00:00Stéphane Boutsoc, RTL Matin.
00:03Et on s'intéresse aux suites de cette cyberattaque sans précédent dont a été victime l'administration fiscale.
00:08Près de 700 000 contribuables concernés par le vol de données informatiques.
00:13Si vous êtes dans ce cas, vous allez recevoir un mail des services fiscaux.
00:16Ils ont d'ailleurs commencé à être envoyés hier soir.
00:19Une opération d'envergure qui pose la question de la sécurité des systèmes d'information de l'État.
00:25Le Premier ministre tenait d'ailleurs une réunion de crise hier.
00:28Il a appelé à un audit approfondi sur ce vol.
00:33Invité de RTL ce matin, un spécialiste de ces questions de cybercriminalité.
00:38Bonjour Clément Domingo.
00:39Bonjour Stéphane Boutsoc.
00:40Bienvenue sous le pseudonyme de Saxe.
00:43Vous êtes ce qu'on appelle un hacker éthique.
00:45Alors on va commencer par là.
00:47Ça veut dire quoi ?
00:48Vous savez comment pirater des données numériques mais vous ne le faites pas, c'est ça ?
00:52Mais j'ai piraté des données numériques mais ça dans un cadre légal,
00:56mandaté par des sociétés, par des gouvernements.
00:59Dans différents cadres, dans du bug bounty, dans des tests de sécurité.
01:02Et donc ça c'est légal.
01:03Aujourd'hui c'est un travail qui se vulgarise de plus en plus.
01:06On a beaucoup d'ailleurs d'ingénieurs en cybersécurité, aussi appelés hackers, aussi appelés pentesters.
01:12Mais vous savez on est obligé de rajouter le éthique pour ne pas que l'on fasse l'amalgame.
01:16Hélas amalgame qu'on fait depuis les années 80, hélas porté aussi par les médias.
01:21Où on devrait un peu appeler les gens qui piratent des données, soit des pirates, soit des cybercriminels.
01:27Mais aujourd'hui encore, ce terme-là persiste et colle à la peau en voulant désigner des cybercriminels.
01:32On va plutôt les appeler des hackers.
01:33Alors on en vient à ce vol de données, c'est 678 000 comptes de contribuables qui ont été piratés.
01:42Vous avez révélé avoir été en contact avec le ou les cybercriminels.
01:47Que pouvez-vous nous dire sur son profil et où il se trouve ?
01:50Il est en France, il est à l'étranger, ou ils sont en France à l'étranger ?
01:53Ils sont deux, ils seraient deux dans ce collectif Zero Bikes.
01:57L'un dirait être actuellement au chômage, qu'il avait postulé il y a quelques temps de ça dans une
02:02entreprise d'informatique.
02:04Principale motivation pour faire ça, c'est l'argent.
02:06Et d'ailleurs, dimanche soir, il affirmait avoir vendu la base de données.
02:12Donc c'est 700 000 contribuables français touchés par cette fuite d'informations à deux personnes.
02:17Donc c'est-à-dire qu'actuellement, il y a des tierces parties qui ont la main sur ce fichier
02:21et donc qui mettent en danger énormément de personnes.
02:24Et surtout, la chose aussi assez folle que j'apprends, c'est que le piratage de la DGFIP n'était
02:29pas du tout prémédité.
02:31C'est totalement le fruit du hasard.
02:32Il est tombé dessus comme ça ?
02:34Totalement.
02:35Ça se vend cher, ce genre de données ?
02:36Écoutez, là, ça peut se vendre très cher.
02:39En tout cas, il n'a pas voulu donner le prix exact, mais il est parvenu quand même à vendre
02:43à ces deux personnes à quelques milliers d'euros.
02:45On ne sait pas, est-ce que c'est 10 000, 15 000, 20 000, mais des milliers d'euros.
02:48Concrètement, pour celles et ceux qui nous écoutent et qui sont peut-être concernés par ce vol,
02:53que risquent les contribuables dont les comptes ont été piratis ?
02:56Écoute, vous avez totalement raison Stéphane Boutsock.
02:58Et surtout, lorsque je vois hier l'email que s'apprête à envoyer la Direction Générale des Finances Publiques,
03:03ça a commencé hier soir, je pense que ce mail est encore totalement incomplet
03:08dans la mesure où, certes, il parle un peu aujourd'hui de ce côté-là sur les arnaques.
03:12En effet, demain, vous allez pouvoir être contacté par une personne qui va se faire passer pour l'administration fiscale,
03:17vous donner toutes ces informations et donc vous inciter à cliquer sur des liens pour soit un trop perçu,
03:23et donc là, c'est la bonne nouvelle, ou alors vous inciter à cliquer pour ne pas avoir une majoration.
03:28Mais je pense que l'élément principal qui manque, c'est de se dire que potentiellement,
03:33ces personnes sont aussi en danger dans leur habitation,
03:36parce que vous savez, dans les données qui ont été piratées, on a le fameux RFR,
03:40le revenu fiscal de référence, qui témoigne un peu de la richesse des personnes,
03:44et pour certaines, elle est assez élevée.
03:46Et donc, l'État met une cible dans le dos de ces personnes.
03:48Et ce qui est fou, c'est que je vous rappelle quand même deux faits,
03:51que vous avez d'ailleurs discuté ici sur votre antenne,
03:54suite au piratage de la Fédération Française de Tirs,
03:57il y a eu des gens qui ont été cambriolés chez eux,
04:00parce qu'ils détenaient les armes de catégorie C.
04:01et pareil aussi, vous savez, suite aux différents cryptoraptes,
04:05donc les fuites de données sur des personnes qui détenaient des cryptomonnaies,
04:08il y a eu des gens qui ont été séquestrés, cambriolés.
04:10Donc, c'est ce qui risque aussi d'arriver.
04:12Et donc, que l'État ne puisse pas aussi mettre ce risque majeur,
04:17je pense que c'est une autre faute supplémentaire.
04:18Donc, Clément Obingo, ça veut dire qu'il va falloir non seulement surveiller ces mails
04:22et les éventuels mails frauduleux qui vont arriver.
04:24On rappelle que l'administration fiscale ne met jamais de lien sur lesquels il faut cliquer.
04:29Et là encore, un petit raté, ils mettent un lien cliquable dedans.
04:33Ah non, non, non.
04:35Et il va falloir aussi surveiller les démarchages à domicile.
04:37Surtout, surtout, surtout.
04:39Alors, il y a de plus en plus de cyberattaques.
04:42Il y a eu Intermarché, la Fédération de Handball, la Fédération de Tirs, vous le disiez.
04:46Mais le fisc, on vient de l'apprendre aussi.
04:50Et puis, l'éducation nationale aurait été et a été hackée hier.
04:53Vous nous le confirmez ce matin ?
04:54Ça, ça ne...
04:55Je pense que là, on a vraiment un feuilleton.
04:57Et donc, ça, ça se passe hier soir.
04:58Ou encore, je discute avec le cybercriminel qui m'envoie quelques échantillons.
05:02Sauf que là, quand même, il vient de revendiquer 346 millions de données.
05:07Donc là, qui s'étendraient...
05:08346 millions ?
05:09346 millions qui s'étendraient sur une période de 20 ans.
05:12Donc, remontant jusqu'à 2002, 2003, 2004.
05:16Et là, je pense que l'administration, l'éducation nationale devra, ce matin ou dans les prochaines heures aussi, un
05:21peu réagir.
05:22Et ce que je trouve, moi, le plus fascinant dans cette histoire, c'est que là, on a en face
05:26un cybercriminel
05:27qui joue littéralement avec l'administration, en tout cas avec l'institution publique,
05:32en disant une chose, en attendant que l'institution réagisse, avant de republier d'autres choses.
05:36Et surtout, ça vient un peu poser cette question aujourd'hui fondamentale de la sécurité de notre système informatique de
05:44manière générale en France,
05:46à un moment donné où on parle énormément des ingérences étrangères,
05:49où on parle aussi un peu de sujets comme l'interdiction des réseaux sociaux au moins de concentre,
05:52qui a quand même été retoqué par le Conseil constitutionnel.
05:55Mais qu'en sera-t-il à l'approche des élections ?
05:56Alors, vous nous confirmez donc le piratage de l'éducation nationale hier.
06:02Quand vous dites que vous avez échangé avec le hacker, le pirate, c'est le même que celui du fisc
06:06ou pas ?
06:07C'est exactement le même.
06:08Ah, c'est le même ?
06:08C'est exactement le même. Ce qui rend encore, je pense, la chose forcément dans ma bouche,
06:12qui va être ironique, cynique, encore plus folle, de se dire que c'est exactement le même cybercriminel
06:16qui piratait d'ailleurs il y a quelques temps de ça.
06:17Vous avez dit aussi la Fédération Française de Handball.
06:21Et donc, c'est vraiment le même qui continue de feuilletonner et donc d'attaquer nos institutions.
06:25Donc, qu'en est-il vraiment de notre posture cyber aujourd'hui ?
06:28Alors, ce qui est fou, c'est que vous, vous êtes en contact avec lui.
06:32Ce n'est pas le cas de la police, des enquêteurs ?
06:34Ça, c'est différent.
06:35Peut-être pour un peu expliquer à tous vos auditeurs, c'est que lorsque vous avez une revendication,
06:40d'ailleurs la manière dont ça s'est passé, vous avez une annonce,
06:43comme une annonce que vous pourrez retrouver sur le bon coin,
06:45mais sauf que là, on est plutôt sur le bon coin de la cybercriminalité,
06:48en disant, aujourd'hui, j'ai peut-être les données de Stéphane Boutso que je vends à tel.
06:52Si vous êtes intéressé, contactez-moi à telle adresse ou à tel lien,
06:56et donc, du coup, sur des messageries sécurisées ou non, ou alors sur Telegram.
07:00Et là, actuellement, je discute avec lui sur Telegram.
07:03Bon, on peut aussi douter que nos forces de l'ordre sont forcément à sa recherche
07:06et peut-être une des personnes, un des cybercriminels les plus recherchés à l'heure actuelle où on parle.
07:11Dernière chose, et c'est important, quelle doit être, quelle peut être la réponse de l'État en général,
07:17parce qu'on voit que les frontières numériques, informatiques sont totalement poreuses.
07:22C'est quoi, vous qui êtes expert ? Quel serait le gros chantier, là, à mener ?
07:26Quand je vois, hier, suite au déplacement dans le Porsche du Premier ministre,
07:29qui tient ensuite sa cellule de crise interministérielle pour parler de ça,
07:33et que les annonces que Matignon nous annoncent, c'est demander un audit à l'ANSI,
07:37l'ANSI qui le fait déjà, et surtout informer les différentes personnes susceptibles d'avoir été piratées,
07:44ce n'est pas du tout une réponse à la hauteur aujourd'hui du problème.
07:48Je vous signale quand même qu'il y a quelques temps de ça, l'ANTS, l'Agence Nationale des Titres
07:52Sécurisés,
07:5311,7 millions, a aussi été piratée.
07:56Suite à ça, Sébastien Lecornu, le même, disait déjà à l'époque de devoir débloquer une enveloppe de 200 millions
08:01pour venir un peu sécuriser notre administration.
08:04Apparemment, cet argent n'est toujours pas arrivé, et donc hier, c'était une fois de plus que de la
08:08communication.
08:09Il faudrait peut-être tant de siffler la fin de la partie et de se repositionner,
08:13parce que la France a été toujours un pays de cybersécurité,
08:16et aujourd'hui, on est quand même le premier pays à subir le plus de fuites d'informations en Europe,
08:21le deuxième dans le monde, et ça, je pense que ça ne nous correspond absolument pas.
08:25Merci beaucoup Clément Domingo.
Commentaires