Attention aux idées fausses sur la protection de vos données numériques (Robin Kwiatkowski, Kaspersky)

Transcription intégrale

Robin Kwiatkowski:

[0:00] On peut voir le cas, par exemple, des tests de personnalité et après, ils vont nous dire que vous avez telle personnalité ou, par exemple, vous êtes peut-être attiré par tel type de métier. En fait, ce genre de questionnaire, leur but premier, en fait, c'est de récupérer des informations sur les utilisateurs.

Monde Numérique :

[0:16] Êtes-vous suffisamment prudent avec vos données personnelles, avec votre vie privée sur Internet, sur les réseaux, etc. On en parle tout de suite en partenariat avec la société Kaspersky. Bonjour Robin Kwiatkowski. Bonjour. Vous êtes chercheur en cybersécurité chez Kaspersky. Kaspersky, donc grand éditeur de cybersécurité, qui publie une étude assez intéressante qui nous concerne vraiment directement. Vous avez intitulé « Mythe et réalité du monde numérique ». Alors on va voir ça en détail. C'est une étude qui passe en revue tout un ensemble de risques auxquels nous sommes confrontés jour après jour, et puis des risques et aussi des paradoxes. En gros, elle révèle quoi cette étude, Robin ?

Robin Kwiatkowski:

[0:59] Alors, effectivement, comme ce que vous avez dit, c'est très juste. Elle révèle des grands paradoxes qui sont, sur certains aspects, la protection de la vie privée, la protection des données. Les gens, les utilisateurs ont conscience du risque. On peut citer, par exemple, masquer sa caméra. Il y a beaucoup de gens qui pensent que c'est une bonne pratique pour protéger sa vie privée, ce qui est vrai. Mais en parallèle, ils vont utiliser des réseaux sociaux où ils vont mettre leurs images en vidéo. Ce qui est partagé par la webcam va probablement être partagé d'une autre manière sur d'autres réseaux sociaux. Cette fois-ci, avec le consentement de l'utilisateur. C'est une patterne qu'on retrouve un peu sur tous les aspects de la cybersécurité. L'utilisateur, il a tendance pour pouvoir utiliser des services et changer beaucoup de données. Donc si un service lui plaît, les réseaux sociaux, il aura tendance à beaucoup plus accepter de partager les données dans ces conditions-là.

Monde Numérique :

[1:46] C'est un peu ce qu'on appelle la servilité numérique, la servilité acceptée. C'est tellement agréable que même si on sait qu'il y a des risques, on le fait quand même.

Robin Kwiatkowski:

[1:55] Tout à fait. On peut lire les conditions d'utilisation des différentes applications ou des différents services qu'on utilise, mais on ne peut pas faire grand-chose de plus qu'accepter ou ne pas utiliser. Donc on n'a pas une marge de manœuvre.

Monde Numérique :

[2:08] Ce n'est pas nouveau ce risque-là, Robin. Est-ce que ce n'est pas lié au fait aussi qu'en réalité, on ne sait pas exactement à quel risque on est exposé ? Quelles sont les conséquences ?

Robin Kwiatkowski:

[2:18] C'est vrai que pour l'utilisateur final, on peut se poser des questions quand on veut protéger la vie privée, c'est on veut la protéger de qui ? On peut se dire on veut être protégé, ça peut être par exemple de son gouvernement, mais ça peut être protégé de ses voisins, on ne veut pas que les voisins écoutent ton conversation. Donc c'est en fonction de qui on veut être protégé qu'il faudrait idéalement calibrer ses décisions sur à qui on fournit ses données. mais c'est quelque chose qui n'est, à mon avis, pas beaucoup fait par les utilisateurs, de réfléchir à quelle est la finalité de ce qu'on veut protéger. C'est par exemple, pour les gars-femmes, est-ce qu'on pense que c'est un problème quand ils vont récupérer nos données et nous proposer, par exemple, le dernier équipement qu'on va peut-être plus acheter qu'un autre parce qu'il va être ciblé pour nous ? Il y a des utilisateurs qui ne pensent que c'est absolument pas un problème, que la pub ciblée n'est pas quelque chose qui est problématique pour eux. Alors, d'autres utilisateurs sont complètement contre avoir de la pub ciblée.

Monde Numérique :

[3:10] Donc, en fait, chacun voit midi à sa porte, finalement.

Robin Kwiatkowski:

[3:12] Oui, mais est-ce que la décision est éclairée tout le temps ? Ce n'est pas sûr. C'est aussi un des problèmes. On ne sait pas forcément à quel point nos données sont utilisées et quelles sont les applications qui vont le plus en soutirer de notre part. On peut voir le cas, par exemple, des tests de personnalité ou des petits questionnaires où on peut répondre. Et après, ils vont nous dire, vous avez telle personnalité ou, par exemple, vous êtes peut-être attiré par tel type de métier. En fait, ce genre de questionnaire, leur but premier, en fait, c'est de récupérer des informations sur les utilisateurs.

Monde Numérique :

[3:39] C'est comme ça qu'avait commencé l'affaire Cambridge Analytica de Facebook.

Robin Kwiatkowski:

[3:42] Exactement.

Monde Numérique :

[3:44] Alors, il y a un autre élément qui est abordé par votre étude, qui est assez intéressant, et qui concerne les traces laissées par les personnes décédées, des traces notamment sur les réseaux sociaux, des profils de réseaux sociaux, etc. Avec un chiffre, 65% des Français se disent inquiets par rapport à ce phénomène. Ça veut dire quoi exactement ?

Robin Kwiatkowski:

[4:02] Il y a deux aspects qui peuvent inquiéter les gens. Ça serait l'utilisation des comptes par un tiers pour faire des actions malveillantes. Ça veut dire qu'on peut s'attirer des problèmes parce que l'identité d'un de nos proches a été utilisée pour faire un prêt ou quelque chose comme ça. Mais c'est aussi un autre problème qui est quand une personne est décédée et qu'on voit sur son fil d'actualité un message posté de sa part, en fait, ça fait un choc aux personnes qui sont aux proches. En fait, c'est un cas qui est arrivé chez un de mes proches où une personne décédée a eu son compte Facebook piraté et il y a eu des posts sur le compte Facebook et la personne, elle était un peu choquée de voir une publication de sa mère décédée sur l'application. Donc ça, c'est quelque chose qui est problématique et c'est très compliqué à la suite de ça de faire fermer le compte parce qu'une fois que le compte a été usurpé, on ne peut pas essayer de reprendre la main sur le compte facilement si on n'a pas accès à tous les identifiants qui sont les mails pour les questions de sécurité. Ça devient compliqué. et on peut faire une demande officielle de suppression

Robin Kwiatkowski:

[5:01] du compte, mais c'est des démarches qui sont un peu longues et compliquées.

Monde Numérique :

[5:04] Donc ça, on va dire que le problème est du côté des plateformes, finalement, qui, encore aujourd'hui, en 2024, selon vous, ne sont pas assez conciliantes, enfin, ne font pas suffisamment d'efforts pour nous simplifier la vie ?

Robin Kwiatkowski:

[5:17] Alors, le problème, c'est s'ils font des efforts pour simplifier la vie, pour récupérer le compte d'une personne qui n'est pas à nous, ça va générer d'autres problèmes qui sont de l'autre côté. Ça veut dire que des gens vont pouvoir usurper les comptes plus facilement si des procédures sont simplifiées. Donc c'est soit on met en jeu un peu plus en péril les comptes actifs des utilisateurs actuels soit on bloque un peu cette partie sur les comptes des personnes qui ne peuvent plus accéder à leurs comptes parce qu'ils sont décédés donc je pense que c'est pour ça qu'on préfère ne pas simplifier cet aspect-là et préserver un peu plus de sécurité au niveau des utilisateurs pour les comptes actifs Là.

Monde Numérique :

[5:51] Aussi il y a un paradoxe.

Robin Kwiatkowski:

[5:52] Effectivement Alors la cybersécurité c'est tout le temps ça c'est faire des

Robin Kwiatkowski:

[5:57] choix entre le pratique et accepter les risques qui découlent de certaines pratiques.

Monde Numérique :

[6:03] C'est-à-dire qu'on voudrait un monde idéal où tout soit simple et sécurisé, mais ce n'est pas possible parce que c'est l'un ou l'autre.

Robin Kwiatkowski:

[6:09] Exactement. Souvent. On n'a pas encore trouvé la solution parfaite.

Monde Numérique :

[6:13] Alors, autre idée reçue, Robin Kwiatkowski. Votre étude de Kaspersky révèle également que beaucoup d'utilisateurs utilisent ce qu'on appelle le mode incognito sur leur navigateur Internet en pensant que ça leur garantit un anonymat total. Mais ce n'est pas le cas.

Robin Kwiatkowski:

[6:30] Alors, le mode incognito sur les différents navigateurs, il sert à ne pas enregistrer l'historique localement. Parce que d'habitude, quand vous allez sur un site, la prochaine fois, par exemple, vous voulez aller sur le même site, vous tapez dans la barre de recherche et directement, il y a le site qui s'affiche parce que vous y êtes déjà allé une fois. Ça, c'est parce que l'historique, c'est parce qu'il se rappelle que vous êtes déjà allé sur site. Quand vous passez en mode incognito, il dit j'oublie tout. Et il fait une étape de plus qui est tous les cookies qui sont envoyés, qui sont stockés dans le navigateur pour que les sites se rappellent qu'on est déjà passé pour se rappeler ce qu'on faisait dessus, ils vont être supprimés aussi. Donc, dès qu'on relance un nouveau navigateur en mode navigation incognito ou privé, normalement, on est assez... Notre navigateur, il est neuf quand il se balade sur Internet. Mais ça ne veut pas dire qu'on est anonyme. L'anonymité, c'est pas du tout ça sur Internet. Parce que, Quand vous allez aller sur le site en question, votre ordinateur va demander à un service qui s'appelle le DNS où est situé ce site. Et en fait, cette requête, on lui a demandé où est-ce qu'il est ce site. Donc, lui saura. Il y a aussi le fournisseur d'accès Internet qui sert à transporter vos messages sur Internet. Lui aussi, il va savoir où vont vos différentes requêtes. Donc, le mode incognito, il peut protéger uniquement de la personne qui vient sur l'ordinateur et qui regarde ensuite quel était l'historique de navigation. C'est la seule protection qu'il apporte essentiellement.

Monde Numérique :

[7:49] Est-ce qu'il est possible d'être complètement inconnu, incognito sur Internet ?

Robin Kwiatkowski:

[7:53] Alors c'est quelque chose qui est extrêmement compliqué parce qu'on remarque que les attaquants ou les groupes étatiques font tout leur possible pour essayer d'être le plus anonyme possible pour ne pas pouvoir, pour pas qu'on puisse leur attribuer les différentes attaques. Mais si on regarde, souvent l'anonymat, il peut être levé d'une manière ou d'une autre. On peut penser par exemple au réseau Tor qui est censé être bien pour l'anonymisation mais ça reste quand même quelque chose qui a ses limites parce que on va revenir à la question de qui on veut se protéger, si on veut se protéger par exemple d'un service étatique lui, si on utilise juste Tor, il aura potentiellement la possibilité de savoir d'avoir nos traces numériques parce que l'anonymisation n'est pas suffisante pour avoir une anonymisation suffisante pour être 100% anonyme, ça reste quelque chose qui est théorique. On ne peut pas l'atteindre.

Monde Numérique :

[8:42] Alors, on parle beaucoup en ce moment de l'affaire Telegram. Telegram, cette messagerie présentée comme sécurisée, est-ce qu'elle l'est réellement ?

Robin Kwiatkowski:

[8:49] Alors, il y a plein de gens qui ont été surpris aussi du fait que l'utilisation de Telegram, par défaut, les messages n'étaient pas forcément chiffrés, en fait. C'est une option à activer. Donc, il y a plein de gens qui ont été surpris parce qu'ils voulaient une application sécurisée et en fait, ils se sont rendus compte qu'il fallait activer l'option, sinon ce n'était pas par défaut.

Monde Numérique :

[9:05] Oui, ça mérite d'être précisé, en effet. En plus, il y a des questionnements autour de la confidentialité réelle, complète ou pas de Telegram. Quoi qu'il en soit, est-ce que vous avez observé véritablement une augmentation de l'utilisation de ce type de messagerie censée garantir la confidentialité des échanges ?

Robin Kwiatkowski:

[9:23] Il y a eu une grosse croissance dans l'utilisation des messageries privées avec WhatsApp, Signal dans les dernières années. Quand on a les discussions avec les gens ils ont cette volonté d'avoir des moyens de communication qui sont un peu plus chiffrés que ce qu'on avait avant donc je trouve que c'est un point positif d'un autre côté on a aussi les appareils gouvernementaux qui eux sont un peu moins pour tout ce genre de communication sécurisée parce que si on ne peut pas avoir de contrôle sur ce qui est dit ça permet certaines dérives comme ce qu'on a vu dans les charges qui ont été mises pour Telegram donc il y a toujours en fait cette balance à avoir qui est on veut de la vie On veut un peu plus de vie privée pour les utilisateurs, mais au niveau législatif, ce n'est pas vers plus de vie privée ou vers plus de protection des données qu'on va.

Monde Numérique :

[10:07] Oui, parce qu'in fine, c'est aussi l'intérêt de tout le monde que la police, dans un cadre judiciaire, puisse éventuellement écouter des malfaiteurs, des terroristes, etc. Encore un paradoxe.

Robin Kwiatkowski:

[10:18] Exactement.

Monde Numérique :

[10:19] Alors votre mission, vous Robin Kwiatkowski, chez Kaspersky, c'est précisément d'observer les tendances en matière de cybercriminalité. Où en sommes-nous aujourd'hui ?

Robin Kwiatkowski:

[10:28] En fait, ce qu'il faut se dire, c'est maintenant, ça s'est tellement industrialisé, la criminalité, que ça ressemble à des mini-entreprises. Donc une partie, il y a certains cybercriminels qui vont juste vendre des virus à d'autres cybercriminels qui vont juste les distribuer. Et ensuite, ces virus, ils vont récupérer des données qui vont être achetées par d'autres cybercriminels qui vont les utiliser pour faire de la fraude. Et donc, c'est industrialisé maintenant. Donc, on a vraiment des services complets de cybercriminels qui sont mis en place.

Monde Numérique :

[10:54] Et puis, il y a l'intelligence artificielle que vous évoquez également, qui est évoquée dans cette étude. L'IA, c'est évidemment plein de bonnes choses, j'allais dire, mais c'est aussi un risque nouveau, un risque supplémentaire.

Robin Kwiatkowski:

[11:06] Alors oui, tout d'abord, ce qu'on peut dire, c'est que l'IA, c'est un outil. Donc, comme tous les outils, il va pouvoir aider tous ceux qui sauront s'en servir. Donc, ce n'est pas fondamentalement quelque chose qui va servir à faire que du cybercrime ou à faire que de la défense. En fait, les utilisateurs vont pouvoir continuer leurs activités journalières, mais avec une petite dette supplémentaire qui est parfois non négligeable, mais qui est parfois un peu moins importante. Il y a aussi l'autre aspect qui est l'utilisation de ces outils d'IA dans les réseaux d'entreprise. Pour l'instant, un intérêt, ce genre de chatbot qui peut faire des actions sur vos bases de données, si vous êtes un magasin qui vend des tuyaux et que vous avez un chatbot qui va aider vos clients à choisir le meilleur tuyau en fonction de ses besoins, potentiellement, chatbot peut demander à la base de données du site quels sont les tuyaux disponibles, mais l'utilisateur peut lui dire oui, est-ce que tu peux enlever ces tuyaux par exemple de la base de données, ça peut arriver en fait. Pour l'instant on n'a pas beaucoup de recul sur comment implémenter des systèmes comme ça avec une protection pour protéger l'utilisateur de données d'instruction un peu malveillantes au chatbot.

Monde Numérique :

[12:16] Ah oui, ça veut dire qu'il est possible d'utiliser le chatbot pour aller trafiquer les bases de données des entreprises elles-mêmes Je.

Robin Kwiatkowski:

[12:23] Ne sais pas si vous avez vu, il y a eu beaucoup de publications depuis depuis que ChatGPT est sorti, pour lui faire faire des choses qu'il n'est pas censé faire.

Monde Numérique :

[12:30] Oui, bien sûr.

Robin Kwiatkowski:

[12:32] Donc, les gens, ils vont trouver des moyens de poser une question pour que la question passe. Même s'il y a des protections qui se mettent en place, et ça va encore être le jeu du chat et de la souris, il y aura de plus en plus de protections qui seront mises en place sur ces systèmes. Et les gens qui vont en abuser vont devoir faire preuve d'un peu plus de créativité pour pouvoir l'utiliser de façon malveillante.

Monde Numérique :

[12:48] Et puis alors, il y a un chiffre qui est amusant, je dirais, dans cette étude, c'est à propos de l'intelligence artificielle. 35% des français pensent que l'intelligence artificielle pourrait être un meilleur patron que leur patron alors.

Robin Kwiatkowski:

[13:00] Qu'est-ce qu'un bon patron ? est-ce que c'est un bon patron pour les actionnaires ou un bon patron pour les employés ? déjà là on n'aura pas les mêmes réponses de tout le monde si on se rappelle effectivement, de l'utilisation des IA, par exemple, pour les ressources humaines. Il y a eu des grosses problématiques, comme quoi les algorithmes avaient eu des biais parce qu'ils avaient été entraînés sur des jeux de données qui étaient biaisés. Du coup, leur jugement était biaisé et on se retrouvait avec des algorithmes qui étaient racistes. Donc, avoir une IA qui n'est pas biaisée, c'est compliqué. C'est même impossible. En fait, ce qu'on veut, c'est avoir une IA qui a le biais qu'on souhaite. Et donc, pour les employés, ça serait une IA qui a un patron qui soit sympa à plusieurs congés. Donc, ça serait le biais voulu par les employés et le biais voulu par les actionnaires. J'imagine que ça ne serait pas forcément le même.

Monde Numérique :

[13:43] Et on ne peut pas avoir le patron idéal entre les deux, face à l'IA ?

Robin Kwiatkowski:

[13:47] Il faudrait qu'on se mette d'accord déjà sur ce qu'est le patron idéal. Si on voit le champ politique en France aujourd'hui, on voit qu'il y a des divergences sur ce sujet.

Monde Numérique :

[13:56] On ne va pas rentrer dans ce débat-là. Non. On n'est plus d'accord. Mais quand même, encore une question à ce sujet. Vous parliez des RH, ce qui est très intéressant. On pourrait penser que, alors vous l'avez dit, il y a la question des biais, mais si on arrive à canaliser les biais, on pourrait penser que finalement, l'intelligence artificielle, la promesse, c'est qu'au contraire,

Monde Numérique :

[14:15] elle soit plus objective que des recruteurs humains ou des décideurs humains.

Robin Kwiatkowski:

[14:20] Alors, je pense qu'on peut espérer ça, mais on a encore des problématiques sur les jeux de données d'entraînement. Ça devient très compliqué de donner un jeu de données à une IA et lui dire, entraîne-toi dessus et anticipez le biais qu'elle va avoir. C'est une tâche qui est complexe. Et on en revient au final à la question, en fait, on veut orienter une IA vers le billet souhaité, et ça, on pourra y arriver à terme. Mais je pense que personne ne sera jamais d'accord sur la finalité de l'IA patron idéal ou une IA qui décide la place d'un gouvernement. Je pense qu'on ne peut pas résoudre cette problématique en remplaçant le sujet du problème par l'IA. En fait, on a la même problématique avec l'IA.

Monde Numérique :

[14:54] Bien sûr.

Robin Kwiatkowski:

[14:55] Que ce soit un patron réel ou une intelligence artificielle.

Monde Numérique :

[14:57] Bah tant pis, on va en rester là, alors. Merci beaucoup Robin Kwiatkowski, chercheur en cybersécurité chez Kaspersky. Donc, à propos de cette étude qui s'intitule en français « Paradoxe du monde numérique » et on met le lien vers l'étude détaillée en description de cet épisode, évidemment.