Ce qui se cache derrière les cyberattaques de cet été en France (🎤 Benoit Grunemwald, ESET)

Benoit Grunemwald: [0:01] Aussi, ce qui caractérise ces groupes d'attaquants, c'est qu'ils ne sont pas des génies techniques. Benoit Grunemwald: [0:09] Ils sont malins, mais ce ne sont pas des développeurs de folie qui vont analyser des firewalls de dernière génération pour trouver des failles. Eux vont travailler sur l'ingénierie sociale, c'est-à-dire la faille humaine. Jérôme Colombain: [0:31] L'été a été carrément dramatique, on peut le dire, sur le front de la cybercriminalité, avec des attaques en série contre le fisc. On en a beaucoup parlé également contre l'éducation nationale. C'est venu s'ajouter à d'autres attaques contre la messagerie gouvernementale Tchap ou encore l'INSEE, la santé, etc. Bonjour, Benoit Grunemwald Benoit Grunemwald: [0:53] Bonjour, Jérôme. Jérôme Colombain: [0:55] Expert cybersécurité chez ESET, on se retrouve en partenariat avec ESET pour faire Jérôme Colombain: [0:59] le point sur ces attaques ? Parce qu'on a plein de questions, bien sûr. Et la première, c'est tout naturellement, on a envie de se dire, mais pourquoi cette multiplication d'attaques ? Est-ce qu'il y a un lien entre tout ça ? Est-ce qu'il y a une espèce de terrible fatalité ? Benoit Grunemwald: [1:16] Alors, il y a un lien, mais il n'y a pas de fatalité. Le lien, c'est que nos sociétés se numérisent. L'Occident, mais pas que, se numérisent. Et quand on numérise quelque chose, une société en particulier, eh bien on va créer des vulnérabilités, on va créer des portes d'entrée, des portes d'entrée pour que l'on puisse à la fois travailler en distance, que l'on soit agent de l'État ou même dans des sociétés privées. Et ces portes, si elles sont mal sécurisées, eh bien vont permettre à des cybercriminels de rentrer. Jérôme Colombain: [1:46] Alors, on parle beaucoup du public, mais il y a aussi le privé qui a été touché. Le public, évidemment, ça fait mal parce que les impôts, ça nous concerne tous. Nous sommes tous citoyens. En plus, ça touche aux porte-monnaies. En tout cas, ça touche à l'argent. On ne sait pas trop quelles peuvent être les conséquences. Et ça, je te poserai la question juste après. Mais d'abord, si on revient un peu sur comment ça s'est passé, ça. Est-ce qu'on sait à peu près qui ? En tout cas, il y a un nom. Jérôme Colombain: [2:12] C'est ce fameux groupe Zero Bytes qui se vende beaucoup sur les réseaux sociaux. Est-ce qu'on sait un peu comment il a procédé ? Et puis, qui se cache derrière ce zéro-byte ? Benoit Grunemwald: [2:23] Qui se cache derrière ce Zero Byte ? On ne sait pas exactement. Ils ont quand même échangé beaucoup, à la fois avec des spécialistes en cybersécurité, mais également avec des journalistes. On présume qu'ils sont français, ils se disent français, ils se disent habitaient hors de France. On peut imaginer qu'ils sont assez jeunes. Et c'est finalement ça aussi qui surprend dans le profil, c'est ce que l'on voyait avec des groupes d'attaquants comme Lapsus ou Scattered Spider, qui eux étaient plutôt des cybercriminels liés aux rançongiciels, qui ont fait des dégâts, notamment Microsoft, Sony Pictures, Nvidia, Uber, qui sont quand même des firmes, des sociétés digitales natives qui ne sont pas à l'abri, pas plus que le gouvernement, pas plus que personne, il faut simplement pouvoir se protéger. Et donc, ce qui étonnait dans ce profil, c'est qu'on n'était pas sur des groupes qui étaient alignés avec les intérêts des États, sponsorisés par des États, sur des groupes qui avaient une technicité, mais leur technicité, c'était plutôt la ruse, la malice, l'arnaque, plutôt que d'être très bon en analyse de code, en développement de logiciels malveillants, etc. Jérôme Colombain: [3:36] C'est-à-dire que les attaques qui sont produites tout récemment, ce n'est pas forcément des génies de l'informatique, en réalité. Et par exemple, est-ce qu'on sait s'ils ont utilisé les tout derniers outils d'intelligence artificielle hyper sophistiqués, style Mythos et autres, pour mener ces attaques ? Benoit Grunemwald: [3:54] A priori, non, sans avoir encore trop de détails d'analyse sur les attaques, on peut assez facilement penser qu'ils n'en ont pas eu besoin. Ils ont pu utiliser de l'intelligence artificielle parce qu'on sait qu'une attaque, ça se fait en plusieurs étapes. On sait et on imagine aussi aisément qu'ils ont pu acheter ce qu'on appelle des accès légitimes dans une place de marché, tel qu'un forum dans le dark web, sur lequel on va trouver ce que l'on appelle des initial access brokers, c'est-à-dire des entreprises cybercriminelles qui vont récolter des logins, des mots de passe, pourquoi pas aussi des codes, des jetons pour les accès de type MFA, Multi-Factor Authentication, le fameux code à six chiffres que l'on a sur son téléphone et qui change toutes les minutes. Jérôme Colombain: [4:39] Ah oui, donc qui proviennent peut-être d'autres piratages qui ont eu lieu précédemment, au piratage ou captation par toutes sortes de moyens, par du phishing notamment, j'imagine. Benoit Grunemwald: [4:49] Exactement, et c'est une sorte d'économie circulaire, c'est-à-dire que les fuites de données revendiquées cet été vendues, vont servir à la fois à générer de l'argent à ceux qui vont acheter la base, mais vont également servir à recréer d'autres scams et d'autres arnaques qui elles-mêmes vont finir par réalimenter l'accès initial avec des logins, des mots de passe qui sont valables. Jérôme Colombain: [5:13] Oui, parce que notamment pour l'attaque entre la DGFIP, donc, l'administration fiscale, on dit que l'un des moyens d'accès, ça a été tout simplement l'usurpation d'un identifiant, d'un mot de passe, malgré la double authentification c'est ce que tu disais le 2MFA. Benoit Grunemwald: [5:30] Exactement le 2FA aurait été lui aussi usurpé je me souviens notamment d'échanges dans le chat quand l'absus a été démantelé par les forces de l'ordre certains disaient je n'arrive pas à passer le MFA et son collègue cybercriminel lui disait insiste lourdement insiste la nuit tu vas voir il va finir par craquer et donc en fait ils ont envoyé des requêtes des requêtes des requêtes il se faisait parfois passer par le support technique et à un moment l'employé au milieu de la nuit il disait bon allez c'est bon alors au lieu d'éteindre son téléphone qui aurait été le réflexe il appuyait un moment sur confirmer peut-être sans faire exprès par l'assitude et là ils avaient accès au compte Jérôme Colombain: [6:11] Ça c'est terrible on reçoit des tas de demandes de confirmation au début on dit non puis au bout d'un moment on se dit bon ça doit être un bug allez je valide j'ai envie de dormir. Benoit Grunemwald: [6:20] C'est ça exactement parce Jérôme Colombain: [6:22] Qu'il y a de l'humain finalement derrière à chaque fois à chaque fois, il y a une dimension humaine. Benoit Grunemwald: [6:27] Et c'est d'ailleurs aussi ce qui caractérise ces groupes d'attaquants, c'est qu'ils ne sont pas des génies techniques, ils sont malins, mais ce ne sont pas des développeurs de folie qui vont analyser des firewalls de dernière génération pour trouver des failles. Eux vont travailler sur l'ingénierie sociale, c'est-à-dire la faille humaine. Jérôme Colombain: [6:50] Oui. Bon, alors, malgré tout, ça vient aussi du fait qu'en face, il n'y a peut-être pas assez de sécurité, que ce soit de la sécurité technique ou de la sécurité humaine. Il y a bien des faiblesses. Je veux dire, si on arrive à rentrer dans une forteresse, c'est que ce n'est pas une forteresse. Benoit Grunemwald: [7:09] Clairement, il y a un manque d'investissement ou un investissement qui n'a pas été fléché au bon endroit. C'est ce que l'on va appeler la gouvernance. Où est-ce que l'on va ? Comment on y va ? Et si, par exemple, on développe une application parce que notre État et nos entreprises sont extrêmement numérisées, développer une application, on va dire que standard, ça peut prendre un mois, par exemple, pour arriver à une première fonction. Et avec la cybersécurité, ça va peut-être prendre un mois et demi, deux mois, parce qu'il va falloir tout revérifier, s'assurer que cela fonctionne bien en termes de cybersécurité, que c'est conforme. Et peut-être qu'on a dit aux équipes, non, vous n'avez qu'un mois. Donc faites ce qu'il faut et puis la sécurité vous en faites un petit peu et où on verra après ça c'est potentiellement ce qui s'est passé ce qui fait qu'aujourd'hui on se retrouve effectivement avec un certain nombre de portes béantes qui ne sont pas entre guillemets la faute des développeurs parce que quand on est développeur on fait ce qu'on nous dit on code on a un temps qui est imparti et l'objectif principal c'est que ça fonctionne en fonction des objectifs que l'on nous donne si l'objectif sécurité n'est pas aussi clair et aussi prioritaire que l'objectif de fonctionnement, tant que ça fonctionne, si le chef est content, malheureusement, ça fonctionne. Sans Sécu. Jérôme Colombain: [8:25] Et là encore, on retombe sur de l'humain, sur de l'organisation humaine. C'est fou. Mais le Premier ministre Sébastien Lecornu a quand même dit « Mais moi, je vous avais demandé en avril de tout sécuriser. Qu'est-ce qui s'est passé ? ». Benoit Grunemwald: [8:37] C'est une bonne question. Alors déjà, la première réponse, c'est qu'on ne peut pas tout sécuriser en deux mois. Il va falloir faire un audit. Les systèmes sont quand même très complexes. On n'est pas face à une PME, un cabinet dentaire ou un avocat avec un PC de secrétariat et puis de collaborateurs ou collaboratrices. On est quand même sur des environnements qui sont extrêmement vieux. La France est d'ailleurs pionnière dans sa numérisation, dans la création de tout ce qui fait qu'aujourd'hui ça fonctionne mais pas assez de manière sécurisée et puis ensuite il y a des personnes qui sont au cœur de ces systèmes qu'il va falloir interroger à qui il va falloir donner les moyens et un guide clair en disant bon ok aujourd'hui vous avez les moyens reprenez en main la sécurité et faites ce qu'il faut mais ça c'est pas un bouton magique sur lequel on va appuyer et grâce à l'intelligence artificielle tout sera réglé en deux jours. Jérôme Colombain: [9:35] Bien sûr, ça prend du temps, ça coûte de l'argent, il faut le rappeler. Benoit Grunemwald: [9:39] Et puis, il faut reformer les ressources. Si vous êtes une ressource qui travaillait sans considération suffisante de la cybersécurité, vous avez mis vos priorités de formation ailleurs. Là, on va vous dire, maintenant, vous développez de manière sécurisée. Ça ne revient pas, les réflexes ne reviennent pas forcément du jour au lendemain. Il va falloir alourdir les process, il va falloir faire entrer peut-être de nouvelles personnes, faire des audits peut-être avec des sociétés extérieures, mettre en place des nouvelles procédures, des nouvelles vérifications. Bon, ce n'est pas aussi simple qu'il n'y paraît et ça va demander un certain investissement de part et d'autre. Jérôme Colombain: [10:14] Est-ce qu'il n'y a pas aussi, alors il y a la partie gouvernance, la partie organisation, la partie budget, bien sûr, est-ce qu'il n'y a pas aussi, en termes d'usage, de pratique, il y a des choses qui ont changé ? Le télétravail, on a parlé beaucoup de l'impact du télétravail, c'est quelque chose qui aujourd'hui peut fragiliser les organisations ? Benoit Grunemwald: [10:31] Oui, complètement. Et d'ailleurs, le télétravail, et on va le mettre dans la catégorie accès à distance, parce qu'on a aussi des tiers. On voit dans certaines attaques que la base de données qui a été attaquée n'a pas été attaquée frontalement, mais a été attaquée par l'intermédiaire d'un tiers qui lui-même avait accès à cette base, tout ou partie. Et en fait, le télétravail, c'est la même chose. C'est-à-dire qu'on a une forteresse qui a été plutôt bien pensée pour protéger quand tous les utilisateurs sont à l'intérieur. Et puis, il y a cette nécessité, cette volonté d'ouverture, à la fois avec le télétravail, mais également avec les tiers, qui fait qu'on ouvre des portes. Et parfois, même une toute petite porte, si elle n'est pas suffisamment sécurisée, Benoit Grunemwald: [11:13] Permet de rentrer, et des fois même de manière légitime. Et au final, c'est aussi ça qui pose problème. C'est qu'on ne se demande pas si on va être attaqué, on doit se demander quand est-ce qu'on va être attaqué. Et quand on sera attaqué, on devrait être en mesure de détecter et d'arrêter l'attaque le plus vite possible. On pourrait tolérer, par exemple, qu'une société se fasse attaquer, que le criminel rentre, qu'il vole 10 fiches clients, par exemple, mais que là, il se fasse bloquer parce qu'on a vu que l'usage légitime, normalement, par exemple, de ce commercial qui consultait le CRM, eh bien, il a consulté en moins de 10 secondes 10 fiches. Ce n'est pas possible humainement, donc on doit le bloquer. Et en fait, c'est ça qui va faire que la cybersécurité va être efficace. Ce n'est pas de dire « moi, personne ne rentre ». Non, on considère que quelqu'un peut rentrer. La question, c'est « combien de temps est-ce que je vais mettre pour le détecter Benoit Grunemwald: [12:12] ? Combien de temps est-ce que je vais mettre pour l'arrêter ? Jérôme Colombain: [12:14] » Et c'est là où l'intelligence artificielle peut aider ? Benoit Grunemwald: [12:17] Effectivement. Et là, clairement, l'intelligence artificielle a tout son rôle, traiter des grands volumes de logs, d'informations générées à la fois par les firewalls, par les utilisateurs, par les applications, le CRM qui dit, tiens, lui, il a consulté 10 fiches en une seconde, ce n'est pas possible. Et bien, tout ça est extrêmement dense, impossible pour un être humain à traiter. L'intelligence artificielle va gérer tout cela, encore faut-il l'organiser, mais l'intelligence artificielle va gérer tout ça. Et soit émettre des alertes, soit bloquer et dire à un humain, écoute, j'ai arrêté ça parce que je pensais que c'était suspect. Regarde-toi et dis-moi si on continue ou pas. Jérôme Colombain: [12:56] Et d'ailleurs, on a beaucoup parlé ces derniers mois de toutes les avancées en matière d'IA, mitos, GPT, etc. Mais finalement, dans ces attaques dont on parle, apparemment l'IA n'a pas été utilisée, pas beaucoup pour mener les attaques et pas non plus pour se défendre alors que c'est un peu le but du jeu c'est fou ça quand même. Benoit Grunemwald: [13:21] Oui, mais moi, je mettrais vraiment finalement Kimi, OpenAI et puis Mistral et les autres anthropiques dans la catégorie recherche. Si moi, demain, je fournis à mes clients une intelligence artificielle qui va attaquer d'autres IA ou qui commence à dériver de manière dangereuse, mes clients vont me dire ok on arrête tout là je vais revenir au papier et au crayon parce qu'en fait tu ne maîtrises pas ton IA donc ces IA de recherche Jérôme Colombain: [13:56] Là tu fais l'occident qu'il y a eu entre les IA d'OpenAI qui ont attaqué Ging Face. Benoit Grunemwald: [14:01] Exactement et donc on a la recherche et ensuite on a la production et dans cette production et bien on doit délivrer quelque chose de confiance quelque chose qui est analysable quelque chose qui est reproductible c'est vraiment le terme de confiance qui prend tout son sens ici. Et donc, quand on a une intelligence artificielle en production, on s'attend à ce qu'elle soit efficace. Par exemple, si tu dis à ton intelligence artificielle « Réponds à mes emails » et qu'elle répond à tout le monde en les insultant ou en fixant des rendez-vous à 3 heures du matin. Jérôme Colombain: [14:37] Ça fait des ordres. Benoit Grunemwald: [14:38] Ça fait des ordres. Et donc, tu ne peux pas avoir une intelligence en production comme nous à la Défense qui fassent des ordres parce que ça sera encore pire que de ne pas en avoir. Jérôme Colombain: [14:51] Benoît, parlons un peu des conséquences de ces attaques. Voilà, on est ému parce que les attaques ont lieu. Après, on se dit qu'est-ce qui va se passer maintenant si je fais partie des 700 000 Français concernés par les fuites de données de la DGFIP, par exemple. Qu'est-ce qui peut m'arriver concrètement ? Benoit Grunemwald: [15:11] Je vais classer en trois catégories les conséquences, les attaques et les modes opératoires et sous forme de pyramide. Tout en haut, on va dire un peu, si on prend le parallèle avec les casinos, qu'on a les baleines, ce sont les gros clients, ceux à qui les escrocs vont aller tenter d'extorquer en une ou deux fois, peut-être 10 000, 20 000 euros, peut-être plus, et ceux chez qui potentiellement peuvent avoir des visites là où la cybercriminalité va rencontrer la criminalité traditionnelle, et donc avoir des visites à domicile. On l'a vu par exemple avec les fuites liées à la FFTIR. C'est toujours difficile de relier une fuite à une action, mais là, vraisemblablement, entre la fuite de la FFTIR et des visites de faux gendarmes ou de faux policiers dans les domiciles, ça semble cohérent. Et puis ensuite, au milieu de la pyramide, on va avoir ceux à qui on va faire des arnaques dont le montant sera moins élevé. Les messages seront très personnalisés, mais moins personnalisés que sur les baleines. Et là, on va plutôt viser des arnaques, qui restent quand même intéressantes pour les cybercriminels, de 1 000, 3 000, 5 000 euros en un coup, généralement. C'est un peu plus évolué. Il y a de l'IA qui va aider à peaufiner tout ça. On descend déjà un peu plus dans la masse. Et puis ensuite, il y a vraiment Benoit Grunemwald: [16:31] Monsieur et madame tout le monde, qu'ils soient d'ailleurs dans les deux catégories du dessus, ou simplement parce qu'ils existent dans leur vie numérique, eh bien là, on va leur envoyer des e-mails, encore une fois, un peu améliorés grâce à l'intelligence artificielle, mais beaucoup moins de profils. Et eux, ça peut être des étudiants, comme on l'a vu avec la fute d'éducation nationale, à qui on va demander 10 euros, 20 euros en fonction de leur pouvoir d'achat. Ou des personnes, citoyens, lambda, à qui on va proposer des arnaques, finalement, celles que l'on voit habituellement, très certainement remises au goût du jour, parce que c'est ça qui fait la différence, c'est le scénario que l'on n'avait pas encore vu et qui va nous amsonner. Jérôme Colombain: [17:09] Mais ce qu'il faut bien expliquer, c'est que ces arnaques s'appuieront peut-être sur des données qui ont été volées à l'administration fiscale, mais elles n'auront pas forcément de rapport avec, que ce ne sera pas forcément une démarche en lien avec les impôts. Benoit Grunemwald: [17:22] Ça peut être tout de suite. Exactement, parce que sur le haut du spectre, les baleines, on peut tout à fait imaginer une arnaque sous forme d'investissement, réduction d'impôts, économiser ceci et cela. Et puis, on l'a vu lors de la fuite de l'opérateur Free avec l'Iban. Encore une fois, difficile de faire le lien formel, mais on a vu apparaître après cette fuite-là, des arnaques soi-disant pour Amazon qui disaient « Vous vous êtes abonné à Amazon Prime à 499 euros, cliquez ici si ce n'est pas vous ou si vous voulez vous rétracter. » Et là, il y avait l'Iban, il y avait les coordonnées bancaires. Et donc, on voit qu'une fuite d'un organisme ne génère pas des arnaques de cet organisme-là. Et puis ensuite, les bases de données, elles vont être vendues. Donc, dans un an, on va peut-être avoir une combo liste qui recense plein de bases et on ne saura peut-être même plus d'où viennent ces informations. Jérôme Colombain: [18:18] Bon, alors, dernière question, question rituelle. Comment faire pour se protéger au mieux contre ce risque ? Benoit Grunemwald: [18:26] Alors, pour se protéger, c'est assez simple. On va considérer qu'il y a trois types d'informations sur nous. Celles que l'on ne peut pas changer, numéro de sécurité sociale. Celles que l'on peut changer, mais c'est pénible. L'adresse, si on déménage. Le RIB, on change de banque, on change de compte. Et puis, celles qu'on peut changer facilement, l'adresse e-mail. Et il faut considérer ces trois types d'informations en fonction des messages qui vont arriver et de la façon dont on va se protéger. Par exemple, toujours utiliser plusieurs adresses e-mail. une adresse email marketing une adresse email pour discuter avec l'administration une adresse email pour discuter avec ses proches si on reçoit sur l'adresse email qui sert à l'administration un message qui dit hey vous êtes abonné à Amazon Prime pour 499 euros on sait d'ores et déjà que c'est pas vrai parce que ça c'est notre adresse email pour l'administration et comme c'est compliqué de gérer tout ça le gestionnaire de mots de passe c'est notre sauveur c'est un peu le GPS du numérique on va lui donner les différents comptes il va créer les mots de passe il va enregistrer les adresses email quand on va arriver sur le site, que ce soit dans l'application ou sur notre téléphone ou sur l'ordinateur, il va s'occuper de tout et c'est quand même extrêmement pratique pour se protéger et puis faire en sorte d'avoir des bons mots de passe partout. Jérôme Colombain: [19:36] Et je me permettrais de rajouter un conseil, si tu me le permets, Benoît, parce que basé sur ce que moi, je vois autour de moi, comme nous tous. Surtout, pensez-y avant, pensez-y maintenant, pendant que vous n'avez pas de problème. C'est exactement comme le fait d'installer une serrure sur la porte de son domicile. On y pense dès le premier jour. On ne se dit pas, après avoir été cambriolé, tiens, au fait, il faudrait peut-être que je mette une porte avec une clé. Et il faut prendre le temps avant, de s'organiser, de faire tout ce que tu viens de conseiller. Benoit Grunemwald: [20:09] Et d'avoir une bonne hygiène numérique. Et d'ailleurs, on retrouve plein de ressources sur cybermalveillance.gouv.fr. Vous avez extrêmement de guides. On a un blog qui s'appelle WeLeave Security. Vous avez des conseils pour les particuliers, pour les entreprises. L'ANSI, c'est un petit peu plus, pour les barbus, c'est un peu plus touffu. Mais quand même, il y a quelques conseils également. Tout ça a été fusionné. Les ressources sont disponibles. Si on veut savoir comment maîtriser notre hygiène informatique, numérique, c'est possible. Jérôme Colombain: [20:38] Les barbus et les pros de l'informatique, qui n'est pas de conseil. Benoit Grunemwald: [20:41] Oui, oui, tout à fait. Jérôme Colombain: [20:41] On est bien d'accord. Merci Benoît Grunemwald, expert cybersécurité chez ESET, que l'on retrouve régulièrement sur Monde Numérique. Salut. Benoit Grunemwald: [20:51] Merci Jérôme.