- il y a 2 jours
Rançongiciels, nouveaux modes opératoires, signaux faibles… la cybermenace évolue vite en France, et l’été a été particulièrement chargé. Quelles attaques progressent le plus, et quels risques faut-il anticiper à l’approche de la présidentielle ?
Catégorie
🗞
NewsTranscription
00:04Smartech s'arrête aujourd'hui avec son alerte cyber sur l'évolution de la menace, la cybermenace qui vise la
00:10France.
00:11Pour en parler, deux experts aujourd'hui, Adrien Merveille, expert donc cyber chez Checkpoint France,
00:16et puis Thibaut Binetruy, président d'Intercept France.
00:19Vous fêtez les cinq ans de l'association, mais tout le monde ne vous connaît pas forcément.
00:22En fait, vous réunissez les certes et les six certes, c'est ça, donc ceux qui réagissent de manière très
00:29opérationnelle aux incidents.
00:31Tout à fait, on est une association qui fédère les opérationnels de cyber défense,
00:35les gens qui surveillent les systèmes d'information, détectent et entravent des cyberattaques au quotidien.
00:39Alors, on a un enchaînement de cybermenaces, on a vu beaucoup de communication autour des fuites de données cet été,
00:46et puis là, pas plus tard que la semaine dernière, on a découvert qu'un logiciel pilotant les frigos, les
00:52réfrigérateurs et les congélateurs des supermarchés
00:55avaient aussi fait l'objet d'une cyberattaque.
00:59Quelles sont les informations que vous avez, vous, aujourd'hui à ce sujet ?
01:03Peut-être que je peux commencer pour expliquer un petit peu ce qui s'est passé.
01:07En fait, il y a eu une cumulation de certains facteurs qui ont rendu cette attaque possible.
01:12La première et qui est essentielle, c'est que ces systèmes sont accessibles.
01:17C'est-à-dire qu'il y a quelqu'un à un moment qui va publier un portail du logiciel
01:21de gestion de frigidaire sur Internet,
01:24avec certes des mécanismes de sécurité, mais le deuxième facteur qui est arrivé là, c'est que ces mécanismes ont
01:30été contournés
01:30et un pirate a pu exécuter des instructions qui n'étaient pas celles souhaitées,
01:36et donc monter la température des frigos en l'occurrence.
01:38Oui, et alors moi ce que j'ai compris aussi, c'est qu'on a un logiciel,
01:42enfin un éditeur de logiciel qui quand même fournit de nombreuses enseignes de grande surface et d'alimentation,
01:50qui n'était plus totalement à jour.
01:53En fait, ce qui a été attaqué, c'est la version obsolète de ce logiciel.
01:57C'est bien ça ?
01:57Alors effectivement, en début du mois d'août, il y a un éditeur de logiciel qui s'appelle Claroti
02:04qui a publié une étude sur des vulnérabilités liées à ce fabricant de logiciels.
02:10Ces vulnérabilités ont très bien pu être exploitées dans le cadre spécifique de cette attaque,
02:15mais je n'ai pas encore le rapport complet qui va dire ça.
02:18Mais effectivement, il s'avère que la version qui a été exploitée n'était pas la dernière version,
02:23et la dernière version incluait le correctif de ces fameuses vulnérabilités.
02:27Donc on dit qu'il y a des logiciels qui ne sont pas patchés ?
02:31J'ai un peu l'impression que ça, mais on va le répéter combien de fois en fait ?
02:35On va le répéter beaucoup.
02:36Mais en fait, ici là, on est dans un cas spécifique où on touche un milieu, je vais dire, industriel.
02:42C'est-à-dire que l'application d'un patch peut avoir un impact direct sur l'activité.
02:50Je ne suis pas expert frigoriste, mais peut-être que l'activation du patch des frigidaires
02:55va entraîner un redémarrage, peut-être qu'elle dure plusieurs heures,
02:59et peut-être qu'il faut une fenêtre de maintenance en sortant la nourriture ou les aliments.
03:04Imaginez la même chose, on en parlait tout à l'heure dans un hôpital.
03:07Les médicaments n'ont peut-être pas de tolérance à modification de température.
03:11On sait très bien ce que représente la chaîne du froid quand on fait nos courses.
03:14Donc, est-ce que...
03:16Après ce que vous parlez de l'hôpital, alors moi, justement, j'ai mené une enquête
03:19sur la question de la fragilité aujourd'hui des dispositifs médicaux,
03:24les grandes machines qui sont dans les hôpitaux.
03:26On a le même problème, des logiciels qui sont obsolètes,
03:29qui ne sont pas connectés à Internet, mais qui sont connectés au réseau
03:32pour la transmission de données.
03:35Il y a une sorte de prise de conscience qu'on a un risque,
03:38mais finalement, on ne peut pas faire grand-chose
03:40parce qu'il y a un sujet opérationnel, effectivement.
03:42C'est-à-dire qu'on ne va pas d'un seul coup arrêter des machines
03:45qui sont essentielles à l'hôpital.
03:49Donc, j'ai envie de dire, rien de neuf sous le soleil,
03:51si ce n'est qu'on découvre qu'en fait, la cybersécurité,
03:53c'est aussi une question de sûreté sur les objets industriels.
03:58Comment, de votre point de vue, vous voyez évoluer cette cybermenace ?
04:02Est-ce qu'on va avoir de plus en plus, justement,
04:04de la cyber qui va toucher la sûreté des appareils ?
04:08Est-ce que c'est une tendance ?
04:09On vit en 2026 dans un monde qui est composé
04:12d'énormément d'objets connectés, de tous types.
04:15Le monde industriel, qu'on évoque ici, est très particulier.
04:17L'application de patch dans cet environnement est complexe,
04:20comme on l'évoquait tout de suite.
04:22Donc, la posture ne doit pas forcément être de se dire
04:24qu'il faut maintenir à jour ces outils-là,
04:25qui sont compliqués à maintenir et qui ont des impacts potentiels graves,
04:29mais plutôt de construire un système d'information
04:31d'une manière sécurisée.
04:32Ici, le sujet, c'est l'exposition sur Internet
04:35de cette interface de gestion.
04:36Il faut comprendre qu'en 2026, on vit quand même dans un monde
04:38qui est tendu, géopolitiquement.
04:40Je pense que je ne vais pas vous l'apprendre.
04:42Et on a tous les jours des gens qui viennent éprouver
04:44la sécurité des murs de votre maison.
04:45Tous les jours, tous les jours, tous les jours.
04:47Ouvrir une fenêtre sur ce mur sans avoir quelqu'un
04:49qui surveille cette fenêtre, c'est très ambitieux.
04:51Et c'est probablement quelque chose qu'il ne faut plus faire.
04:53Et là, je pense que les techniciens frigoristes
04:55ont été marqués très fortement de cet incident.
04:58Et eux, ils sont sensibilisés.
05:00Mais le message est très clair.
05:01Tout le monde est concerné par la cyberdéfense.
05:03C'est un enjeu sociétal grave.
05:04Et toutes les entreprises qui conçoivent, maintiennent
05:07ou opèrent des systèmes d'information
05:10doivent avoir une posture cyber beaucoup plus forte
05:12et beaucoup plus structurée derrière
05:14pour s'assurer qu'on n'expose pas n'importe quoi,
05:17pour s'assurer qu'on a une posture responsable
05:18vis-à-vis de ces systèmes d'information.
05:20Il en va de sujets graves.
05:21On a entendu des responsables de grandes enseignes dire
05:24qu'effectivement, on n'avait pas forcément cette culture
05:27de la cybersécurité sur ces appareils, sur ces machines.
05:32C'est effectivement un problème qu'on voit beaucoup.
05:35Comme vous le disiez, Thibault,
05:36il y a de plus en plus d'équipements connectés qui arrivent,
05:39mais qui n'étaient historiquement pas connectés.
05:41Et en fait, on rajoute cette fonctionnalité-là
05:43parce que c'est très pratique,
05:44parce qu'on peut le gérer à distance.
05:46Regardez même à l'échelle de nos appartements ou de nos maisons.
05:48On a de plus en plus d'objets connectés.
05:50Mais connecter un objet présente un risque.
05:52Et les développeurs de ces logiciels-là
05:54n'ont pas forcément ce risque en tête
05:56et ne sont pas habitués à avoir le prisme cyber
05:59lorsqu'ils développent leurs solutions.
06:00Il y a deux usages ici.
06:02Typiquement, je comprends complètement
06:04qu'un frigo qui génère et qui fait du froid
06:08pour la chaîne alimentaire soit connecté à Internet
06:10pour remonter une télémétrie quelque part,
06:12pour qu'à distance, on soit en mesure de dire
06:13celui-ci fonctionne bien, attention, là ça déconne,
06:16il faut arrêter.
06:17Par contre, il y a une différence entre envoyer
06:19de la donnée sur Internet
06:20et exposer quelque chose sur Internet,
06:21avoir quelque chose d'entrant.
06:23Le problème, il est là.
06:24Il est sur l'accès entrant.
06:26Et le sujet de la culture cyber,
06:28il est intéressant, effectivement.
06:29Quelqu'un qui gère un supermarché
06:31n'a pas forcément besoin d'avoir une culture cyber.
06:33En revanche, ici, on a un tiers
06:35qui est probablement intervenu,
06:36qui est le mainteneur et l'installateur
06:38de cette solution de frigo.
06:39Et cette solution-là, c'est eux
06:41qui ont décidé de la connecter sur Internet,
06:42c'est eux qui ont fabriqué cette solution
06:45et qui la conçoivent.
06:46Et eux ont besoin d'avoir ce vernis cyber,
06:48et ont besoin d'être clairement sensibilisés
06:51au sujet.
06:51C'est un sujet de responsabilité
06:52qui est adressé désormais
06:53par le Cyber Resilience Act,
06:55puisque tous les objets connectés
06:57doivent avoir une protection par défaut
06:59et l'éditeur peut être exposé
07:00en tant que responsable.
07:02Et l'éditeur doit fournir
07:04les correctifs de sécurité
07:05lorsqu'il y a des vulnérabilités découvertes.
07:06Après, il faut les appliquer,
07:08les correctifs de sécurité.
07:10Quelles sont les menaces
07:11que vous voyez progresser le plus rapidement ?
07:13Ce qu'on a vu progresser fortement
07:15ces dernières années,
07:16c'est une menace qu'on appelle InfoStyler.
07:19InfoStyler, c'est un logiciel malveillant
07:21qui, du coup, est diffusé
07:22de manière très discrète.
07:25Naviguer sur un site web légitime,
07:26ce site web a été compromis.
07:28Tout d'un coup, vous avez ce qu'on appelle
07:29un CAPTCHA, un message qui vous dit
07:30pour prouver que vous êtes un humain,
07:32vous devez réaliser une action.
07:33Et en fait, cette commande,
07:35cette menace, ce message,
07:36il est trompeur.
07:36Et en fait, il va diffuser
07:37sur votre ordinateur
07:38un logiciel qui va aller voler
07:40tous les mots de passe
07:41que vous stockez dans votre navigateur.
07:42Et là, on est sur quelque chose
07:44qui a particulièrement explosé
07:45ces dernières années
07:46et qui est à l'origine
07:47de pratiquement toutes les attaques
07:49dont on a entendu parler cet été.
07:51Si vous regardez les post-mortem...
07:52Peut-être pas celle
07:53sur les réfrigérateurs, justement.
07:54Peut-être pas celle
07:54sur les réfrigérateurs,
07:55mais effectivement,
07:57si vous regardez les post-mortem
07:58du ministère de l'Intérieur,
07:59de la DGFIP,
08:00il y a un moment,
08:01une personne qui s'infecte
08:02avec un InfoStyler,
08:04souvent en environnement personnel.
08:06Les entreprises se défendent,
08:07détectent des infections
08:08sur leur propre système d'information.
08:10En revanche,
08:10elles ont beaucoup de mal
08:11à aller détecter les menaces
08:12sur les systèmes d'information
08:13personnels de leurs employés.
08:14Et là, il y a vraiment
08:15quelque chose d'important
08:16qui est de ségréguer
08:17sa vie personnelle
08:18de sa vie professionnelle
08:19puisqu'en mélangeant les deux,
08:21au final,
08:21on se met à risque dans les deux.
08:22Donc, on se fait voler nos accès
08:24et qui permettent
08:25de rentrer dans des systèmes
08:26de manière illégitime,
08:27mais sous couvert de...
08:28Légitime.
08:29Oui, sous couvert de légitimité
08:31puisqu'on a des bons accès.
08:33Et vous diriez
08:33que c'est un mal français, ça,
08:35les fuites de données ?
08:37Non, après,
08:38je pense que la France
08:39a un contexte
08:40qui fait qu'elle est
08:41particulièrement ciblée.
08:42On est impliqué
08:43dans certains conflits.
08:44On a des très grandes industries
08:46dans notre pays
08:47avec des brevets.
08:49Donc, il y a forcément
08:50des gens qui vont
08:51s'intéresser à la France
08:52plus qu'à un autre pays
08:53parce qu'il y a
08:55un bénéfice pour eux.
08:55Soit dans la notoriété,
08:57soit peut-être
08:58dans la demande de rançon
09:00pour des pirates
09:01qui auront plus
09:01une orientation financière.
09:03Vous voyez des signaux faibles
09:05à surveiller
09:06pour les mois qui viennent ?
09:07Moi, je pense que
09:08l'enjeu pour les entreprises,
09:10c'est de superviser
09:11les identités.
09:13Il y a quelques années,
09:14on concevait des systèmes
09:14d'information
09:15comme des châteaux forts.
09:16On rentrait dedans
09:16par une grosse muraille,
09:18on n'en ressortait pas trop.
09:19Maintenant,
09:19un système d'information,
09:20il est assez éclaté.
09:21On a un modèle
09:22un peu aéroportuaire.
09:23Vos données,
09:23elles sont chez un tiers.
09:24Elles sont à différents endroits,
09:26etc.
09:26Et le seul dénominateur commun,
09:28c'est l'identité.
09:28C'est votre adresse e-mail
09:29professionnelle
09:30qui vous permet
09:30de vous authentifier
09:31sur ces différents services.
09:32Et du coup,
09:33l'enjeu,
09:33il est là.
09:34Il est sur la protection
09:35de cette identité.
09:35Et ce qu'on voit
09:36dans le cadre des infostyleurs,
09:37dans le cadre du phishing,
09:38c'est des vols massifs
09:39de ces identités
09:40pour accéder
09:41à des données professionnelles,
09:42pour accéder
09:43à des technologies particulières
09:44ou des systèmes bien précis.
09:46Et dans un modèle éclaté,
09:47tel qu'on conçoit
09:48actuellement les systèmes
09:49d'information,
09:50il faut absolument arriver
09:50à superviser ces identités.
09:52Et l'enjeu,
09:53il est là.
09:53Il est clairement là,
09:54arriver à savoir
09:55que quand quelqu'un
09:55se connecte avec le compte
09:56du comptable,
09:58il arrive du bon endroit
09:59et c'est bien le comptable
10:00qui est derrière son PC
10:01en train d'utiliser son identité.
10:02Ça, c'est votre conseil.
10:03Vraiment,
10:03la gestion des identités
10:04et des accès
10:06à prendre en compte.
10:07Je parlais de signes faibles
10:09parce qu'on revient
10:10des assises de la cybersécurité.
10:12Je ne sais pas
10:12si c'est un signal faible
10:13d'ailleurs ou fort.
10:15Moi, j'ai beaucoup vu
10:16le sujet de la sécurité
10:18autour des intelligences artificielles.
10:20Ça va être notre sujet
10:22numéro un de 2027,
10:23selon vous ?
10:24Alors, je pense que
10:25l'intelligence artificielle
10:25est en train de transformer
10:26un petit peu le paysage cyber.
10:28D'une part,
10:28parce que le développement
10:29et l'adoption
10:31de l'intelligence artificielle
10:32dans les entreprises
10:32rajoutent une nouvelle
10:34surface d'attaque,
10:35c'est-à-dire que les IA
10:36sont elles-mêmes vulnérables.
10:38Mais l'IA est aussi
10:39en train de transformer
10:40la façon dont les pirates opèrent.
10:42C'est-à-dire que,
10:42grâce à certains outils d'IA,
10:44elles arrivent à cartographier
10:45ce que j'appelle
10:46la surface d'attaque
10:47d'une entreprise.
10:47Donc, ça peut être
10:48une identité
10:49qui s'est fait voler
10:50dans un infostyleur.
10:51Ça peut être une vulnérabilité
10:53qui existe
10:54et qui est exploitable.
10:55Et un petit peu,
10:57comme Thibault
10:58comparait avec une maison
10:59avec des fenêtres
11:00et des portes,
11:01si on n'a pas conscience
11:02de nos fenêtres
11:02et nos portes,
11:03on ne peut pas
11:04appliquer une sécurité efficace.
11:06Donc, le plus important
11:07pour les entreprises
11:08aujourd'hui, je pense,
11:08c'est d'avoir une maîtrise
11:09de cette surface d'attaque.
11:11Qui peut m'attaquer ?
11:12Comment ?
11:13Et suis-je vulnérable
11:14à certains aspects ?
11:15Et à ce moment-là,
11:16il faut absolument
11:16que je prenne des réactions rapides
11:17pour venir protéger.
11:19Parce que sinon,
11:19les pirates vont l'exploiter
11:20avant qu'on soit en mesure
11:21de les défendre.
11:22L'enjeu de l'intelligence artificielle,
11:24il est clé.
11:24Je pense qu'il n'y a pas
11:25une entreprise française
11:27qui demande à ses salariés
11:28de ne pas utiliser
11:28l'intelligence artificielle.
11:30Une entreprise
11:30qui prend ce mouvement-là
11:32se tire une balle
11:33dans le pied très fortement.
11:35Donc, il faut effectivement
11:35y aller,
11:36il faut les utiliser,
11:37mais il faut les utiliser
11:37avec un cadre.
11:38Je pense que c'est ce qui a été
11:39dit aux Assises,
11:40c'est qu'il faut encadrer
11:41cet usage.
11:41Et on a quand même
11:42beaucoup de mal
11:42à encadrer ces usages.
11:43Les premiers à avoir du mal
11:44à les encadrer
11:44sont les créateurs
11:45de ces DITZIA.
11:46On l'a vu cet été,
11:47on a eu des communications
11:48sur différents sujets
11:49qui sont un peu inquiétants.
11:50On a perdu le contrôle
11:51de certains agents
11:52qui ont réussi
11:53à presque comploter entre eux
11:54pour réaliser des attaques
11:56de manière autonome.
11:56Ils s'en vantent en fait.
11:58Ils s'en vantent.
11:59Ce qui est surprenant,
12:00c'est qu'il n'y a vraiment
12:01pas de remarques.
12:02Personne ne leur tape
12:03sur les doigts.
12:04Personne ne leur dit
12:04attention,
12:05il ne faut pas faire ça.
12:05Il n'y a pas de retour légaux
12:07ou d'impact là-dessus.
12:10C'est quelque chose
12:11qui est problématique.
12:12Ça veut dire qu'on les laisse
12:14faire ce qu'ils veulent
12:15sans aucune limite.
12:17L'inquiétude est là
12:18et je pense que
12:19les responsables cyber
12:20ont bien compris
12:20que c'était dangereux.
12:22On ne pouvait pas
12:22laisser faire ça comme ça.
12:23Maintenant,
12:24on ne peut pas non plus
12:25mettre des limites trop fortes
12:26à l'usage de l'intelligence
12:27artificielle en 2026.
12:28Ça veut dire qu'à partir
12:29du moment où on utilise
12:30des modèles d'IA
12:32des grands laboratoires américains,
12:35on se dit
12:35là, on a un nouveau problème
12:37de sécurité.
12:37Tout à fait.
12:38On a fait une étude
12:40sur des injections de prompt.
12:42C'est-à-dire qu'on va essayer
12:43de faire au travers de prompt
12:45on va essayer de faire dévier
12:47les moteurs d'IA.
12:48Donc, tous les grands LLM,
12:49que ce soit les Américains,
12:50les Chinois, les Français,
12:50peu importe.
12:51Et on injecte un certain
12:53nombre de prompt
12:53et on regarde
12:54si on arrive
12:55à les faire varier.
12:56Alors, ça peut être
12:58changer leur comportement
12:59par rapport à la manière
13:00dont ils s'expriment.
13:00Ça peut être essayer
13:01de leur faire dire n'importe quoi.
13:02Ça peut être aussi essayer
13:04de leur faire révéler
13:05leurs consignes de sécurité
13:07embarquées.
13:08Et on arrive à faire tout ça.
13:09On arrive à chaque fois
13:10à le faire.
13:10Donc, il faut partir du principe
13:11qu'un LLM est vulnérable.
13:14Les meilleurs d'entre eux,
13:15on arrive à les faire dévier
13:17dans 8% des promptes
13:18qu'on envoie.
13:19C'est quand même
13:19des promptes
13:20qui sont bien faits.
13:20Mais dans 8% des cas,
13:22on arrive à le faire dévier.
13:23Les pires,
13:24on est autour de 60%.
13:25Donc, on n'est plus du tout
13:27dans un signal faible.
13:28Merci beaucoup,
13:29Adrien Merveille
13:29de Checkpoint
13:30et Thibaut Binetrui
13:33de Insert France.
13:35Merci pour vos éclairages.
13:36C'était Smartech,
13:37votre émission quotidienne
13:38sur la tech et le numérique
13:39que vous regardez
13:40sur la chaîne Bsmart.
13:41À demain.
13:41Sous-titrage Société Radio-Canada