CYBERDÉFENSE : IL SÉCURISE LE TÉLÉPHONE DU PRÉSIDENT DE LA RÉPUBLIQUE… SES MEILLEURS CONSEILS

Bonjour tout le monde et bienvenue sur Légende. Aujourd'hui, notre invité s'appelle Arthur Bataille. Il est à la tête d'une des plus grosses boîtes de cybersécurité au monde. Est-ce que tout le monde peut être menacé et être hacké sur le téléphone ? Tout le monde peut être attaqué parce qu'aujourd'hui il y a des robots. Il y a aussi les chiens robots qui peuvent être contrôlés à plusieurs milliers de kilomètres. On montrera tout à l'heure un chien comme ça. [musique]

[musique]

Si on va le rattraper, ça va. Et donc il y a des versions militarisées qui a un pistolet posé dessus, une gâchette numérique. On pourrait [musique] continuer de choisir de le blinder, de le charger et autres. Tu t'es retrouvé un jour à sécuriser le téléphone du président ? Ouais. Bah il est complètement changé, il est complètement modifié, il est [musique] adapté pour bah un usage d'un président de la République. Mais donc tu as accès aux infos. Bonjour tout le monde et bienvenue sur Légende. Aujourd'hui notre invité s'appelle Arthur Bataille. Il a la tête d'une des plus grosses boîtes de cybersécurité au monde.

Il bosse notamment pour tous les ministères français, des gros groupes industriels de la défense française. Et il bosse aussi pour des sociétés, des PME. Il fait tout ce qui est cybersécurité au sens large, mais aussi la red team, c'est-à-dire il peut rentrer physiquement dans une société pour montrer les failles de sécurité. va nous expliquer tout ça. Donc émission spéciale sur la cybersécurité française. Vous allez voir, on va tout à l'heure montrer des objets, la nouvelle technologie qui permet de sécuriser aujourd'hui les bâtiments et cetera avec notamment des chiens robots qui ont été militarisés pour certains qui sont qui est possible de militariser. Il va nous montrer tous ces objets.

Il aura une autre société qui viendra nous montrer ça tout à l'heure aussi. En tout cas, juste avant de commencer cette émission sur la cybersécurité, abonnez-vous à notre chaîne YouTube juste avant de commencer, en 2 secondes, ça nous aide vraiment parce que plus vous êtes nombreux, plus on peut avoir d'invités exceptionnels comme Arthur Bataille aujourd'hui. Euh en tout cas, voilà, vous pouvez vous abonner en 2 secondes, hésitez pas à commenter l'émission, à la liker puis à mettre la petite cloche pour être au courant. On vous met trois interviews au documentaires par semaine le mercredi, le vendredi et le dimanche.

Et en podcast audio Spotify 10h sur Apple Podcast et sur Amazon Podcast, on vous met la version sonore pour écouter en podcast audio. Si vous êtes en train de courir, de faire du sport ou dans les transports, pouvez nous écouter comme ça directement juste en audio. En tout cas, merci à vous he de faire de légendes, premier podcast de France. C'est parti maintenant avec une émission spéciale sur la cybersécurité avec Arthur Bataille qui a créé la société Never Hack sur les gendes. On y va. Bonjour à tous, je suis Arthur, je suis ingénieur, j'ai 36 ans et je suis le dirigeant et le fondateur de Neverack.

[musique]

Bienvenue Arthur. On parlait de cybersécurité. Tu as monté une boîte que tu as, je crois racheté à tes parents, c'est ça ? Où tu as fait évoluer une boîte ? Oui, c'est plutôt ça. J'ai travaillé dans une structure que mes parents avaient fondé en 83 qui s'appelait Silicom. Et j'ai transformé cette structure en 2014 parce qu'elle était dans une situation qui était pas extraordinaire et je l'ai repositionné sur le segment cyber qui était les histoires que ma mère me racontait le soir pour m'endormir, les histoires d'espionnage, de cybersécurité euh et derrière bah tout c'est tout s'est propulsé par la suite avec des levées de fond qu'on on pourra en discuter.

On va parler, on va parler parce que je crois que j'ai noté, tu sécurises le téléphone du président qui fait des trucs assez incroyables. Tu passes beaucoup avec les armées, avec des ministères, avec des services et avec des particuliers aussi. Tu fais ça pour tout le monde ? On fait ça pour tout le monde surtout depuis que la sphère entreprise a bougé dans la sphère personnelle des individus. C'est-à-dire que aujourd'hui les gens travaillent depuis chez eux. Donc on a des VIP pour lequels on va augmenter leur niveau de sécurité pour qu'ils puissent travailler dans les bonnes conditions tout en ayant accès à des données plutôt confidentielles des sociétés.

Là aujourd'hui vous êtes plus de 1000 dans ta boîte. On est plus de 1000. 11 pays. Tu as 36 ans. C'est bien. C'est félicitations. Attends c'est important. C'est vous êtes passé je crois de 200 à 1000 personnes rapidement. On a fait x 10 en 3 ans de entre 2021 et 2024. Euh parce que c'est un sujet la cybersécurité, c'est un sujet. Ça s'est accéléré suite au Covid. Ça a toujours été un sujet he parce que dans les années 90 déjà quand il y a eu l'avèement d'Internet des connexions à distance, il y avait ce problème de sécurisation évidemment dans les com militaire, c'est comme ça d'ailleurs que tout avait commencé hein, c'est sécurité des protocoles de communication, défense.

On a toujours eu ce problème de sécu, on va dire un buzz word depuis que bah tout le monde est sur internet, tout le monde partage les données, tout le monde a des secrets et veut protéger ses secrets. Juste euh en deux mots, qu'est-ce que c'est que la cybersécurité pour si vous n'y connaissez absolument rien chez vous, qu'est-ce que c'est ? La cyber, c'est l'art de protéger les secrets et de faire en sorte que les gens puissent accéder à ces secrets, mais seulement ceux qu'on qui sont autorisés.

Euh donc c'est en gros construire des protections, des murailles autour du secret, de le de l'enfermer très précautionneusement et d'être sûr que en fait l'individu qui va avoir accès à ce secret, il a été autorisé par par la société qu'il va pas y avoir un vol d'information et tout ça c'est notre métier, c'est de réussir à protéger, à défendre le système et parfois à le reconstruire. Je je sais que tu donc tu bosses pour des entreprises et tu t'es retrouvé un jour à sécuriser le téléphone du président. Est-ce que tu peux expliquer ce que tu as fait dessus ? Comment ça se passe ?

Alors, de manière très simple, euh on a euh des projets qui sont euh réalisés pour le compte de clients, notamment euh des grands industriels. Et là, c'était un programme qui a été développé avec l'Agence nationale de la sécurité système d'information, l'ANSI, euh pour mettre en place des protocoles de sécurité pour durcir le système, le logiciel du téléphone du président, celui qui sert à des communications confidentielles. Donc, c'est un système Android parce que ça marche pas sous Apple, on n pas la capacité. Il a pas d'iPhone le président.

On peut pas trop donner le truc pour il a il a il a sûrement un iPhone mais pas pour en tout cas les communications qui sont dites sensible confidentiel, il utilise pas ce genre de d'outil. il il a un téléphone qui durcit et qui permet euh d'avoir par exemple une discussion avec un ministre, avec un chef d'étatmajor euh au niveau des armées. Attends alors parce queon a eu Sébastien Lecorn, on a parlé de l'ANC justement à l'époque où il était encore un ministre des armées, il est venu sur le fauteuil nous raconter ça.

Tu es en train de dire en fait que euh enfin c'est une question est-ce que euh on a plus de risque de se faire pirater si on est sur Apple ou c'est parce que là c'est le président de la République c'est encore un niveau du au-dessus ? on a plus de risqu on a plus de risque sur Apple euh si on est le président de la République. Par contre, pour un individu, c'est un peu près équivalent. Euh il y a des vulnérabilités dans les logiciels, que ça soit sur Apple ou sur Android. Après, le fait de mettre en place des protocoles de sécurité pour verrouiller la machine, pour augmenter le nombre de murailles, c'est un coût et c'est pas c'est pas des choses qui sont données à du grand public.

Mais ce qu'il faut comprendre, c'est qu'Apple, c'est un système qui est complet et que quand on déverrouille l'accès à un système comme Apple, on a accès à tous les toutes les applications et il y a des adhérences partout. Donc on a accès par exemple à la messagerie. Donc là, pourquoi on fait appel à toi ? Pourquoi d'un coup tu te retrouves avec le téléphone du président dans les mains ? Bah parce que globalement il a besoin de communiquer. Euh donc on peut pas se dire qu'on verrouille tout et qu'on a on s'abstient de d'avoir des moyens de communication avec du passage de données, avec des capacités à avoir accès ne serait-ce qu'à sa messagerie, à ses mail.

Euh et nous on a des des compétences, on a des ingénieurs qui sont spécialisés dans le domaine, qui se sont formés, qui se sont entraînés et qui comprennent la mécanique des attaquants pour faire en sorte bah de verrouiller toutes les portes d'entrée. Donc en gros, leur métier, c'est de trouver quelle porte peuvent être utilisée, quelle serrure peut être crochetée, quelle faille en fait quelle faille, quelle vulnérabilité et derrière bah de la combler ou en tout cas de ralentir au maximum l'attaque pour qu'elle puisse être détectée. D'accord. Et donc tu vas faire quoi avec ce téléphone ? Du coup là, tu tu fais ça, c'estd que tu le décortiques, on va dire. Mais donc tu as accès aux infos.

Il faut avoir une sacrée confiance pour filer son téléphone. Ah, il est vierge au départ. Ah, il est complètement vierge, évidemment. On a aucune information. Nous, on a un téléphone vierge que l'on paramètre, que l'on configure et on verrouille toutes les tous les accèss, puis après on le donne au président et aux équipes directement de sa en charge de sa protection et c'est lui, il va l'utiliser. Mais nous, on n pas accès à ces données. Et donc, qu'est-ce qu'il y a de particulier ce téléphone ? à part il a une couche supplémentaire en gros de CQ, il a un système d'exploitation qui est complètement modifié.

C'est-à-dire qu'on est parti d'une d'une base qui est le système d'exploitation Android et le nouveau système d'exploitation euh que l'on a développé euh avec les équipes, bah il est complètement changé, il est complètement modifié, il est adapté pour bah un usage d'un président de la République. Donc dans ta boîte, tu as des hackers, tu as des euh en ce qu'on appelle des hackers, tu as des codeurs aussi qui éc J'ai des éthiques à la hackeur. Alors parce que c'est c'est important de le préciser, on fait pas du hacking sans autorisation. King, c'est mal vu. Quand on dit Hing, ça fait Ouais, ça c'est c'est notre métier, hein.

Mais notre métier, c'est de le faire dans un dans un objectif, on va dire positif pour l'entreprise de défense, de protection, pas dans une un objectif de récupération de vol de données. Là, là, on parle du téléphone du président de la République. Est-ce que tout le monde peut être menacé et être hacké sur le téléphone ? Ça dépend de ce que vous faites en fait. Si tu as un métier euh sensible, que tu es une personnalité publique, évidemment, bon, par exemple, quelqu'un comme toi, euh tu peux être sujet à ce type d'attaque.

Euh si euh en fait, il faut prendre en considération que tout le monde peut être attaqué parce qu'aujourd'hui, il y a des robots euh qui fonctionnent sur internet, donc complètement des procédures automatisées qui vont essayer de trouver des vulnérabilités et de récupérer un maximum d'information. Et c'est des attaques de masse. Pourquoi faire ? Bah alors, il y a trois sujets. Euh l'argent, c'est le premier, les gens veulent veulent gagner leur vie. C'est des structures très organisées d'ailleurs. Le sujet 2, c'est le pouvoir.

C'est avoir une capacité de pouvoir de d'avoir une capacité de pouvoir négocier des avantages, faire perdre un marché à un état, faire perdre un marché à une entreprise, avoir un moyen de pression. Un moyen de pression. Exactement. La reconnaissance un peu la fame fait de dire "Regardez, je suis je suis une méga star." Alors, ils vont pas donner leur nom, ils vont pas donner leur adresse, hein. Mais dans le petit monde du hacking sur les réseaux, ils vont ils vont être très heureux de d'expliquer leurs exploits, de dire que bah ils ont le truc bête, c'est j'ai attaqué la NASA. Alors, heureusement Oui, c'est moi qui a fait sauter le site. C'est moi qui voà exactement ça.

Ils sont très heureux de de d'avoir cette dynamique là. Et après, il y en a une 4rième catégorie qui alors là est très complexe. C'est un peu comme dans Batman Dark Knight, c'est le Joker, c'est le mec qui fait ça juste pour détruire. Il y a aucun intérêt. Juste méchant quoi. Juste méchant. Malveillant. juste une vision de se dire je vais créer un incident dans les hôpitaux. Les gens qui ont fait dans les hôpitaux, ils ont pas gagné d'argent, ils ont fait juste du mal. Est-ce qu'il y a des application qu'il faut éviter de mettre sur son téléphone pour se faire géolocaliser, se faire hacker plus facilement ? Est-ce qu'il y a des applications connues ? Toutes, c'est vrai.

Oh mais toutes, c'est horrible. Euh qui lit les conditions générales d'utilisation et de vente ? Personne. Et pourtant, on donne accès à toutes ces données. On en a parlé beaucoup lorsque le gouvernement avait mis en place la solution pour le Covid. Euh finalement les gens protestaient contre la capacité à pouvoir géoccaliser les individus, mais on le fait toute la journée même avec Candy Crush. Et c'est là où il y a il y a un vrai problème, c'est que les gens ne se rendent pas compte à quel point il communiquent de la de l'information. Mais c'estàd quelle information ?

Je sais que Strava par exemple pour donner un exemple qui a été enfin qui est concret, je crois que c'était autour du président de la République Emmanuel Macron. Il y avait donc le GSPR, les gens qui le protègent, le groupement de sécurité de la présidence publique et et donc il mettait Strava qui est une application qui te permet d'avoir tes données quand tu cours, savoir combien de temps et cetera et en fait bah du coup les mecs étaient géolocalisés jusqu'à chez eux et c'estd queen fait le problème c'est que tu savais où chaque membre de du GSPR habitait hyper dangereux.

Si après tu veux les retrouver, mettre de la pression sur leur famille pour accéder au président et c ça peut être dangereux. Pierre, le trajet du footing du président qui était sur ce travail et qui était potentiellement accessible. Euh tous ces objets connectés typiquement ont une capacité montre connecté à vo tous ces objets connectés, ils donnent ils divulguent les informations, ils sont stockés sur des serveurs distants et pas forcément en France, ça peut être potentiellement en Russie, en Chine ou aux US et ça c'est une mine d'or pour les attaquants.

Toi qui a une très grosse boîte de cybersécurité, est-ce que tu parles avec ton téléphone dans la pièce quand tu parles avec des collègues de boulot sur lesquels avec qui tu travailles sur ces sur ces sujets là, pardon. Est-ce que tu peux te retrouver à sortir ton téléphone de la pièce ou est-ce que tu le laisses dans la pièce ? Non mais bien sûr. Alors donc discuter dans un cadre travail euh où il y a des endroits où on est il y a pas de téléphone. Donc par exemple, je vais voir certains clients, je je laisse le PC, je laisse le téléphone à l'extérieur et il a pas le droit de rentrer même dans l'enceinte même du client parce que évidemment c'est des objets qui sont ultra surveillés.

Et puis c'est très simple he de d'attaquer un téléphone. On va le montrer tout à l'heure. Je crois que tu voulais montrer quelque chose. Je ne sais pas ce que c'est mais je sais qu'il y a un rapport avec hacker un téléphone. Tu voulais montrer quelque chose d'assez incroyable. Et tout à l'heure, on montrera un objet aussi. On a demandé à une boîte de CQ qui fait la technologie parce qu'il y a plein de nouvelles technologies qui arrivent pour montrer tout ce qui peut se faire aujourd'hui en sécurité, cybersécurité avec l'intelligence artificielle avec tout ce qui arrive. Ils ont des chiens robots. Alors les chiens robots, on en a déjà vu sur internet.

Il y a une version militaire qui est arrivée. Je crois qu'il y a Boston Dynamic qui fait ça aux États-Unis. des robots. Ils ont une version militaire qui s'appelle Scopex si je dis pas de bêtises. Et je sais qu'il y a des chiens, je crois par exemple Donald Trump a des chiens dans sa propriété qui tournent autour dans le jardin tout le temps avec reconnaissance faciale, ils savent qui est dans le jardin en temps réel et s'il est pas sur le fichier des de la famille, des mecs de sécu, des amis qui doivent venir, une sorte de trombinoscope, et ben dans ce cas-là, ça déclenche une alarme et cetera. C'est quand même hyper bien fait. On montrera tout à l'heure un chien comme ça.

Euh je sais pas si tu as déjà vu toi, ils peuvent même faire des vous allez voir des des ils peuvent marcher sur deux pattes sur une patte. C'est que si vous tirez dessus avec un fusil, par exemple, un méchant tire dessus avec un fusil, bah il pourra toujours partir sur une balle. C'est quand même bien fait quoi. On va Ça m'a donné l'idée de me dire que j'allais le mettre au prochain CTF. CTF, c'est les Captures de Flag qu'on organise dans le cadre d'événements cyber et on en organise un en partenariat avec Naval Groupe euh dans le sud de la France, près de Toulon et je pense qu'on va on va faire jouer les jeunes éthiqu à cœur sur le chien pour essayer de voir s'ils arrivent à le pirater.

Ça peut être sympa. Pardon pour finir sur ce sujet n'est pas fini. Tu as commencé à parler de Candy Crush ? Ouais. Euh qu'est-ce qu'on donne à Candy Crush quand on lit pas les conditions générales de vente ? Tu as raison. C'est pas possible de les lia. Il y a ça devrait être interdit d'ailleurs. Il devrait y avoir 10 points seulement tu sais de tout résumer en 10 lignes parce que en fait c'est du foutage de gueule. Parfois tu as 90 pages. Ouais. Alors c'est c'est aussi là le problème des réglementations, c'est comme elles sont complexes, elles oblige à mettre beaucoup de pages hein.

C'est notamment tout le tout le règlement général de protection des données, tous les enjeux autour de l'acnil. Je pense que ce que donc déjà ce qu'on donne c'est données géolocalisation, c'est toutes les applications qu'on utilise, c'est les URL que l'on consulte. Donc c'est notamment pour les sites marchands, ça permet de faire des du hook du haonage pour récupérer les informations sur le web. Euh et on donne aussi l'accès à ses contacts parfois et ça c'est plus beaucoup plus grave parce que du coup les sites marchands ou même d'autres organisations peuvent récupérer ses contacts pour faire des liens et des corrélations.

Donc il rentrent dans ton téléphone, ils prennent tes tes on leur donne l'accès. On dit oui. Donc quand on donne accès à une application une fois qu'elle a l'accès, elle a le la capacité, le pouvoir d'avoir toutes les informations sur les applications connex qui sont qui sont notées dans la liste des applications suivies. Même quand tu mets demandé à l'appli de pas me suivre, il y a ce trucl qui apparaît maintenant. Oui.

Alors, ça c'est des protections qui ont été mis en place par les fournisseurs de téléphones, les donc Apple et Android, Samsung, il faut peut-être pas trop que je fasse de pub mais Apple a vraiment cette politique pour le autour du client de vouloir sécuriser et de donner la possibilité au clients de bloquer notamment tout ce qui est hou sur Safari donc qui est aujourd'hui mis en place. Après tout ça c'est ça se contourne et les applications à partir du moment où elles ont fait signer l'utilisateur les données des droits, elles peuvent contourner ce genre de de politique.

Et les et les cookies euh on arrive sur un site, on va parler concrètement de ce que tu as fait après, mais je profite que tu sois là parce que je pense c'est des questions que tout le monde se pose. On arrive sur un site aujourd'hui, parfois c'est abusé vraiment, il y a des mecs en profit, il y a des sites, vous l'avez sûrement vu et ben ils te disent soit tu acceptes les cookies, soit tu t'abonnes. Donc ça, tu l'as voilà. Euh et sinon, tu peux aller parfois choisir certains cookies, mais c'est pas très clair. Il y a marqué seulement les cookies nécessaires. Tu enfin, on sait pas trop ce que ça veut dire en réalité.

Le seulement les cookies nécessaires, c'est seulement les cookies que dont j'ai besoin pour pouvoir faire des opérations marketing, euh d'avoir une capacité euh derrière de faire de la conversion des utilisateurs sur le site web parce que les sites web objectif he c'est que l'utilisateur derrière il fasse une opération, un achat ou même direction. Il y a un but économique. Quand c'est gratuit, c'est que c'est toi le produit. Exactement. Exactement. Et le cookie, c'est vraiment le moyen de monétiser.

Le cookie, c'est juste une information qui va qui va se partager entre les sites web pour avoir une capacité entre les différents sites web de savoir si la personne a visité telle page ou telle page et après avoir des rémunérations croisées. C'est tout. Donc le cookie globalement, c'est une opération marketing et aujourd'hui je je donne un chiffre un peu au hasard mais qui qui donne entre guillemets un ordre de grandeur. Je pense qu'il y a moins d'un % des sites web qui respectent réellement les politiques de cookie. Ah ! Ouais. C'est c'est vi rien à faire quoi. Ouais mais même nous on s'est planté.

Même nous on s'est planté quand on a commencé à faire du gros hacking vouloir faire de l'acquisition de de d'utilisateur de masse pour la partie formation. Grossacking c'est le pour grossir. Ouais ouais. On on donc la capacité à pouvoir essayer d'attraper des gens pour leur proposer notre offre de de formation de cyberentraînement grand public. On a eu ce ce ce problème d'utiliser des solutions de marché qui en fait respectent pas la loi quoi. Et malheureusement bah enfin heureusement pardon peut pas se permettre de faire ça à nous. C'est notre métier. Est-ce qu'il faut nettoyer son ordi quand tu valides à chaque fois les cookies, les cookies, les cookies ?

Je sais pas au bout d'un moment, tu en as combien sur ton ordi quoi ? G parce que ça fait des années, je pense que ça existe ce trucl. Ça fait des années que tout le monde met accepté parce que tu veux, je regarde un truc, du coup tu dis bon allez, il y a toujours un jour où tu as pas le temps, tu dis bon allez, tu montres quelque chose à quelqu'un, tu appuies sur tout accepter. Ouais, bien sûr. Est-ce qu'il faut nettoyer de temps en temps même son téléphone ? C'est fait partie de la l'hygiène numérique. Ça fait c'est les grandes pratiques.

C'est ce qu'on incul que d'ailleurs à nos clients quand même d'ailleurs dans toutes les sphères hiérarchiques, on leur explique comment avoir une hygiène numérique. Donc nettoyer son ordinateur, ça fait partie des des sujets. Ne pas communiquer son adresse mail professionnelle pour accéder à des sites, ça fait partie des sujets. C'est un c'est un gros problème. Aujourd'hui, par exemple, un utilisateur peut peut prendre son adresse mail professionnelle pour s'abonner à une newsletter. Et ça c'est une information qui normalement n'est pas de la sphère privée, n'est pas de la sphère parce que parfois tu es rajouté sur des newsleters où tu t'es jamais inscrit.

Moi ça m'arrive tout le temps de recevoir des mails de trucs et je me suis jamais inscrit sur parce que tu t'es inscrit peut-être une fois sur un truc une newsletter qui a été revendue, le fichier client a été revendu et puis se revendre parce que tu as encore une fois accepté les conditions générales dans Candy Crush qui disait qu'ils avaient le droit de vendre leur fichier client. et ouais hyper intéressant ça. Est-ce qu'ils font un VPN ? Souvent on parle de VPN, ça c'est une bonne idée. Oui, c'est une bonne idée. Oui. Déjà c'est le premier truc qu'on fait quand on met en place la sécurité au niveau des entreprises, hein. C'est sécuriser les points d'accès.

Le VPN pour VPN, c'est changer de localisation ta connexion en gros. Ah non, par exemple, je dis mal mais j'essaie de Ouais. Ou ouis. Non non, moi je dirais plutôt c'est c'est créé un un chemin blindé complètement opaque entre son point de connexion, son terminal et le site distant qu'on va le regarder. Et donc c'est-à-dire qu'en gros, on a le un utilisateur extérieur va pas être capable de regarder à l'intérieur de de ce chemin pour aller voir l'adresse de destination. Maintenant, on passe, ça fonctionne avec des histoires de rebond.

Donc on peut se utiliser un VPN qui va se connecter sur une borne wifi derrière aller se connecter à un point d'accès distant qui peut être dans un autre pays et ça permet de contourner notamment des restrictions gouvernementales. Mais il y a plein de gouvernements qui aujourd'hui arrivent à bloquer les VPN et empêchent l'usage de ces VPN pour protéger les entre guillemets la sécurité nationale. Question simple, je pense réponse compliquée mais je te la pose quand même. Comment est-ce qu'on peut savoir si on a été piraté sur notre téléphone ou s'il y a quelqu'un qui a accès à notre téléphone portable ? Est-ce qu'il y a moyen de savoir ou en tout cas avoir une idée assez facilement ?

Alors, il y a un moyen, c'est de c'est une analyse he ce qu'on appelle du forensic. Donc on va aller chercher, on va aller trouver des preuves potentiellement de logiciels malveillants qui ont été installés sur le téléphone. Après, il y a des signes. Les signes, c'est évidemment quand le téléphone commence à ralentir, que il y a des bugs, des du des échauffements du téléphone qui sont répétés, c'est des signaux qu'il y a quelque chose qui tourne.

Alors ça peut être un espionnage ciblé quand on est une personnalité à risque et ça peut être aussi juste un espionnage d'une application qui tourne derrière et qui d'ailleurs va prendre beaucoup de données pour faire en sorte de les transmettre à des usages marketing. Un téléphone qui chauffe, ça peut être ça. C'est pas forcément ça parce que parfois il juste des vieux téléphones qui qui l'iPhone par exemple il y a quelques années supportait mal la charge un peu rapide et Oui. Après mais ça peut être un signal quand le téléphone est neuf et que ça ça fait ça au bout de 1 an, faut quand même se poser la question. Après, il y a aussi euh communication téléphonique.

Il peut y avoir euh des problèmes de de routage euh de la communication. Donc, par exemple, on entend une voix derrière, c'est un mauvais signe. C'est ça veut dire que peut-être il y a quelqu'un qui a qui a installé un logiciel, tu entendes deux conversations, tu veux dire ? Ouais. Donc du coup, c'est pas la personne qu'on entend qui écoute, c'est potentiellement une communication du de d'à côté qui est elle aussi s sur écoute. donc ça le alors tu tu viens de parler d'un truc, tu as dit forensic pardon mais je sais pas si on sait ce que ça veut dire. Ça veut dire quoi ?

Et comment si jamais vous avez un téléphone qui chauffe, vous avez un boulot sensible, vous travaillez avec quelqu'un de sensible ou vous êtes, je sais pas dans Ouais. dans dans dans la politique à tout niveau, dans une dans une dans une ambassade, peu importe. Bon, j'imagine qu'il y a des services qui font ça, mais imaginons que vous travaillez dans un truc un peu sensible. Ça veut dire quoi forensic ? Et où est-ce que tu vas pour te faire nettoyer ton téléphone ? Typiquement dans les entreprises comme nous, euh vous le faites ça, il vous appelle juste pour un nettoyage de téléphone ? Ah ben en fait, on travaille pour des sociétés, des grands groupes ou même des des ETI.

un peu sensible euh qui du coup ont besoin de contrôler et de vérifier et on a parfois des VIP qui nous donnent le téléphone et qui nous demandent de faire des investigations parce qu'en fait le forens 6 c'est juste mettre en place un accès au téléphone à son logiciel et regarder la manière dont il se comporte et de voir s'il y a par exemple une fite de données vers l'extérieur. C'est ça le principe. Et ça déjà arrivé d'en trouver ? Bien sûr. Ah ouais, mais bien sûr. Mais il y a même des des fois où on achète des équipements, on fait euh des phases d'homologation, c'est-à-dire qu'on va vérifier, on va contrôler si l'équipement fonctionne bien.

Et sauf que quand on le met en fonctionnement normal, c'est-à-dire qu'il est dans son vrai mode de fonctionnement, c'est là où il va envoyer des données. Typiquement, c'est ce que a fait HW avec des équipements euh chinois qui ont été installés sur des réseaux. Et quand on faisait les analyses, on arrivait pas à trouver parce que c'était dans les couches très basses. Euh les ingénieurs cyber n'arrivaient pas à trouver comment dire des les logiciels espion et c'est seulement quand il y avait un trafic normal que le le la mécanique de de transfert de d'information de fuite de données se mettait en place et pour les équipements réseaux c'est compliqué.

Et par exemple si tu achètes là tu dis donc une marque chinoise tu achètes une voiture chinoise est-ce qu'il faut se méfier des connexions de brancher son Bluetooth dessus ? Est-ce que ça peut renvoyer l'information quelque part ? Alors oui, bien sûr, mais encore une fois, c'est toujours la problématique de catégorie euh d'individus, c'est-à-dire que si on n' pas une personnalité à risque euh quand bien même on envoie toutes ces données, ces informations même sur le logement euh si c'est pas une donnée qui est confidentielle, on s'en moque que ça ça arrive en Chine. Faut faut être très clair.

Après, pas de logici qui peuvent tourner avec Lia et écouter tout ce qui se passe dans les voitures et renvoyer. Ça coûterait trop cher. Il il en fait il ils le feraiit. Ils savent bien sûr qu'ils peuvent le faire, mais ils ne le feront pas sur des sur une manière masse. Ils vont le faire très ciblé parce que sinon le prix va être démentiel. Je voulais juste dire un chiffre avant de commencer. En 2024 les attaques cyberes ont augmenté de 15 % en France. Beaucoup en une seule année par rapport donc à l'année d'avant. Donc c'est l'ANC d'en parler l'Agence nationale de la sécurité des systèmes d'information. On a reçu à l'époque un garçon qui s'appelait Sylvain Ageri.

Je sais pas si tu vois qui c'est qui qui a un hackeur éthique qui est venu dans l'émission parler. disait que la plus grosse faille de sécurité c'était nous les humains. Tu confirmes ça ? Bien sûr, c'est euh c'est on va dire 9 fois sur 10, c'est toujours l'humain qui est au centre qui a fait une connerie, enfin une erreur. Oui. Mais même mais même d'ailleurs de base parce que bon, on parle de l'humain qui va cliquer mais à l'origine les vulnérabilités, c'est souvent des choses qui ont été laissées par des développeurs, par les gens qui ont qui ont mis en place la solution et qui ont laissé une porte ouverte. C'est ça le le la réalité.

Il y a une vulnérabilité réseau qui est liée au détournement d'un outil réseau qui a été développé pour retrouver les équipements perdus. Alors ça paraît fou hein comme ça mais dans les grandes entreprises, on déploie des équipements et parfois on perd l'équipement, on sait plus où il est. Et donc pour le faire pinguer, pour le faire biper comme pour retrouver son téléphone dans une pièce, il y avait un outil. Il y a un outil qui permet de retrouver cet équipement. Bah ce cet outil-là, c'est ce que utilisent les 99 % des attaquants pour faire un scan réseau et récupérer toutes les informations des adresses et commencer à faire leurs opérations d'attaque pour rentrer dans le système.

Ce que vous faites quoi chez Neverack ? C'est quoi par exemple on parle de nettoyage de téléphone, tu fais quoi d'autre dans les grandes lignes hein ? Tu vas pas pas expliquer ? On met de des en place de la sécurité sur les infrastructures réseau système. Donc c'est-à-dire que par exemple on va protéger le wifi de l'entreprise systèm même sur les PME du coup sur les petites boîes. Ouais. Bien sûr. Alors après, c'est aussi une question de moyens mais mais aujourd'hui tout le monde est concerné euh et on on arrive justement à avoir des offres qui sont adapté à n'importe quelle taille d'entreprise.

Le niveau de sécurité pour un grand groupe du CAC 40, c'est pas le même que pour la PME du quartier. Après aujourd'hui, tout le monde est concerné, il y a des petits forfaits entre guillemets, des très gros forfaits pour le K40. Et donc je mettrai le lien si ça vous intéresse de tu peux toujours vous pouvez vous renseigner pour regarder. Je vous mettrai le lien directement dans la description de la vidéo YouTube si vous voulez aller regarder le site direct de Neverack et je vous mettrai pareil les réseaux sociaux si vous voulez suivre un peu tout le monde. Toi tuas tu commences à être sur les réseaux là ? Ouais, j'ai j'ai décidé de partager un peu mon aventure, mes histoires.

Ce que je dis, que je en plus j'ai la chance de rencontrer des gens passionnants euh dans le métier cyber et euh et et de voyager, de découvrir d'autres états, d'autres d'autres organisations, des fonctionnements clients. C'est très multiculturel la cyber parce qu'en fait, on parle du comportement des attaquants. Donc on n pas le même comportement quand on est français que quand on estonien ou que quand on est russe ou italien ou espagnol et donc c'est c'est passionnant. Je vous mettrai les réseaux sociaux du coup directement dans la description.

Et si vous nous écoutez en podcast audio, Spotify, Dieser, Apple Podcast et Amazon Podcast, vous avez plus qu'à cliquer sur la description puis il y aura les voilà le site internet de Nevera qui est les directement les réseaux sociaux de d'Arthur. Tu viens de parler de la Russie là, je sais que tu avais une histoire un jour avec un journaliste euh pour expliquer aussi les moments où tu as peur parce que c'est quand même des milieux qui peuvent être un peu sensibles he quand même. Est-ce que tu peux raconter cette anecdote ? Ouais, c'était quand j'ai fait une opération de croissance externe en Estonie. Donc j'ai racheté une société spécialisée en cyber en Estonie.

On a fait un petit podcast pour raconter l'histoire. Vous avez racheté des sociétés supplémentaires pour grossir plus vite. C'est ça. Exactement. Ouais. Donc c'est la l'Estonie c'était bah c'était l'année dernière, c'était en 2024 et donc on fait un podcast avec le dirigeant de de la société estonienne où on discute, on échange et il y a le journaliste qui pose des questions et dit "Est-ce que vous avez peur de la Russie ?" Et je dis "Non, j'ai pas peur de la Russie. J'ai pas peur plus de la Russie que de l'Ukraine, que de des US, que de la Chine." J'ai peur de tout le monde, je méfie. Voilà.

C'est c'est globalement tout le monde est potentiellement tous les pays ont des inimitiés et mis à part les pays qui se sont organisé pour être partenaire et même au sein de l'Union européenne, il y a quand même de la compétition et et donc voilà et sauf qu'en fait le journaliste, il y a un journaliste bilorus qui a écouté le podcast et qui a repris juste la phrase Arthur Bata rachète une société en Estonie et il n'a pas peur des Russes et veut s'attaquer la cybercriminel russes. Et du coup, j'ai eu des services notamment Estonia qui m'ont nous ont dit avec avec le dirigeant de la société Jgen, vous avez pas le droit d'aller là-bas, vous nz pas.

Donc c'est pendant donc je sais pas si en Russie Biélorussie, Russie, tout pays qui peut être un petit peu pour pas que tu sois pris pour un espion et que tu es des emmerdes. Euh ouais pour pas que je me retrouve dans une pièce enfermée pendant 2 3 heures avec un interrogatoire, ce qui est pas vraiment très agréable. [rires] Et ah oui, donc tu fais tu fais assez attention maintenant quand tu voyages toiou complètement. Ouais, de plus en plus. Euh maintenant, je prends plus mon PC. Euh parce que il y a un risque. Donc je prends je prends un PC complètement vierge. C'est-à-dire pourquoi ?

Bah parce que je peux me faire arrêter à la douane et on prend mes affaires et si j'ai plus accès à mon PC que je vois pas ce qui se passe, ils peuvent brancher par exemple une clé. Ils peuvent essayer aspirer les données quoi. Ouais aspirer les données. Puis on peut on a beau chiffrer euh si le temps est suffisamment long, ils vont trouver une solution. Puis avec des outils militaires, on peut faire beaucoup de choses. Donc ouais. Non, je fais très attention là-dessus. Euh je suis je sépare mon ma mon téléphone pro de mon téléphone perso. Enfin bref, j'ai une démarche qui est beaucoup plus sécurisé la moyenne. Bah oui, je suis obligé.

Bah c'est pas vraiment les données que je manipule pour les États parce que là-dessus c'est c'est dans des coffres et j'y ai pas accès comme ça naturellement. Évidemment, heureusement. Mais c'est plus le fait de réussir à récupérer des informations par des interrogatoires ou par des liens, des connexions qui peuvent être fait avec des documents que je peux avoir sur moi. On a déjà essayé de vous hacker. Comme vous êtes une boîte qui arrivait à défendre des grosses infrastructures étatiques notamment et euh des grosses boîtes sensibles. Est-ce qu'il y a déjà des mecs qui vous ont attaqué ? Ah, perpétuellement. Bah déjà, j'ai eu la bonne idée d'appeler ça Neverack.

Donc, j'ai créé un jeu en ligne qui s'appelait Hack Neverack. Non, c'est vrai hein, ça c'est vraiment produit. Donc c'est vrai que Neverack, ça donne une envie pour les hackers. c'est de d'essayer de voquer quoi. On a l'anecdote c'est qu'on avait fait un site temporaire quand on avait changé de nom. Never qui veut dire jamais en anglais. Et donc ce site temporaire, on l'avait lancé vraiment au moment du changement de nom en 2023 au bout de 10 minutes. Euh alors c'était c'était un truc qu'on avait vraiment bricolé mais juste une page vraiment rien et sur WordPress un truc très basique. Au bout de 10 minutes, on s'était fait poutrer.

Au bout de 10 minutes, ils étaient rentrés, ils avaient ils avaient accès, ils avaient défoncé l'admin et tout ça. Bon, évidemment, on a tout effacé, on est passé à autre chose et c'était pas très grave mais ouais, c'est on est on est très sensible et aujourd'hui moi-même, j'opère mon activité SOC, ma tour de contrôle, elle est aussi sur toutes mes infrastructures. Le SOC c'est Security Operation Center, c'est un centre, c'est comme une tour de contrôle qui voit tout ce qui se passe, tous les événements dans l'entreprise, toutes les connexions à des points réseaux. Peut-être ce que vous vendez à des PME par exemple à des entre à des grands groupes aussi hein. Des grands groupes.

On a on construit leur socle, on le on l'opère, on le met en place, on va l'intégrer aussi euh euh dans une dans une dynamique de politique de contrôle général. On voit plein de choses d'ailleurs. On va revenir sur ça. Attends, juste avant un est-ce que tu en as déjà retrouvé un et tu l'as déjà fait payer ? Euh alors moi non, mais j'ai les Estoniens qui qui ont fait un super truc. Euh, ils ont reçu des mails de Fishing et le pas très bien Fishing c'est tentative de de hameage. C'est on envoie un mail pour récupérer des données, des informations et potentiellement faire un Larsin, récupérer par exemple de l'argent, faire acheter quelque chose.

Et les Estoniens se ont eu énormément d'attaques sur bah sur le sur le dirigeant sur Jon et puis à un moment donné ça, ils sont dit "Bah, on va essayer de retracer qui c'est pour voir si si c'est sensible." Ils ont retrouvé la personne et ils lui ont ils ont réussi à lui faire payer une carte cadeau Google. C'est cool. [rires] C'est vraiment cool. Il était d'où ? De quel pays ils ont pays d'Afrique. Pays d'Afrique. Ouais. Très fréquemment. Ah c'est il y a beaucoup de Ouais ouais ou il y a moins de contrôle et régulation au niveau de la gestion de l'internet. Donc c'est beaucoup plus libre parce que enfin il faut quand même savoir que en France on protège contre ces attaques.

Alors il y en a beaucoup. Ça c'est ça continue mais l'État a un droit de protection a un devoir de protection et donc essaie de faire en sorte de protéger les les franciliens les citoyens contre contre ces ce type de menaces. Mais c'est vrai que bah les niveaux de sécurité dans certains pays d'Afrique sont pas au plus même les brouteurs tout ça, il y a beaucoup d' On a eu Anne ici qui s'était fait avoir par un faux bras de pit avec l'affaire je sais pas si avait vu cette histoire resté complètement à voir et tout et je crois d'ailleurs qu'il y a eu un énorme coup de filet en Afrique avec des dizaines de mecs arrêtés. Ah mais ils sont c'est spécialisé hein.

Il faut savoir que les brouters en fait ils utilisent un point d'accès réseau qui se qui le qui est entre guillemets comme un cybercafé comme on avait il y a il y a longtemps. Les gens qui sont trop jeunes maintenant ne connaissent pas mais et donc ces cybercafé c'est des lieux où les gars sont organisés font ça toute la journée quoi. c'est leur métier. C'est leur métier et ils font pas que ça vis-à-vis des particuliers parce que l'histoire euh elle est caucasse mais dans le fond ils sont très forts parce queils joue sur des sujets psychologiques mais ils font ça aussi au niveau des entreprises et parfois c'est ce qu'on appelle les arnaques au président.

Ils arrivent à voler des millions d'euros comme ça avec des transactions en disant "Attendez, je suis le CFO de l'entreprise, il faut que vous fassiez un virement très rapidement. C'est c'est le président de la société qui le demande et ça c'est le genre d'attaque que l'on a mais tous les jours sur nos systèmes et sur le système de nos clients. Alors je te parlais ça de technologie. On va maintenant partir, on va aller retrouver en bas euh un garçon qui s'appelle Jonathan qui bose pour une société qui s'appelle Varan et qui a gentiment accepté. On leur a demandé qu'il nous amène un truc technologique pour montrer quelque chose physiquement. Euh comme c'est euh la mode maintenant des drones.

Il y a les drones qui arrivent un peu partout. On l'a vu avec la guerre en Ukraine, ça s'est vachement démocratisé, notamment les drones suicides et il y a aussi les chiens robots qui sont de plus en plus utilisés, qu'on voit pas encore beaucoup à l'image mais qui sont en train d'être réadaptés pour l'aspect pour le côté militaire qui peuvent servir pour aussi l'aspect médical, parfois ramener des médicaments, ramener des trucs. C'est les chiens comme des chiens euh voilà comme un bon Labrador mais qui sont complètement mécaniques et qui peuvent être contrôlés à plusieurs milliers de kilomètres et qui peuvent avoir dessus tout ce que l'on veut.

Donc tu peux mettre par exemple une caméra thermique. Donc si jamais quelqu'un se cache dans la forêt, tu peux le retrouver sans envoyer un père de famille euh du gène par exemple voilà derrière la cagoule. Ça permet d'éviter de ça permet de sauver des vies. Euh ça peut porter euh plein de choses. Ça peut permettre des de poser aussi des micros dessus qui peuvent savoir s'il y a eu un tir, quel calibre c'est et où se cache et d'où vient avec une boussole le tir. Donc il y a plein de de d'objets qu'on peut adapter sur ces chiens. On va retrouver Jonathan en bas puis on va découvrir ce chien si tu veux bien et tu vas voir tout ce qu'ils peuvent faire.

Allez, ça y est, on vient de se retrouver du coup en bas des bureaux euh avec Jonathan. Merci d'être venu. Avec plaisir. Jonathan qu'on a reçu il y a quelques temps dans l'émission. On avait fait une émission avec lui. C'était super. Voilà, justement cyber sécurité cyber moustache ça s'appelait. C'est ça la société. Tu es venu, on va montrer avec quoi tu es venu. Allez au pied. C'est le petit chien légende. Vous l'avez logoté avec avec le logo de la de légende. Exactement. Tu as une tablette avec le logo de la boîte et bah de légende. Donc en fait c'est une tablette, c'est un iPad dessus qui sert à rien. C'est juste pour ramener un objet par exemple. Exactement.

On peut mettre pas mal de choses. Nous on l'a fait rapidement. On l'a juste scratché dessus. Ouais. Si tuas envie de présenter quelque chose. Voilà. Et mais on peut mettre n'importe quoi dessus. Ça peut être, imaginons, une trousse de secours, ça peut être énormément de choses, c'est au choix. Une caméra thermique. Une caméra thermique, ça peut être des caméra, ça peut être de la lumière, ça peut être vraiment tout ce que tu imagines. Donc on peut de l'armement même. Ça a déjà été fait effectivement dans certains pays, ils l'ont fait. Euh c'est tout simplement de l'impression 3D et puis après tu c'est sans sans limite. Ça peut porter jusqu'à combien de kilos ?

Alors sur la doc technique, ils disent à peu près euh 12 kg, mais en fonction de ce que tu imprimes et de comment tu centralises le poids, tu peux aller un petit peu plus haut. Après, nous, pour avoir essayé des euh matières et des euh formes assez euh différentes, il a plus trop d'équilibre en fonction de ce que tu mets dessus. Est-ce que dans est-ce qu'à l'avenir, on peut imaginer il y a des drones suicides en Ukraine ?

Est-ce que ça pourrait être Est-ce qu'il un jour il y en a qui vont mettre de l'armement là-dessus, de l'explosif et qui iront au lieu de d'aller, tu vois, s'il y a des mecs très dangereux qui sont jusqu'au boutiste, on va dire, est-ce que c'est des trucs qui peuvent exister qui peuvent exister honnêtement quand on regarde un petit peu Redit et tous les sujets sur les robots chiens, il y a énormément de sujets militaires. Imaginons même dans un dans une grotte comme on peut le voir dans certains pays, il y a des terroristes par exemple cachés.

Au lieu d'envoyer des chiens réels qui risquent de décéder ou des humains, tuenvoies un chien comme ça avec un lidar qui fait de la reconnaissance et qui arrivera à récupérer euh de l'information comme tu l'as dit tout à l'heure avec une caméra thermique ou peu importe. C'est très équilibré si tu mets un coup dedans. Tu peux tu peux montrer pour voir ce qu'on peut on va essayer de le faire euh si on met un petit coup par exemple ça il a aucun problème. Regarde même pour te montrer, il va se mettre en en arbre droit de pâte à mettre exactement. Comme si je le pousse assez fort et vraiment tu peux y aller avec le pied, il va il va se redresser sans problème. Incroyable.

[rires] Tuentends, c'est le 3D derrière qui prend plus le coup. Attends, c'est impressionnant. Mais c'est franchement c'est limite un peu flippant, non ? Tr pas il y a un petit côté, il y a un côté dérangeant. On peut faire un salto avec. Exactement. Attends, c'est n'importe quoi. C'est incroyable. Incroable. [rires] Nous, on organise des concours de hack et ça franchement mettre un truc comme ça pour les jeunes pour les pour les faire progresser en hacking, ça pourrait être ouf quoi. Exactement. Et tu as plein de possibilités. c'est c'est impressionnant. Ah oui, le lequil est l'équilibre est incroyable, hein. C'est fou. Face caméra. Est-ce qu'il aime légendes ?

[rires] Non mais arrête, c'est c'est ouf. C'est en fait je sais pas si ça m'effrait pas même ça pèse à peu près 15 kg. C'est solide. Ouais, c'est assez solide. Là, l'impression 3D qu'on a fait dessus est plus ou moins solide. Vous avez ça pour nous aujourd'hui. C'est du bruit spécifique. C'était spécifique pour ça. Là tout à l'heure, on l'a mis sur les sur les pattes arrières. On va les mettre sur patte avant et tu vas tu vas essayer de le pousser. Hop ! Oh là là ! Ah non, évidemment. Ah non, si [rires] tout cassé. Attends, c'est incroyable. Il se retourne. Non, par contre fait flipper. Attends, tu peux le remettre droit. Attends, mais c'est Non mais attends, c'est fou.

Non mais attends, c'est mais c'est en fait c'est Terminator. On arrive un peu à Terminator. Ça va à quelle vitesse ? Alors ça peut atteindre la doc technique 17 km/h. On peut le faire courir ou pas ? Oui, on va le faire courir. Si on va le rattraper, ça va. Ah si si. Non si. Ça va ça va ça va. Franchement ça va. En fait ça me rasse. Ah oh couc il fait du gauche droite presque. C'est c'est Ouais. tu as un truc, tu m'étonnes que ça perturbe les chiens. C'est combien de temps d'autonomie un chien comme ça ?

Euh quand on lui demande beaucoup de choses, on va dire 2 heures et quand c'est un peu restreint, on va dire tu lui fais pas faire beaucoup de de situations comme on l'a fait à peu près à peu près 4 heures. Donc l'intérêt de ce chien, c'est que tu nous expliqué avant, il y a des gens qui les ont pour par exemple faire le tour d'un hangar. Tu as par exemple un officier de sécurité, un monsieur de séciris chiens qui vont tourner autour comme ça. Tu as toujours en fait quelque chose et tu peux le coder, c'està-dire le le le le régler comme tu veux.

Donc tu peux par exemple lui dire tiens s'il y a un humain, c'est pas normal à cette heure-là qu'il y a un humain autour, hop, ça déclenche, ça appelle le mec de ses cul. Tu peux tout faire. Il y a énormément de sujets sur la sûreté. Imaginons, même tout à l'heure, on parlait du thermique mais même imaginons surveiller euh des endroits pour le feu. Imaginons dans le sud là où il y a beaucoup de feu, tu mets des robots comme ça qui font euh du thermique, qui peuvent te dire qu'il y a un départ de feu. Tu peux surveiller effectivement un endroit, des stocks par exemple. Euh quand les humains on doit faire une pause, bah tu envoies les chiens à la place et puis ainsi de suite.

Ça te permet d'avoir une un œil constant sur une zone, mais tuas tu as plein de de possibilités. Je pense que c'est assez infini. Euh exceptionnel. Alors et combien ça coûte ? utiliser. Ça dépend vraiment Ouais, ça va vraiment dépendre du des sujets qu'on a, c'est-à-dire est-ce que tu veux un chien pour de la la sûreté ? Est-ce que tu veux un chien pour Ça dépend de le Ouais. Ouais. Ouais. Si tu mets des de l'armement, ça coûtait beaucoup plus cher évidemment. Exactement. Nous, de toute façon, on fait à chaque fois toutes nos toutes nos offres sont euh surmesure.

C'està-dire qu'on fait jamais euh euh un robot par exemple destiné à une chose spécifiquement, c'est souvent euh nos nos clients qui viennent nous voir pour un sujet. et après on leur propose des solutions. Donc si j'ai un cahier des charges et que je te fais une demande, tu peux me tu peux m'en faire un pour prochain événement. Exement. Exactement. Et il y a des il y a des j'en ai déjà vu qui ont des fusils dessus ou des pistolets. Ça existe. Non mais c'est ça existe. Faut le savoir. C'est intéressant. Les gendes c'est aussi pour voir l'esprit puis pour dire ce qui existe ou pas.

H et donc il y a des versions militarisées qui a un pistolet posé dessus, une gâchette numérique et puis en fait au lieu de déplacer un être humain comme on disait qui peut être père de famille qui va y aller qui est le fils de quelqu'un et ben tuenvoies un chien et puis si jamais voilà et c'est genre s'il se fait tirer sur une patte tu peux le faire marcher sur deux pattes. Exactement.

il tient jusqu'à deux pattes facilement et puis il se déplace très il peut se blinder mais ça fait du poids donc voilà c'est que on pourrait continuer de choisir de le blind de le charger et autres et forcément tu rajoutes du poids et alors juste bon c'est un peu technique mais qu'est-ce qui tourne là qu'est-ce que c'est concrètement c'est un lidard qu'est-ce que c'est qu'un lidar tu as tu as un peu cette même chose on va dire pour vulgariser sur les Tesla ça te permet de voir un petit peu l'environnement autour de toi radar exactement c'est ça et tu as la caméra aussi qui filme en plus exactement ouais tu cette interface devant qui euh amène la caméra, le capteur de luminosité et ainsi de suite.

Oh, c'est ouf. [rires] C'est génial. C'est vraiment marrant. Il y a vraiment un truc quand même. Et un petit salto pour terminer. On en refait un. On on devient vite accro, hein. Ah, je veux jouer. Non, mais ça franchement, je pourrais le regarder toute la journée. Euh, [rires] incroyable. Tu parlais des possibilités même monter un cirque de chien. Il donne la pâte ou pas ? Est-ce qu'il donne la pâte ? Je pense que oui. On peut vraiment tout faire. Non mais attends. Oh là là ! Ah et puis il est cute en plus un peu. C'est incroyable. On s'attache. Non mais attends franchement c'est en fait c'est impressionnant. Tu peux vraiment tout lui faire faire quoi. C'est dire que si tu es un bon codeur.

Ouais. C'est ça peut être un c'est c'est un vrai c'est un vrai. Ah waouh ! Oh incroyable ! Merci Jonathan. Avec plaisir. Tu avais un un autre objet pardon que que vous entend exactement. Tout à l'heure j'ai entendu le passage de monsieur parler des téléphones. Beaucoup de nos anciens présidents ont eu des petits accrochages avec ça. On fait aussi beaucoup donc des téléphones modifiés. Là c'est un Google Pixel comme tu peux le voir. On voit plus du tout. Là il y a il y a pas de caméra frontale. Les deux caméras à l'arrière ont été coupées en fait. Et on enlève dessus les sens camé les sensors c'est tout ce qui est détection.

Il y a le gyromètre, l'accéléromètre et en fait avec ça on peut pas savoir. Enfin, tu sais donc vous enlevez les caméras donc il y a plus de caméra, plus on peut plus filmer, on peut plus faire de FaceTime. Voilà pareil, on enlève dessus les micros caméra un peu tout. Donc là, tu vois que c'est vide et complètement et puis il y a plus de dans la caméra, il y a plus rien. D'accord. On le met sous un OS spécifique avec le petit logo de légende. Voilà. Et puis on a ramené justement tous les composants qu'on enlève. Donc tu as les les petites caméras frontales, les micros qui sont comme ça, ça fait un petit peu dealer dans la rue comme ça. Ça c'est l'antenne et puis tu as les caméras derrière.

Et en fait tout ça, on les supprime à la demande pour avoir un device 100 % sécurisé sous un OS spécifique. Donc avec ça, on récupère pas tes données, tes cookies, ainsi de suite. Et vous avez pas un truc pour supprimer les données ? Si jamais on le fait exactement. En fait, tu peux choisir d'avoir un deuxième code PIN qui va ou supprimer ton ton téléphone. Tu connaissais ça ? Ouais. Ouais. Bah c'est c'est le téléphone que j'ai d'un point de vue Pro. OK. Voilà, c'est souvent des demandes comme ça. C'est des téléphones qu'on envoie pour closer des deals et ainsi de suite. Ah ouais, c'est que Et donc il y a plus de micro. Non, il a plus micro. Comment tu téléphones ? Pardon ?

Mais alors c'est une très bonne question. On rajoute en fait via l'USBC des écouteurs avec le micro et là tu peux faire ton échange mais c'est toi qui décide quand tu veux le mettre. Énorme. Tu rajoutes des donc si tu as pas d'écouteur, tu as plus de micro donc personne peut t'écouter. Exactement. Ouais. On enlève les solution physique. Ah ouais, c'est c'est parfait ça. Après euh c'est très restrictif, c'est-à-dire que tu peux pas aller sur les réseaux sociaux, tu peux pas prendre des photos, c'est que quand le pro, on va dire, ou un un quelqu'un des services ou dans un voilà un employé de d'un milieu voilà qui se fait attraper à la douane dans un pays un peu compliqué.

S'il veut tout supprimer, il fait un code PIN mauvais ou il dit "Mon code PIN, c'est le 1 2 3 4 et le 1 2 3 4 ça supprime tout." H, tu as aussi une option, je crois, à l'intérieur. Est-ce que tu peux expliquer ce qui permet de supprimer toutes les données ? OK. Donc là, je tape mon code PIN. Ouais. J'arrive sur l'application. Voilà. Et si tu appuies dessus, voilà. Tac. Donc là, on l'a réglé donc pour l'éteindre, mais ça peut aussi supprimer les données. Tu peux faire complètement grill le téléphone. Tu peux tout faire quoi. Ça évite de d'avoir des données dans les mains de gens à qui on a pas envie de les donner en gros. complètement euh bon merci beaucoup d'être venu. Avec plaisir.

Merci encore pour l'invitation présenter les objets comme ça. On a vu le ce chien robot. Je savais pas que ça existait euh enfin que ça faisait des gestes comme ça. C'est c'est impressionnant. Tu avais déjà vu les saldos et tout ? C'est fou en vidéo seulement mais jamais en vrai comme ça. C'est ouf. En vrai c'est complètement différent. Ouais c'est vra. Ah tu trouves ? Ouais parce que quand on le voit à l'image on se dit "Ah mais c'est un comportement presque féin et c'est vraiment un animal quoi." Ouais c'est le côté très stable qui qui est choquant. Allez merci beaucoup. Retourne en plateau. C'est parti. Merci.

Voilà, comme ça on a pu voir, ça permet aussi de de comprendre un peu la nouvelle technologie. Vous avec Neverack, vous utilisez un peu l'intelligence artificielle, les les nouvelles technologies qui arrivent. Je sais qu'il y a la on en parlera tout à l'heure, mais tout ce qui est quantique, donc tout tout petit, c'est en train de se démultiplier avec Lia aussi aujourd'hui. Comment vous l'utilisez vous ?

dans toutes les opérations de détection capacité à pouvoir identifier ce qui est un événement et qui finalement est un incident de sécurité, on met en place des IA qui fonctionnent un peu comme chat GPT hein, qui vont avoir un modèle d'apprentissage et vont dire "OK, ça je vais le catégoriser en un incident qui va être potentiellement critique et ça va faciliter la vie de nos ingénieurs. On n pas encore un système de défense complet par l'IA. Ça c'est des choses qu'on peut imaginer dans le futur. On travaille dessus hein, partie de nos projets de recherche. On a développé INIA en en partenariat avec la DGA, la direction générale de l'armement depuis 2017 dans le casre de programme rapide.

On est d'ailleurs dans le programme France 2030. Euh et cette IA elle a la capacité de pouvoir rendre discrètes les attaques. Et donc ça c'est un des gros gros sujets que que nous avons, c'est comment lutter contre des attaques réalisées par LIA qui ont une capacité de camoufler. C'est comme si je te disais un secret euh et que je faisais du bruit autour. Du coup bah quand j'ai donné mon secret, je peux parler plus fort parce que du coup tu veux les gens comme ils font du bruit, ils vont pas écouter. Si c'est très silencieux euh comme dans cette pièce, les gens vont entendre très facilement le secret que je te donne.

Et donc l'idée de l'IA, c'est de générer du bruit mais qui soit suffisamment cohérent pour que les les opérateurs du soc du de la tour de contrôle ben en fait ils pensent que c'est juste un comportement normal. Donc ça ça fait partie des choses sur lesquelles on avance.

Tu sais qu'il y a même de l'armement qui est contrôlé avec Liage, c'est que on avait vu des canons, on a eu l'occasion de faire plusieurs reportages avec les armées et que maintenant il y a des canons de différents types de millimètres, on s'en fout du calibre, mais qui sont qui peuvent être reliés à l'IA pour taper exactement plus rapidement qu'un être humain quoi et comprendre qu'il y a un missile qui arrive et que c'est pas normal quoi. Typiquement ça c'est des modèles qui sont directement intégrés dans les infrastructures.

Donc ça ça fait partie de notre métier aussi, c'est d'intégrer ce genre de modèlig et de protéger de faire en sorte qu'il y ait pas de fuite de données parce qu'on va on va pas utiliser pour ce genre de chos un modèlig qui est sur le marché et directement raccordé à la Chine par exemple le dipstique et on va pas faire ça. Donc on va intégrer ce genre de de logiciel IA, on va mettre en place les modèles d'apprentissage et on va surtout verrouiller tous les points d'accès extérieur. Et le le problème c'est qu'avec les armées, l'armement en général c'est que bah quand ça évolue d'un côté, il faut que ça évolue de l'autre pour se défendre. Quand l'attaque évolue, bah faut que voilà.

Et et par exemple, il y avait l'IA permettait avec des petits canons d'essayer de taper un missile euh avec des des canons qui coûtent beaucoup moins cher qu'avec un gros missile par exemple sur un navire, un bateau. Euh comme ça ça évite d'utiliser le missile qui vaut 3 millions d'euros, mais on tire d'abord quelques cartouches avec Lia très rapidement pour essayer de faire exploser le truc et ensuite il y a le missile qui perd si ça marche pas. Mais donc il y a il y a plein de trucs. Le seul problème c'est qu'on arrive les périodes de guerre arrivent j'ai j'ai vu un je sais plus qui disait ça. Quand l'attaque coûte moins cher que la défense. Tu tu as entendu parler de ce truc ?

Oui, nous c'est ce queème et nous c'est ce qu'on voit. Alors déjà, il y a une course hein vraiment entre l'attaque et la défense. Le problème c'est que l'attaque, c'est beaucoup plus simple pariaill a que la défense. Et c'est ce que je j'essaie d'expliquer tout à l'heure. Nous l'attaque, on est capable de le faire depuis maintenant 3 4 ans de manière probante démontrée. La partie défense, c'est encore un vaste sujet parce que cette mécanique alors de détection, elle se elle s'opère mais on a toujours besoin de l'humain pour dire ça sent pas bon. Il faut que j'aille regarder, il faut que j'aille investiguer, il faut que j'aille faire une recherche pour comprendre ce qui se passe.

LIA est pas encore capable par exemple d'aider lorsque il y a une attaque dire "OK, je vais verrouiller la porte et prendre la décision de verrouiller la porte." On a besoin d'avoir une intervention humaine. Elle peut conseiller mais elle peut pas encore prendre la décision. Sauf que quand on imagine un truc qui va très très vite, parce que là on est en train de parler à une échelle d'humain où on a on voit ce qui se passe mais quand c'est une attaque paria qui prend des décisions pratiquement instantanée à millè de secondes, l'humain il a pas le temps de de pouvoir agir.

Et donc du coup cette cette différence de de traitement entre quelque chose qui va très très vite qu' a et quelque chose qui va lentement qui est l'humain qui est qui est limité, ça c'est un vrai problème. Tu donner des des situations de film qu'on a qu'on voit dans des films parfois en rapport avec le hacking. me dis si ça te semble crédible parce que tu peux pas tout savoir, c'est principe de la sécurité. Les gens sont souvent très prudents en disant je connais pas ça machin mais est-ce que tu as ça te semble crédible ou pas ? OK. Et ensuite on va parler de de choses qui te sont arrivées personnellement aussi. Est-ce qu'on peut crocheter une serrure en quelques secondes ?

Est-ce que ça c'est possible ? Oui, c'est du c'est du hacking de serrure. Donc c'est du hacking aussi. C'est c'est trucs qu'on peut faire dans le dans le cadre d'opération Red Team où on est Red Team, c'est intégrer un bâtiment. Ouais. C'est c'est trou toutes les mesures pour pouvoir faire en sorte de rentrer dans un système. Donc ça part ça part de mesures physiques comme de mesures d'un point de vue logiciel au sens hacking internet passer par internet pour rentrer dans le système. À la demande de la boîte.

à la demande la boîte évidemment toujours le P qui ditessayez de rentrer dans mon bureau avec l'alarme mise si vous y arrivez bah vous me direz ce que vous avez fait pour que je je mette un autre système en place pour contrer ça. Donc le crochetage de la serrure ça ça se fait très bien avec des petits outils. Ça se fait aussi avec maintenant des outils où c'est complètement automatisé, ça va encore plus vite. He c'est ce qu'on voit dans les films de science-fiction ou euh après, il y a une méthode très simple he c'est le c'est le coup de vis dans le dans le barrier quoi. C'est ce que fait la personne qui vient vous ouvrir la porte quand vous êtes coincé dehors. Prend une perceuse. Voilà.

Ouais, c'est réglé. Euh c'est pas très discret par contre ce qui est un problème parce que nous l'objectif c'est d'être discret. C'est pas qu'on nous voit. Est-ce qu'on peut comme dans les films américains notamment, on voit ça souvent, hacker des caméras de surveillance pour mettre une image en boucle ? Ah complètement. Mais alors ça c'est un gros sujet. Euh le nombre d'IP public de caméras, ouais de d'adresses d'accès internet à des caméras, des équipements qu'on installe chez soi qui sont complètement ouverts et axés sans limitation. C'est énorme sur et donc d'ailleurs, il y a même des sites spécialisés sur le dark web. Ah, tu peux regarder des gens. Ah, tu peux regarder des gens.

Tu peux regarder ce qui se passe chez eux. Donc parfois les gens installent des caméras en disant "Je sécurise" mais en fait c'est pire. Ils donnent la vision sur sur la sur leur toilettes quoi. Donc c'est horrible. Ah oui, donc c'est sur leur chambre. Sur leur chambr sur tout. Et donc il y a des il y a des gens sur sur le dark web qui s'amusent à à aller chercher ces IP publics. Donc c'est encore une fois c'est du scan réseau, il les trouvent, elles sont ouvertes, ils rentrent dedans et puis après derrière ils diffusent.

quand tu te fais euh installer des caméras avec je sais pas les grandes marques verifici, je sais pas toutes les omiris plus enfin on n'est pas obligé d'ailleurs mais est-ce que ça ils peuvent se connecter aux caméras avec internet facilement les gens ? Bah normalement les sociétés de vidéosurveillance ont énormément progressé sur le sujet hein. Ilells ont investi beaucoup mais si je remonte il y a 10 15 ans c'était pas du tout le cas et c'était complètement ouvert. Après encore une fois l'humain c'est que la personne qui vient vous faire l'installation faut que vous ayez confiance. Est-ce qu'on peut bloquer les feux deisation d'une ville ? Oui.

Euh au niveau euh militaire donc un individu peut pas le faire mais c'est faisable. Ah oui, tu veux dire des hackeurs militaires, des mecs un peu solide. Ouais. Des gens avec des outils, avec des produits, des solutions qui sont qui ne se trouvent pas sur le marché. Tu peux sauter les feux feux rouges d'une ville, feux tricol, ça peut on peut avoir réussir à à rentrer dans le système et euh changer tous les feux si on arrive à corrompre le système. Mais c'est des nuit, tu pourrais faire passer tous les feux au vert par exemple. C'est oui, c'est possible mais pas moi. Mais des pour avoir des accidents, des trucs pour paralyser une vie.

Mais ça c'est ça fait partie des scénarios catastrophes hein euh qui sont euh qui sont évalués euh au niveau euh protection euh civile. Tu sais qu'il y a plus de feu rouge, la ville est paralysé. Même si tout s'éteint d'un coup, on voit bien à Paris hein. Ouais, ça bloque Ouais. Quand quand les gens sont coincés et alors il y a ça, mais il y a aussi euh des risques plus conséquents. Euh typiquement par exemple si en cas d'attaque, il faut que la protection civile a la capacité de favoriser un chemin d'accès pour les services de secours parce que même s'il y a les gyrophares si c'est bloqué, c'est bloqué.

Il faut réussir à faire en sorte de bloquer le trafic pour favoriser que le les personnes en intervention d'urgence puissent arriver très très vite, même avec les girophares. Et donc là, pour le coup, la protection civile a l'accès et est fait en sorte de faire passer tous les feux au vert et s'il y a par exemple une éruption solaire, ils ont eu ça en Espagne, c'est probablement ça qui a fait qui a paralysé toute une partie de l'Espagne. Donc c'est dramatique d'un coup hein. C'est c'est impressionnant. Tout tout ce qui est connecté aujourd'hui est sensible à tous ces ces radiations et comme on est de plus en plus connecté, on est de plus en plus sensible à ce genre de chos.

C'est un scénario d'ailleurs qu'on visage l'armée. S'il y a une éruption solaire, qu'est-ce qui se passe si on a plus internet, plus de téléphone, plus rien qui fonctionne, plus de connexion ? Bah c'est c'est plus de communication, c'est chaud hein. Une anecdote là-dessus, c'est le seul avion qui peut alors c'est pas rigolo ce que je veux dire, mais qui peut lancer une bombe nucléaire et revenir à sa base, c'est le MIG russe parce que justement, il est plutôt basé sur de l'électronique et pas sur du numérique et que l'onde qui est générée par la bombe nucléaire couperait tous les systèmes de de navigation des avions qu'il aurait déposé.

Donc c'est une opération suicide déposer une bombe nucléaire. Ouais, faut le savoir. Même en France aujourd'hui. Ah oui, bien sûr. Même un Rafale par exemple. Bah c'est il y a du numérique donc c'est il y a pas que de l'analogique. Donc dans ce dans cette dynamique là, bah l'onde en fait elle coupe tout le système. Alors mais bon à la vitesse où ça va s'il pose je pense qu'il peut aller quand même assez loin non ? Oui mais c'est juste qu'en fait il perd complètement le contrôle le pilote et il faut s'éjecter avant. Ouais. Bah il faut que la commande soit analogique. C'està dire pour ça qu'il y a beaucoup de commandes dans l'aviation qui ne sont pas que numériques.

C'est pour éviter justement les problématiques de rayonnement. incroyable. Ça passionnant ça. Est-ce qu'on peut faire sauter le courant à distance ? Est-ce que si des hackurs décidés pourraient éteindre la lumière de chez vous ou de ta boîte à distance ? Alors ça ça dépend à quel point s connecté. Si on est dans une vieille maison avec aucune connexion domotique au C'est un compteur Linky par oui. Ah oui, c'est alors le piratage des compteurs Linky. Nous, on a fait la sécurisation des des compteurs notamment côté euh et on a travaillé sur les projets connex à Linky. C'est quand même assez protégé. C'estàd que en gros bien fait. Ouais, c'est c'est bien fait. On peut pas faire ça comme ça.

On peut récupérer par contre les informations avec quelques petits outils très simples sur l'état de consommation. Par contre, paralyser la le la connexion pour empêcher que l'électricité parvienne à l'usager, c'est compliqué. Est-ce que c'est possible de copier l'intégralité d'un disque dur ou d'un serveur en quelques secondes ? Parfois sur dans les films, ils mettent une clé, il tape et tu as une barre d'avancement là. Oui, mais c'est pas c'est pas un truc si évident. Donc ça c'est quand même des technologies un peu militaires. Normalement elles sont protégées, elles sont surveillées. Mais c'est possible. C'est possible.

Euh est-ce qu'on peut injecter un virus dans un ordinateur instantanément avec une clé USB en le mettant genre 3 secondes si quelqu'un regarde pas clac clac. Est-ce que ça marche ? Ou oui, ça ça marche. Oui, c'est pour ça que d'ailleurs on bloque souvent les port USB, on fait en sorte de les supprimer complètement sur les ordinateurs parce que c'est un gros sujet de vue, c'est une entrée de de virus. Bah forcément, c'est comme si vous vous laissiez les gens rentrer chez vous. Donc à un moment donné, vous pouvez avoir des gens qui vous contaminent. Donc non, le port USB, faut le fermer. Est-ce qu'on peut se faire géolocaliser avec son numéro de téléphone très rapidement ? Oui. Dans les films.

Oui. Oui, ça c'est très facile. Ça se fait très très bien et c'est d'ailleurs même des opérations marketing utilisent ce genre de chos parce que en gros c'est le point de connexion à un équipement de l'opérateur télécom qui est une donnée publique. Est-ce que comme dans les films les hackers tapent des lignes de codes vertes et noir en temps réel ? C'est bah s'ils ont configuré en vert et noir, oui, mais pas forcément. C'est ça dépend de leur console. Euh le côté Matrix, c'est vrai que je vois dans la population de dev de technique chez nous, c'est quand même très plébiscité mais ça fait quand même mal aux yeux. Donc il repasse souvent sur noir et blanc.

Est-ce que quelqu'un qui rentre dans un avion, peu importe la compagnie aérienne, parfois il y a un port USB, est-ce que on peut accéder et est-ce qu'on pourrait euh détourner un avion avec ça ? Non. Non. Heureusement l'aéronautique et en gros les systèmes sont complètement dissociés. Donc tout le système de commande de contrôle de l'avion, c'est un système qui appare et le système qui est complètement déconnecté. C'est juste un truc d'entertainment. Enfin ouais. Voilà. Donc le truc qui peut être fait, c'est couper les divertissements, c'est afficher une photo de soi sur tous les écrans. C'est dire que même si tu fais griller ce système, ça ne mettra pas à mal l'avion. Non non non.

On peut prendre l'avion tranquillement. Non mais c'est c'est que c'est des sujets parce que dans les dans les films à chaque fois c'est il y avait des mecs qui branchés dans les avions parfois qui disaient qu'il pouvaient euh bouger l'aile et cetera. Ça c'est pas possible. Ça c'est euh il y a potentiellement euh des adhérences qui peuvent être faites mais là encore on est en train de parler de gens avec des niveaux de technicité qui sont des gens surveillés contrôlés. Enfin c'est pas le pékin de base qui peut faire ça. Et dernière question est-ce qu'on peut copier l'œil d'un humain pour passer au scanner rétinien d'un lieu très surveillé ? Oui.

Euh de plus en plus grâce à l'IA parce qu'on a une capacité de générer des images de plus parfaites et avec des complexités importantes. Et comme c'est corrélé à des points de contrôle, si on est capable de de gérer ces points de contrôle, bah on arrive à faire en sorte de passer outre la sécurité. Il y a aucun système qui est infaillible en terme de de d'empreinte de scan rétinien. C'est la multiplication des systèmes qui crée la procédure de sécurité. Je sais que tu avais une histoire, vous sécurisez vous, vous participez à la formation, je crois, des parlementaires si je dis pas de bêtises, à Bruxelles.

Et en fait, il y a pour ceux qui si jamais sa pas Parlement européen en fait, il y a une partie une partie de l'année qui est à Bruxelles, l'autre partie qui est à Strasbourg et donc il y a des allers-retours souvent en train et sur ce trajet là, j'ai entendu dire qu'il y aurait pas mal de hackur qui essayeraient d'aspirer les infos. Bien sûr. Ça c'est vrai. Oui, c'est vrai. C'est vrai. Alors, ça fait partie des formations que que l'on dispense. Pas mal d'espions d'autres pays. D'autres pays, espionnage aussi industriel parce qu'il y a il y a beaucoup de mouvements dans dans ces dans ces moyens de transport.

Généralement, le truc de base qu'on apprend, c'est laisser son ordinateur alors évidemment son ordinateur ouvert avec sa session ouverte, c'est quand même un truc à ne pas faire. Mais ça s'est vu, hein, il y a eu il y a eu ce genre de cas de figure. Ça a donné lieu à des fites importantes d'information. Après même le laisser sur son siège sans surveillance c'est pas Non mais quand tu es parlementaire pardon et tu as des documents sensibles, tu laisses pas quand tu as puiss ton ordinateur ouvert. Si. Bah je sais pas s'ils ont cette capacité s'ils savent que il y a un danger. C'est c'est quelque chose d'assez nouveau.

Ça s'est accéléré, ça s'est démocratisé mais mais il y a mais il y a plein de gens qui ont pas conscience même avec des postes assez importants du risque qu'ils encourent. Donc nous on doit faire justement ces ces devoirs de sensibilisation. Tu t'es déjà fait voler toi ton ordinateur ? Ouais, une fois. Ouais. Ouais. J'ai eu peur d'ailleurs. Euh j'ai eu peur. Je suis je suis devenu un peu paranoï à cause de ça parce que c'était pile au moment où j'étais en train de faire une opération capitalistique conséquente. Euh une levée de fond. Ouais. Une levée de fond de 100 millions d'euros. Ouais.

Euh pour ta boîte on en parlera tout à l'heure, tu as fait une énorme levée de fond parce que tu es passé de tu sais tu as fait x 10 en quelques années. Donc faut faut avoir des moyens derrière quoi. Ouais. Pour pour avoir la capacité de faire des opérations de croissance externe notamment. Et euh et donc le matin, j'allais au sport, je j'avais laissé mon sac dans la voiture avec mon PC. Franchement, il était très tôt le matin, j'avais pas j'avais pas fait attention. Et quand je suis rentré, je suis je me suis aperçu que ma ma voiture était avait été fracturée, la vitre a été fracturée, mon PC et mon sac était pas n'était plus là.

Et du coup, je me suis je me suis voà là, c'est quelqu'un qui veut avoir des informations. J'avais tous les documents pour l'opération qui étaient évidemment dans mon PC. Donc j'ai été très inquiet et en fait il s'avère que j'avais mes AirPods dans le sac. Ouais. tes écouteurs Apple mes écouteurs Apple et qu'on peut géolocaliser. Et donc du coup je comme j'étais dans une système de paranoï j'ai appelé les services, j'ai j'ai fait ce que je devais faire he c'estàd que j'ai quand même prévenu. Euh je me suis aperçu le le soir que en fait j'ai géoccalisé.

Du coup j'ai pris ma voiture et je suis allé sur le lieu où j' géoccalisé et en fait c'était juste un pauvre type qui m'avait volé mon sac qui avait pété la vitre pour prendre mon sac et essayer de trouver de l'argent. Tu l'as récupéré tes tes écouteurs ? J'ai récupéré mes écouteurs mais j'ai pas récupéré comment dire l'ordinateur. Tu luas demandé où il était ? Non bien sûr mais enfin bon je pense que la communication était un peu compliqué. Il était 4h du math. C'était vraiment pas une bonne idée. [rires] Ça serait bien de parler des gros ha de l'histoire. Il il y a eu des grandes affaires. Il y a eu Bybit Lazarus et il y a eu Pegasus qui a un énorme cas de hacking.

Est-ce que tu peux expliquer ce qui s'est passé sur Pegasus ? Alors, Pegasus, c'est un logiciel qui a été développé par une société israélienne qui avait une capacité à pouvoir rentrer dans n'importe quel système terminal Android ou iPhone sans même une installation. C'estàdire qu'il suffisait juste d'envoyer un message, le logiciel se télécharger et donner accès à l'intégralité des données notamment messageries type WhatsApp. Et donc ce système s'est déployé sur les années entour des années 2021. C'est que les États qui avaient Pegasus ?

que Israël ça ou c'était c des groupes d'attaquants qui utilisaient ce logiciel qui avait été développé sur des fins malveillantes parce qu'ils avaient récupéré le code source et donc ils ils avaient pour objectif bah de faire des opérations de contrôle de pouvoir encore une fois notamment géopolitique et donc sils ont envoyé ils ont fait toute une campagne pour récupérer un maximum de téléphone portable de gens du Parlement européen de et même de de du président de la République puisque bah le téléphone de Macron avait été dans la liste des téléphones qui avaient été infectés par Pegasus. Incroyable. Ouais.

Alors le téléphone Apple, pas le téléphone Android, d'où la discussion de tout à l'heure, tu sais plutôt Android. Et donc du coup bon, c'était pas non plus des données qui étaient très sensibles évidemment. Donc ça c'était en 2021. Aujourd'hui, c'est c'est ça y est, il y a des ils ont mis des mises à jour qui permettent de Alors, il y a des mises à jour. Après, c'est toujours la même chose, c'est que ce genre de logiciel évolue aussi et que les mises à jour, elles vont corriger des problèmes du passé mais pas les problèmes futurs. Donc à chaque fois qu'il y a un changement de système d'exploitation, faut savoir que bah, il y a des nouvelles vulnérabilités.

Donc tous les gens qui ont téléchargé le nouveau système d'exploitation d'Apple bah sont enclin à vivre de nouvelles vulnérabilités de ce nouveau système d'explation qui a pas été mour. Faut attendre, c'est bien d'attendre. Plus on attend, plus on se sécurise, plus on prend le temps que bah ça soit les autres qui vivent la découverte des vulnérabilités. Ils essuent les plâtres, ils essuent les 0D. C'est-à-dire les 0D, c'est le moment où on passe à la connaissance d'une vulnérabilité euh vis-à-vis des attaquants qui vont l'exploiter.

C'est pour ça que parfois tu fais une grosse mise à jour Apple, tu mets un nouveau iOS, donc voilà un système d'exploitation et quelques jours après, tu as une deuxième mise à jour de sécurité. Ex. Exactement. Et en fait c'est la différence entre le 0D, c'est-à-dire le moment où la la vulnérabilité est découverte, elle est publique et le moment où c'est patché par le l'éditeur de la solution qui va corriger le problème. C'est pour ça que parfois il y a des beta test aussi a marqué tu peux les avoir un petit peu en avance. Donc ça c'est pas une bonne idée en vrai.

Ouais, ça c'est pas une bonne idée parce que justement tout l'intérêt pour eux c'est de voir quand il y a des vulnérabilités et de voir qu'est-ce qui se passe, comment le logiciel ne peut avoir des problèmes de fonctionnement. De toute façon, si un état veut rentrer dans ton téléphone, il rentre dans ton téléphone. Non, mais il a de l'accès. Oui. Ouais. très facilement. Tu as déjà vu toi une une un logiciel qui permet de rentrer sur un téléphone et et voir l'intérieur d'un téléphone ? Euh oui, je [rires] peut-être et on peut voir on peut voir les caméras. Nous, on l'avait vu à l'armée, on avait montré avec ses bascu, on nous avait montré tu pouvis avoir les photos, prendre en photo le mec.

Tu pouvais voir les caméras, en fait, tu peux tout faire. peut tout faire mais c'est bien sûr il y en a plein et euh ça fait partie des choses que nous on développe aussi dans des dans des mécaniques de prévention de sensibilisation. On fait des formations où on explique à quel point c'est facile ce genre de chos. Tu peux expliquer Bybit et Lazarus aussi c'était dernier gros hacking aussi. Ah Bybit c'est c'est magnifique. C'est 1,5 milliards de dollars volé juste sur une vulnérabilité web. Alors une vulnérabilité web c'était justement un problème de de code de la société Bybit. Et en gros, c'est une société de quoi ?

C'est une société qui fait de du stockage de crypto et de l'échange de crypto. Et en gros, le principe de la crypto, c'est signature d'un d'un contrat. Si je dois le simplifier, c'est on signe un contrat pour dire euh monsieur A veut envoyer de de la crypto à monsieur B. Et il signe le contrat parce qu'il sait que monsieur B, c'est bien la personne à qui il veut envoyer cette crypto et s'il a envoyé à la mauvaise personne, on peut plus revenir en arrière.

Et ce qui s'est passé, c'est qu'ils ont utilisé la vulnérabilité, ils ont exploité cette vulnérabilité euh sur le site web pour faire en sorte de mettre un contrat, de superposer un faux contrat euh qui donnait l'impression à l'utilisateur A que tout se passait bien. Sauf qu'en fait, il envoyait pas du tout à monsieur B. il envoyé à plein de monsieurs C, D, E, F, G, H et ainsi de suite. Et c'est des des millions et des millions de cryptos qui ont été échangées d'Etheréum là-dessus et qui du coup bah on Lazarus qui est donc un groupeuscule d'attaquants consonance militaire nord-coréen, ils ont pris 1,5 milliards grâce à ça. Donc ça finance aussi ce Ah, c'est financé par l'État nord-corroéen.

Ah, bien sûr. Oui. Oui. C'est des c'est presque un groupe d'attaquants qui est rattaché au pouvoir nord-coréen dans des dans des opérations de déstabilisation des États. Il y a beaucoup d'États qui font des trucs comme ça. Il y a beaucoup d'États qui font des trucs comme ça. Oui. [rires] Je veux le dire comme ça. Ouais. Bien sûr, bien sûr. Est-ce que de toute façon tous les États ont du hacking ? Non. Nous on en a aussi. On en a parlé avec Sébastien Lecu. On n pas que Oui. Donc la France le fait. Elle elle attaque de temps en temps, elle euh elle se pour se défendre parfois attaquer, c'est aussi une manière reposter.

Euh la reposte, c'est aussi une manière de faire en sorte que ça s'arrête parce que si on est sans cesse perturbé euh par des groupuscules des apt des advistent fred, c'est-à-dire des équipes organisées même d'état qui nous attaquent, à un moment donné, il faut leur expliquer que bah on montre les cros pour qu'ils arrêtent. Toi, tu as commencé à 6 ans à faire du hacking, si j'ai bien compris et tu hack des des tu clonais des jeux Pokémon, tu payais pas du coup à 6 ans.

Mais non, mais c'est en fait c'est c'est c'était le système avec le câble Link quand on s'est changé des Pokémon dans la cour de récrée et et j'avais découvert que quand on l'arrachait au bon moment en fait, ça clonait le Pokémon. Alors, il fallait pas se tromper parce que sinon trop de bruit avec un Magikarp des deux côtés. Les deux l'avaient du coup et les deux avaient le même Pokémon. Donc c'était trop cool. Bah c'est comme ça qu'on s'est changé Mew notamment qui était très dur à avoir. Euh et et je sais pas de quoi tu parles mais ça l'air très bien. Mais tu as jamais joué au Pokémon ? J'ai jamais joué au Pokémon. Non, c'est pas vrai.

On a 4 ans d'écart et c'est les 4 ans où les Pokémon sont arrivés où j'ai pas connu du tout. Moi c'était extraordinaire. Mais bref, donc du coup Pokémon c'était très cool et en fait en y réfléchiant, je me suis dit bah c'est la première fois que j'ai fait du hack parce que les gens utilisent le mot hack et pensent que c'est juste un truc de cyber. Mais le hac c'est juste détourner un objet de son usage normal. C'est ce détournement là. Exactement. Et donc j'ai j'ai j'adore cette anecdote parce que c'est un c'est le premier hacking que j'ai fait sans faire exprès quand j'étais petit. Je voulais parler de ta première affaire quand tu lances ta boîte. Comment ça se passe ?

tu te tu vas avec tes parents ensuite tu fais des études de là-dedans. Comment tu vas faire ta première affaire de moi j'ai commencé donc j'ai fait une cursus d'école d'ingénieur Matspray école d'ingénieur. Moi mon rêve c'était de faire pilote de l'aéros sauf que j'étais prêt au concours naval mais quand j'ai expliqué à ma mère que j'allais partir sur un bateau faire Top Gun trouva que c'était pas très c'était vraiment pas très séduisant comme histoire et très dangereux. Donc elle m'a un peu convaincu du contraire puis elle était malade en plus. Euh et du coup, j'ai décidé de prendre une école d'ingénieur généraliste.

J'ai fait cette école d'ING et je suis rentré dans l'entreprise familiale, mais j'avais mes parents qui travaillaient plus dans la société. Euh, j'étais rentré entre guillemets en tant qu'ingénieur d'affaires euh et j'avais récupéré euh l'actionnariat euh de la société avec mon frère. En quelle année ? C'était en 2013 que j'ai commencé. 2013, tu reprends la boîte, c'était une boîte de qui faisait pas tout à fait la même chose avant. Elle faisait elle vendait des des consultants dans les domaines. Alors, il y avait des domaines sécurité cyber évidemment, c'était c'était le l'ADN historique, mais elle faisait aussi d'autres métiers, notamment dans le développement, dans dans les télécom.

Euh et je me je me rappelle d'ailleurs de ma première affaire, je venais de commencer et il y avait il y avait un super dev qui que je devais vendre et c'est vrai que c'était pas c'était pas le gars que tu mets pour une mission de conseil de consulting. C'est pas le gars qui se met en costume cravate. Et à l'époque c'était vraiment à la mode. Tout le monde était en costume cravate dans les années 2013, 2014, 2015. Et du coup, je dis je le prépare et tout. C'était ma première affaire. Je voulais vraiment la gagner. Ça faisait ça faisait 3 semaines, je voulais démontrer que j'y arrivais.

Et du coup, je le prépare à fond, je explique comment se présenter et je lui dire "Ah, par contre, il faudra que tu mettes un costume demain, costume cravate demain pour aller chez le client." Je le vois débarquer et là, je vois débarquer avec une une chemise méga ample. Franchement, il avait pas de costume. Donc, il arrive, il me dit "J'ai pas de costume." Par contre, il avait fait tout ce qu'il pouvait pour me faire plaisir. Il avait mis une cravate. Sauf que la cravate c'était Bugs Bunny. Et là, je me suis dit "Ça va pas le faire avec le client." J'ai et c'est j'ai bataillé pour lui faire retirer la cravate parce que lui il trouvait que c'était super bien quoi.

Genre il a vraiment voulu me faire plaisir et ça ça m'a marqué quoi. La a changé hein. Ouais. Avant on allait en boîte, il fallait absolument avoir une chemise, il fallait absolument avoir des chaussures en cur. Te rappelles ? Ouais. Ça a complètement changé ça. Moi, j'ai retiré la cravate en 2017. Je la portais tous les jours avant. Euh et j'ai retiré le costume en juste après le Covid. Maintenant, tu bosses plus en costume du tout. Sauf quand j'ai des rendez-vous étatiques, administration, gouvernement. Mais sinon euh je j'ai arrêté. Tu as tu as ton école, je crois. Euh tu as reçu d'ailleurs des informations pendant 10 ans après ?

J'ai euh j'ai eu hacké le le système de communication de la euh de la la société dans lequelle j'avais fait mon stage en finances et donc qui me permettait de en fait ça mettait un rapport sur tous les aspects financiers, toute la partie reporting financier puisque c'était mon premier stage d'ingénieur. Et en fait, comme j'avais mis un code pour tout automatiser en place, j'avais je continuais à recevoir tout de l'entreprise, tous les rapport, tout le ce qu'on appelait le morning gratuitement sur mon adresse mail personnelle parce que personne n'avait eu l'idée de regarder dans le code et j'avais laissé ça pour justement continuer à le recevoir.

Et donc pour revenir sur l'école quand j'étais, on avait ce qu'on appelait des travaux pratiques et on était en salle avec les tous les ordinateurs connecté en réseau et on codait et parfois on avait même des examens et il s'avère que quand les ordinateurs sont connectés en réseau, on peut accéder d'une machine à une autre et on s'amusait à faire ce qu'on appelait une for bombe. Donc on lançait un script sur la machine à distance qui faisait complètement péricliter le système, qui saturait le système et du coup l'ordinateur se coupait.

Et alors le pire c'est qu'on le faisait au prof qui qui du coup pétait des câbles parce que en fait son PC marchait plus, il comprenait pas qu'est-ce qui se passait, pourquoi il y avait plus rien qui répondait parce qu'en fait on lui avait lancé un script malveillant cette for bombe. Et c'est génial de voir un expert en informatique parce que c'est des gens brillants qui commencent à taper sa machine pour essayer de faire en sorte qu'elle reboote alors que il sait très bien que ça va pas marcher quoi. Ça tu le fais tu c'est par mail que tu envoies ça ? Non non non non c'est directement connexion.

C'est un peu c'est c'est un protocole réseau pour se connecter à distance et puis c'est un script qu'on lance dans la console d'administration. C'est c'est un petit morceau de code qui s'appelle lui-même. Qui s'appelle lui-même. Ouais. C'est un c'est une boucle qui s'appelle indéfiniment jusqu'à ce que en fait il y ait plus de capacité euh ça bourre la machine quoi. Exactement. Euh quand tu vas donc reprendre une silicom la boîte de tes parents et et à créer donc des verraac. Après c'est quoi l'idée de départ ? L'idée de qu'est-ce qui t'anime quoi ? Euh bah déjà moi j'avais adoré les histoires d'espionnage, défens que mes parents me racontaient. Ça faisait partie de ma vie.

Euh donc du coup quand je travaille dans cet écosystème là, j'aimais aussi tout ce qui était le chiffrement. Enfin, c'était éant côté un peu geek et mathématique, je trouvais ça très cool. Donc, j'ai j'ai voulu repousser sur ce secteur d'activité et j'ai senti que c'était aussi un truc qui était en train de se dynamiser. Euh donc c'était aussi un atout pour la société pour pour qu'elle puisse grandir. Par contre, j'avais un problème, c'est que la compétence était rare et je me disais je vais pas réussir.

Les ingénieurs qui sortent de l'école d'ingeter, en fait, ils ont pas d'expérience et sans expérience, sans sans expérience terrain, c'est compliqué de sécuriser un système parce qu'en fait, on fait de la cyber pour sécuriser un système qu'on comprend. Et donc l'idée c'était de créer une académie de formation euh que j'ai lancé en 2019 et c'est ça qui a tout changé, c'est cette cette capacité à mettre en place une structure de formation, d'entraînement, de carrière. Vous formez des gens aussi, mais ça Ouais, on forme on forme des gens. On forme l'État français.

On a remporté un contrat en partenariat avec Arbus avec la direction générale de l'armement pour l'entraînement de de des armées pendant les 8 prochaines années. Euh donc ça fait partie de notre métier parce que en fait notre métier c'est de contrôler le risque. Et contrôler le risque c'est aussi l'humain et un humain qui est bien entraîné, qui est conscient des enjeux de sécurité qui sait comment fonctionne le cerveau des attaquants, il va être beaucoup plus apte à sécuriser un système, à vérifier qu'il a pas laissé de porte ouverte quand il a développé une application. Toi, tu fais office d'école, formation quoi.

Ouais, c'est un peu ça pour les pour les les on va dire les hackeurs et tous les tous les tous les métiers de la cyber défense complètement. Il y a pas d'école sinon euh étatique. Si il y a des école si si, ça s'est développé énormément. Euh après le problème al je les écoles vont m'en vouloir dire ça mais la théorie ne remplacera jamais la pratique. Et je préfère avoir en fait quelqu'un de curieux qui a envie d'apprendre et qui va apprendre sur le terrain de des gens avec qui il va bosser euh directement euh les mains dans le cambouille plutôt que d'avoir quelqu'un qui pense déjà savoir parce que ça évolue très très vite.

Donc même si on apprend une donnée, une théorie aujourd'hui, elle sera plus vraie forcément demain. Donc on doit on a ce devoir aussi de formation perpétuelle. Il y a des sociétés qui vous appellent quand ils se font hacker, genre est-ce que je si vous nous regardez, vous avez un problème de hacking, vous voyez que il se passe quelque chose, il y en a qui vous appellent même quand c'est un peu trop tard entre guillemets pour rattraper. Ouais, c'est c'est même quand c'est trop tard et que entre guillemets l'attaquant est déjà est déjà là. Alors là, c'est dramatique hein, ça coûte énormément d'argent.

Euh c'est c'est des projets qui sont passionnants par contre pour nous parce que du coup on déploie toutes les toutes les compétences en entreprise. Ça va des spécialistes du forensic qui vont aller chercher la preuve, qui vont aller chercher l'attaquant pour voir ce qui a été ce qui a été compromis. Ça passe par des gens en terme de communication de crise, donc la gestion de la la crise en terme de de com, c'est ultra important parce que comment une entreprise raconte à ses clients que ils ont été attaqués et que potentiellement il y a des informations confidentielles qui ont été transmises à l'extérieur. Donc ça c'est pas simple.

Et puis il y a aussi bah toute la communication interne parce que parfois les services sont paralysés et le principal sujet d'une attaque c'est il bloque généralement ce qui permet de facturer parce que comme c'est généralement il négocie de l'argent quand ils empêchent la facturation ils empêchent le modèle économique. Donc les gens ont envie de payer ils ont envie de payer la rensle pour pouvoir faire en sorte que redémarrer le système. Il y en a qui payent ça le problème. C'est ça que ça continue j'imagine. Bien sûr si c'était pas lucratif ça se serait arrêté mais c'est ultra lucratif.

C'est c'est des gens qui gagnent énormément d'argent, ceux qui qui font qui sont organisés dans certains pays pour faire ce ces opérations de hacking. Ça coûte combien pour protéger sa boîte si une petite PME, on va dire moyenne de taille moyenne ? Ça coûte combien comment s'appelle ? En ordre de grandeur ? C'est une dizaine de milliers d'euros en ordre de grandeur. Par an. Par an. Ouai. Par an. Ça c'est ce qu'on propose nous en terme de de supervision. Après, il y a aussi de l'achat d'équipement.

Mais normalement les sociétés, on commence à avoir des équipements réseaux qui fonctionnent bien, mais euh le la surveillance, on est dans cet ordre làà pour les pour les petites boîtes, ça monte hein sur des millions d'euros quand on on change de taille d'entreprise. Après, il y a le coût des équipements, il y a le coût de l'expertise, de l'audit, mais ça coûte moins cher de le faire en amont que de le faire pendant après l'attaque. Vous travaillez pour des clients sensibles, tu le disais tout à l'heure, parfois des clients étatiques et cetera machin. Est-ce que tu te méfies plus que quelqu'un de lambda quand tu rentres dans un bar si tu te fais aborder ?

[rires] Ouais, ça fait partie des formations que l'on a. Euh, généralement quand elle est très séduisante, très blonde et qu'elle parle russe, c'est pas parce qu'on est très beau qu'elle qu'elle vient nous aborder. [rires] Ça t' arrivé ? Euh non, ça m'est pas arrivé mais c'est arrivé à des à des collègues. C'est des trucs qui sont très fréquents, notamment dans les zones de sensibles. Il y a des points Toulon, Brest. là où il y a de la ou des sous-marins, des bases, mais ça arrive à Paris, ça arrive dans certains bars à Bruxelles.

En fait, le problème c'est que dès qu'il y a une information ouverte et que les gens ont la connaissance que bah il y a des militaires, il y a des personnes qui ont des des secrets qui se réunissent au même endroit, bah c'est exploité par ce groupe ce groupuscule. Mais ils sont plus subtils maintenant. Mais pourquoi ils mettent quelqu'un avec l'accent russe ? On voit tout de suite que c'est bah voilà, c'est non mais ça c'est l'exagération mais la vérité c'est que elle peut être juste très belle et très séduisante et parler parfaitement français ou anglais et il faut se méfier aussi.

au-delà du fait que tu sois marié évidemment, mais si tu te fais aborder euh sur les réseaux sociaux un message privé, un machin comme ça, toi tu fais hyper gaffe. Tu sais que ça fait partie des On en parlait avec un euh c'est un pseudo Jacques Baumont, je sais si vous avez vu l'émission était à la direction des opérations de la DGSE. Il expliquait qu'il y avait le maïs. Euh toi tu vois ce que c'est, j'imagine tu bosses avec. Ouais bien sûr. Ça fait partie des des choses sur lequelles nous bah on est ultra vigilant et c'est tous les points d'accroche pour faire parler quelqu'un. Donc monnaie, idéologie, chantage et ego.

Ça veut dire que c'est un point de levier sur quelqu'un pour l'avoir pour qu'il travaille pour toi entre guillemets. Ah, c'est un c'est un sujet qui est récurrent notamment dans les dans les hôtels qui sont sur des près de points chauds, points critiques, il y a des groupesuscules qui sont très habitués à essayer de rentrer dans le dans le système wifi et puis de de regarder ce qui se passe en terme de communication entre certaines chambres et internet. Évidemment, l'objectif c'est derrière de pouvoir récupérer un point d'accès.

Par ce biais là, ils arrivent à se connecter sur l'ordinateur de l'usager et là pour le coup, c'est pas une blague en disant vous on vous a vu faire quelque chose de de très cool sur votre téléphone ou sur votre ordinateur. Euh c'est une réalité. Ils ils ont vraiment la vidéo et donc là pour le coup ils arrivent à faire chanter des individus qui ont pas envie que ça arrive dans leur famille ou sur le web. Toi qui travaill dans une des plus grosses boîtes aujourd'hui de cyberdéfense, est-ce que c'est une erreur de se connecter au wifi d'un hôtel ?

C'est une erreur de se connecter au wifi d'un hôtel pour de traiter de données sensibles parce qu'en fait on a aucun contrôle sur un wifi qui est qui est public et même si nous ça fait partie des choses que l'on fait pour des grands groupes hôteliers de les aider à sécuriser ces systèmes, en fait le problème de notre métier, c'est qu'on a toujours cette ce paradigme entre la sécurité du service et le le le la qualité du service. Et donc si on bloque tout en fait, il y a plus de service. Donc à la fin, il y a plus d'usager. Donc le principe de wifi public des hôtels, c'est quand même d'offrir ce service à des utilisateurs à leurs usagers. Donc ils peuvent pas complètement verrouiller.

Euh le problème c'est qu'en étant dans un modèle qui est ouvert, bah ça donne lieu à ce genre de de d'attaque. Il manque en 2024 en France, il manquait 15000 personnes pour traîner dans la cybersécurité. C'est l'état qui estimé. Donc c'estàd que c'est un boulot qui recrute, un secteur qui recrute. On on cherche des des métiers. Voilà, quand vous faites des formations, si vous cherchez un un secteur qui recrute, tu peux le confirmer. Je pense que tu embauches et que c'est pas si facile de trouver des gens dans ce secteur. Non, c'est c'est pas si simple. Euh on a besoin d'avoir une des gens qui sont passionné. Ça c'est vraiment pour moi le light motif.

Par contre, c'est accessible parce que à partir du moment les gens sont motivés, ont une capacité d'apprentissage forte, ils vont pouvoir progresser dans le domaine. Moi, j'ai j'ai plein d'exemples de reconversion professionnelle de gens qui étaient même par exemple dans des métiers qui n'ont rien à voir, qui aujourd'hui travaillent dans la cyber euh et même qui parfois sont des niveaux techniques très importants.

Des gens qui étaient par exemple sur la partie lettre qui n'étaient pas du tout dans le code qui se retrouvent à faire du pen test, c'est-à-dire trouver des vulnérabilités sur des logiciels euh juste parce que ils sont bons en sémantique, ils sont bons dans leur capacité à s'exprimer. Euh en 2021, vous allez reprendre la boîte et en 2021, vous allez euh vous internationaliser, vous allez commencer à racheter. Tu disais, tu as fait une levée de fond, tu as trouvé un partenaire, c'est c'est qui d'ailleurs ? Comment tu as tu as fait ?

Alors, j'ai fait donc une première levée de fond avec IK Partner, un fond d'investissement européen basé en France mais également dans différents pays d'Europe, typiquement au Pays-Bas à l'origine.

Et donc ça m'a permis avec cette première levée de fond d'avoir une capacité de réaliser deux opérations de croissance externe en 2022 en France et qui m'ont permis de diversifier mon offre parce que aujourd'hui avant j'étais très spécialisé sur on va dire la partie technique plus col bleu de la cybersécurité vraiment les mains dans le cambouille et j'avais aussi besoin d'avoir cette capacité un peu plus conseil un peu plus strat gestion des des identités qui est un vrai sujet he dans les entreprises et qui un sujet métier où il faut dialoguer avec des directions et donc c'est ce que ça m'a permis de racheter une société qui faisait presque la même taille que nous et donc de développer d'accélérer le modèle.

Tu vas aller où ? Quoi l'objectif pour Neverack dans 10 ans ? Euh mon objectif c'est de d'être un leader ou le leader de la cyber mondiale. Ouais, c'est ça mon objectif. C'est c'est mon rêve. J' pense à à l'introduction en bourse. On n'est pas prêt. C'est il faut avoir une taille critique qui est pas encore éteinte. Mais oui, c'est c'est un objectif. J'ai envie. Vous êtes 1000 aujourd'hui, c'est ça ? On est plus de 1000. Ouais, on est plus de 1000. Dans 11 pays, je fais plus de chif d'affair en dehors de France qu'en France. Alors que jusqu'en 2023, j'en faisais 99 % en France. ! Ah ouais, en 2 ans, tu as complètement 55 % de chif d'affair est fait hors France et 80 13 % euh en Europe.

Donc tu vas racheter d'autres boîtes après, tu vas continuer de grossir. Oui. Oui. Après, il faut aussi stabiliser parce que faire des multiples x 3 x 2 x 3, c'est ça finit par faire beaucoup hein. Il faut intégrer les équipes, faut faut mettre en place des solutions qui fonctionnent pour tout le monde, uniformiser les méthodes de travail avec des populations qui parlent pas la même langue aussi. Euh donc c'est c'est évidemment passionnant mais mais il y a un peu de travail. C'est c'est j'imagine en plus difficile quand tu as un salarié qui part de le remplacer du coup dans ces métiers. Il faut reformer. C'est un boulot plus qu'ailleurs. C'est un coût assez conséquent.

Euh le recrutement d'un collaborateur d'une collaboratrice en cybersécurité. On estime que c'est entre 10 et 15000 €. Le coût de sa formation c'est entre 30 et 60000 en fonction des métiers. On va montrer le hacking d'un téléphone dans un instant.

tu proposé ça donc je sais pas exactement comment va ça va se passer mais je vais découvrir ça qui a proposé juste tu parlais tout à l'heure de Red Team je voudrais que tu nous raconte avant de terminer parce que on cite des exemples mais le red team c'est de rentrer dans un dans un dans un immeuble dans une société pour accéder à quelque chose de sensible à un coffre fort à un bureau de patron et cetera est-ce que tu es déjà arrivé une anecdote avec des mecs que tu as mis est-ce que tu peux expliquer un truc raconter une fois euh il y a une une belle histoire C'est des dans les équipes France, ils sont rentrés dans dans des systèmes assez complexes en se faisant passer pour les techniciens de la clime et donc de rentrer dans la salle des machines, la salle de data center pour pouvoir brancher un équipement et avoir toutes les aspirer toutes les données et en plus à distance.

Et du coup pour faire, ils se sont déguisés mais surtout ce qu'ils ont fait c'est qu'ils ont trouvé les informations sur la personne qui était en charge de la sécurité le fait qu'elle était en vacances. Donc ils avait plein d'informations ultra qualifié et ils sont arrivés à l'accueil et c'est grâce à ces informations qualifiées que ils ont réussi à à troubler la vigilance du système de sécurité de la société et du coup ils ont ils ont ouvert toutes les portes. Ils sont rentrés dans la salle des machines, ils ont branché la clé USB et puis ils sont repartis et personne n'avait rien vu. Mais ça c'était réussi. Ah c'était réussi. Ouais.

Quand tu fais de la red team, tu es payé au résultat euh ou il y a quand même un forfait ou si tu arrives pas ? Alors, tu es payé sur un un on va dire un temps. Plus tu payes, tu passes du temps, plus tu peux trouver des vulnérabilités, plus tu peux les exploiter, plus tu derrière tu peux mettre en place des mesures pour corriger. D'ailleurs, je te propose ma carte de visite pour N'hésite pas si tu veux une petite mission pour trouver des vulnérabilités ici. Il y a ton numéro de téléphone dessus. Il il y a mon numéro de téléphone, mais surtout tu as toutes mes coordonnées avec le QR code directement. Euh merci pour cette carte de visite. Euh juste une petite dernière anecdote sur le paqubo.

Voilà. Ouais. Je crois qu'il y avait une histoire avec le pacbo aussi avec le ça c'est des équipes de la de notre euh de notre team qui ont été sollicité par un armateur pour rentrer sur un PACB et trouver toutes les vulnérabilités. Et on est à l'étranger, on dit pas de pays mais on est à l'étranger. Ouais. Et euh du coup euh ils sont trois euh ils prennent leurs billets comme des des comme des touristes normaux quoi. Euh ils vont sur un bateau, ils ont juste leur équipement avec eux. Euh euh ils ont pas grand-chose parce qu'il il faut pas non plus qu'ils arrivent avec des batteries d'équipement complexes.

Ça se voit parce que quand tu rentres sur un bateau de croisère, tu es fouillé comme à l'aéroport. Ouais. Voilà. Donc ils avaient euh ils avaient quelques équipements, quelques outils, mais des trucs très discrets juste pour une pour les armures électriques et euh et puis leur leurs ordinateurs. Et donc bah ils rentrent, ils se baladent et là ils s'aperçoivent que chaque cabine, il y a un espace vide dans lequel il y a tout le câblage réseau et le câblage électrique. Et du coup, c'est là où ils sont branchés.

Sauf qu'en fait, c'était tellement petit et il fallait il fallait rester à cet endroit-là pour pouvoir récupérer l'information et se connecter qu'il y en a un des trois qui est restait enfermé là-dedans pendant des heures euh dans un truc qui était ultra serré.

euh et qui donnait toutes les informations et heureusement, ils ont donc ils ont réussi à à attaquer le système très rapidement et c'est finalement le le système de l'armateur qui les a appelé en disant "Bon écoutez, c'est bon, on a vu, vous êtes rentré maintenant, stop, arrêtez tout parce que ça commence à être risqué et vous êtes vous êtes dans un bateau qui est en fonctionnement avec du public donc il y avait un risque." Donc et l'armateur savait que vous étiez là, c'est lui qui a demandé sa il savait pas qu'on était là le jour en question mais c'est lui qui avait demandé commandé payé la mission bien sûr c'est toujours une mission payée par le interdit de le faire.

Vous avez une feuille sur vous parce que si vous faites arrêter par la sécurité qui est pas au courant. Surtout pas surtout pas rien. Tu as pas une feuille pour montrer que tu es bien envoyé ? Non. Par contre, on a un contrat au bureau mais les gars sur place, ils ont rien. Ils ont rien du tout. Mais donc s'ils sont arrêtés par c'est arrivé arrivé et du coup il te ils se retrouvent au poste de commissariat et puis après bah il faut les libérer. Du coup il y a pas de plainte. Mais ouais il faut il faut pas trop jouer à ça parce que la police aime pas énormément traiter ce genre d'affaires. C'est pour voir comme ça si jamais comment la sécurité se comporte jusqu'au bout en fait.

Bah c'est en fait il y a aucune autre manière que de tester un système que de réellement le faire parce que tous les exercices, même un exercice incendie, ça permet d'améliorer la réponse mais en aucun cas ça sera exactement comme ça que ça va se passer en cas d'incendie. C'est juste une préparation. Donc on fait ça nous en fait on fait des exercices pour préparer mais par contre quand on veut vraiment voir le niveau de la réponse, il faut faire quelque chose en conditions réelles. Et vous êtes déjà infiltré dans une boîte qui s'en est rendu compte 2 ans après ? Ouais ouais. On en fait c'est pire que ça.

Euh on s'est infiltré dans une boîte, on avait déposé un équipement cl USB dans une salle machine et sauf qu'en fait personne ne s'est aperçu que l'équipement continuait de fonctionner et c'est juste quand ils ont fait une mise à jour de leur de leur système qu'ils sont aperçus que l'équipement en pingué alors que ça faisait 2 ans qu'il était sous surveillance. Donc comme quoi il y a des choses qui passent parfois complètement dans les mailles du fillet. Tu travailles avec l'OTAN aussi dans dans c'est dans un article du Figaro, j'ai vu qui disait ça. Vous parlez aussi des drones. Est-ce que il y a moyen de hacker les drones ? C'est en Ukraine, il y a beaucoup de drones su même.

C'est un peu le truc hein. Ça coûte pas cher drones qui coûtent pas cher et qui font vraiment des dégâts. Est-ce qu'il y a moyen de les hacker ? Tout système est hackable de manière générale he tout système on peut trouver des vulnérabilités. C'est encore une fois des logiciels avec des éditeurs qui font des erreurs. Euh je je pour donner un exemple très concret, quand on développe un logiciel, parfois on met des outils pour tester ce logiciel et son fonctionnement.

Euh c'est des c'est des petits morceaux de code anodin qui permettent de de vérifier si on si bah le système fait bien le le service et du coup pour pouvoir faire en sorte de le contrôler euh l'utilisateur va enfin le codeur il peut oublier que ce système est mis en place et ça les attaquant ils trouvent ça et ils se régalent parce que derrière ils ont directement accès à toute l'infrastructure et à tout ce qu'ils veulent. pour un système embarqué, c'est exactement la même chose. C'est-à-dire que si on prend le la main sur le système de commande, on peut faire beaucoup de choses. Par exemple, la commande pour l'explosion.

Euh et donc ça fait partie des scénarios qu'on travaille avec certains groupes, certains grands groupes. Imaginons un drone qui est chargé, donc qui est qui est armé, fait son opération et donc il explose pas parce que sa mission, il peut pas réaliser sa mission. Perte de signal pendant une période. Donc il y a plus de monitoring, on sait plus ce qui se passe et il revient. tu renvoies le drone bah en fait potentiellement l'attaquant il renvoie il laisse le drone revenir à sa base parce que c'est quelque chose qui coûte très cher donc on a envie de les retrouver quand elles ont pas explosé et donc là il fait exploser par contre quand il est retourné à la base. C'est pas très agréable.

Donc ce genre de scénario en fait sont évalués et on essaie de de trouver des contournements mais il y a plein de mécaniques logiques hein. Par exemple on fait pas retrouver on fait pas retourner à la base un drone qui a été dit potentiellement compromis donc qui est à risque parce que il y a une perte de communication. C'est logique. Euh pour terminer, on va donc du coup tester un raking de téléphone. Il y avait une dernière info, dernière question, c'est euh la tour de contrôle de sécurité. Tu en parlais tout à l'heure, tu as créé ça. Qu'est-ce que c'est ? C'est euh c'est un système alors s'appelle Security Operation Center.

C'est un système qui permet d'avoir une vision sur tout ce qui se passe dans l'entreprise, dans tous les événements. Je me connecte à mon PC, je me connecte au au serveur de l'entreprise pour récupérer des fichiers. Tout ça en fait est monitoré. C'est ce qu'on appelle des logs, c'est des fichiers. C'est comme si en fait on avait le relev monde extérieur et le monde de l'entreprise et même en interne. Et ce qui se passe généralement, c'est que bah c'est par là qu'on détecte les attaquants et c'est ce qu'on appelle des signaux anormaux. C'est-à-dire que dès qu'il y a un comportement qui n'est pas cohérent par rapport au système, qui est déviant avec de l'IA, ouais.

Avec de l'IA euh typiquement, avec des solutions des produits euh qui développent de l'IA, ça crée une alerte et cette alerte, elle est analysée par nos opérateurs SOC, nos analystes qui vont évaluer si c'est grave ou pas. Et j'ai une anecdote là-dessus qui est assez cool, c'est que une fois on a nos analystes qui sont en effervescence parce que il y a une alerte sur une connexion d'un VIP depuis un lieu exotique et qui se connecte à comment dire à des machines de l'entreprise et récupère des fichiers extraction de données. Donc là ils sont en effervescence, ils essayent de contacter, impossible de le contacter, impossible. Ils appellent toute la nuit, impossible.

Bon, en fait, il s'avère qu'il avait prévenu personne, personne n'était au courant, mais il était dans un rendez-vous amoureux et il avait coupé son téléphone et donc il avait téléchargé quelques mails et des fichiers pendant ce rendez-vous amoureux. Donc comme quoi, il faut bien faire la séparation entre vie professionnelle et vie privée. C'était un quelqu'un de l'État quand tu dis quelque chose d'important. C'était un féchier important en tout cas. C'était c'était quelqu'un d'important. Euh on va faire rentrer quelqu'un de ta boîte, je sais pas comment il s'appelle. Euh on va pas donner son prénom, je crois.

de toute façon va le flouter ou euh pour pas qu'on voit les visages mais il va rentrer pour nous montrer un hacking de téléphone pour terminer l'émission. C'est parti. Alors pour terminer l'émission, on se retrouve donc en bas dans le canapé. Il y a un de tes collègues qui est là. Bonjour à toi. Euh qui on regarde voilà pour des raisons évidentes de sécurité. On ne montre pas son visage mais comme ça vous voyez un petit peu la démonstration. Merci à toi d'être venu aussi. Euh tu qu'est-ce qu'on va montrer alors ? Tu te rappelles que je t'avais donné une carte de visite avec un QR code ? Oui. Oui.

Euh bon, tu vas pas le faire avec ton téléphone, je vais te montrer ce que ça fait avec un téléphone de test. Oui. Alors, évidemment, hop, je vais scanner. Il y a ton vrai numéro de téléphone dessus. Pour Ouais, ça merci. Ouais, ouais. Non, c'était pour quand même que tu aimes mes coordonnées. Alors, donc du coup, ce que tu vois, c'est que tu arrives sur un site, donc fais comme si tu avais voulu te connecter avec moi et donc te rentrer tes informations. Donc là, bah tu arrives sur un LinkedIn. Voilà, c'est carrément la page LinkedIn tout simplement. Voilà. Donc là, je je c'est comme si c'était mon téléphone. Donc OK. Donc là, je fais quoi ? Bah mets ton adresse mail.

Euh, tu obligé de mettre tu bon, c'est bon, c'est bon. Regarde, je vais je vais mettre mon adresse mail pro. Regarde. Hop. Très bien. Et là ensuite après derrière, tu mets un mot de passe. OK. Donc qui qui n'est pas le vrai du coup pour le pour la démo. D'accord. OK. Et tu fais donc signat signate. OK. Enregistrer le mot de passe. Non, plus tard. Je mets plus tard. Ouais. Comm Voilà. Donc là en gros, on voit que donc il y a une alerte de sécurité puisque il arrive sur notre page donc il dit que ton tout ça a été compromis. Oui.

Donc là si on va voir sur l'écran de mon collègue, on va avoir toutes les informations que tu viens de rentrer à l'instant sur la plateforme qui sont directement récupérées par l'attaquant et donc j'ai ton mon loging et ton mot de passe. Ça y est. OK. OK. Très bien. Est-ce que tu peux nous dire donc le mot de passe qui a été tapé ? Donc c'est un légende avec une faute d'orthographe 75. Ah c'est Ouais, j'ai pas vu, j'ai pas mis euh chaud pour justement pour pas qu'on voie l'image. Je pensais que tu enregistrais l'écran et que tu voyais un duplicata de mon écran. Donc j'ai j'ai pas volontairement mis le petit œil sur le côté. Donc je voyais pas bien ce que je tapais effectivement.

Alors là, il est à côté de nous donc euh on le sait mais euh il pourrait être très très loin et on il aurait toutes les informations. Euh alors d'ailleurs euh ce type de mot de passe c'est ultra classique hein, le un mot clé et derrière un numéro et un caractère spécial. Donc ça faire attention aussi à ça en terme d'hygiène de mot de passe, faut pasut mieux plutôt une très grande phrase genre je me balade dans la prairie euh sous le soleil couchant et que en mode de passe court avec des caractères spéciaux. Donc ce qu'il faut retenir c'est que on peut se faire aussi pirater avec juste un QR code. Juste avec un QR code.

Donc ne scannez pas des trucs dans la rue qu'il y a sur un je sais pas parfois il peut y avoir une feuille blanche qui est scotchée dans une dans un hall de facin. Vous allez tous menus. Les menus aussi. Les quoi ? Les menus. Oui, les restaurant code promo. Si vous voulez scanner légend promo pour le shop, hop, on pourrait scanner. Donc là, c'est un but. Là, c'est un but. Voilà, éducatif montrer. C'était on a montré un truc très simple et très ludique. C'était juste histoire de montrer que c'était possible et ça permet aussi de vous passer le message, de faire attention à ne pas scanner n'importe quoi.

Mais moi ça m'arrive souvent maintenant dans tu vois, tu vas en centre-ville, tu vas manger dans Paris par exemple. Nous, on habite, on est sur Paris aujourd'hui mais tu vas dans n'importequel, j'étais à Bord il y a pas longtemps, bah il y a pas de menu en fait. Maintenant, il y a juste un QR code sur la table et il y a plein de restos qui qui font ça pour des raisons hygiéniques au départ qui était pas mal d'ailleurs après le Covid. Mais donc faut faire attention quand même. Oui. Euh OK. Ben on demandera on demandera le menu oralement du coup dans les restaurants. Merci pour cette démonstration.

Ça nous a permis de de de comprendre voilà que c'était en tout cas possible et qu'on peut aller beaucoup plus loin. Donc faites attention à vous et donc tu sais les mot de passe, faites gaffe aussi à pas prendre des trucs trop faciles euh pour pas se faire avoir. Merci beaucoup d'être venu. Merci. C'est un plaisir de de faire cette émission avec toi. Je mettrai donc toutes les informations si vous voulez retrouver directement Never Hack dans la description de la vidéo sur YouTube et dans la description des podcasts audio. Voilà sur Spotify, 10, Apple Podcast et Amazon Podcast. En tout cas, merci de faire des gens de premier podcast de France.

Merci d'avoir regardé l'émission avec Arthur et je mettrai tous les réseaux sociaux si vous voulez suivre Arthur donc tu disais que tu te lançais dessus. Donc tu vas montrer un peu ton métier au fur et à mesure des voyages, de tout ce que tu fais, d'émission, tu vas montrer, tu vas essayer de faire vivre aussi. C'est important. tu as une énorme boîte de cybersécurité en France et c'est cool de l'ouvrir comme ça de d'expliquer ce que tu fais. Donc je mettrai voilà les liens si vous voulez aller le suivre et puis lui donner de la force et puis voilà des des petits likes, ça ça aidera ça.

Merci beaucoup, je vous embrasse fort de toute façon puis on se retrouve pour une prochaine vidéo tous ensemble. Ciao tout le monde.

[musique] [musique] [musique] [musique]