Cyberattaques : la France, une proie facile ?

Le second débat de ce sens public, c'est un zoom sur la cybersécurité que je vous propose après les nouvelles attaques subies par un ministère après la direction générale des finances publiques cet été. C'est le ministère du logement qui a été visé. Notre administration est-elle mal protégée ?

Que deviennent les données piratées ? Qui sont ces hackers avant de répondre à ces questions ? On revient sur les piratages de ces derniers mois, de ces dernières heures avec Cécile Cixoux.

Non, date de naissance, adresse personnelle. Depuis la semaine dernière, les coordonnées de près de 50 000 propriétaires de logements vacants sont désormais dans la nature. Un vol de données supplémentaires après l'impressionnante cyberattaque du site des impôts pendant l'été où les Les données bancaires de près de 700 000 contribuables se sont retrouvées sur le Darknet.

Numéros fiscaux, revenus déclarés, IBAN, adresse personnelle. Des informations qui permettent ensuite aux pirates de soutirer de l'argent aux personnes L'idée c'est de se faire passer pour un responsable de l'administration pour que la personne puisse à un moment donné avoir une action qui va déclencher qui est un virement, qui est effectivement une une ponction sur le compte bancaire. On est dans un registre où on a tellement d'informations que la personne pense qu'elle a affaire véritablement à l'administration.

L'éducation nationale aussi en a fait les frais, les hackers ont pu accéder au système interne en usurpant des comptes professionnels et ainsi voler 350 millions de lignes de données sur les élèves et les enseignants. Dans certaines académies, la rentrée a été préparée en mode dégradée. Nous avons une situation spécifique à Toulouse, parce que Toulouse joue un rôle informatique un peu particulier dans notre ministère, qui fait qu'effectivement la quasi-totalité des services informatiques de l'Académie de sont à ce stade verrouillés, c'est-à-dire qu'on a bloqué l'accès.

Face à ces attaques, le gouvernement souhaite créer une nouvelle unité spécialisée. Les parlementaires réclament une commission d enquête. L'Etat est-il une passoire numérique ?

La France est-elle une proie facile ? On en débat tout de suite. J'accueille Nathalie Goulet, bonsoir, bienvenue.

Vous êtes sénatrice centriste de l'Orne et membre de la commission des finances. Nicolas Arpagian, bonjour et bienvenue. Vous êtes directeur de la stratégie de Giso AI, spécialiste de l'observabilité des réseaux et auteur de ce livre La cybersécurité.

C'est aussi la collection Que sais-je des presses universitaires de France. Jérôme Klech, bonsoir et bienvenue. Chercheur associé aux technologies and global affairs innovation hub de Sciences Po.

Et vous publiez les nouveaux maîtres du futur. C'est aux éditions Hermann, Steve Jourdin est évidemment resté à mes côtés comme éditorialiste pour sens public. C'est donc le site zéro logement vacant du ministère de la Ville et du Logement qui a été piraté ce week-end.

Vous dites oui, genre fallait s'y attendre, Nathalie Goulet ? C'est une occasion, un but. Il n'y a pas un jour sans piratage depuis plusieurs mois maintenant et plusieurs piratages par jour.

Pourquoi pas celui-là ? Depuis les données de santé il y a deux ans et tout le reste, ça n'a pas arrêté. J'ai un inventaire à l'après-verre, si vous voulez.

Ça veut dire qu'on ne tire pas les leçons des piratages précédents ? Il n'y a pas le temps. Et puis en plus, il y a des institutions publiques et des entreprises stratégiques et des entreprises privées, des clubs de vacances, des magasins en ligne.

Enfin je veux dire tout est bon dans le piratage. Est-ce que Nicolas Arpagian les ministères français, on va rester sur cette première question. Est-ce que ce sont des cibles faciles ?

Alors ce sont des cibles attractives pour deux dimensions. D'une part parce qu'ils sont détenteurs d'un important volume de données, de données personnelles ou de données ayant une certaine valeur pouvant être exploitées à des fins de renseignements économiques, diplomatiques, scientifiques. Et ce sont des informations qui peuvent intéresser toute la palette des acteurs criminels, c'est-à c'est-à-dire à la fois des organisations strictement crapuleuses, jusqu'à évidemment des activistes qui veulent pas gagner d'argent mais qui veulent déstabiliser, polluer le débat politique et puis évidemment des États qui peuvent être à la manœuvre.

La seule chose, c'est que dans les attaques que nous avons documentées jusqu'à présent, on a même eu un élargissement de ce panel, en quelque sorte, avec dans le cas de l'ANTS, l'Agence Nationale des Titres Sécurisés, le cas d'un jeune garçon, adolescent ou jeune adulte de Haute-Corse qu'il l'a fait à partir du domicile familial. Donc on voit que là, cette fois-ci, on a tous les tiages jusqu'aux opérations étatiques telles qu'on les redoute et telles qu'on les a pu les documenter par le passé, jusqu à l'individu isolé, dépourvu d'une réelle expertise et n'étant pas financé par des ressources très conséquentes. – Alors on est en pleine actualité avec ce thème puisque le Premier ministre a réuni aujourd'hui son gouvernement en séminaire, notamment pour se mettre en ordre de marche avant la présidentielle mais aussi pour accélérer, je cite l'AFP, la sécurisation cyber de l'État après les piratages de l'été.

Je vais citer à l'entourage de M. Le Cornu. Le Premier ministre a appelé ses ministres à un sursaut sur le volet cyber.

Il a donné 15 jours à chaque ministre pour s'assurer que le plan de sécurisation de leurs administrations, qu'il leur avait demandé en avril, soit mis en œuvre. Est-ce que c'est peine perdue, Jérôme Clèche ? Est-ce que vous dites que oui, il y a des leviers à activer pour arrêter la litanie des attaques cyber contre nos ministères ?

Non mais si vous voulez, on n'en fait jamais assez, ça c'est certain. Et tout ce qui est fait est utile, mais tout ce qui est utile n'est pas fait. Pourquoi ?

Parce qu'en fait, c'est en fait peine perdue, effectivement, que de vouloir considérer la cybersécurité comme un mur infranchissable. En réalité, c'est un système multicouche. Un petit peu d'ailleurs, les gens maintenant connaissent bien la défense aérienne et le système anti-aérien, j'allais dire à cause de l'Ukraine.

Et on sait qu'en fait, c'est un système qui est poreux. Et la cybersécurité, c'est ça. Parce que les modes d'action sont tellement diversifiés.

Le nombre d'ennemis ou d'adversaires s'agissant des acteurs étatiques qui peuvent vouloir nous cibler, parce que la France est quand même une cible de choix, sont tellement importants qu'il est évident qu'en fait, vous ne pouvez pas tout parer. La cybersécurité, c'est une démarche inclusive et l'ANSI va Toujours courir après des actifs qui sont, autour de plusieurs milliers, qui sont toujours mal sécurisés. L'ANSI, c'est l'Agence nationale de sécurité des systèmes informatifs.

Voilà, et qui gère effectivement les opérateurs d'importance vitale, notamment et puis effectivement aussi des collectivités ou des acteurs d'importance qui ne sont pas vitales mais néanmoins importants comme des hôpitaux, etc. Et donc l'ensemble doit effectivement tendre vers une doctrine et l'application d'une doctrine qui est toujours plus vertueuse, mais ça reste quand même une limite. S'agissant de la cyberdéfense, lorsqu'il s'agit de se parer contre des acteurs étatiques, là il y a d'autres leviers d'action, d'autres moyens, des moyens considérables, d'ailleurs dans le cadre de la dernière loi de programmation militaire, 4 milliards pour la défense, pour l'attaque, y compris pour la lutte informatique et informationnelle.

Et ça c'est la grande tendance du moment, on voit bien que le cyber dérive lentement vers la guerre cognitive, il s'agit plus que de protéger les données, de protéger la connaissance de ces données et puis les cerveaux, c'est-à-dire les perceptions qui découlent de ces données pour éviter des luttes d'influence. Ça c'est le, j'allais dire, la mouvance ultime. Alors il y a déjà plusieurs questions, c'est évidemment un thème qui vous passionne, Margot qui nous écrit de Montpellier.

Doit-on s'attendre à encore plus de fuites dans les prochains mois ? Est-ce que c'est une question de moyens, Nathalie Goulet ? Est-ce que c'est la part du budget d'un ministère consacré à la cybersécurité qu'il faut augmenter il y a probablement des problèmes de structure il y a aussi des problèmes de mise à jour il y a des problèmes de maintenance la réponse est dans la question parce qu'on n'aurait pas des listes à l'après-verre des inventaires de failles si ça Ça fonctionnait.

Déjà, c'est une obligation de résultat ou presque à partir du moment où il y a des failles. En plus, ce n'est pas du tout des acteurs étatiques comme on vient de le dire. Dans le cas particulier, là, ce sont des jeunes hackers qui s amusent.

En plus, pirater un ministère, ça fait beaucoup de communication. C'est quand même assez glorieux pour eux. Donc voilà, on comprend bien.

Donc il faut évidemment des moyens, mais il faut surtout un état des lieux parce qu'au mois d'avril, après la NTS, moi j'avais demandé à la Commission des finances que dans le cadre du budget, par ministère, puisqu'on est rapporteurs spéciaux, on puisse avoir un état des lieux, des dépenses, des moyens, etc. Bon, on nous a expliqué que c'était peut-être pas le...

C'est d'ailleurs dans le procès verbal de la commission du 28 avril, que c'était peut-être pas le rôle de la commission des finances. J'observe que le rapporteur général a changé d'avis. Donc il faut un état des lieux et il va falloir des moyens, mais il faut surtout une stratégie.

Je veux dire, faut pas dire à nous 15, en avril j'ai demandé et maintenant je donne 15 jours avec quel argent, quel moyen quelle formation, quel matériel ça ne peut pas fonctionner comme ça c'est pas possible, vous avez vu l'ampleur des dégâts ? Alors justement si on revient sur ce qui s'est passé à Merci. Si j'ai bien lu la presse et ce que nos confrères ont raconté, si l'un des hackers ne s'était pas vanté sur un forum du Darknet, la Direction Générale des Finances Publiques n'en serait peut-être pas à perçu Nicolas Arpazio.

En tout cas elle n'aurait pas communiqué. Il y a dans le cadre du règlement européen sur la protection des données une obligation lorsque vous êtes détenteur gestionnaire de données personnelles et que vous les avez perdu ou que vous vous l'avez fait voler de signaler au commissaire à la protection des données, la CNIL, cette perte ou ce vol et vous devez prévenir ensuite les titulaires des données. Donc là on voit bien qu'apparemment il y a un décalage de plusieurs semaines, entre le mois de juin et le mois d'août, avec effectivement une initiative prise par l'attaquant qui d'ailleurs, même va dans certains, sur certaines plateformes, a même interpellé la ministre, va faire en sorte de de réagir publiquement parce que, en fait, ce sont des vraies personnes qui opèrent.

Là, dans ce cas-là, manifestement francophones ont en tout cas assez à l'aise pour interagir sur le débat public français. Ce qui est vrai, c'est que la question du budget, elle est importante. L'idée aussi c'est de ne pas agir dans la précipitation.

Pourquoi ? Parce que les investissements, les dépenses qui pourraient être faites ne doivent pas non plus nous placer dans une nouvelle forme de dépendance. Je m'explique, les solutions techniques doivent être choisies parce que ce que nous évoquons là, lorsque le Premier ministre au mois d'avril dit qu'il faut faire de la double authentification, la double authentification...

Comment ça marche ? C'est quoi ? Vous la connaissez, vous la pratiquez déjà.

Dès lors que vous avez une appli bancaire, vous n'avez pas un endroit, un canal par lequel on confirme une information, par exemple un email. En fait, vous allez par une application, l'application de votre banque. Et d'ailleurs, vous voyez bien que les banquiers applications et on vous a obligé à choisir une app, enfin en tout cas à télécharger l'application de votre établissement bancaire.

Pourquoi ? Parce qu'il considérait que la double authentification par SMS n'était pas suffisamment robuste et qu'on avait des cas de piratage. Donc la double authentification, c'est une technologie totalement éprouvée, qu'on connaît, qu'on documente.

La seule chose, c'est que le Premier ministre...

Est-ce qu'elle est appliquée suffisamment par les agents publics ? Semble-t-il non. En tout cas, on en a la preuve.

Et d'ailleurs, le Premier ministre lui-même a marqué son très fort mécontentement, pour utiliser des termes diplomatiques, parce qu'effectivement, il dit « Moi, au printemps, je vous ai demandé de déployer cela rapidement. Manifestement, au courant de l'été, ce n'était toujours pas fait. Donc c'est là où ce délai de 15 jours a une vocation de rattrapage, un peu de résolution de rentrée.

La seule chose, c'est que ça ne doit pas se faire non plus avec le déploiement de solutions qui ne seraient pas maîtrisables par l état. Je parle des questions de souveraineté technologique, puisque nous avons quand même un sujet d'actualité avec les Etats-Unis de prise en main de logiciels par des éditeurs américains se conformant pas tellement aux droits des contrats, mais surtout à la politique des Etats-Unis. Et donc effectivement que ce ne soit pas cette précipitation, ne soit pas l'occasion de basculer dans une forme de dépendance qui nous fragiliserait.

Et c'est là où la France dispose avec la French Tech, avec un certain nombre de prestataires qualifiés d'ailleurs par l'ANSI sur la durée avec des tests techniques. Deux solutions qui existent et qui permettraient aussi de ne pas céder, de ne pas fragiliser la souveraineté technologique. Donc déployable, ça – Elles coûtent cher ces solutions ? – Non, alors effectivement, ce n'est pas forcément des solutions très coûteuses.

Simplement il faut juste deux choses. Il faut un, les mettre en œuvre. C'est-à-dire, ce n'est pas tout d'acheter des solutions et les mettre sur l'étagère.

Les mettre en œuvre. Et surtout, il faut garder à l'idée qu'une organisation, une administration, c'est un corps social vivant avec des collaborateurs qui arrivent, des collaborateurs qui changent de fonction, des personnes qui quittent la liste des effectifs. On a des organisations qui vont grandir en en ayant des déploiements supplémentaires.

Bref, on n'est pas dans quelque chose de figé. Et ça, ça oblige une supervision en temps réel et en continu. Jérôme Klesch, est-ce que la France est une cible privilégiée et plus frappée que d'autres Il y a deux choses.

Pour la cybersécurité, c'est souvent des acteurs privés. Ça peut être des jeunes, des groupes cybercriminels. La motivation, c'est essentiellement l'argent.

Dans le cas du ministère des Finances, l'Éducation nationale, les données ont été revendues. La finalité derrière, en revanche, et c'est là où il peut y avoir des interconnexions avec des acteurs étatiques qui, eux, ont pour objectif éventuellement de récupérer les données pour cibler des personnes, pour cibler, éventuellement des connaissances sur des personnes, des comportements et puis faire ce qu'on disait de la guerre cognitive. Donc il peut y avoir en fait un lien entre la cybercriminalité et les acteurs étatiques qui eux font de l'ingérence, qui eux font de la guerre informationnels qui, eux, cherchent véritablement à pénétrer nos cerveaux.

Le nouveau terrain de jeu, c'est nos cerveaux. Et là, il y a vraiment une convergence entre le cyber et l'informationnel. Et donc, à cet égard, pour répondre à votre question, oui, la France est évidemment une cible privilégiée.

C'est une cible privilégiée parce qu'elle a la position que l'on connaît sur le soutien à l'Ukraine et un peu la figure de proue en Europe avec l'Allemagne sur ce sujet, donc forcément identifiée par la fameuse cellule APT28 que vous Vous connaissez du GRU, c'est le service de renseignement militaire. Alors, renseignement, mais surtout d'action en réalité clandestine sur les territoires étrangers qui est russe. Ça peut être la cible aussi des Chinois et puis ça peut être la cible de l'Iran.

Donc on est véritablement à la confluence d'un tas de menaces. Et là, en l'espèce, effectivement, arriver à faire de la défense et de la cyberdéfense, c'est possible. Mais de la cybersécurité, je le disais, c'est inclusif pour se prémunir de n'importe quel acteur qui ne va pas casser la muraille.

Il va en fait voler la clé dans le cas de l'ADG FIP, le ministère des Finances, dans le cas de l'Éducation nationale, dans le cas du logement. En réalité, le problème de fonds, le maillon faible, c'est l'homme. C'est-à-dire qu'il y a un problème d'hygiène numérique.

Ils ont récupéré le code d'entrée. Un moment ils ont l'identifiant et ils se connectent de façon totalement légale. Et c'est pour ça aussi que ça passe sous le scope de la détection.

J'ai bien compris. On est bien d'accord que si on parle du groupe qui se fait appeler Zero Bit ou Zero Bytes, qui revendiquent ces attaques. Peut-être, ce n'est peut-être pas leur objectif premier, mais peut-être une partie de ces données vont intéresser aussi des services étrangers.

C'est ce que vous nous dites. On va écouter comment le ministre du le budget réagit. On est quelques heures juste après la révélation de l'attaque, 18 août dernier.

On écoute David Amiel. Cette cyberattaque et le vol de données auquel elle a conduit sont des faits graves. Grave parce que plusieurs centaines de milliers de contribuables ont été victimes du vol de données personnelles et confidentielles, en particulier du niveau global de leurs revenus, ce qu'on appelle le revenu fiscal de référence grave parce que elles entament la confiance que les français ont envers l'état envers les services publics et en l'occurrence évidemment envers les services fiscaux graves parce qu'elles ne sont pas en fait isolés l'annecy aura l'occasion d'y revenir c'est à coeur qui revendique ils sont en train de narguer l'état français nathalie goulet absolument absolument et Et bon, moi j'entends, c'est que j'entends ce qui est dit.

Mais là on est quand même dans des hackers qui ne viennent pas de puissance étrangère. Après on retrouve les données sur le dark web et qu'elles soient utilisées ici ou là. Mais là on est quand même dans un problème franco français ou à peu près qu'il faut quand même régler donc évidemment la commission d'enquête qu'on a demandé au groupe centriste parce qu'ils font un état des lieux avant de commencer à savoir où on met les rustines comment on répare si on change etc moi je voudrais quand même attirer votre attention sur quelque chose de beaucoup plus pragmatique parce que tout ça va nous amener à quoi à des dizaines et des milliers d'usurpations d'identité à une criminalité absolument exponentielle avec nos données vous allez pouvoir ouvrir un compte bancaire quelqu'un pourra ouvrir un compte bancaire en votre nom sans que vous le sachiez pourra contracter un crédit pourra vous endetter sans que vous le sachiez dans un délai extrêmement court etc donc je veux dire on s'apprête quand même à avoir de très grandes difficultés va falloir s'armer et va va falloir protéger les victimes qui pour l'instant c'est une mort sociale l'usurpation d'identité c'est quand même à ça qu'on est confronté maintenant donc à la fois il faut trouver les parades pour les ministères et les entreprises il faut faire un état des lieux et trouver les responsables et des solutions et en même temps protéger les victimes je pense que ça c'est quand même très très important alors effectivement il ya beaucoup de questions autour de ce thème là notamment des inquiétudes et notamment sur la capacité à se protéger et Elena qui nous écrit de Moissac.

Quels conseils vous pouvez nous donner pour nous protéger ? Est-ce qu'un antivirus s'appuie ? Qu'est-ce qu'on peut faire ?

Peut-être pas seulement, d'ailleurs il y a près de 700 000 contribuables français qui sont concernés directement par l'attaque contre le fisc, mais pour toutes celles et ceux qui nous regardent. Alors, le recours à l'antivirus, qu'est-ce que c'est ? C'est le fait d'avoir un annuaire, une espèce de base de données, de logiciels malveillant, enfin en tout cas de signature de logiciel malveillant et comme une bibliothèque ça repère ce qu'il connaît et donc ça a une vertue, en tout cas c'est vertueux d'en être équipé, c'est absolument pas la parade infranchissable mais ça a le mérite d'exister.

Dans le cas des attaques qui nous concerne, on a avant tout des attaques informationnelles. Ce sont les bases de données. Et comme dit la sénatrice, l'idée, c'est que vous allez être contacté avec un message qui aura la saveur, l'apparence de la vérité.

Et donc, on va vous encourager à conduire des actions, à préciser des éléments, à effectuer un paiement, à éventuellement signer des transactions sur le fondement du message qui vous sera adressé. Donc là, l'antivirus n'y peut pas grand-chose puisque c'est une escroquerie extrêmement documentée qui va être fournie. Pourquoi ?

Parce qu'il faut garder à l'esprit qu'on a également un modèle dit d'agrégateur et que nos pirates, au fur et à mesure qu'ils acquièrent des bases de données, vont faire en sorte que les fusionnés et ce qui fait que le profil, l'information qui aura été captée lors du piratage de l'entité A, de l'administration B ou de la société D vont être agrégées et effectivement vous allez avoir des fiches que les directions marketing rêveraient d'avoir concernant des individus parce que vous allez avoir évidemment des éléments soit permettant de les valider, c'est-à-dire on vérifie bien que c'est bien vous parce qu'il y a deux endroits, trois endroits où on a le nom, la date de naissance, lieu de naissance et ainsi d'enrichir ces bases de données et donc faire gagner en valeur cette information qui mérite d'autant plus d'être exploitée par des organisations criminelles. – Vous m'offrez la transition vers la chronique que va signer tout de suite Quentin Calmet, que deviennent les données de Quentin Calmet, rebonsoir. Que font les pirates de ces données volées ?

On va rester sur le cas particulier de la Direction générale des finances. – Oui parce qu'on a vu que le gouvernement a communiqué au cœur de l'été. On a vu un extrait que vous avez passé du ministre.

C'était aussi le signe de montrer que l exécutif prenait très au sérieux cette fuite, ce vol de données. Le ministre des Comptes publics était alors entouré le 18 août de la directrice générale des finances publiques et du directeur général adjoint de l'ANSI, l'agence que vous avez déjà évoquée nationale de sécurité des systèmes d'information. Écoutez justement lorsque ce directeur général adjoint évoque la finalité de ce vol de données constaté cet été.

Ces attaquants ne sont pas forcément coordonnés, mais ils se partagent régulièrement des accès, des pratiques, des façons de faire. Ils peuvent avoir plusieurs objectifs, parfois cumulatifs. Recherche de notoriété d'abord, on le voient revente de données à d'autres cybercriminels pour conduire d'autres actions et puis parfois de la déstabilisation de nos institutions.

Alors on a commencé à répondre à cette question. Quentin, comment les hackers revendent -ils ces données ? Eh bien, les cybercriminels communiquent sur le dark web où ils ne sont pas localisables, là où des groupes spécialisés créent de grands répertoires de données volées que vous avez commencé à évoquer également.

Ils peuvent ensuite revendre ces données à des escrocs spécialisés dans la fraude. Autre idée, l'usurpation d'identité. Les hackers peuvent se servir de toutes les données volées pour se faire passer pour une autre personne en utilisant les informations croisées, votre adresse, votre numéro de compte bancaire.

Ils peuvent parvenir à convaincre alors leurs interlocuteurs qu'ils sont bien qui ils disent être. Enfin, il y a les darnaques et le hameçonnage. Les hackers peuvent se servir des données pour directement s'en prendre aux utilisateurs et les escroquer.

Alors, c'était l'une des questions de notre téléspectatrice. Quels conseils on peut donner ? Alors moi, j'en ai lu quelques-uns aujourd'hui en me renseignant sur le sujet.

Déjà, il existe des outils, il faut le savoir, qui sont directement, eh bien conseillés par le gouvernement, qui peuvent vous permettre de savoir si vos données ont été piratées avec des sites qui répertorient les fuites de données. Si votre compte apparaît dans une fuite de données, vous pouvez changer votre mot de passe en en privilégiant un mot de passe plus long, plus compliqué. Enfin, un conseil tout simple, mais surveillez vos comptes très régulièrement pour voir s'il n'y a pas des opérations qui sont problématiques. – Merci beaucoup, Quentin, pour toutes ces informations.

Tiens, je reste avec vous, Nicolas Arpajan, ça coûte cher ? Combien on paye pour avoir le dossier complet d'un contribuable français ? Non, alors en fait, le problème c'est que vous avez des offres commerciales avec des échantillons.

Donc ça veut dire qu'en fait, c'est des transactions de gré à gré. Il n'y a pas tellement, alors on va être sûr que vous n'achetez pas un...

Si, si, c'est pas ça, c'est que vous n'achetez pas un individu, enfin c'est très rare, en fait vous achetez des fichiers et c'est vrai que c'est un monde ultralibéral, c'est-à-dire que l'offre la demande, plus ces informations sont Prenons un exemple. Lorsqu'on vous dit, lorsque vous recevez un message qui est manifestement un courriel frauduleux ou en tout cas qui ne vous est vraiment pas destiné, quelquefois il va être proposé en bas de dire si vous ne souhaitez plus recevoir ce type de message, cliquez ici. Il ne faut Il ne faut pas le faire.

Pourquoi ? Parce qu'en fait, le pirate ou l'attaquant va faire en sorte d'envoyer des grandes quantités d'emails. Il ne sait pas si cette personne utilise, le destinataire utilise encore cet email s'il n'est pas mort, reparti en prison, rentré.

En tout cas, n'étant plus au bout de la ligne numérisée. Et le fait que vous cliquez sur le lien « je ne souhaite plus être contacté », ça confirme qu'au contraire, il y a bien un humain au bout de cet email. Et donc au contraire, cet email va intégrer une base de données qui sera d'autant plus commercialisée et diffusée.

Donc l'idée étant surtout qu'aujourd'hui, au regard de la volumétrie des attaques, en fait ça fait baisser les prix, on est là dans l'offre et la demande, et donc aujourd'hui on peut acquérir des dossiers clés en main, vraiment pour des sommes totalement dérisoires parce que précisément il y a une abondance qui fait chuter les prix. Mais il y aurait même une liste de 27 000 victimes de cette attaque contre le fils qui déclarent plus de 100 000 euros de revenus, cette espèce de liste de contribuables VIP et cibles privilégiées. C'est ce que permet la richesse de cette information, c'est-à-dire le revenu de référence...

Alors là dans le cadre des impôts il s'avère que le revenu d'ailleurs, le ministre y a fait référence, le revenu de référence a été associé à une identité. On a en toute proportion gardé la même difficulté qu'on a rencontré lorsque la fédération française de tir sportif a été piratée, on a localisé les détenteurs d'armes en France et là pareil on peut localiser les personnes en fonction de leur état de fortune pour ce qui est de la base de données, ce qui pose la question de la rencontre de la menace physique à partir d'un piratage numérique. Ce qui pose quand même la question de la réaction de celles et ceux qui sont concernés, Nathalie Gouiller, ils vont peut-être demander à l'État de rembourser des caméras de surveillance ou un nouveau coffre-fort pour leur...

Non mais je plaisante, mais évidemment ça ne fait rire personne. Mais moi ce que je retiens là de ce débat, c c'est...

Vous nous avez dit tout à l'heure que la liste des cyberattaques qui visait des officines, des administrations ou des sites publics était interminable. Donc ça veut dire qu'il y a une agrégation de de données qui devient de plus en plus précise quand même. C'est très inquiétant.

Alors vous...

Deux minutes, parce que si vous dites qu'est-ce qu'il faut faire ? Déjà, quand vous allez acheter un produit lambda et qu'on vous demande votre nom, votre numéro de téléphone, votre e-mail, etc., vous n'êtes pas obligés de le donner.

Donc déjà, arrêtons de donner nos données...

C'est-à-dire que les piratages qui n'existent pas sont les bases de données qui n'ont pas été constituées ? Voilà. Donc déjà, c'est pas mal.

Si vous allez acheter un produit de base, des chaussures ou Dieu seul sait quoi, vous n'avez pas besoin de donner et vous avez le droit de dire non. La deuxième chose, je voudrais quand même vous citer un exemple pour que vous compreniez. Quand on ouvre un compte bancaire à votre nom, c'est-à-dire qu'on usure votre identité pour ouvrir un compte bancaire parce qu'on a tous les éléments pour le faire en ligne.

Personne ne sait que c'est pas vous qui êtes derrière le clavier. Vous n'êtes pas informé de cette ouverture de compte bancaire. Vous êtes, par exemple, informé si on utilise une carte bancaire et qu'il y a un paiement, vous recevez un push sur votre téléphone en disant ce paiement mérite votre attention.

On est en train de travailler avec la Fédération française des banques au même système, c'est-à-dire qu'un push que vous allez recevoir sur votre téléphone double identification si on ouvre un compte bancaire. Vous pensez bien, cher Thomas Huy, que si vous ouvrez un compte bancaire au milieu, au fin fond de l orne, vous allez vous dire mais c'est pas moi. Et donc vous allez recevoir un push en disant vous ouvrez un compte au crédit agricole de l'affaire Temasec que je vous conseille d'ailleurs sur une très bonne banque.

Voilà. Et bien là, vous allez dire c'est pas moi. Et là, vous pourrez réagir immédiatement avant que le compte soit utilisé.

Et ça permettra d'éviter ce calvaire parce qu'on a régulièrement dans l'actualité ces histoires de français qui, à cause d'une usurpation d'identité, reçoivent des amendes par dizaine, par centaine – Les crédits à la consommation. – C'est ça, c'est la même chose. – Ils ont beau démontrer qu'ils ne sont pas à l'origine de ces infractions et il faut quand même qu'ils payent les amendes.

C'est pour ça qu'on a proposé dans la commission d'enquête toujours la même, celle du mois de mai, qui était déjà très d'avoir cette question d'usurpation d'identité et d'avoir un panel complet pour trouver des solutions pour les victimes qui, aujourd'hui, ne sont pas référencées, n'ont pas de points communs. C'est très compliqué. Mais vous voyez, l'histoire du compte bancaire et du push, c'est une affaire qu'on travaille depuis à peu près un an puisqu'on a déjà voté l'année dernière un texte sur les faux Iban, c'est-à-dire les faux identifiants bancaires, qu'on a voté l'année dernière.

Heureusement, c'est déjà ça en plus ou en moins. On va parler de souveraineté. Je me tourne vers vous, Steve, parce que vous vous êtes demandé si l'État sait encore garder un secret.

Oui, est-il vraiment plus compétent que ma fille de 3 ans, Thomas, que ma fille de 3 ans, Elisabeth en la matière ? Avec elle, c'est très simple, je lui confie un secret, elle promet de ne rien dire à personne, je tourne le dos et 5 minutes plus tard, évidemment, toute la famille est au courant. Avec l'Etat en ce moment, c'est un peu pareil, je lui donne mon identité, mon mot de passe, je lui indique même où se cache le trésor que j'ai amassé toutes ces dernières années dans le journalisme, je pars en vacances, je reviens et tout est sur la place publique.

Et donc on pourrait presque dire que vous en voulez personnellement à l'Etat ? Un peu, un peu Thomas, mais derrière la plaisanterie, il y a quelque chose d'assez vertigineux parce que contrôler l l'information, c'est à la base même du pouvoir politique. Et ça ne date pas d'hier, d'ailleurs ?

Non, c'est même une très vieille histoire. Le scribe avait du pouvoir sur les autres parce qu'il savait lire, écrire, compter. L'État moderne a industrialisé la fonction État civil, recensement, impôts.

Pour gouverner les gens, il faut les connaître. Internet n'a pas inventé la fiche, il a simplement modernisé la façon qu'a l'État d'administrer la population. Et là, Steve, vous pointez un – Jamais l'État n'a su autant de choses sur nous et jamais il n'a eu autant de mal à contrôler qui accède à ce savoir.

En fait, l'État continue d'avoir le monopole de la collecte, mais il est en train de perdre le monopole de l'accès aujourd'hui c'est un peu open bar n'importe quel hacker un peu malin peut venir se servir qu'est ce que ça change beaucoup de choses beaucoup de choses parce qu'on touche là à quelque chose de beaucoup plus profond qu'une simple question de cybersécurité on touche à la souveraineté même de l'état. La souveraineté c'est pas seulement contrôler qui entre et qui sort du territoire, c'est aussi désormais qui entre dans nos fichiers et qui a le droit de consulter nos données. Et d'ailleurs il y a une autre dimension qui me semble très intéressante c'est le lien de confiance, la confiance des français envers les institutions.

Oui parce que quand je donne mon adresse, mes revenus, le détail de mon patrimoine à l'état, je passe un contrat implicite avec lui. Il a le droit de savoir parce qu'il est censé protéger ce qu'il sait, s'il n'en est plus capable alors le contrat est rompu. Et donc vous nous dites quoi ?

Protéger nos données c'est une fonction régalienne ? Exactement, on protège les frontières, les bâtiments publics, on garde soigneusement les secrets militaires mais au 21ème siècle, protéger les données des citoyens c'est aussi exercer sa souveraineté, c'est une nouvelle donne à prendre en compte et pour l'instant clairement le gouvernement et l'état ne sont pas à la hauteur. Jérôme Clèche cet enjeu de souveraineté, de souveraineté numérique, de cyber-souveraineté, ça fait un certain moment qu'on en parle quand même.

Est-ce qu'il vous semble encore sous-estimé ? Le problème c'est ce qu'on entend par souveraineté en fait en ce moment que soit dans le cyber, que soit dans l'IA, que soit dans tous les domaines technologiques, de métaux critiques, bref d'approvisionnement stratégique ou de capacité stratégique, on parle de souveraineté. Mais le problème c'est en fait que ça ne peut pas être considéré comme un mot monolithique comme ça quand on éclate sur le cyber, sur l'ensemble des dispositifs de sécurité.

On prend un exemple. Je vous disais la question aujourd'hui c'est comment faire en sorte que ces données ne fiennent pas des connaissances et ces connaissances ne deviennent pas des armes en fait pour pénétrer nos cerveaux, faire de l'influence à des fins commerciales, à des fins militaires, à des fins stratégiques. Bref, amputé les capacités. – On est bien d'accord.

Ces données c'est trop tard, elles ont été volées et donc elles sont potentiellement dans la nature et utilisables par des gens qui veulent nous nuire. Comment faire en sorte que ça ne devienne pas un outil informationnel de cette guerre hybride dont vous nous parlez régulièrement ? – Exactement.

Eh bien si vous regardez, aujourd'hui l'IA est indissociable de la cybersécurité il ya typiquement google avec gemini qui fait de l'analyse du dark web pour récupérer ou éventuellement limiter ce qui se passe sur le dark web ok il ya un certain nombre de logiciels type trivi qui cherche à sécuriser des LLM, donc des IA génératrices de langage. Bon, ces logiciels-là sont des logiciels qui eux-mêmes, bien qu'étant des logiciels de sécurité, font l'objet de vulnérabilité et sont cassés. Et c'est comme ça qu'on se retrouve avec un LLM, petite light LLM, qui s'est retrouvé pénétré et qui peut voir son champ syntactique, c'est-à-dire modifié.

Donc si on ne veut pas tout maîtriser qu'est ce qu'il faut faire et alors donc si on peut pas tout maîtriser le problème c'est qu'il faut un être capable de restaurer un pouvoir de négociation pour toujours disposer de l'ensemble de la chaîne d'approvisionnement dont on a besoin et après avoir ce qu'on appelle des partenaires de confiance. Et donc des partenaires de confiance, dans un monde dangereux et incertain, ça veut dire avoir un pouvoir de coercition pour être sûr qu'à un moment donné, on soit respecté. Et dans tous les cas, de toute façon, vous ne pouvez pas avoir limité le risque zéro, avoir le risque zéro c'est quelque chose qui n'est pas possible.

Alors je reviens sur la question de l'IA pour essayer de comprendre si ce développement massif est ultra rapide, c'est aussi ça ce qu'il il faut retenir des 18 mois écoulés de l'intelligence artificielle générative. Qu'est-ce que ça change notamment en matière de cybersécurité ? D'abord, je vous propose un constat, c'est celui qui a été fait par le directeur général justement de cette Annecy dont on parle, on est sur une marée haute de menaces, mais une marée qui continue à monter dont on ne sait pas quel est le sommet.

La volumétrie s'accroît d'année en année. Nous avons traité en 2025 pour fixer les idées 1366 incidents, ça veut dire 4 incidents par jour en moyenne 7 jours sur 7, 24 heures sur 24 et avec en perspective récente une augmentation de volumétrie de 60%. Par rapport à 2022, on a en 3 ans cru de 60 % en volumétrie d'incidents traités par l'ANSI, sachant que l'ANSI ne traite évidemment pas tous les incidents.

Nous n'intervenons que dans les cas les plus graves et quand on nous demande notre aide. Est-ce qu'on peut parler d'une industrialisation des attaques avec l'intelligence artificielle Oui, absolument, parce qu'elle permet la mécanisation, la personnalisation et le fait de procéder, justement, l'adaptation continue à différents environnements. Donc évidemment, c'est les vertus du numérique de passer ce cap-là.

Surtout, on va a consacré la notion d'asymétrie. L'asymétrie, c'est quoi ? C'est qu'un petit groupe d'intervenants peut déstabiliser une entité beaucoup plus forte en nombre, en ressources et en capacités.

Notamment grâce à cette intelligence artificielle de On va pouvoir par exemple s'affranchir des questions de langue dans les messages pour avoir des traductions. On va pouvoir faire de l'hyperpersonnalisation, de l'individualisation très intime pour chacun des messages. On va pouvoir tester plusieurs options techniques assez rapidement, pour ne pas dire quasi simultanément.

Et donc également de détecter des failles de manière...

Alors on a vu qu'effectivement des grands modèles de langage ont été utilisés pour être spécialisés sur les problématiques de cybersécurité, c'est-à-dire là où il fallait passer en revue. C'est un peu comme si, prenons un exemple, je vous demandais dans Guerre et paix de me compter dans la traduction française le nombre de fois où la lettre E apparaît. Vous pourriez y arriver, ce serait une tâche formidable et passionnante. – Oui, passionnante, merci Et simplement, vous voyez bien que l'épaisseur du livre juste crée une difficulté à l'exercice.

Il est évident, vous posez la même question à une IA dès lors que le texte est numérisé, vous avez la réponse immédiatement. Donc là encore, c'est un peu comme si on voulait tester différentes combinaisons d'un antivol de vélo. Il est évident que si vous pouvez simultanément jouer toutes les combinaisons, la résistance de l'antivol et devient relative.

Par contre, il faut garder juste pour faire le distinguo on a parlé de souveraineté la souveraineté c'est quelque chose de très étatique c'est pour ça d'ailleurs qu'on est le seul pays à avoir ça dans un intitulé ministériel alors même que la plupart des pays du monde n'envisageraient pas de confier la cybersécurité de leurs infrastructures à des entités dont ils n'auraient pas le contrôle mais ça c'est un constat on on va parler davantage il faudrait parler davantage d'autonomie l'autonomie c'est quoi c'est la capacité à maîtriser mon activité je peux le faire avec des logiciels qui ne soient pas français franco-français c'est pas le sujet la la question c'est est-ce que j'ai la maîtrise de cet outil qui peut être d'origine diverse l'expérience récente portée par les états unis ont montré que les états unis souhaitait pouvoir et ils l'ont fait bloqué à distance des logiciels civils commerciaux on a le cas de on reprend cet exemple du coup procureur à la cour pénale internationale à l'aé institution globalement honorable il n'y a pas à dire qui un lundi matin voulant travailler la même marque que celle de votre ordinateur qui trône sur votre bureau a décidé de couper son système de messagerie grand public totalement civil accessible commercial c'est-à-dire payer sous forme d'abonnement pourquoi en application d'un décret présidentiel d'un exécutive ordre de la maison blanche qui disait qui effectivement mettait en cause l'institution de la cour pénale internationale Microsoft entreprise éminemment civile associée à une géopolitique dans un acte très banal d'un utilisateur final qui aurait pu être monsieur madame tout le monde. Vous vouliez parler des données de santé c'est une des dimensions de ces attaques de ces cyberattaques. Il y a à peu près deux ans et 33 millions de données de santé ont été piratées depuis et aussi les mutuelles etc donc on est à plus de 50 millions de données de santé et là moi je vous rejoins sur les risques de manipulation à la fois des marchés mais aussi des populations parce que l'analyse des données de santé ça vous permet de savoir quel type de médicament est utilisé, quel type de produit on a besoin, ça permet d'influer sur les cours, sur les marchés, etc.

Ça, ça peut faire l'objet de difficultés majeures. On l'a vu au moment du Covid, mais c'est aussi un sujet très, très important. Ces données de santé sont un marché extrêmement lucratif aux États-Unis, notamment, mais pas seulement.

Et vous voyez bien l'intérêt, puisqu'on va pouvoir mesurer, encore une fois, le type de médicaments, le type de population, le type de produits utilisés, créer des pénuries. Là, je vous rejoins. Et là, ça peut être extrêmement dangereux, sans compter évidemment la violence d'avoir vos données de santé ouvertes à tous les vents.

Si on essaye, il nous reste quelques minutes, on a commencé à le faire, de dessiner des solutions. Tiens, je passe par une question de Pascal qui nous écrit de Sergi. La meilleure solution pour éviter le piratage de données de masse n'est -elle pas la décentralisation du stockage de ces données ?

Je ne sais pas qui peut ou qui veut répondre à cette question, Jérôme Klesch ou Nicolas Arpazion. On a un terme en anglais. Il y en a qui s'appellent les SPOF, les Single Point of « Failure », c'est-à-dire que quand, évidemment, vous placez l'ensemble de vos actifs à un seul endroit, vous êtes d'autant plus exposés dès lors qu'ils sont disséminés.

On voit par exemple l'Allemagne ou même la Belgique qui s'interrogeait par rapport à la situation française. Le fait d'être un État et la fédérale effectivement démultiplie les centres et dès lors que des technologies, des protocoles sont différents ou en tout cas ils ne sont pas interconnectés. Dans le cas de l'État français ce qui est quand même très particulier c'est je le rappelle le piratage du ministère de de l'intérieur, à partir du compte d'un agent du ministère de l'Agriculture.

Et donc là vous voyez qu'on n'est pas dans de l'IA, on n'est pas dans du poste quantique, on est dans des protocoles qui sont connus de longue date, on doit segmenté. On ne peut pas empêcher quelqu'un de rentrer dans la maison, certes, mais on doit le cantonner à la pièce dans laquelle il est entré. Là, en l'occurrence, qu'on puisse naviguer, même au bout de quelques semaines, du ministère de l'Agriculture aux bases de données critiques du ministère de l'Intérieur, c'est manifestement que ce cloisonnement, cette gestion de ce qu'on appelle les comptes utilisateurs qui se connectent à quoi pour faire quoi n'a pas été conçu initialement et n'a pas été surveillé de manière opérationnelle.

Est-ce que Alors qu'il existe des solutions de sécurité qualifiées par l'ANSI qui font ça de longue date. Est-ce que ça veut dire que la centralisation à la française nous affaiblit d'une certaine façon ? Oui, au vu de ce qu'a dit mon camarade, effectivement, ça ne peut que nous affaiblir.

Mais il faut quand même regarder que sur l'ensemble des couches techniques qui permettent de faire finalement ce système robuste, pour peu qu'on applique la chaîne détectée, cloisonnée, contenir, attribuer, éventuellement entraver puis après restaurer. Ça, c'est ce qu'on doit faire quand on est victime d'une attaque. Voilà.

Et si tout est bien respecté, comme le disait mon camarade, notamment le fait de bien cloisonné pour éviter qu'il y ait ce déplacement latéral et qu'on passe d'une administration à une autre ou même au sein d'une administration, d'un poste à un autre jusqu'à gagner un serveur. Bon, on va dire dans ce meilleur des mondes, si tout est appliqué, ça devrait fonctionner. Bon, et après, il y a les différentes couches physiques avec les différents dispositifs.

Et là, c'est toujours l'épée et le bouclier. Aujourd'hui, avec l'IA, sans arriver à de l'ordinateur quantique, vous arrivez à casser des clés, ce qu'on appelle des clés RSA. En fait, ce sont des clés de chiffrement à l'aide des nombres premiers.

Prenez 391, 391, ça doit être 23 fois 11 ou quelque chose comme ça, si je ne me trompe pas, à vérifier. Voilà, bon, vous savez que 23 fois 11, si je ne me suis pas trompé, fait 391. En revanche, si on dit 391, donner les deux facteurs premiers desquels ils découlent, c'est compliqué, si le nombre est immense.

Évidemment, sur 391, ça marche très bien. Et donc, il faut un ordinateur quantique. On ne l'a pas encore.

Et puis un jour, on l'aura. Ça ça pourra casser, mais déjà avec l'IA, on arrive à casser ça. C'est un exemple parmi tant d'autres.

Sur le plan technique, on peut arriver à rendre les choses beaucoup plus robustes. La vraie faille, en réalité, elle est humaine, elle est sur le discernement. Vous l'avez dit à ma gauche, à ma droite en réalité à chaque fois ça prend l'apparence d'une information d'un mail très orthodoxe voilà et qui fait que on se laisse avoir et par le biais du phishing qui est la première des techniques on clique sur la pièce jointe ou sur le lien voilà et puis qui va mettre en place pourquoi pas un malware qui lui va ensuite se déclencher au moment où il faudra bref et ainsi de suite et donc finalement c'est beaucoup plus sur le discernement on a le même problème sur la guerre informationnelle sur ces fameux doppelganger qui qui qui singent des grands quotidiens nationaux avec des unes impossibles sur telle ou telle personne.

Ou régionaux, d'ailleurs. Ou régionaux, d'ailleurs. Et donc le premier travail, en fait, c'est véritablement...

J'allais dire, en science publique ici, c'est sens critique. C'est ça qu'il faut vraiment restaurer. Le premier maillon, et le maillon faible, c'est le maillon humain.

Est-ce que Nathalie Goulet...

Je reviens à cette attaque contre le fisc, parce que la Direction générale des finances publiques, c'est un peu la clé de voûte de France Connect, et donc il y a beaucoup d'autres sites publics qui sont par effet domino concernés. Est-ce que ça rend cette attaque potentiellement plus grave que les autres en termes de conséquences Vous avez évoqué la confiance, je pense que ça c'est majeur et je crois qu'on n'a pas encore aujourd'hui vraiment mesuré les conséquences parce que c'était l'été, parce qu'il y a eu les feux, parce que les victimes ne sont pas encore complètement informés, etc. Mais je pense que là on va avoir une catastrophe annoncée de mon point de vue et oui vous avez raison parce que c'est aussi les mutuelles, c'est aussi les allocations familiales, enfin toutes les caisses de de sécurité sociale, etc., tout ça est regroupé dans ce France Connect.

Oui, et puis, je voudrais quand même ajouter, elles sont humaines, les failles, mais elles sont aussi structurelles. Parce que quand vous mettez...

C'est lié, totalement. Oui, quand vous mettez dans l l'organigramme des ministères, le service de contrôle informatique, électronique, ce que vous voulez, etc., au dernier bout du dernier bout de la chaîne, du dernier bout de l'organigramme, et quand chaque C'était la question que je vous posais tout à l'heure, sur quelle part du budget consacrée...

Oui, mais c'est ce qu'on avait demandé. Et quand vous avez dans chaque ministère votre petit service de machin, et quand vous avez un grand ministère qui a deux logiciels différents pour décrypter les cryptos à deux étages différents du même ministère, incompatibles entre eux, les logiciels, et qu'ils ne peuvent donc pas échanger les données, vous avez des problèmes de...

Ça se passe dans quel ministère, ça ? C'est normal que je vous pose la question. C'est C'est ma journée de charité chrétienne.

Vous allez le retrouver dans mon rapport de commission d'enquête. On va le lire avec attention. Mais la réalité, c'est quoi ?

Ça veut dire qu'on a des problèmes de conception, on a des problèmes de contrôle, on a des des problèmes de suivi, on a évidemment des problèmes de formation et que je persiste et signe en disant qu'il faut une commission d'enquête parlementaire qui va pouvoir éclaircir ça sur les sujets qui nous restent puisque l'ADG FIP fait l'objet, comme vous le savez, de poursuite déjà parce qu'il y a eu une procédure d'engagé, donc il ne peut pas y avoir de commission d'enquête. Tout le reste peut donner lieu à la commission d'enquête et il y a quand même beaucoup, beaucoup, beaucoup de matière, beaucoup de matière et moi je vous en supplie, focalisons sur la protection des victimes, je ne sais pas ce que vous allez avoir comme retour. Protection des victimes contre l'usurpation d'identité.

Merci beaucoup à toutes et à tous d'avoir participé à ce débat. Je vais rappeler les titres de vos livres. Nicolas Arpagion, la cybersécurité, c'était la collection que sais-je des presses universitaires de France.

Et les nouveaux maîtres du futur aux éditions, Herman, Jérôme Klesch. Ça a été, Steve ? À vous de me dire.

Le costume d'éditorialiste, ça vous plaît aussi ? C'est très agréable. Vous reviendrez avec grand plaisir.

Merci à toutes et à tous. Et à demain pour un nouveau sens public. D'ici là, on vous renvoie évidemment sur la plateforme publicsénat .fr.

Et nos émissions sont à écouter ou à écouter en podcast. Belle journée, belle soirée sur nos chaînes parlementaires. C'était Sens public avec la Banque Postale, la banque pour avoir un temps d'avance sur