Cyberattaques : nos données ne sont-elles en sécurité nulle part ?

France Inter, France Inter, le téléphone sonne, Flore Catala, ce ne sont pas que vos noms, prénoms, vos numéros de téléphone, mais c'est aussi votre revenu, c'est le nombre d'enfants que vous avez à la maison, le motif de votre dernière consultation chez le médecin, votre adresse, parfois même votre digicode. Autant de données aspirées dans des cybercambriolages de masse et qui se retrouvent à jamais dans la nature digitale, effrayante, hémorragie numérique d'un bateau qui prend l'eau de tous les côtés. La Poste, l'éducation nationale, Intermarché, SFR, France Travail, la NTS et désormais le fisc, si bien que la question n'est plus qui a été piraté, mais qui ne l'a pas encore été.

Il y a fort à parier que nous avons tous au moins une fois fait partie des victimes d'une cyberattaque. Mais alors comment se protéger quand personne n'est épargné, quand nos données ne sont en sécurité nulle part, même sur les plateformes réputées les plus sécurisées ? Que faire ? Sinon arrêter d'utiliser les outils numériques, solutions radicales et peut-être impossibles dans un monde toujours plus dématérialisé ? Peut-être vous dites-vous qu'il n'y a au fond rien à faire, qu'une fois les données volées, c'est trop tard ? Peut-être que vous continuez à faire justement de plus en plus attention à chaque information que vous laissez derrière vous sur le web. Vous avez la parole.

Racontez-nous comment vous vivez ces fuites de données à répétition, comment vous vous y préparez, comment vous vous en protégez ? 01-45-24-7000 par téléphone via WhatsApp et l'application Radio France. Le téléphone sonne jusqu'à 20h.

Le téléphone sonne. 01-45-24-7000.

Et pour commencer cette discussion, nous accueillons Renan qui nous appelle de Savoie. Bonsoir Renan. Bonsoir, bonsoir à tous. On vous écoute. Oui, ben non, moi je tenais à réagir parce que c'est vrai que quand j'ai appris la nouvelle, je me suis surpris à être un peu énervé en fait. Parce que je trouve ça fou que par exemple les impôts, le fisc, qui sont quand même très efficaces pour récolter les sous et pour nous demander quand on fait des erreurs, pour nous envoyer des mails automatiques, etc. Je trouve ça fou que d'un autre côté nos données soient si peu protégées. Voilà.

Et j'avoue que du coup en fait ça donne un peu l'impression qu'il y a un peu un contrat de confiance qui est rompu, un contrat moral. Parce que nous en fait on n'a pas le choix que de donner nos données aux impôts au fisc, etc. à chaque année. On n'a pas le choix en fait. On est en train de rentrer nos numéros fiscaux, nos taux d'imposition, etc. Donc d'un autre côté, on peut quand même attendre, dans une forme de contrat moral, que ces données soient protégées. Et puis c'est vrai pour tout ce que vous avez listé avant. Donc je trouve ça un peu inquiétant. Et des fois je me demande si on diligentait une enquête indépendante dans les services sensibles un peu de l'État, etc.

J'aimerais bien me rendre compte à quel point on est amateur en matière de protection des données ou pas. De la surprise et un peu d'agacement. Merci Renan pour votre témoignage que nous allons soumettre à nos invités ce soir. Yasmine Douadie, bonsoir. Bonsoir. Vous êtes experte en cybersécurité, fondatrice et présidente de Risquintel Group, think tank spécialisé sur ces questions. Autour de la table également Clément Domingo, bonsoir.

Bonsoir, Flore qui était là.

Vous êtes chercheur en cybercriminalité mais aussi hacker éthique alias Saxe, c'est votre pseudo justement d'hacker éthique. Et Fanny De Coster est aussi avec nous, bonsoir. Bonsoir. Vous êtes secrétaire générale de la CGT Finance Publique, inspectrice des finances publiques dans le secteur professionnel. Merci d'être avec nous pour répondre justement à toutes les questions de nos auditeurs. Et d'abord j'aimerais rebondir sur ce que Renan disait, sur ce contrat de confiance qui est passé avec toutes ces administrations qui, on l'entend ce soir, a l'air d'être rompues. C'est ça le risque avec ces fuites de données qu'on rompe ce contrat de confiance.

Yasmine Douadie qui existe entre les contribuables finalement et ces administrations de l'État. Alors j'ai écouté particulièrement le témoignage du monsieur qui nous a appelé et je comprends parfaitement sa colère et je pense qu'elle reflète la colère de beaucoup de Français. Parce qu'aujourd'hui quand vous voulez donner des données qui vous concernent à une entreprise privée, vous avez le choix de la donner ou non, voire de donner de fausses données. Parfois Clément c'est un conseil que tu mets en avant. Mais quand il s'agit du secteur public, vous n'avez pas le choix que de donner les informations qui vous concernent et qui parfois sont sensibles. La DGFIP, on parle quand même de revenus.

Donc on est sur un degré de sensibilité qui est assez important. On va parler de sécurité physique, on va parler de fraude. Et donc forcément il a le bon sentiment. Pareil la personne qui nous a appelé puisqu'il a indiqué qu'il voulait mettre potentiellement en place une enquête. Il faut savoir qu'aujourd'hui des parlementaires justement appellent à ce qu'il y ait une commission d'enquête pour arrêter finalement ce phénomène d'opacité, rentrer dans une transparence, comprendre d'où provient ce risque systémique. Parce que c'est un risque systémique, on n'en est ni à la première, ni à la deuxième, ni à la troisième fuite de données.

Donc il y a un problème quelque part et il va falloir qu'on commence à rendre des comptes. Et il y a des conséquences qui peuvent être graves. On n'est pas seulement sur un numéro de téléphone qui a fuité et qui vous expose à des appels par exemple frauduleux. Ça va plus loin que ça dans le cas de cette cyberattaque. Clément Domingo, je me tourne vers vous. Qu'est-ce qu'on risque justement avec toutes ces données qui ont fuité depuis la plateforme du fisc ?

Peut-être rappeler que juste avant cette émission, cette antenne, on a eu encore deux autres confirmations de cyberattaques. Ce qui porte le nombre à trois et surtout une seconde qui pour moi est tout aussi critique que la précédente qui est le cadastre. Donc là on a deux millions de foyers, deux personnes qui ont des résidences. Et coupler ces deux-là pour des cybercriminels, pour des arnaqueurs, c'est juste du pain béni. Et donc en termes un peu d'arnaque, aujourd'hui on va avoir ce qu'on appelle le classique, donc du phishing. Avoir aussi un peu différentes fraudes ciblées.

Par exemple une personne du fisc qui pourra se faire passer pour l'administration, donc un arnaqueur, en vous donnant toutes ces informations-là. Donc vous incitant à cliquer sur un lien parce que cette fois-ci vous allez avoir un trop perçu. Et donc le trop perçu, c'est tout le temps la bonne nouvelle qu'on attend parce que pour une fois c'est l'État qui nous remet de l'argent et pas le contraire. Mais aussi jouer un peu sur cette peur en vous disant qu'il y a eu une déclaration qui a été mal faite. Et donc si vous n'agissez pas sous 24 heures, sous 48 heures, là cette fois-ci vous allez un peu risquer la peine et donc la douloureuse avec une majoration.

Mais surtout peut-être ce qu'il faut aussi dire c'est que outre maintenant aujourd'hui toutes ces arnaques-là que l'on connaît, il y a un autre risque qu'on a pu le voir lorsqu'il y a eu le piratage de la Fédération Française de Tirs où des gens étaient derrière combriolés pour voler des armes de catégorie C. Il y a aussi eu toute cette vague de cryptoraptes, des gens qui détiennent des cryptomonnaies qui ont été séquestrés, qui ont été combriolés, des rançons qui ont été demandées. Et là ce qui se passe, on risque d'avoir exactement la même chose.

Avec les données cadastrales qui indiquent des informations sur les adresses.

En plus des données cadastrales qui rajoutent encore beaucoup plus de criticité à cette fuite de données que l'on connaissait déjà.

Alors justement on a une auditrice au standard qui nous demande comment sera-t-on averti par rapport aux dernières cyberattaques ? Est-ce qu'on va être contacté directement ? Est-ce qu'on doit chercher sur un site en particulier pour voir si on est concerné ? Le fisc a déjà commencé à envoyer des mails aux victimes. Comment on fait pour savoir si c'est bien la bonne administration qui nous écrit pour dire attention vous avez été piraté ou si c'est un hacker ? Yasmine doit dire comment on fait pour faire la différence ? C'est là que ça devient très compliqué. Alors il faut devenir ce que j'appelle un paranoïaque pragmatique par les airs qui courent.

C'est-à-dire que vous ne cliquez de base sur aucun lien. Si vous avez une information que vous avez envie de récupérer, vous allez directement sur votre compte qui est officiel, sur une adresse mail et une adresse de site qui est sécurisée. D'ailleurs vous avez aussi une messagerie sécurisée si vous avez besoin de discuter avec un agent. Et puis pour aller au-delà des risques qu'on peut avoir autour des arnaques, j'aimerais qu'on mette aussi le point sur un autre risque qui est celui de l'usurpation d'identité. Parce qu'aujourd'hui vous avez effectivement la DGFIP avec des données fiscales. Donc on va pouvoir identifier des foyers qui sont solvables.

Et on va recouper cette fuite de données avec d'autres fuites de données. Je pense notamment à FICOBA où vous avez des RIB, d'autres de fuite de données où on avait des pièces d'identité. Et bien tous ces éléments, c'est parfait pour pouvoir constituer un dossier, souscrire à des abonnements, craindre ou ouvrir un compte bancaire, prendre des prêts à la consommation. Et donc là pour tout le public qui est en train de nous écouter, vous avez quelques solutions ou bonnes pratiques je dirais à mettre en place. La première c'est que vous pouvez aller directement sur impots.gouv.fr et demander votre fichier FICOBA.

Ça va vous permettre de pouvoir identifier tous les comptes bancaires qui sont ouverts à votre nom. Et donc là normalement si vous voyez un compte que vous n'avez pas ouvert, ça va vous donner un indice. Le deuxième c'est d'aller directement sur la Banque de France. Vous demandez pareil tous les impayés qui peuvent avoir été signalés vous concernant. Si vous voyez des prêts qui ont été contractés que vous n'avez pas contractés et dans lesquels j'imagine qu'il doit y avoir des impayés, on a des usurpations d'identité. Donc ça c'est aussi un risque qui est aujourd'hui prégnant, qui potentiellement peut s'avérer et sur lequel il faut être vigilant.

Il faut de la survigilance, de la paranoïa presque vous disiez. Je rebondis sur ce que disait Renan sur le contrat de confiance et je me tourne vers vous Fanny de Coster. Est-ce que vous l'entendez justement cet agacement et ces propos qui disent on ne peut plus faire confiance en fait à ces administrations qui nous prennent des données sensibles et on le comprend mais qui ne les protègent pas assez ?

Clairement on comprend la rupture ou en tout cas les inquiétudes sur la confiance vis-à-vis de l'administration fiscale puisque à partir du moment où ça a déjà été dit il n'y a pas de choix, l'administration et l'État ont fait le choix du tout numérique donc effectivement là on est dans une administration où on n'a pas le choix que de donner ces données personnelles et donc elles sont toutes à disposition sur le numérique. Donc la confiance elle est entachée parce que le rôle premier de l'État ce serait d'être garant de la protection des données qu'on oblige les usagers à donner à l'administration du fisc.

Donc oui on peut comprendre, après moi je ne suis pas une spécialiste comme autour de la table de la cybercriminalité et de la cybersécurité pour autant on sait bien je pense que le risque zéro n'existe pas. Pour autant là on voit bien qu'il y a des trous dans la raquette et qu'il y a des investissements qui n'ont pas été faits au bon moment et des priorisations sur la protection des données qui n'ont pas été faites au bon moment. On va aller faire un petit tour au standard où Georges nous attend. Bonsoir Georges. Bonsoir. Vous aviez une remarque à nous faire ce soir. Oui, oui, oui.

C'est-à-dire que moi ce qui m'arrive, je suis intervenant extérieur pour l'éducation nationale, je fais quelques heures pour la formation et je reçois aujourd'hui un mail, le 5 août exactement, un mail de l'éducation qui me dit qu'ils ont été victimes d'une intrusion frauduleuse et que je suis concerné. Alors évidemment ils ne peuvent peut-être pas se protéger mais ils ne sont pas sensibles je pense à la protection des données parce qu'ils m'ont demandé pour 4 heures d'intervention, mon IBAN bien évidemment, mais une copie de ma carte vitale, une pièce d'identité. Donc j'ai envoyé un passeport filigrané et on me l'a refusé, on m'a demandé d'enlever filigrane.

Et après toutes ces demandes de pièces qui ne sont pas vraiment utiles pour me payer 4 heures, je suis piraté et maintenant mes données, ils n'ont pas été capables de conserver mes données. Donc je me dis qu'une des premières sécurités, ce serait d'en demander beaucoup moins aux usagers. Merci Georges pour votre témoignage que je vais soumettre à Clément Domingo. Est-ce qu'il y a quand même des plateformes, des administrations qui en demandent trop avec des informations qui ne sont pas forcément nécessaires et qui potentiellement se retrouveraient ensuite ?

Ce que disait Georges, ce monsieur c'est intéressant à bien des égards, dans la mesure où déjà il a les bons réflexes, ce n'est pas le cas pour beaucoup, mais peut-être en effet rappeler qu'aujourd'hui vous pouvez, lorsque surtout on vous demande que ce soit pour un dossier immobilier, une location d'appartement, ou en tout cas pour n'importe quel type de démarche, vous pouvez filigraner. D'ailleurs ce monsieur a eu la très très très bonne démarche. Par contre je suis outré de savoir que l'administration n'a pas voulu accepter ça.

Ça veut dire quoi filigraner en fait ?

Vous pouvez aujourd'hui aller sur filigrane.beta.gouv.fr, donc ça veut dire venir un peu taguer la pièce d'identité, histoire qu'elle ne puisse être réutilisée en cas de fuite de données, en cas de piratage, aussi bien. Donc là en fait on sait exactement d'où ça vient. Et donc d'ailleurs on devrait faire avancer les différentes manières de faire, histoire que l'administration puisse accueillir ce genre de choses. Ce que ce monsieur aussi disait, il disait une autre chose, c'est que parfois en effet on demande beaucoup trop d'informations.

Si je prends aussi le cas dans le secteur public, dans le secteur privé autant pour moi, lorsque vous allez dans une enseigne, juste pour acheter une paire de sandales ou des chaussettes, on vous demande parfois de donner absolument tout. Quand vous y réfléchissez, vous n'avez pas besoin de donner votre numéro, voire même votre nom, prénom. Et en effet ça c'est quelque chose que je préconise, mentir de manière intelligente sur son identité. Donc de ne pas donner, la seule chose dont vous avez besoin de donner c'est votre mail pour recevoir les potentielles offres, réductions, vous pouvez le faire.

Donc il y a peut-être en effet besoin de revoir au regard du RGPD, même si le RGPD commence à être adapté. Donc on doit avoir une autre loi qui s'appelle Nice 2 pour la transposition. Et encore, hélas la France, on a le bonédal, on a été retoqué par la Commission européenne. Mais quoi qu'il arrive, ces différentes cyberattaques qu'on a eues depuis deux ans, et peut-être l'épilogue, parce que je pense et je crois que tout n'est pas raté, et que là on est en train de vivre un épilogue avec cette cyberattaque de la DGFIP, va peut-être nous permettre d'évoluer et de faire beaucoup, beaucoup, beaucoup mieux les choses par la suite.

C'est-à-dire qu'il va y avoir une prise de conscience, on est à un tournant justement, on se dit, ok ça peut être grave en fait.

Là, à l'évidence, je pense que jamais autant on a parlé d'une cyberattaque. Souvenez-vous, il y a eu quelques semaines de ça, la NTS, et la NTS n'a pas fait quand même énormément de bruit. La NTS pour l'Agence Nationale des Titres Sécurisés, c'est elle qui vous fournit votre permis de conduire, votre carte d'identité, votre passeport. Alors que là, avec le fisc, je sens vraiment quelque chose qui est en train de se passer, mais espérant que ce soit pour la bonne cause, pour une fois pour toutes, et qu'on n'ait pas les mêmes écueils que l'on a eus juste après la prise de parole de Sébastien Lecornu, après la NTS, qui avait quand même annoncé un budget de 200 millions.

Certes, c'est peanuts, c'est rien, mais sauf que ce budget-là, on se rend compte que, deux mois après, avec la DGFIP, ce budget n'est toujours pas là.

Cette prise de conscience, est-ce qu'elle va pouvoir peut-être devenir politique ? On le sait, on a un moment quand même, on est déjà rentré d'ailleurs dans cette campagne avant la présidentielle de 2027. On a un ministre, David Amiel, des comptes publics, qui a pris la parole pour présenter des excuses, des annonces aussi de Sébastien Lecornu, comme on vient d'en parler. Yasmine Douadier, est-ce qu'il va y avoir peut-être une prise de conscience politique ? Ça va devenir un enjeu politique, finalement, la cybersécurité ? Moi, je pense que ça va devenir un enjeu politique, parce que ça devient un enjeu pour les citoyens.

Ça fait huit ans que je décrypte la cybersécurité, c'est la première fois que je vois des hommes politiques, de tous bords d'ailleurs, s'exprimer sur le sujet. Mais ils s'expriment sur le sujet parce qu'il y a un ras-le-bol, parce que la population française, aujourd'hui, en a marre, qu'elle prend le sujet à cœur, qu'elle a des craintes, comme ce qu'on peut entendre, justement, des différentes personnes qui nous ont appelées ce soir. Et donc, il y a cette prise de conscience. Et je pense qu'à la veille, finalement, des élections présidentielles, on va voir des candidats commencer à mettre des lignes directrices concernant la cybersécurité dans leur projet.

En tout cas, je l'espère fortement, parce que j'estime que la cybersécurité ne doit plus être un sujet de niche, ou d'expert, ou de technique. Elle doit devenir un sujet de société. Il n'y a que comme ça qu'on pourra créer cette résilience citoyenne, c'est-à-dire notre capacité, finalement, à survivre et à faire face à autant de fuites de données. J'aimerais qu'on s'arrête à l'Ézé Clément-Domingue.

Je pense que pour la première fois, souvenez-vous, en 2017, en 2020, en 2017, on avait déjà un peu les prémices à l'époque avec le climat. En 2022, c'était un peu plus marqué, où les candidats, même s'ils n'étaient pas sensibles à ça, dans leur programme, avaient deux, trois lignes autour de ça. Et je pense que pour la première fois, pour l'élection présidentielle de 2027, les candidats qui n'auront pas de lignes, qui n'auront pas de programme autour du numérique seront peut-être un peu moins vus. Ce ne sera pas le seul. Mais je pense que pour la première fois, on a quelque chose qui est en train de se passer.

Au moment, quand même, où on parle beaucoup des ingérences étrangères, où on parle aussi un peu d'autres sujets comme l'interdiction des réseaux sociaux au moins de 15 ans. Est-ce qu'on l'a fait ou pas, d'ailleurs, l'interdiction des réseaux sociaux au moins de 15 ans qui a été retoquée par le Conseil concessionnel. Et peut-être pour aller un peu plus loin, histoire de se dire que finalement, c'est une question qui nous concerne absolument tous, même si parfois, on se dit que la cybersécurité, c'est seulement le précaré d'experts. Je vais vous montrer qu'absolument pas.

Imaginez qu'avec une interdiction des réseaux sociaux, que demain, on mette dans une tierce partie, l'équivalent de 10, 15, 20 millions de pièces d'identité, mais aussi de visage de mineurs, et que cette plateforme venait à être piratée. Ça pose d'énormes questions sur notre souveraineté numérique. Et je pense que pour la première fois, pour compléter ce que Yasmine disait, on va avoir le numérique au cœur de cette campagne présidentielle. D'ailleurs, on le voit avec tous les candidats ou presque candidats à l'élection de 2027.

J'aimerais qu'on s'arrête un petit instant sur ceux qui sont derrière ces attaques, justement. Je crois, Clément Domingo, que vous avez été en contact avec ceux qui se cachent derrière ce qu'on appelle Zero Bytes, qui est ce nom de ce groupe de pirates qui a revendiqué l'attaque sur la DGFIP. Qui sont-ils ? Quels sont leurs modes opératoires ? Et pourquoi est-ce qu'ils font ça ? C'est quoi leur motivation derrière ?

La motivation seule et unique qu'ils revendiquent, qu'ils ont pu me confier à plusieurs reprises, c'est l'argent. Ils le font uniquement pour l'argent, mais après, il ne faut pas être dupe. Ils le font aussi un peu pour l'ego, pour un peu la lumière et pour la première fois.

C'est pour ça qu'ils revendiquent. Ils disent, regardez, on a réussi à hacker le fisc.

Ça, c'est vraiment le mode opératoire. Non, vous avez quand même un peu besoin de revendiquer pour savoir derrière une cyberattaque. Vous savez, un peu, lorsqu'on a des cambriolages, assez souvent, on a des signatures ou parfois aussi un peu pour des peintures. Écoutez, pour la cybercriminalité, c'est exactement pareil. Donc, on a un peu besoin de s'approprier une oeuvre. Donc là, je dirais plutôt une oeuvre criminelle qu'on a pu perpétrer dans le cyberespace pour dire, ça, c'est nous. Et là, ils sont en train de réussir totalement. Ils ont même réussi totalement leur passe. Autre chose que j'apprends un peu sur ce groupe qui revendique être deux. L'un d'entre eux, donc le chef, boss...

Vous leur avez parlé, vous leur avez écrit. Quand on dit, vous avez été en contact, ça veut dire quoi ?

Ah oui, ça, c'est une bonne question. Lorsqu'on dit qu'on est en contact, il faut savoir que déjà, la revendication, donc la revendication se fait un peu sur ce qu'on pourrait appeler l'équivalent du bon coin de la cybercriminalité. Donc, vous avez vraiment une page. Donc là, je peux dire, bon, bah, Flore Catala, j'ai vos données. Voilà, j'ai ça ou ça ou ça avec un échantillon. Donc, si vous êtes intéressé, vous pouvez me contacter à telle adresse.

Oui, il y a un enjeu marketing presque aussi.

Mais c'est un enjeu marketing. Et donc, de là, en effet, je rentre en contact avec eux, je discute. Donc, je l'ai pu aussi le faire par le passé avec pas mal d'autres cybercriminels. Et donc là, on apprend pas mal de choses comme le fait qu'actuellement, cette personne-là serait sans emploi, qu'elle a postulé il y a quelques temps de ça dans une entreprise d'informatique, qu'elle n'a pas trop peur de se faire attraper. C'est quand même très surprenant par rapport à d'autres qui ont pu un peu le faire et que surtout, ils avaient un peu, ils se délectaient de ce qui était en train de se passer actuellement en France.

Preuve à l'appui, lorsque vous voyez un peu leur manière de communiquer, de répondre à la déjà-fippée, de se gausser de la France, d'humilier la France. On est sur quelque chose qu'on ne connaissait pas jusqu'ici.

On va filer à nouveau au standard où Gérard nous attend. Il nous appelle de vendée. Bonsoir Gérard. Oui, bonsoir. On vous écoute. Oui, donc je suis un ancien ingénieur dans l'angénieur de défense. Je ne donne pas le nom de la société, mais si vous le souhaitez, je peux vous le donner. Je travaille pour plusieurs sociétés de défense. Et on avait des conférences annuelles faites par le ministère intérieur, par l'endez de service du ministère intérieur, qui nous déconseillaient vivement d'utiliser des logiciels américains.

Vu que ceux-ci ont été équipés de ce qu'on appelait des backdoors, qui sont des portes d'accès cachées, que la NSA, donc la National Security Agency, rendait obligatoire sur tous les logiciels américains. Donc, on avait donc le conseil de surtout pas utiliser ces logiciels. Évidemment, à l'époque, M. Le Drian, qui était ministre de la Défense, a équipé le ministère de la Défense de la société Microsoft. Alors, ça date un peu. Je ne sais pas si aujourd'hui, les choses ont changé. mais je ne vois pas. Je vois bien savoir, justement, que les choses ont changé dans les administrations. Est-ce que les choses ont changé ? Est-ce qu'on se met suffisamment en sécurité ?

On a vraiment l'impression que non, parce qu'on parlait des hackers, justement. On n'a pas l'impression que c'est tout à fait prémédité. On dirait presque qu'ils ont vu de la lumière, ils ont ouvert la porte, c'était ouvert, et ils y sont allés.

C'est exactement ça, en discutant aussi. La cyberattaque sur la Déjafipé, ce n'est pas quelque chose de prémédité, comme on peut parfois un peu l'entendre avec des puissances étrangères pour la nommer, parce qu'elle vient toujours en tête, la Russie qui prépare l'attaque. Là, c'est totalement fortuit, totalement le hasard. D'ailleurs, en fait, ces cybercriminels trouvent les identifiants d'un des agents de la Déjafipé. Peut-être aussi, ce qu'on n'a pas beaucoup dit, y compris avec Yasmine, en tout cas dans notre domaine, c'est qu'il y a aussi le compte d'un chair habilité.

Donc, c'est-à-dire que potentiellement, la Déjafipé qui partage des données, peut-être avec une autre administration, avec un privé, on ne sait pas aussi. Donc, il faudra aussi que la lumière soit faite et surtout se dire comment un tel compte a pu avoir autant de privilèges pour au point quand même d'aller consulter jusqu'à 1 million, 2 millions de données sans éveiller aucune alarme interne au niveau de la Direction Générale des Finances Publiques.

Yasmine doit dire, on n'a pas évolué. En fait, je reprends un petit peu la question de l'éditeur qu'on avait à l'instant depuis plusieurs années. En fait, on n'a pas suffisamment fait évoluer nos systèmes de défense cyber, en fait, pour pouvoir parer à ce genre d'attaque. Alors, c'est vrai que quand je regarde les réseaux sociaux depuis quelques jours, forcément, tout le monde est en train de parler des opérationnels. C'est-à-dire que l'un des messages qui ressort en premier, c'est qu'on a des équipes en cybersécurité qui ne seraient pas bonnes. J'aimerais quand même qu'on en parle parce que c'est faux en réalité. On a de très bons talents, ce n'est pas la question.

Quand aujourd'hui, vous mettez en place une politique ou une solution en cybersécurité, il faut que vous ayez aussi le soutien de votre direction, des dirigeants. Il faut que vous ayez un soutien financier, il faut que vous ayez un soutien en termes humains, d'équipes, de mise en place parce que très souvent, en fait, les contraintes en cybersécurité, comme je viens de le dire, ce sont des contraintes. Donc, vous allez toujours vous retrouver face à des dizaines de milliers d'agents, par exemple, qui vont vous dire « mais on a toujours fait comme ça ». Et ce fameux « on a toujours fait comme ça », c'est une barrière, c'est un point bloquant.

Donc là, dans le cadre, par exemple, des fuites de données qu'on a pu voir auprès de la DGFIP, on a beaucoup de personnes qui pointent du doigt un manque de professionnalisme de la part des équipes opérationnelles. Je dirais quand même qu'il faut faire attention et d'où, justement, l'importance de mettre en place une commission d'enquête pour comprendre d'où provient le problème. Ce n'est pas nécessairement que des budgets, ça peut être aussi un manque d'engagement, ça peut être un manque de soutien, ça peut être des infrastructures réellissantes et ça peut aussi être un problème de budget. Un manque de formation aussi. Ou de formation de sensibilisation.

Mais tout ça, on ne le saura qu'avec cette commission d'enquête. 19h40 sur France Inter.

France Inter. Le téléphone sort.

Et nous sommes en ligne avec Pierre Penalba. Bonsoir. Bonsoir. Vous êtes ex-commandante de police de Nice, ancien chef du groupe de lutte contre la cybercriminalité, auteur notamment d'un livre Cybercrime paru en 2020. On a un petit peu envie de vous interroger ce soir sur la façon dont, avec ce genre de faits, se déroule une enquête. On part de quoi ? Est-ce qu'il y a matière, des traces, des pistes ? On a toujours du mal à se figurer justement quand on parle de cybercriminalité. Comment se fait une enquête concrètement pour retrouver justement ceux qui ont signé ces attaques ? La cybercriminalité, c'est comme les enquêtes criminelles.

En fait, vous avez une scène de crime qui sont les ordinateurs de l'entreprise, les services de l'entreprise et vous allez aller rechercher des traces et faire des analyses. La première chose que font la plupart des enquêteurs quand ils arrivent sur un lieu où il y a eu un piratage, ils vont récupérer ce qu'on appelle les journaux de logs, ils vont aller récupérer les disques durs des serveurs en faisant des copies physiques. Pierre Penalba, la ligne est un petit peu compliquée. Je pense qu'on vous a perdu, ex-commandant de police de Nice, ancien chef du groupe de lutte contre la cybercriminalité. On va essayer de vous récupérer pour poursuivre cette discussion.

En attendant, Pierre Penalba, vous m'entendez ? Oui, je vous entends très bien. On vous a récupéré. Je vous laisse poursuivre. Pardon. Oui, l'enquête, elle est extrêmement complexe parce qu'il faut relever toutes les traces et tous les indices avant de commencer l'enquête. donc de remonter jusqu'au process des attaquants et malheureusement, c'est souvent compliqué parce qu'ils effacent leurs traces arrièreuses. Donc, les enquêtes sont relativement longues à cause de ça mais aussi parce que la plupart des attaquants n'attaquent pas directement de la France mais de pays tiers.

Donc, si par hasard ils attaquent depuis l'Europe, l'enquête peut arriver relativement rapidement mais s'ils attaquent d'un pays étranger, par exemple, sans vouloir les citer directement, mais la Russie, vous savez qu'on n'aura quasiment aucune coopération de la part de ces pays-là. Quand ils sont en France, on les retrouve souvent, c'est à cœur ou c'est assez rare, au contraire ? Alors, nous, on en a arrêté beaucoup déjà dans notre unité mais quand ils sont en France, on arrive normalement à réussir à les localiser grâce à plusieurs techniques que je déploierai à la PSI mais même s'ils utilisent des VPN ou des moyens pour se dissimuler, on peut trouver des moyens pour remonter jusqu'à eux.

D'ailleurs, celui qui a piraté la NTS, a été interpellé, vous avez, enfin interpellé, il s'est rendu de la police, il s'avait marre d'après les renseignements qu'on a eus parce qu'il savait qu'on était sur sa trace. Vous avez des clics qui permettent de remonter à ces jeunes et moi, ce qui me choque dans tout ça, c'est que ces piratages ne sont pas dus à des techniciens extrêmement performants, chevronnés, mais plutôt à des gens qui utilisent des logiciels faits par d'autres, par des gens qui ne sont pas très performants et qui arrivent à des résultats comme celui-là.

Et ce sont aussi des gens très jeunes, vous le disiez, je suis désolée, Pierre Pendalba, on va devoir finir cette discussion, la ligne est trop mauvaise, on vous entend très peu, mais on entendait justement que c'est des profils qui ne sont pas forcément expérimentés. On rappelle que le jeune qui a été interpellé après la cyberattaque de la NTS avait 15 ans et on entend en tout cas justement ces profils qui ne sont pas forcément des accords très développés qui prouvent aussi peut-être que nos systèmes de défense ne sont pas assez développés. Le téléphone sonne se poursuit, on se penche sur ces cyberattaques qui mettent en danger nos données partout, n'étant plus en sécurité nulle part.

Vous pouvez toujours nous appeler au 01 45 24 7000 comme l'a fait Cédric qui nous appelle de l'Aveyron. Bonsoir Cédric. Oui, bonsoir, bonsoir. On vous écoute si la ligne le veut bien. Oui, vous m'entendez bien. Tout à fait, allez-y. Oui, c'est pour revenir un petit peu sur la notion de désurpation d'identité et de tout ce que ça peut générer pour les victimes. Et voilà, il y a des cas qui sont connus.

Les médias en ont fait état pour pas mal et à chaque fois ce qui en ressort c'est que c'est une situation ubuesque pour la victime qui n'est pas reconnue comme victime qui est, sa parole est mise en doute et ça prend des années, des années pour pouvoir retrouver sa légitimité, retrouver, être exonéré de toute fraude et puis donc à un moment donné est-ce qu'il ne faudrait pas non plus qu'il y ait une espèce de consortium entre la protection et la justice pour par rapport à ça faire en sorte que les gens puissent être en tout cas les victimes de cyber vol de données puissent être recevoir un blanc-seing et puis que les démarches soient allégées minimisées pour qu'elles puissent retrouver une quiétude une sérénité dans leur vie parce que c'est infernal quoi c'est insupportable moi si ça m'arrive à moi je pèterais un plomb quoi ce serait insupportable donc à un moment donné voilà comment est-ce que la justice peut se mêler aussi à tout ça pour faire en sorte de reconnaître l'état de victime de cyber de cyber attaque merci pour votre témoignage c'est très intéressant est-ce qu'on peut porter plainte par exemple pour par exemple obtenir des dommagements quand on estime que la personne la société l'administration à laquelle on a confié nos données ne les a pas suffisamment sécurisés Yasmine Doady peut-être alors vous pouvez vous avez la CNIL justement qui fait son travail à ce niveau-là mais on est dans une situation où dans ce cas-là vous auriez donc l'état qui tapera sur l'état vous voyez on est dans une situation un peu complexe malgré tout pour revenir justement sur le témoignage de la personne qui nous a appelé et bien il a tout à fait raison c'est-à-dire que quand on entend les histoires des personnes qui sont victimes d'usurpation d'identité au-delà de l'usurpation en elle-même c'est des années et des années finalement de traumatisme de papier administratif pour bien prouver qu'effectivement on n'est pas la personne qui avons contracté tous les diverses prêts que cette personne a donc effectivement c'est bien pour ça que je donnais les deux éléments au départ vraiment dans les semaines à venir et dans les mois à venir prenez quand même le temps d'aller regarder votre fichier FICOBA je répète sur impots.gouv.fr ça va vous permettre d'identifier peut-être plus vite si un compte est ouvert et d'essayer de faire le nécessaire et pareil d'aller sur la Banque de France pour voir s'il n'y a pas des prêts contractés qui n'auraient pas été payés aujourd'hui malheureusement on n'a pas d'autre solution à part celle effectivement d'avoir une prise de conscience au sein de l'état et potentiellement d'avoir des modifications dans le cadre juridique je laisserai des avocats prendre plus la parole sur cette partie-là mais au vu de la situation extraordinaire il va y avoir potentiellement je pense qu'on va devoir en tout cas mettre à jour certaines choses parce qu'on va devoir accompagner ces victimes qui vont arriver finalement Fanny DeCoster de quel oeil vous voyez la façon dont t'as été communiqué justement par la DGFIP ces fuites de données la façon dont ça a été annoncé longtemps après la cyberattaque et comment c'est encore géré à l'heure où on parle L'annonce a eu lieu après les revendications du cybercriminel puisque que ce soit les agents des finances publiques ou les organisations syndicales ou le grand public personne n'avait été informé et pour cause puisque la DGFIP confirme que s'ils avaient vu l'intrusion au mois de juin ils n'avaient absolument pas identifié l'extraction et le vol de données jusqu'aux revendications du cybercriminel donc c'est ça qui est très inquiétant et c'est là où a priori il y aurait eu quand même une espèce de brèche y compris dans le contrôle qui a été fait puisqu'ils avaient bien vu l'intrusion mais ils n'avaient pas vu l'extraction donc il a fallu attendre les revendications il a fallu attendre les revendications suivantes pour le dossier cadastral et maintenant les successions vacantes donc on sent on subit en fait on a vraiment l'impression de subir on subit ce qui est complètement anormal puisque si on part du principe en plus que l'administration fiscale n'est pas la plus mal lotie en matière d'investissement informatique et de cybersécurité du fait des données sensibles du fisc il faut regarder du coup l'état général de l'état et là ce qui est très inquiétant c'est effectivement cette absence y compris dans le contrôle parce que s'ils n'ont pas pu empêcher la cyberattaque ils ne l'ont pas vue non plus on se dit sans la revendication quand est-ce qu'on aurait vu peut-être jamais peut-être jamais donc on a eu une réunion que moi je qualifierais de crise parce qu'on a bien senti la fébrilité ce matin avec notre administration donc on avait en face de nous la directrice générale des finances publiques et ses directeurs évidemment et oui on sent que voilà ils persistent en plus ils n'ont aucun intérêt de dire qu'ils ne l'avaient pas vue parce que ça ne leur rend pas service je pense et donc on sent une certaine fébrilité et on sent que par contre la situation est prise avec une extrême gravité et qu'elle crée de l'émoi au plus haut niveau de l'état donc d'où cet épilogue et ce tournant dont on parlait tout à l'heure on rejoint Salah au Standard bonsoir bonsoir vous nous appelez de Marseille c'est ça on vous écoute alors moi je suis tout jeune retraité de la banque j'ai travaillé dans une grande banque et qui c'est qui va dans une banque aujourd'hui c'est celui qui a des problèmes et régulièrement ce sont des problèmes d'arnaque ou bien de tentatives d'arnaque dans ce cas présent les vols de données je trouve que c'est relativement simple à gérer en l'occurrence on va être sollicité par téléphone par mail par SMS par les applications ou quoi que ce soit évidemment dans tous ces cas de figure on ne répond pas surtout si on nous dit que c'est urgent surtout si on nous dit que ça part d'argent tout simplement merci beaucoup Salah pour ces bons conseils oui on vous écoute pardon voilà donc voilà moi je fais comme ça et ça se passe très bien et dans le moindre doute on rappelle en cherchant nous-mêmes le numéro de téléphone ça rejoint ce qu'on disait tout à l'heure sur la paranoïa la survigilance on est presque tenté de dire est-ce que pour certains services on n'a pas envie de revenir à du non numérique pourquoi on ne revient pas à du papier par exemple pour les échanges bancaires pour tout ce qui concerne le fils c'est que c'est pas ça la solution la panacée pour éviter les cyberattaques c'est un peu extrême je pense que des gens se posent la question

je pense que ce serait un peu une solution de facilité de se dire que c'était mieux avant tout le papier bon déjà à mon humble avis on ferait un énorme bond en arrière c'est pas du tout bien à un niveau quand même on a aujourd'hui le tout numérique on a parlé un peu d'intelligence artificielle on peut faire des choses assez génialissimes mais le vrai sujet c'est de se dire comment on accompagne cette montée en puissance comment on forme nos jeunes à venir pour que l'utilisation du numérique soit finalement quelque chose qui devienne simple et pas une contrainte et quand on commence aujourd'hui à voir quelque chose comme quelque chose qui nous aide et pas qui nous freine c'est peut-être bien et donc revenir à imaginer un peu si on revenait 10, 15, 20, 30 ans en arrière on avait absolument tout en papier je suis pas très sûr que notre société et surtout la France se t'en auraient bien

et il est encore temps justement d'arranger la situation je voudrais juste redire que la France est quand même numéro 1 en Europe en termes de cyberattaque numéro 2 dans le monde est-ce qu'il est pas trop tard pour simplement dire on va mettre en place des mesures former des gens est-ce qu'on a encore le temps

très rapidement pour la première fois je pense que cet épisode-là va nous permettre de sortir la tête de l'eau c'est peut-être un vrai mal pour un bien parce que la prise de conscience aujourd'hui elle est générale aussi bien au niveau des politiques aussi bien au niveau du corps privé aussi bien au niveau vraiment de la population et c'est peut-être la première fois on aura l'occasion de faire quelque chose et donc moi je vois je suis toujours un éternel optimiste et je vois le verre à moitié plein que de le voir à moitié vide même si parfois c'est beaucoup plus simple de tirer sur l'ambulance

il faut pas sombrer dans le fatalisme Yasmine De Wadi alors moi j'aimerais bien qu'on pousse la réflexion en termes de comparaison parce qu'il existe en France un secteur qui est très bon en matière de cybersécurité qui est le secteur bancaire qui est un très bon souvent qu'on regarde d'ailleurs en tant qu'exemple que ce soit en termes de budget d'investissement de solution de moyens humains et de sensibilisation donc on sait faire je suis pas pour qu'on revienne au papier parce que d'ailleurs je peux vous donner des exemples d'arnaques où vous recevez en fait une lettre avec une carte de crédit dedans et en fait c'est une carte de crédit qui est piégée ça existe aussi à ce point là ça existe bah oui tout à fait donc c'est pour ça que finalement ce serait pas du tout une solution je rejoins Clément à ce niveau là mais je pense que c'est intéressant de regarder ce qui se passe dans le secteur bancaire à se poser la question pourquoi finalement dans des secteurs comme le ministère de l'économie et des finances qui traitent des mêmes données on parle de données financières on n'a pas réussi finalement à avoir le même degré de sécurité donc ne nous voilons pas la face n'essayons pas aussi de contourner la problématique il va falloir comprendre ce qui se passe et puis aussi c'est regarder ce qui se passe dans les secteurs où ça marche très bien le secteur bancaire il est connu pour ça avec une filière cyber en France qui est pas si mauvaise que ça alors qu'on a l'air d'être plutôt mauvais en cyber défense comment on explique ce paradoxe en fait finalement nous on pense clairement que c'est vraiment un problème de choix politique et de volonté politique puisqu'effectivement les compétences elles sont là les talents ils sont là nous on a des informaticiens à la DGFIP qui ont beaucoup de talent et qui peuvent faire pas mal de choses le problème c'est le choix politique et on nous assène dans les médias par la voix des politiques que la France n'a plus les moyens d'eux que les budgets ne sont plus présents pour pouvoir investir suffisamment dans la fonction publique et dans les missions de service public pourtant dans les missions de service public et dans les moyens qu'on y met il n'y a pas que les moyens de rémunération des fonctionnaires ni le nombre d'emplois il y a aussi tout ce pan de cybersécurité d'informatique à mettre en place il faut savoir qu'à la DGFIP les investissements informatiques ne sont pas en baisse c'est clair on est une administration qui investit beaucoup mais la plus grande priorité de l'investissement informatique à la DGFIP c'est l'efficience en langage administratif ça veut dire qu'on investit pour pouvoir supprimer de plus en plus d'emplois c'est pas du tout sur la cybersécurité donc les choix politiques ont un impact fort sur justement des investissements et des méthodes qui marchent très bien qui ne sont pas prises et qui ne sont pas mises en place oui c'est pas qu'une question de moyens il y a aussi une façon dont on fonctionne et de volonté politique tout à fait Domingo peut-être vous vouliez réagir justement sur ça

ce qui était dit c'est assez intéressant on se comprend quand même avec aussi j'imagine que petit à petit l'administration fiscale aussi viendra avec l'intelligence artificielle que c'est assez génialisé alors qu'on oublie que le maître mot ce qui est au centre même du puzzle c'est l'humain et tant qu'on ne mettra pas l'humain et donc ce qu'on fait avec Yasmine ce qu'on fait avec d'autres professionnels on a parfois l'impression que c'est très numérique que c'est pas du tout palpable alors que l'humain est au coeur et donc tant qu'on ne mettra pas l'humain au coeur vraiment de nos sociétés dans notre société numérique on courra vraiment à notre perte

vous parliez de l'IA est-ce qu'on peut avoir peur quand même que ces cyberattaques s'aggravent parce qu'on entend parler avec l'intelligence artificielle d'IA qui sont capables de hacker d'attaquer même les systèmes de défense les plus poussés est-ce que ça on doit le redouter ou justement est-ce que ça doit nourrir finalement notre optimisme sur il faut qu'on agisse

je pense qu'il faut plutôt être serein par rapport à ça certes l'intelligence artificielle et en 2023 c'est absolument pas ce qu'on a pu connaître en l'espace de 6 mois par rapport à son évolution d'ailleurs lorsque le ministre David Amiel parle d'une cyberattaque sophistiquée je suis désolé c'est pas du tout ce qui est arrivé à la DGFIP une attaque sophistiquée une attaque sophistiquée vu que vous parliez un peu d'intelligence artificielle c'est ce qui est arrivé il y a quelques semaines de ça chez OpenAI lorsque ils ont dans leur laboratoire une IA qui s'échappe de son bac à sable qui se connecte à internet va pirater une autre entreprise revient dans son bac à sable résout l'exercice là on est vraiment sur des choses beaucoup plus avancées par contre on a aussi vu ce qu'il est aujourd'hui capable de faire avec les fameux agents IA ou le travail d'une personne où les attaques sont exponentielles d'ailleurs aujourd'hui vous savez lorsque l'on découvre une attaque il y a déjà son mode opératoire alors qu'avant ça demandait des semaines ce qui est sûr et certain si on continue d'avoir le même niveau de sécurité en tout cas actuel peut-être qu'on a là pour le coup du souci à se faire

on va filer au standard bonsoir Marlène oui bonsoir qui nous appelle des Deux-Sèvres on vous écoute

donc moi j'ai appelé pour une suggestion et une attente en fait en tant que citoyenne je suis très demandeuse de formation sur la cybersécurité et le numérique en général et je trouve qu'il y a vraiment des lacunes alors je ne suis pas en électronisme mais je ne suis pas non plus une experte donc voilà et je trouve que quand même en tant que citoyen on est un petit peu livré à nous-mêmes c'est pas comment dire on a des maisons France Service qui proposent des accompagnements pour des démarches numériques mais c'est vraiment basique c'est pas de la formation qui permet ou de l'accompagnement qui permettrait aux citoyens d'être autonomes et de comprendre ce qui se passe en fait

Merci Marlène pour votre témoignage très rapidement il faudrait institutionnaliser des formations à la fois pour les particuliers mais peut-être aussi pour les entreprises et les administrations Yasmine Doady Absolument absolument j'irais même plus loin pas juste en fait pour les collaborateurs dans une entreprise mais de la même manière qu'aujourd'hui on a des cours d'éducation civique dans une école j'estime que dès que vous avez un téléphone et un ordinateur en France l'âge moyen d'accès au téléphone malheureusement c'est 9 ans et demi donc c'est très jeune vous êtes susceptible d'être à risque dans l'espace numérique et vous devez avoir une compréhension de ce que vous êtes en train de faire donc j'estime qu'on devrait aujourd'hui pour tous les citoyens mettre en place en fait des cours d'éducation civique dès le plus jeune âge pour former justement les prochains collaborateurs qui rentrent sur le marché du travail et qui vont d'ailleurs travailler pour des entreprises et qui vont permettre de sécuriser tout que ce soit des entreprises ou des citoyens donc oui moi je pense qu'il faut que c'est quelque chose qui doit être impérativement mis en place au vu de l'actualité et des deux côtés à la fois quand on est citoyen et qu'on se dit attention ce mail je ne cliquerai pas sur le lien et quand on est dans une entreprise et on dit peut-être attention il faut renforcer ces systèmes de sécurité merci beaucoup Yasmine Douaddy experte en cyber sécurité d'avoir répondu à nos questions ce soir Clément Domingo à la Saxe hacker éthique et experte en cybercriminalité Fanny De Coster de la CGT Finance Publique inspectrice des finances publiques dans le secteur professionnel et puis on remercie aussi Pierre Penalba qui était avec nous en ligne ancien chef du groupe de lutte contre la cybercriminalité de Nice merci à toute l'équipe du Téléphone Sun Benjamin Ducy Mathias Dubois artiste piqué à la technique ce soir Mélissa Etrois et Lucas Lecouste et merci à Emma et Théophile au standard cette émission est à réécouter quand vous le souhaitez sur l'appli Radio France votre soirée se poursuit sur France Inter avec un nouvel épisode d'Espions une histoire vraie mais d'abord la question des petits bateaux Bonjour

je m'appelle Valentin j'ai 7 ans et j'aimerais savoir pourquoi les tournesols se dirigent-ils vers le soleil et pas les autres fleurs

bah oui pourquoi la réponse juste après le journal voilà Sous-titrage ST' 501