00:00On va revenir sur la fuite massive des données fiscales piratées.
00:03Près de 700 000 usagers seraient donc victimes de ce vol de leurs informations,
00:07des particuliers, des entreprises également.
00:10Ils ont commencé à être prévenus depuis hier,
00:12mais les cybercriminels affirment avoir déjà vendu ces données.
00:16Pour en parler, on reçoit Benoît Grunemwald. Bonjour.
00:19Bonjour.
00:19Merci d'être avec nous. Vous êtes expert en cybersécurité chez ESAD.
00:23Est-ce qu'on est face à la cyberattaque la plus grave de l'histoire de notre pays ?
00:27Je cite un sénateur socialiste qui a dit cette phrase hier. Est-ce que c'est le cas ?
00:31Je ne minimiserai pas cette fuite de données. Elle est effectivement très importante.
00:36Mais la problématique, c'est qu'elle est conséquente,
00:39mais elle est surtout conjointe avec d'autres fuites de données.
00:42Et c'est ce cumul d'informations sur nous, citoyens,
00:46que l'on va retrouver à l'extérieur qui pose problème.
00:48Pour être très concret, je le disais, les pirates affirment avoir déjà vendu les données.
00:52Ça veut dire que les victimes de ce vol de données risquent quoi ?
00:56Alors, ils risquent de recevoir des tentatives d'arnaques.
00:59Des tentatives d'arnaques par e-mail, par SMS, par appel.
01:03On sait maintenant qu'on peut se faire appeler par des êtres humains
01:05ou par de l'intelligence artificielle.
01:07Et pourquoi pas, pour certains profils assez intéressants pour les cybercriminels,
01:12une criminalité qui bascule dans le vrai monde
01:14et des personnes qui pourraient se présenter au domicile.
01:17C'est-à-dire des cambriolages, très concrètement,
01:19parce que dans ces fuites de données, il y a les adresses.
01:22Couplé au revenu fiscal, ça veut dire qu'on sait qui habite où, avec quel revenu.
01:27Ça peut intéresser les cambrioleurs ?
01:28Exactement. On l'a vu dans certaines fuites de données.
01:30Alors, il est toujours très difficile de faire le lien entre une fuite de données
01:33et une action conséquente.
01:35Mais on a vu, par exemple, pour la Fédération française de tir,
01:39certains affirment avoir reçu la visite de faux policiers
01:41souhaitant vérifier si leurs armes étaient en sécurité.
01:44Par exemple, des prétextes fallacieux, surtout pour rentrer dans le domicile.
01:47Je reviens un petit peu en arrière.
01:48Sur ce que vous disiez sur les arnaques, avec ces données,
01:51en fait, on peut crédibiliser les arnaques.
01:53C'est ça, le risque ?
01:54Exactement.
01:55Et le problème, c'est que demain, on peut recevoir un email
01:58qui semble venir de la DGFIP,
02:00mais on peut aussi tout à fait recevoir un email qui n'a aucune relation.
02:04Par exemple, si vous parliez des profils intéressants,
02:07on peut tout à fait avoir un revenu fiscal de référence assez élevé
02:10et recevoir dans quelques mois un email qui va nous proposer des investissements
02:14pour faire baisser notre taux d'imposition.
02:18Cela peut tout à fait prendre la forme d'un message provenant de la DGFIP,
02:22mais ça peut prendre la forme de n'importe quel expéditeur,
02:26dans la mesure où même les cybercriminels vont pouvoir mélanger les bases de données
02:31et vont pouvoir acheter une combo list,
02:33et que dans cette combo list, finalement,
02:35ils pourraient ne pas savoir d'où vient à l'origine la donnée qu'ils achètent.
02:38Ce qui veut dire que ces données illégales sont revendues,
02:42mais potentiellement à des sociétés qui, elles,
02:45utilisent des bases de données pour avoir une activité légale.
02:48Alors, en Europe, non.
02:49On est protégé avec le RGPD.
02:51Il n'y a, à mon avis, aucune société qui prendrait ce risque-là.
02:54Tous les messages que vous allez recevoir seront des faux
02:56et seront faits par des arnaqueurs
02:59qui vont utiliser différents prétextes,
03:01finalement, comme du marketing.
03:02Quand vous regardez une vidéo sur votre chaîne de vidéos à la demande,
03:06on va vous proposer une autre vidéo,
03:08parce que vous avez regardé celle-là.
03:09Eh bien, eux vont faire la même chose.
03:11Ils vont savoir quel est votre revenu fiscal de référence,
03:14où est-ce que vous habitez,
03:15quelle est la composition peut-être de votre foyer.
03:17Mais ça reste de l'arnaque.
03:18Oui.
03:18Et à partir de là, ils vont monter un scénario d'arnaque.
03:22Juste davantage crédible,
03:24parce que, justement, il y aura les informations collectées
03:26qui correspondent à votre situation.
03:28Julia, vous aviez une question aussi.
03:29Oui, juste, comme beaucoup de téléspectateurs, j'imagine,
03:31mais comment on peut hacker le système français ?
03:33Je pense que c'est ça qui nous sidère.
03:34C'est si facile que ça ?
03:35Alors, ce n'est pas facile.
03:37Il se trouve que les cybercriminels
03:40ne sont peut-être pas techniquement très évolués.
03:43Par contre, ils sont rusés, ils sont malins.
03:45Et surtout, ils s'appuient sur un écosystème cybercriminel
03:48qui est en pleine explosion et qui est industriel.
03:51On le voit, là, les cybercriminels disent
03:53« Nous sommes rentrés dans le système. »
03:55Alors, ils ont utilisé des mécanismes techniques
03:56et « Nous allons revendre la base de données. »
03:59Ça veut dire que ceux qui vont monter les fameuses arnaques
04:01dans quelques mois, de main après-demain,
04:03dans quelques mois, eux sont encore différents.
04:05Et ceux qui leur ont vendu les accès à ce système d'information
04:10sont certainement eux-mêmes différents.
04:12Leur métier, c'est de voler des accès.
04:14Leur métier, à eux, c'est de voler des bases
04:15et ensuite, d'autres, de nous arnaquer.
04:17Mais Julia a raison.
04:18C'est assez sidérant de se dire que même le site des impôts
04:20peut se faire pirater.
04:21On n'est pas suffisamment protégé.
04:22C'est ça.
04:23Est-ce qu'il y a une faillite de l'État ?
04:25C'est un petit peu ce qui est en train de monter,
04:27y compris politiquement, des reproches.
04:29Pourquoi on est si mauvais ?
04:31Alors, on n'est pas si mauvais.
04:32Tous les pays qui sont numérisés comme nous
04:35se font attaquer grandement.
04:37Il est évident que ce site aurait dû être mieux protégé.
04:40Pour autant, quand on regarde comment la protection est faite,
04:44au début, on faisait une forteresse.
04:46Une forteresse, on mettait des barrières technologiques,
04:48on mettait des barrières physiques.
04:50Et puis, il y a eu la Covid.
04:51Et avec la Covid, on s'est dit,
04:53on va permettre à tout le monde de travailler de chez soi.
04:56C'est normal.
04:57Et on a ouvert des portes d'accès à distance.
04:59Et c'est exactement le moyen que les cybercriminels ont utilisé.
05:03C'est un VPN qui permet de se connecter de chez soi à son travail.
05:08Ils ont usurpé l'identité légitime d'un travailleur à distance
05:12et ils sont rentrés dans le système.
05:14Ce qui aurait pu être fait, c'est une détection plus précoce.
05:18C'est-à-dire que cet employé ou ce tiers
05:21va consulter plus de 600 000 fiches.
05:25À un moment, il y aurait pu y avoir une petite alarme
05:27qui dit que c'est étrange que celui-ci consulte autant de fiches.
05:31C'est une chose de se faire pirater.
05:33On apprend que ça a eu lieu fin juin.
05:37Nous, on est au courant en août.
05:40Là aussi, il y a une faille de détection.
05:42C'est ce que vous dites ?
05:42Alors, il y a certainement une incohérence dans le processus
05:46parce que le règlement européen sur la protection des données personnelles
05:48dit que vous devez avertir ceux qui ont subi la fuite,
05:52vos clients ou vos administrés,
05:54dans un délai raisonnable, 48-72 heures.
05:56Il se trouve que là, il y a un délai qui est plus important.
05:59L'enquête nous dira, peut-être,
06:00on espère qu'ils sont dans une phase de détermination
06:05de qui sont les auteurs, qu'ils ont voulu garder le secret
06:08pour ne pas dévoiler qu'ils avaient vu qu'il y avait la faille.
06:11Je suis plutôt optimiste.
06:12Peut-être que le scénario est plus pessimiste.
06:14Ça, c'est l'enquête qui nous le dit.
06:16C'est rendu public uniquement parce que les pirates ont revendiqué
06:20cette cyberattaque ?
06:21Alors, c'est rendu public parce que les pirates ont revendiqué l'attaque
06:24et ils ont commencé à vendre la base de données.
06:26Peut-être que l'État l'aurait fait après
06:28s'il n'y avait pas eu cette mise en compte.
06:30Est-ce qu'il y a des cyberattaques dont on n'est pas informé, par exemple ?
06:33Et que le gouvernement décide de garder sous silence ?
06:36Je ne ferai pas un focus particulier sur le gouvernement,
06:39notamment parce qu'ils sont plutôt respectueux du RGPD,
06:43des règles qu'ils édictent eux-mêmes et ou l'Europe.
06:45Mais je pense aussi à toutes les activités que nous avons en tant que hobby.
06:49Par exemple, on va sur des forums sur lesquels on va partager
06:52parfois même avec notre vrai nom, notre prénom, notre adresse e-mail.
06:56Et ces forums qui sont des forums de passionnés
06:58ne sont malheureusement pas souvent bien sécurisés.
07:01Ce qui fait qu'eux ne se rendent vraiment pas compte
07:04qu'il y a une fuite de données,
07:05n'ont pas les moyens techniques de faire des investigations.
07:08Et là, nos données personnelles,
07:10et encore une fois, celles-ci vont nous caractériser
07:12auprès des cybercriminels,
07:14peuvent elles aussi se retrouver dans la nature
07:16et faire en sorte qu'il y ait ces fameuses arnaques.
07:18Un mot sur ceux qui ont revendiqué cette cyberattaque,
07:21ce serait un duo français ?
07:22C'est un duo francophone, peut-être français.
07:25A priori, ils ne sont pas situés en France.
07:27Ils seraient à priori assez jeunes.
07:30Tendance que l'on retrouve d'ailleurs un don d'autres cyberattaques.
07:33Il y a des groupes assez connus, malheureusement,
07:35comme Lapsus, Scattered Spider,
07:38qui ont fait des attaques au niveau international.
07:40Il y a eu des arrestations qui ont été faites de ces groupes.
07:43On a vu parfois des mineurs.
07:45On a vu des ressortissants des Royaumes-Unis,
07:49des Brésiliens.
07:50Donc on est face à une cybercriminalité qui est assez mobile,
07:54qui n'a pas les codes d'une cybercriminalité,
07:57soit reliés à des États, soit plus structurés.
08:01Ils se sont recrutés par Discord,
08:03ils sont recrutés par des forums de jeux vidéo,
08:06ils sont recrutés par des moyens qui sont un peu moins traditionnels.
08:08La motivation, c'est l'argent ?
08:11La motivation, c'est souvent l'argent.
08:14C'est aussi un peu de reconnaissance,
08:16de montrer qu'on est capable de le faire.
08:18Et parfois, sans penser aux conséquences,
08:21même s'ils évoquent parfois quelques remords,
08:23quelques regrets,
08:24malgré tout, ils cherchent à se financer.
08:26Merci beaucoup, Benoît Grunewald,
08:28d'être venu nous présenter toutes les conséquences
08:30de cette cyberattaque.
08:32Un mot d'ordre, évidemment, quand même, on le rappelle.
08:33Prudence, si vous recevez des mails, des SMS, des appels,
08:36posez-vous vraiment la question de qui appelle
08:38et ce qu'on vous demande de faire,
08:40vraiment, soyez prudents que vous ayez été victime
08:42ou pas, là, de cette cyberattaque.
08:45Merci à vous.
Commentaires