[ITW] Piratages en 2024 : gare aux arnaques en 2025 !

Transcription :

Benoit Grünemwald :
[0:01] Il y a un effet retardateur qui est très pernicieux parce qu'en fait, les fuites de données qui sont apparues en 2024, il va falloir un certain temps pour que les cybercriminels s'organisent pour pouvoir nous amsonner la plupart du temps.

Monde Numérique :
[0:18] Bonjour Benoît Grünemwald.

Benoit Grünemwald :

[0:19] Bonjour Jérôme.

Monde Numérique :
[0:21] Expert cybersécurité chez EZ, on se retrouve régulièrement en partenariat avec Monde Numérique pour faire un point sur la cybersécurité. Alors, c'est la fin de l'année et on peut dire que cette année encore, Benoît a été marqué par un certain nombre d'événements et notamment d'importantes fuites de données. L'actualité, jour après jour, nous a appris que des tas d'entreprises avaient été victimes de fuites de données de manière diverse et variée.

Benoit Grünemwald :
[0:50] Oui, et il n'y a quasiment pas un mois durant 2024 où il n'y a pas eu une fuite de données, on va dire conséquente, parce que malheureusement, des fuites de données, il y en a quand même un certain nombre qui passent sous les radars mais des fuites de données conséquentes, sur des grandes enseignes et surtout qui ont fuité à la fois des données personnelles mais aussi des informations bancaires, je pense notamment à des IBAN donc l'IBAN c'est ce que l'on donne à un prestataire qui souhaite nous prélever de manière automatique par exemple tous les mois pour un abonnement téléphonique ou un abonnement sur un réseau ou une télé.

Monde Numérique :
[1:23] Alors, on peut citer quelques victimes. Il y a eu Free, il y a eu Decathlon, il y en a d'autres ?

Benoit Grünemwald :
[1:30] Alors, j'ai en tête effectivement Free, j'ai en tête aussi SFR, LDLC par deux fois, sur des périmètres, on va dire, différents. J'ai Auchan aussi en tête, notamment sur des cartes de fidélité. Alors, ce qu'il faut noter, c'est que dans ces fuites de données, ce n'est pas toujours l'enseigne ou l'entité qui est directement concernée. Et c'est bien souvent la problématique, c'est que pour pouvoir fonctionner, ces entités vont parfois partager nos informations avec des tiers. Et ces tiers peuvent être moins bien sécurisés que ne le sont ces grandes entités.

Monde Numérique :
[2:09] Des sous-traitants, souvent.

Benoit Grünemwald :
[2:10] Des sous-traitants je pense par exemple à des cartes de fidélité si vous êtes une grande enseigne de retail à un grand magasin votre métier c'est peut-être pas de gérer les points de fidélité et puis les cadeaux ou les remises qui y sont attachées et donc vous allez confier cela à des professionnels qui gèrent cela pour plusieurs enseignes parfois bien souvent dont c'est le métier et puis ensuite, vous permettre de gérer votre carte de fidélité et bien ces entités là sont elles aussi responsables au terme du règlement européen sur la protection des données personnelles. Elles sont sous-traitants, mais en tant que grande entité, vous n'avez pas forcément tout le temps les moyens de vous assurer que ces sous-traitants sont aussi fiables que vous.

Monde Numérique :
[2:54] Oui, bien sûr. Alors, Benoît, quelles conséquences concrètes à ces fuites de données ? Parce qu'on a l'impression que quand ça survient, on en parle, et puis après on oublie parce qu'on se dit finalement qu'il ne se passe rien.

Benoit Grünemwald :
[3:06] Alors, effectivement, il y a deux effets. il y a le premier effet de la banalisation avec toutes les fuites de données qu'on a vues en 2024 on peut se dire bon bah de toute façon allez tous les français sont concernés par ces fuites de données et puis ensuite il y a un effet, retardateur qui est très pernicieux parce qu'en fait les fuites de données qui sont apparues en 2024, il va falloir un certain temps pour que les cybercriminels s'organisent les process, peut-être les agrègent et fassent une super base de données avec toutes nos informations hyper bien qualifiées parce que là quand on a un fournisseur qui nous connaît très bien et à qui forcément on donne ses vraies coordonnées pour pouvoir soit être livré soit bénéficier de remise et bien il a toutes nos coordonnées véridiques et donc les cybercriminels vont s'organiser pour pouvoir nous hameçonner la plupart du temps un hameçonnage alors avec le téléphone les faux conseillers bancaires avec l'email ça on y est habitué mais grâce à l'intelligence artificielle les emails sont de plus en plus véridiques vraisemblables et puis aussi par SMS on voit que l'hameçonnage le smishing comme on dit est en recrudescence.

Monde Numérique :
[4:12] Oui, c'est-à-dire que vraiment, même si on ne nous a pas volé nos numéros de carte bancaire, identifiants, etc., c'est ça qui fait peur. Mais le fait d'avoir nos noms, nos IBAN, nos adresses, nos numéros de téléphone, etc., c'est déjà une mine d'or, en fait.

Benoit Grünemwald :
[4:25] C'est effectivement une mine d'or et c'est ce qui va permettre de créer des hameçonnages. Alors, même si on va plus loin que l'hameçonnage, on parle d'ingénierie sociale, c'est-à-dire vous faire faire quelque chose, quel que soit le biais, contre vous. Et notamment si je vous appelle et que j'ai votre IBAN, je sais dans quelle banque vous êtes, je connais votre nom, votre prénom, votre date de naissance, eh bien je peux tout à fait me faire passer pour votre banque, vous dire, vous savez, il y a une opération en ce moment qui est frauduleuse et ensemble on va l'arrêter et donc je vais vous donner un certain nombre d'informations et je vais vous dire, pour arrêter cette opération, il va falloir me donner un code par SMS que vous allez recevoir et ce code-là, eh bien va me permettre de bloquer cette opération, ce qui est en fait tout le contraire, le cybercriminel va mener une opération frauduleuse sur votre compte. Vous allez recevoir un code qui, par exemple, va lui permettre de l'ajouter sur votre compte. Et en fait, ça va être tout le contraire. Malheureusement, il va vous pirater.

Monde Numérique :
[5:20] Alors, face à ce fléau, à cette menace qui nous attend pour l'année prochaine, que faire ? Quel geste adopter ? On sait qu'en ce qui concerne les faux conseillers bancaires, il y a un certain nombre de dispositions législatives, réglementaires qui ont été prises récemment. Mais sinon, au quotidien et de manière individuelle, comment se protéger contre ça ?

Benoit Grünemwald :
[5:42] Alors, c'est un conseil qui est vraiment générique. Il faut être suspicieux. Il faut aussi repérer les signaux faibles, notamment l'urgence, la pression. Et surtout, si cela vous arrive, le plus simple est de ne pas céder à la panique, de poser quelques questions qui peuvent mettre en difficulté votre interlocuteur. et puis raccrocher.

Monde Numérique :
[6:06] Par exemple ?

Benoit Grünemwald :
[6:07] De ne pas hésiter. Eh bien, par exemple, si vous me connaissez bien, dans ce cas-là, je vais raccrocher et puis je vais vous rappeler à la banque sur le numéro et dans ce cas-là, vous allez pouvoir m'aider si vous, effectivement, vous devez m'aider. Vous pouvez aussi passer par les applications. Vous pouvez lui dire à ce conseiller, s'il y a une opération qui est frauduleuse en cours, dans ce cas-là, ce que je vais faire, c'est qu'on va raccrocher, je vais aller dans mon application bancaire, je vais aller dans mon application de fournisseur d'accès télécom, etc. Et je vais regarder quelles sont les informations que vous êtes en train de me donner je vais les vérifier dans l'application et bien entendu si c'est possible activer l'authentification multifacteur ça veut dire le petit code à six chiffres soit que l'on va avoir dans une application installée sur son smartphone soit que l'on va recevoir par SMS et surtout alors, dans beaucoup de fuites de données on ne voit pas les mots de passe qui seraient parmi les éléments qui ont fuité mais vraiment avoir un mot de passe unique des mots de passe forts et dans l'idéal, un gestionnaire de mots de passe pour gérer ces mots de passe, c'est vraiment le, Le must-have, on est aux périodes des fêtes, si vous avez un cadeau à recevoir, un gestionnaire de mots de passe pour la fin de l'année, c'est vraiment...

Monde Numérique :
[7:11] C'est vrai, très bonne idée cadeau, un abonnement à un gestionnaire de mots de passe, effectivement, parce que c'est vraiment l'outil indispensable, et on le voit tous au quotidien autour de nous quand on doit gérer les mots de passe perdus, oubliés, copiés des membres de notre famille, etc.

Monde Numérique :
[7:28] Tiens, c'est l'occasion aussi de dire un petit mot de ces applications d'authentification, parce que j'ai l'impression qu'il n'y a pas eu beaucoup de pédagogie faite autour de ça et on voit apparaître ici et là des trucs comme allez ouvrez votre application Google votre application Microsoft mais personne ne sait ce que c'est aujourd'hui ces applications d'authentification.

Benoit Grünemwald :
[7:47] Alors c'est pourtant quelque chose qui peut grandement nous sauver la vie parce que un cybercriminelle, ne peut pas avoir à la fois notre login notre mot de passe et en même temps cette fameuse application qui va nous donner un code unique généralement valable une minute à six chiffres que l'on va rentrer après avoir rentré son login et son mot de passe.

Monde Numérique :
[8:08] Ça vient du monde professionnel. Dans les entreprises, c'est pratiqué depuis quelques années et ça commence à arriver dans le grand public en fait.

Benoit Grünemwald :
[8:16] Oui, et d'ailleurs, dans le monde de l'entreprise, auparavant, et je pense notamment aux professions médicales ou aux grandes entreprises, il y avait des cartes à puces. Alors là, on est sur un niveau de sécurité qui est extrême, mais pour le grand public et ou pour des entreprises de taille intermédiaire, eh bien en fait, on va plutôt utiliser ces méthodes-là, les codes à six chiffres et qui sont valables à peu près une minute. Et là, on est sur un niveau de protection qui est vraiment exceptionnel. Alors, ça peut se contourner.

Monde Numérique :
[8:42] Mais ce n'est pas très répandu.

Benoit Grünemwald :
[8:45] Alors, ce n'est pas assez répandu, mais on a quand même, alors on essaye d'avoir une pédagogie sur ces outils-là, surtout que ce n'est pas contraignant. C'est comme le gestionnaire de mots de passe. Une fois qu'on a pris l'habitude, finalement, ces mots de passe, on ne les retient plus. On en retient un, c'est celui du gestionnaire de mots de passe. Et puis, tous les autres sont retenus par le gestionnaire de mots de passe. Et puis on demande à celui-ci de créer des mots de passe vraiment complexes on s'en fiche de toute façon on n'a pas à les retenir et puis le code à six chiffres que l'on va rentrer finalement on va le rentrer qu'au moment où nous rentrons le fameux login mot de passe et moi j'ai beau me retourner sur 2024 vu qu'on fait un bilan, j'ai quand même rentré assez peu de fois, mes logins et mes mots de passe parce que mon smartphone, les comptes sont connectés alors si ça peut m'arriver si je change mon smartphone ou si je me connecte depuis un ordinateur qui n'est pas le mien ou si l'ordinateur dit bon voilà, tu es resté connecté trop longtemps, maintenant, il faudrait te reconnecter mais au final, ça va arriver quoi ? 3, 4, Trois fois dans l'année.

Monde Numérique :
[9:43] Tout à fait. Alors, Bonoît-Grenemwald, malgré ce tableau assez noir, il y a quand même quelques bonnes nouvelles. Et notamment, il y a eu des actions assez importantes, des forces de police et autres, et des enquêteurs. Il y a eu des arrestations cette année. Il y a eu pas mal de coups de filet contre ces cybercriminels.

Benoit Grünemwald :
[10:03] Et oui, fin 2024 en particulier, il y a eu une intensification des opérations police-justice qui ont mené à plusieurs arrestations. Je pense notamment à celle qui est arrivée en Afrique, où il y a eu plus de 1000 personnes suspectées et arrêtées. Alors, ces personnes-là pratiquaient finalement ce que l'on rencontre, le scam, l'hameçonnage, des pyramides de Ponzi, des arnaques aux investissements, également des arnaques romantiques. Donc là, avec l'intelligence artificielle, on va se grimer et puis se faire passer pour quelqu'un que l'on n'est pas. Et venir attirer dans ses filets une personne par les sentiments. Et malheureusement, ça fonctionne bien.

Monde Numérique :
[10:46] Il y a des personnalités connues, je pense à Florent Pagny, qui ont pris publiquement la parole pour dire, attention, il y a ça qui tourne actuellement, ce n'est pas moi qui vous demande de l'argent, etc. Donc, pas mal d'arrestations, dont une dans laquelle EZ s'est particulièrement investie, je crois.

Benoit Grünemwald :
[11:02] Oui, c'est une opération qui s'appelle Magnus. et l'opération Magnus visait à démanteler un réseau d'infostyleurs. Donc, les infostyleurs sont des logiciels malveillants qui volent nos données, notamment les logins et les mots de passe qui sont stockés dans nos navigateurs. Mais aussi, une fois qu'on est authentifié, ils peuvent voler des cookies de session.

Monde Numérique :
[11:25] Et quelles conséquences ?

Benoit Grünemwald :
[11:26] Eh bien, le cookie de session, c'est finalement le sésame. Une fois qu'on a rentré son login, son mot de passe et que l'on a passé l'étape de l'authentification multifacteur, par exemple avec les codes, eh bien, ce cookie de session va dire, c'est bon, ce navigateur-là a le droit d'accéder.

Monde Numérique :
[11:43] Oui, c'est ce qui nous reconnaît quand on retourne sur un site.

Benoit Grünemwald :
[11:46] Et alors, exactement.

Monde Numérique :
[11:47] On n'a pas besoin de retaper ces mots de passe.

Benoit Grünemwald :
[11:49] Exactement. Et c'est ce qui dit, vous avez passé la session d'authentification, login, mot de passe et pourquoi pas multifacteur. Donc là, c'est vraiment le pire. C'est abominable, ça. Se faire voler son cookie de session, c'est vraiment ce qui peut nous arriver de pire parce que là, le cybercriminel qui prend ce cookie de session, alors c'est un peu technique, ce n'est pas si facile que ça à faire.

Monde Numérique :
[12:05] Oui, parce que c'est un truc qui est caché au fin fond du navigateur sur mon ordinateur uniquement, pas dans le réseau en plus.

Benoit Grünemwald :
[12:11] Exactement. Sur son navigateur, vraiment un endroit spécifique, normalement sécurisé et qui a un certain nombre de paramètres qui fait que si je le prends, normalement, quand je le mets dans un autre navigateur, il est censé dire, non, ce n'est pas le même navigateur.

Monde Numérique :
[12:23] Tu te fiches de moi.

Benoit Grünemwald :
[12:23] Tu te fiques de moi mais malgré tout les cybercriminels arrivent à piquer voler ces cookies de session et les rejouer ailleurs et là malheureusement ils sont connectés à notre place donc ces infos stillers exactement ces infos stillers ce qu'il faut savoir c'est que Redline Stiller donc que l'on a aidé pour lequel on a participé au démantèlement en 2024 avait volé plus de 227 millions de logins et de mots de passe donc l'année n'est pas finie encore et voilà 200 plus de 227 millions de logins et de mots de passe en 2024 donc on peut imaginer les dégâts que ça peut faire et ça a des dégâts à la fois dans le monde professionnel parce que certains.

Benoit Grünemwald :
[13:02] Certains par exemple fournisseurs on a vu les tiers par exemple qui peuvent être moins bien protégés que des grandes enseignes peuvent avoir des infostealers sur leur réseau on vole leurs logins leurs mots de passe notamment pour se connecter par exemple via un VPN aux grandes entités Et ça arrive aussi chez les particuliers. Là, le CERT Renataire, qui est donc la sorte de tour de contrôle, de supervision de la sécurité du réseau Renataire qui relie notamment les universités recherche ensemble, voit passer en moyenne 200 à 300 infostyleurs par mois. Parce qu'il faut savoir que les cybercriminels dont le business est l'infostealer, c'est-à-dire le vol de données, vont créer des publicités malveillantes et ou créer des faux logiciels qui permettent de tricher à des jeux vidéo en disant, tu veux tricher à ce jeu vidéo, voici un logiciel qui va te permettre de le faire. Surtout quand tu vas l'installer, ne sois pas surpris, ton antivirus va te dire ceci est un logiciel malveillant. Bon, c'est normal, c'est un logiciel de triche, mais ne t'inquiète pas, il n'y a rien de malveillant dedans.

Monde Numérique :
[14:03] C'est comme ça qu'on peut introduire un infostealer sur son ordinateur.

Benoit Grünemwald :
[14:06] Exactement, avec des logiciels piratés, des logiciels de triche. On a même vu des campagnes d'infostealer mener des opérations de publicité, c'est-à-dire qu'en fait, ils ont forcément des financements illégaux, des cartes bancaires volées. Ils vont acheter des campagnes de publicité sur des sites et en fait, ces campagnes vont renvoyer vers différents serveurs qui ensuite proposent des infostealers.

Monde Numérique :
[14:29] Eh bien, merci Benoît Grünemvald pour nous avoir raconté ce monde merveilleux de la cybercriminalité qui décidément, ne manque jamais de nous surprendre mais avec quand même quelques petits points positifs espérons-le pour les années à venir si il faut se resserre autour de ces cybercriminels.

Benoit Grünemwald :
[14:48] Oui, il y a tout à fait un, de quoi se défendre avec une bonne cyberhygiène et puis deux, on voit que la police-justice même si ce n'est pas facile, il y a quand même des avancées et en travaillant ensemble, on peut faire en sorte qu'on réduise les fameux risques liés à la cybercriminalité.

Monde Numérique :
[15:05] Oui, c'est important la cyberhygiène. D'ailleurs, je vais aller prendre une cyberdouche. Merci beaucoup Benoît Grunemwald, expert cybersécurité chez EZ.

Benoit Grünemwald :
[15:12] Merci Jérôme.