Les cyberattaques qui touchent la France : le gouvernement est-il coupable ?

Face à l'urgence des cyberattaqu, Sébastien Lecornu crée donc une nouvelle unité spécialisée pour mieux protéger l'État. La mise en place d'une tasque force chargé d'intervenir en première ligne. Depuis quelques jours, nous développons tous, acceptons-le, la paranoïa du mail piégé.

Je n'ouvre plus vous n'ouvrez plus un mail sans vous sans vous inquiéter Mad. Oui, oui, oui, on en a tellement en plus. On envoie tellement et c'est tellement ça a l'air tellement véridique que honnêtement on sait pas bonil faut l'ouvrir ou pas.

Pas de mauvaise surprise sur le compte Pierre Yve-Martin. Euh oui alors justement j'ai plus d'argent donc je voulais je voulais demander je voulais faire une grande collecte ce soir. Pascal Girald ils vous ont exonéré d'impôts sans savoir.

Moi je suis sur les starting blogs depuis de jours. J'attends que le fils qu'on m'appelle ou m'écrive pour me dire que j'ai été haqué ou pas. Je ne sais pas.

Disparus des fichiers des impôts et que ex me connaissent plus. Ça serait ça ser bien. Alors avec toute l'équipe des vraies voix, on vous a concocté une question qui j'espère va vous faire réagir, vous les auditeurs de Sud Radio.

Alors soit par téléphone, je vous l'ai dit, soit sur la chaîne YouTube avec ces cyberattaques. Est-ce que vous percevez le gouvernement comme un coupable ou deux victimes ? Nous allons en débattre évidemment avec nos trois vraies voix avec vous, mais aussi quand même parce que c'est le principe, nous avons besoin d'éclairage et de précision aussi.

Emmanuel Hervé, spécialiste des gestions de crise dans le domaine est avec nous. Bonsoir. Bonsoir.

Merci beaucoup Emmanuel Hervé. Bon, la France a peur hein, je je vais pas parodier un ancien grand journaliste de JT mais en ce moment le moins qu'on puisse dire c'est que notre outil numérique vacille. On est bien d'accord, vous le sentez.

Tout le monde vous appelle pour vous dire au secours. Euh tout le monde c'est c'est un peu ça ça ferait un peu beaucoup. Euh mais effectivement là il y a il y a quand même une sur le sur l'été euh une combinaison de d'attaques sur la DG FIP, sur les domaines cadastrals, sur il y a eu un incident aussi sur le portail des successions sur l'éducation nationale.

Ça fait beaucoup pour le gouvernement ça. J'avoue que l'été est propice à ce genre d'attaque en fait. C'est souvent le cas.

H bon, je vais pas vous envoyer au front Emmanuel, mais quand je pose la question un petit peu provoque, on est bien, ça fait partie du jeu, faut s'amuser. C'est l'été. Mais alors, le gouvernement plutôt coupable ou plutôt victime ?

Euh, alors c'est c'est souvent assez contre-productif de toute façon de de tirer sur sur l'ambulance. Donc, c'est jamais ce que je vais faire. Euh les cyberattaques comme comme vous le savez certainement et que votre public le sait aussi euh sont de plus en plus sophistiqués mais c'est les mêmes gens euh qui à la fois construisent les murs et construisent les missiles.

Donc en fait forcément euh les les attaques sont permanentes. Après, est-ce qu'il y a un ciblage particulier par un compétiteur ou un pays et dememi ? Ça ça sera encore à démontrer ce qui a été en tout cas les mots des hackurs sur la DG FIP, ça sent plutôt le fraudule pur donc de la mafia.

Pas forcément des pas forcément un règlement de compte politique ou géopolitique. Euh mais ça c'est rare qu'on sache vraiment d'où ça vient en fait hein parce que les proxis sont très nombreux. Donc vous pouvez avoir une attaque russe qui passe par la Thaïlande et autres.

Donc moi j'ai je milite pour dire que qu'ils sont victimes. Après on peut se dire est-ce que ça aurait pu être évité ? Là il faut regarder dans le détail sur chacune des attaques ce qui s'est passé.

Mais je vais pas vous ennuyer avec les détails, mais ce qu'on ce qu'on en retient quand même que sur la plupart des attaques, on a eu une usurpation d'identité d'un d'un fonctionnaire et c'est par là qu'ils sont passés. Ah ouais, c'est la porte c'est la porte d'entrée. Donc ce qui se passe et le le danger le plus fréquent que les gens ont un ou deux mot de passe et les utilisoul mais aussi pour Netflix et aussi pour je sais pas quoi, pour leur banque et aussi et en fait ils mettent tout le temps le même.

Donc au bout d'un moment leur email mot de passe et est est volé à un endroit quelconque parce que vous avez tous reçu l'email de votre je sais pas de Orange ou de ou de je sais pas qui qui a été hacké. Ben il oui pardon ou de bouig ou de fre voilà ça y en a fait les trois pardon voilà là on est bien euh ou de votre ou d'Amélie ou de je ne sais quoi parce qu'il y en a eu tellement et et il s'est rien passé donc les gens comme ils reçoivent très très souvent ce genre d'email qui sont du genre bah on a été attaqué vos données peut-être ont été compromises donc merci merci de changer vos mot de pass les gens le font pas h donc les gens le font pas donc en fait Ces données restent dans un coin, restent dans le Dart qui sont à vendre. Oui.

Et il y a un petit malin un peu plus malin que les autres qui fait le rapprochement entre je sais pas quoi, du pont qui en fait travaille à la DG FIP et ils se disent "Ah, c'est bon ça." Et donc, ils vont prendre le mot de passe que ce que ce type là a mis pour son téléphone ou pour je sais pas quoi d'autre très basique et ils vont l'essayer euh au boulot. Et comme c'est très facile de retrouver le l'email de Dupont avec son nom de domaine qui est je sais pas quoi dgfip.com.gov voilà que tout le monde a le même et on connaît ses ses noms de domaine et bien il essae il tente il tente et au bout d'un moment ça finit par marcher quoi.

Nous avons compris le procédé nous avons compris comment ça se passait. Alors, les trois vraies voix, non mais c'est super intéressant. Les trois vraies voix autour de la table ont des questions, ont un angle de tir eux aussi.

Alors, qui commence avec Emmanuel Pierre Yve Martin ? Allez, bonjour Emmanuel. Moi, j'avais j'avais un point à partager avec vous.

Les différentes communications liées à ces à cœur donnent l'impression et je voulais avoir votre avis, donne l'impression que la politique de sécurité numérique du du gouvernement de l'État français et est segmenté. Ça donne l'impression que chaque ministère a son DSI et que finalement il y a pas forcément une vision transverse, une politique, une un cadre transverse qui permet de sécuriser l'ensemble des euh des réseaux euh liés au au gouvernement et à l'État français. Est-ce que vous pourriez euh nous en dire un peu plus ?

Là, oui, là, j'avoue que c'est parfois un peu désespérant. Euh cependant, on a quand même en fait c'est en fait les systèmes sont très compliqués et ils sont pas tous alignés, ils ont pas tous été montés, fabriqués au même moment, euh ils ont pas tous les mêmes besoins. Donc en fait, ils ont chacun le leur d'une certaine manière avec l'ENTI.

Vous vous voyez ce qui est LANCY ou peut-être l'Agence nationale de de Donc on a on a quand même de manière transverse cette agence qui est l'agence de de nationale de sécurité des systèmes d'information LAN qui est là justement pour travailler bon et essentiellement pour le gouvernement mais aussi pour toutes les les grandes entreprises privées pour donner des consignes et cetera pour protéger des cyberattaques et ça c'est complètement transverse. Donc l'anci d'ailleurs a été saisi hein par le ministère en tout cas de l'éducation nationale et je pense aussi par cette cellule interministérielle qui vient d'être montée genre il y a il y a de jours ils ont monté cette cellule interministérielle le Cornu a monté cette cellule. L'entil va certainement être euh complètement partie présente en fait de ce travail d'audit.

Euh donc l'AN6 c'est la structure, c'est l'agence qui est vraiment transverse. Après effectivement d'un ministère à l'autre il y a qui a décidé d'avoir français un autre fournisseur. Voilà.

Ouais. Voilà. Manuel, c'està-dire à force de compartimenter, c'est un peu le mal français, on s'aperçoit que voilà et on a bien compris que derrière la question perfite de notre Pierre Yve Martin, il y avait un message Ben moi, je suis assez surprise quand même parce que la la cybersécurité et la guerre aujourd'hui informationnelle, on le sait, on sait que ça se passe depuis longtemps et parfois contrairement à ce qu'on pourrait croire, c'est pas forcément des entités étrangères hyper cap tout ça.

Parfois, c'est des jeunes qui jouent à ça. J'ai en mémoire ce ce gamin qui avait 13 14 ans qui a réussi à pirater tout le machin de son école. Pourtant, il était pas informaticien ni rien.

Il a pu changer les notes, il a pu faire ce qu'il voulait. Et j'avoue que moi, je suis assez perplexe de voir que quand même c'est une entité importante. C'est les impôts.

Qu'elle se fasse pirater de la sorte. Moi, j'aurais pensé qu'on serait vraiment proactive, qu'on aurait vraiment de la manœuvre derrière, qu'on aurait un système beaucoup plus performant. hm je suis assez surprise et puis on envoie tous les jours euh parfois c'est la CP mais ça arrive même deux trois fois par an.

On a quand même des expériences de piratage et on n'est toujours pas assez performant pour pouvoir les contrer et et surtout moi ce qui m'inquiète c'est l'après où vont aller ces données ? Qu'est-ce qui vont être fait ? Qu'est-ce qu'on va avoir peut-être à supporter par la suite ?

Alors bon sur la première partie de votre intervention Madque de moyens manque de volonté et cetera. Maintenant, puisque vous êtes spécialiste des gestions de crise Emmanuel Hervé, on peut en faire quoi ? C'est la deuxième partie de la question de Mad de ces données.

Alors euh pour la première partie de la de la question qui n'en est pas vraiment une hein si je puis me permettre euh c'est pour ça qu'on n'est pas obligé d'y répondre parce qu'on en a déjà plus ou moins par j'ai j'ai répondu dans ma j'ai j'ai répondu au début, c'est-à-dire que ce qui s'est passé enfin ce qui semble s'être passé parce que les enquêtes sont toujours un peu compliquées et longues, c'est une usurpation d'identité qui est extérieure en fait à au monde professionnel du de la personne par laquelle qui sont rentrés et pour ça contre ça on peut vraiment pas grand-chose en fait voyez parce que si les gens ont un mot de passe de boulot qui est le même que leur mot de passe euh de je vais pas les refaire tous mais de leur téléphone et que un jour un jour cet email est volé bah en fait c'est c'est vouver pour le coup on est obligé de faire quelque chose. Bah oui, mais mais là il faut il faut que les les fonctionnaires soient Pierre Martin ou juste un point mais les fonctionnaires sont comme vous le savez extrêmement nombreux. Ils sont les les niveaux de c'est comme dans l'entreprise privée finalement les niveaux de de compréhension ou de sensibilisation sont hétérogènes et évidemment ça passe par les gens qui se sentent le moins concernés.

Euh Martinjouter juste de petites secondes ou dans la suite de vos échanges, il y a il y a quand même une une surprise, un étonnement euh sur le fait que euh on soit pas capable d'ajouter des des couches de sécurité et d'authentification et que un email et un mot de passe sont suffisants. Logiquement, on pourrait imaginer sur toi la DGFIP que une fois qu'on s'est connecté, il y a un token qui qui vous donne un numéro crypté ou il y a une validation par un code, par SMS et cetera et cetera. Voilà.

Voilà. Bon, alors justement nous allons y revenir parce que vous savez, on doit marquer une petite respiration. On revient dans un instant avec Emmanuel Hervé qui vous dira tout, qui répondra aux questions donc à la deuxième partie de la question de Madisidi et bien sûr Pascal Girald rentrera dans l'arène également à tout de suite.

Le premier ministre donne 3 jours au service de la sécurité nationale pour monter une nouvelle unité cyber qui sera chargée d'intervenir en première ligne en cas de suspicion d'atteinte grave à l'intégrité du système d'information de l'État. Fin de citation. Voilà pour les prises de décisions urgentes du gouvernement parce que notre question du soir est la suivante.

Vous y répondez sur la chaîne YouTube. N'hésitez pas, on donnera le résultat dans un instant. #tag cyberattaque.

Le gouvernement dans cette histoire est-il un coupable, deux victimes ? Alors avec nous bien sûr nos trois vraies voix Pierre Yve Martin, Madis Saidi et Pascal Giral. Une experte, Emmanuel Hervé, spécialiste des gestions de crise, nous répond aux nombreuses questions juste avant la petite pause, Emmanuel Hervé, Madis Saidi, vous avez demandé ce que euh ces données peuvent euh euh apporter ou autrement dit, que va-t-on faire des données qu'on a volé concernant les gens qui ont été concernés ?

Alors euh dans les différents incidents puisqu'il y a eu la DGFIP qui est le l'élément essentiel je pense celui auquel tout le monde pense donc l'accident enfin ou la la pénétration a eu lieu en juin et la DG Philippe s'en est aperçu à partir du 12 août. C'est ça qui a fait beaucoup de beaucoup de buzz parce que d'abord le volume, on parle de 700000 personnes à peu près. Donc c'est beaucoup de beaucoup de gens qui se sentent concernés et qui sont concernés.

Euh donc les identifiants ont ont été volés. Alors qu'est-ce qui a été volé ? Le nom, le prénom, l'adresse et la situation fiscale.

H euh qu'est-ce que on peut faire de ça quand on est un à cœur ? Tiens, le monsieur il est riche, ça vaut le coup d'aller faire son appartement. C'est un peu ça.

C'est c'est un peu ça. C'est on peut faire le tri et on peut se dire celui-là, je vais en faire une cible particulière. Et euh et donc qu'est-ce qui va se passer ?

Euh c'est que le le monsieur ou la dame en question euh va recevoir et a sans doute déjà reçu je pense qu'elle a déjà reçu un mail particulier de la DG FIP euh lui disant qu'elle était concernée h et lui donnant tout un tout un arsenal en fait de choses à faire pour se protéger du fishing, pour se protéger des attaques. Et quelles sont ces choses ? Eh bien euh des trucs hyper basiques euh du genre changez tous vos mot de passe, euh faites extrêmement attention euh dans les 6 mois, dans l'année qui vient, tout ce qui vient, tous les liens.

Ne cliquez sur rien, euh ouvrez vos mails avec euh beaucoup d'attention, revérifiez l'adresse euh du de de la personne qui vous a envoyé le mail, à quoi ressemble l'adresse du mail. Ça peut être aussi. Ça peutêtre aussi fermer votre porte à double tour parce que s'ils ont les coordonnées et l'adresse, ils y vont ils y sont déjà quoi.

Vous voyez, c'est ça peut être ça ou pas ? Oui, c'est vrai qu'il y a il y a à la fois le nom, l'adresse physique et la la situation fiscale. Euh mais bon, je pense que les gens n'ont pas attendu pour mettre des sécurités particulières.

Bien sûr, c'était le petit clin d'œil Emmanuel, mais mais on est bien d'accord que la situation est assz grave. Alors justement, restez bien avec nous. Emmanuel Her écoutons Davidel le ministre de l'action et des comptes publics de France qui s'est excusé hier soir.

Écoutez à chacune des personnes concernées comme j'ai d et déjà eu l'occasion de le faire je tiens à présenter nos excuses. Oui, nos excuses parce que ce qui est arrivé est insupportable pour les Français et non seulement comprend leur colère mais je crois pouvoir dire que cette colère avec la directrice générale des finances publiques, nous la partageons et cette colère, elle doit guider notre action. Bon, c'est fort.

Alors, il assume en même temps. Pascal Giral, ça vous fait réagir. Donc, votre réaction est la question dans la foulée pour Emmanuel.

Je suis rassuré des des des excuses. Il suffit de s'excuser pour que le pour que tout soit gommé. Bah voilà.

Qu'est-ce que vous voulez que je vous dise ? Moi aussi, je vais pas payer mes impôts et je vais m'excuser de ne pas les payer. Non, mais c'est hallucinant cette réponse quand même.

Euh je relève plusieurs détails, c'est que l'incident a lieu au mois de juin, on s'en aperçu au mois d'août. H ce que disait Emmanuel le 12 août. Ouais.

Ouais. 2 mois pour déclencher la réflexion. Ensuite, le gouvernement met en place ce que vous avez dit tout à l'heure.

Alors, vous allez nous dire, attendez Emmanuel, vous allez nous dire ou le gouvernement a mis en place ce que vous avez dit tout à l'heure, un comité ou un alors en fait le premier ministre donne 3 jours au service interministri, une nouvelle unité cyber qui sera chargée d'intervenir en première ligne, le tasque force et cetera, ce qui veut dire qu'elle n'existait pas donc évidemment puisqu'elle est mise en place aujourd'hui. Donc il n'existait pas à ce jour d'unité de sécurité pour contrôler tout ça. H c'est étonnant si il y a LANY, je parlais du rôle de LAN.

D'accord. C'est c'est l'agence qui est en charge de de ça. Oui.

Don les problèmes de transversalité Pierre Martin dis c'est sur l'ANC. Jusqu'où cette organe peut aller ? Est-ce qu'elle est en support pour donner des orientations ou est-ce que vous vous parliez Emmanuel tout à l'heure à juste titre de la multiplicité des modèles de système d'information qui peut y avoir dans les différentes organisations publiques ?

Peut-être que l'une des premières étapes et des actions que qu'un organisme ou qu'un un comité pourrait mettre en place, c'est une uniformisation des des des modules de système d'information pour que au moins on ait une politique de cyber sécurité. Ça on est d'accord. En fait, c'était en fait, c'était le rôle de l'ANCY, hein, c'était de de mettre en place des best practices, que tout le monde est mêm et cetera.

Et d'ailleurs, ce comité interministériel demande à Lony un audit euh de bah du coup de de je sais pas si c'est tous les ministères ou simplement la DG FIP qui doit être rendu en septembre pour essayer de creuser, de voir où sont les endroits où il y a des fonctionnements un peu anciens, des choses qui ont pas été mises à jour. des euh voilà d'aller regarder partout. Alors après là où je vous comprends si on peut se dire "Ah bon, il a fallu attendre cette crise pour que l'anti fasse un audit." C'est là où c'est là c'est là où je sais pas répondre.

Il faudrait que vous invitiez le patron de l'anti. Hm. Et puis et puis peut-être aussi il y a il y a un sujet, permettez-moi, il y a peut-être aussi un sujet de communication de dire voilà ça ça ça moi gouvernement je communique sur la mise en place ultra rapide d'une d'une cellule d'un comité pour bien justement Mad Saidi, rappelons-le, est professionnel.

Alors, attendez, attendez, attendez Emmanuel, Emmanuel, Emmanuel, attendez deux petites secondes, deux petites secondes. Oui, Madis Saidi qui est spécialiste de communication justement aussi de gestion de crise là quand le ministre David Damiel dit "Je présente mes excuses", c'est honnête en terme de communication c'est plutôt bien fait en fait il a pas le choix quand quand il arrive ce genre de chos absolument prendre la parole. On peut pas d'autant plus que ça date depuis longtemps.

Nous, on l'a pris que maintenant. Donc, c'était important qu'il prenne la parole, qu'il ait des mots forts à l'égard des Français. Mais j'avoue que le fait de s'excuser euh il faut aussi regarder comment le message est reçu par les Français et je pense que beaucoup de Français se disent "Mais en fait des excuses ça ne suffit pas.

Excuses ça ne suffit pas." H qu'est-ce que qu'est-ce que euh pouvoir apporter euh donc Emmanuel Hervé ? Qu'est-ce que va pouvoir apporter cette nouvelle unité cyber selon vous ?

Euh je sais pas du tout parce que elle existe pas pour l'instant. Mais pour ce qui est des excuses, en tout cas, on a une une américanisation de la de crise qui qui date d'une dizaine d'années. Donc, il faut commencer par montrer de l'empathie, présenter ses excuses et surtout démontrer quelles sont les actions qui vont être mises en place.

Et là, il y a quand même un certain nombre d'actions. Donc donc le cette cellule interministérielle de crise euh ils vont euh enfin ils ont euh je sais pas s'ils vont arriver à faire ça, mais euh généraliser l'authentification à deux facteurs. Je sais pas si vous vous voyez de quoi on parle.

Vous avez une première authentification, un mot de passe et cetera. Donc ça ça va être généralisé. Ils vont retravailler les dispositifs de détection.

Euh ils vont renforcer la l'accès à certains fichiers. euh il va y avoir plus de encore plus si possible de formation de sensibilisation euh des fonctionnaires euh à l'âme sonnage ou à toutes sortes de enfin pour que les gens changent leur mot de passe en fait régulièrement où des mot de passes plus euh plus solides. Et tout à l'heure, on évoquait les tokens aussi.

C'est c'est quoi les tokens aussi ? Ouais. Alors, les tokens, c'est encore un autre truc euh mais c'est pour faire simple, c'est un système de double authentification via un token qui va fabriquer un mot de passe au moment où on en a besoin.

Si je peux faire simple, donc vous appuyez sur le truc, il vous fabrique le mot de passe. Le mot de passe ne sert qu'une fois. Si vous avez pas de token, ben en fait vous aurez jamais de mot de passe.

Et ça c'est efficace. C'est efficace et manuel. C'est c'était pas mal.

C'est pas infaillible mais c'est pas mal. C'est c'est bien, c'est mieux, c'est voilà. Toute façon, je le disais un peu tout à l'heure, euh d'abord euh je sais pas vraiment s'ils vont le faire et comment ils vont le faire, mais euh le problème c'est que les gens qui construisent les murs sont les mêmes que ceux qui construisent les missiles.

Donc vous allez mettre un token, vous allez renforcer tout l'authentification, la double authentification mais les hackurs de leur côté ils vont aussi renforcer le c'est l'éternel ou la euh la viralité et tout ça et cetera et cetera. Emmanuel Hervé, merci, tout cela a été très très clair. On doit avancer, c'est passionnant, on l'a bien compris.

Je pense qu'on y reviendra cette semaine parce que le sujet inquiète tout le monde. Merci Emmanuel Hervé. Je rappelle, vous êtes spécialiste des gestions de crise.

Euh, on revient d'ailleurs sur la consultation auprès de nos auditeurs. Euh, on vous dit tout.