:23acheter sur Internet.
12:24Et ce forum,
12:25maintenu par des amateurs,
12:28certainement pas amateurs informatiques
12:30et cybersécurité,
12:32faisait qu'il se faisait poutrer,
12:34donc que les informations partaient.
12:36Et là, vous n'aviez aucune information,
12:38aucun moyen de vous protéger.
12:39Et encore une fois,
12:41en plus,
12:41vous n'avez pas la bonne habitude
12:42de dissocier vie privée,
12:45vie avec l'administration
12:47et puis tout ce qui est marketing,
12:48malheureusement,
12:49les informations se retrouvent
12:50dans la nature.
12:51Alors, j'aimerais qu'on parle avec vous,
12:54Benoît Grunemwald,
12:55de l'aspect hygiène numérique.
12:58Alors, très concrètement,
12:59on nous répète ad nauseum
13:01qu'il faut par exemple avoir
13:03trois adresses mail,
13:04une pour le travail,
13:06l'autre pour les loisirs,
13:08l'autre pour je ne sais quel domaine,
13:10l'administration.
13:11Est-ce que ça suffit
13:13pour éviter le piratage
13:14ou bien pour limiter les dégâts plus tôt ?
13:17Benoît Grunemwald.
13:18Alors, vous l'avez bien dit
13:19et comme on le rappelait
13:20au début de cette émission,
13:22la sécurité à 100% n'existe pas.
13:24Et c'est ce niveau de vigilance élevé
13:27qui va faire que l'on sera
13:28à la fois moins une cible
13:30et si jamais on est une cible,
13:32les cybercriminels peuvent passer
13:33à une autre personne
13:34parce qu'on devient trop compliqué pour eux.
13:36Et avoir trois emails...
13:37D'accord, ça peut les décourager
13:38si on voit qu'on a une hygiène numérique en tout cas.
13:41Exactement.
13:42C'est comme si vous avez
13:43une tentative de cambriolage.
13:44Ils voient votre appartement,
13:46votre maison,
13:46serrure trois points,
13:47volet, alarme.
13:49Bon, ils vont passer
13:50à une cible plus simple.
13:51Et donc, ces trois emails
13:52sont importantes
13:53parce qu'elles vont permettre
13:54de dissocier votre vie numérique.
13:56Vous n'êtes pas obligé,
13:57par exemple,
13:57sur un site pour du hobby
13:58de mettre votre vrai prénom,
14:00votre vrai nom
14:01et puis surtout une adresse cible
14:02qui contiendrait
14:02votre nom,
14:03votre prénom,
14:04votre fournisseur d'accès internet,
14:06par exemple.
14:06Vous pouvez tout à fait
14:07vous inventer une identité.
14:09Et ça,
14:10ça va permettre
14:10que si jamais,
14:11si vous recevez un email,
14:12par exemple,
14:12de livraison
14:13sur l'adresse email
14:14qui vous sert à discuter
14:15avec l'administration,
14:16vous savez d'ores et déjà
14:17que c'est un faux.
14:18Parce que ce n'est pas
14:18l'adresse email
14:19que vous utilisez
14:20pour passer commande
14:20et ou pour recevoir
14:22des newsletters
14:22si vous aimez,
14:23par exemple,
14:24les vêtements.
14:25On a découvert
14:25avec effroi
14:26il y a quelques années
14:27qu'une majorité de Français
14:29disposait de mots de passe
14:31très friables.
14:32On va le dire comme ça.
14:33Le mot de passe
14:34le plus répandu,
14:34c'était 1, 2, 3, 4
14:36chez beaucoup de Français.
14:37Enfin, on marche sur la tête.
14:39Est-ce qu'il y a quand même,
14:41vous qui êtes expert
14:42en cybersécurité,
14:43Benoît Grunemwald,
14:44est-ce qu'il y a quand même
14:45du mieux dans l'éducation numérique
14:47ou bien on n'a pas fait
14:48beaucoup de chemin ?
14:49Par exemple,
14:50moi, ma mère,
14:50je suis persuadé
14:51que son mot de passe
14:52c'est sa date de naissance.
14:53Voilà, je vais vous le dire
14:53comme je le pense.
14:55Alors, je pense qu'il y a
14:57des efforts qui ont été faits,
14:58peut-être pas sur toutes
14:59les populations.
15:00Donc, il faut certainement
15:01que votre mère
15:02et la mienne
15:03soient plus attentive
15:05aux conseils qu'on leur donne.
15:07Et pour ça,
15:08la mienne a pris
15:09des bonnes mesures
15:09à l'ingestionnaire
15:10de mot de passe.
15:11D'accord.
15:12Et alors ça,
15:12c'est simple à installer ?
15:13Alors, c'est extrêmement
15:14simple à installer,
15:15extrêmement simple à utiliser.
15:17Généralement,
15:17ça se déverrouille
15:18notamment sur le smartphone
15:19soit par la reconnaissance faciale,
15:21soit par l'empreinte digitale.
15:22Et surtout,
15:23c'est lui qui fait le travail.
15:25C'est-à-dire que c'est lui
15:25qui va créer les mots de passe
15:27compliqués,
15:28uniques,
15:28les enregistrer,
15:29les sauvegarder
15:30et ensuite faire en sorte
15:31qu'ils les remplissent
15:32à notre place
15:33dans les sites.
15:34Ce gestionnaire de mots de passe,
15:36comment garantir
15:37qu'il soit pour le coup
15:39inviolable ?
15:40Eh bien,
15:40on est encore
15:41sur ce 100%
15:42qui n'existe pas,
15:43mais il vaut mieux
15:45avoir un gestionnaire
15:45de mots de passe
15:46potentiellement piratable
15:47que ces mots de passe
15:49dans un Word,
15:50dans un fichier Excel
15:51ou en clair
15:52sur son ordinateur.
15:53Bon,
15:54c'était passionnant.
15:55Merci Benoît Grunemwald,
15:57expert en cybersécurité
15:59pour la société ESSET.
16:01Merci infiniment
16:02d'avoir été avec nous
16:03en studio.
16:03Il est 13h30.
16:04second time.
16:04Merci.
16:04Merci.
16:04Sous-titrage
Commentaires