- il y a 29 minutes
Ce mardi 3 novembre, Benoît Grunemwald, expert en cybersécurité chez ESET France, et Pascal Le Digol, directeur général France de WatchGuard Technologies, se sont penchés sur la disparition de six milliards de dollars en cryptomonnaies chez Binance, le piratage de plus de 100 entreprises via des agents IA autonomes, ainsi que sur la menace continue de la fuite PHP sur Internet, dans l'émission Tech&Co Business présentée par Frédéric Simottel. Tech&Co Business est à voir ou écouter le mardi sur BFM Business.
Catégorie
📺
TVTranscription
00:05BFM Business présente Tech&Co Business, le magazine de l'accélération digitale, Frédéric Simotel.
00:13Voilà, je vous l'ai promis, on va continuer à parler cybersécurité avec nos invités,
00:16débriefer une activité toujours très riche en cyber avec Pascal Ledigolle. Bonjour Pascal.
00:22Merci d'être avec nous, directeur général franche de WatchGuard et Benoît Grunemval.
00:26Bonjour Benoît, expert en cybersécurité chez ISET France.
00:30Il y a beaucoup de sujets, je voulais juste qu'on commence par le premier d'entre eux qui a
00:34fait couler beaucoup d'horreur.
00:36C'est de la cyber mais dans un domaine particulier, puisque c'est la cyber en termes de, dans le
00:40monde des cryptos,
00:42c'est 6 milliards, c'est le cas du siècle, 6 milliards d'euros qui ont disparu, enfin qui ont
00:46disparu, pas pour tout le monde,
00:48en volée en tout cas, chez Binance, qui est un de ses coffres forts à priori pour la crypto.
00:56Alors le FBI soupçonne la Corée du Nord.
00:59C'est attribué directement, ça y est c'est fait.
01:01Ça y est c'est fait.
01:02Alors qu'est-ce qui s'est passé exactement Benoît ?
01:05Malheureusement c'est assez simple, c'est parti d'un poste d'un développeur.
01:09Celui-ci, on ne sait pas encore exactement comment.
01:11Donc bien poste d'un ordinateur.
01:13Un ordinateur d'un développeur qui a priori a été donc pris d'assaut, compromis.
01:19Et à partir de là, les cybercriminels ont réussi à escalader leurs privilèges sur des environnements de production.
01:25Et ces environnements de production...
01:26Donc c'est-à-dire qu'il s'est fait avoir par un lien de phishing ou un truc comme
01:28ça ? On ne sait pas trop.
01:30On ne sait pas trop mais nous on vient de sortir un rapport là sur les menaces notamment liées aux
01:36APT,
01:36donc les groupes alignés avec les intérêts des États et en particulier sur les menaces nord-coréennes.
01:40On voit qu'elles ciblent toujours les actifs liés aux cryptos.
01:44Et pas uniquement les plateformes mais bien les développeurs et ou les personnes intéressantes.
01:48Et on les a vus, souvenez-vous, de Deceptive Development où en fait on avait des campagnes qui allaient via
01:55des recrutements,
01:56qui allaient notamment via les réseaux sociaux professionnels, chercher les personnes intéressantes
01:59et leur envoyer des éléments pour prendre le contrôle de la machine.
02:03Voir à la limite un petit James Bond. On le repère, on le suit, on rentre dans sa chambre d
02:08'hôtel un soir,
02:08et puis on voit que son ordinateur n'est pas complètement... Enfin ça peut aller jusque-là.
02:12Ça peut aller jusque-là mais malheureusement bien souvent c'est plus facile.
02:15Il suffit de l'arponner sur LinkedIn, de faire une discussion avec lui, de voir sur quoi il travaille
02:20et lui dire j'ai le job parfait pour toi parce que ça correspond à ce que tu fais, je
02:24vais te payer mieux
02:24et soi-disant je suis méta.
02:26Et donc là ils sont rentrés dans l'ordinateur, ils sont escaladés, ils sont allés sur des systèmes
02:32qui permettent de réaliser des transactions et c'est là où finalement c'est assez intéressant,
02:36c'est que la blockchain en elle-même n'est pas du tout touchée.
02:39Il n'y a pas de faiblesse dans la blockchain, il y a une faiblesse dans ceux qui sont capables
02:44de passer des ordres et dans ce cas-là les ordres ont été minutieusement préparés
02:50pour pouvoir être passés en moins de 20 minutes et ensuite amener.
02:54La blockchain n'a pas été corrompue, c'est vraiment cette partie-là.
02:57Pascal ?
02:58C'est ce qui est impressionnant, c'est qu'ils ont signé avec des vraies signatures
03:01pour avoir les droits de vider les portefeuilles concernés.
03:08Et après pour bien comprendre ce système-là, ça veut dire que cet argent-là il est porté
03:14sur des comptes, puis il part au bon et puis c'est impossible de remonter.
03:17Alors il y a tout un tas d'adresses que le FBI a récupérées, ils essayent de suivre le flux
03:23parce qu'effectivement là ça va prendre des flux de blanchiment connus, ils vont changer
03:28de crypto-monnaie, etc. Il n'empêche qu'il y a quand même les adresses qu'on peut suivre
03:33voir ce qui a été opéré, donc je pense quand même que le FBI est là ce qu'il faut
03:40pour.
03:40Après le problème c'est que c'est encore rien pour se déplacer si on veut le récupérer.
03:47Alors qu'est-ce qu'il faut retenir d'un tel piratage, Benoît et Pascal ?
03:53La sécurisation du maillon faible, parce que là c'est exactement ce qui s'est passé.
03:56On le répète, ce n'est pas le bitcoin qui a été corrompu.
03:59Du tout, ce n'est pas structurel, c'est rentré par le poste d'un ingénieur qui était...
04:05Alors on n'a pas les détails, comment il était sécurisé, est-ce qu'il avait les MFA qui vont
04:09bien ?
04:10Enfin c'est des discussions qu'on a eues un millier de fois ici, donc il faut que ces postes
04:15-là
04:15soient sécurisés comme il faut.
04:18Peut-être qu'il était, peut-être qu'il se rentrait avec des choses...
04:22Peut-être que tu en sais plus Benoît, mais je n'ai pas vu de détails sur comment il se
04:25rentrait.
04:26Est-ce que c'est du phishing ? Est-ce que c'est de l'ingénierie sociale ?
04:28Est-ce que c'est quelque chose de plus poussé ?
04:31Malheureusement, d'expérience, on sait que c'est des choses...
04:33Mais voilà, en tout cas le point 7, c'était ce poste-là.
04:35Oui, déjà concernant les fonds, on a vu qu'il y a à peu près la moitié qui a été
04:40gelée,
04:40et notamment ceux qui sont en stablecoin.
04:43Stablecoin parce que...
04:44Ils ont quand même réussi, enfin le FVI a réussi à un moment à stopper le...
04:48Alors l'écosystème crypto, c'est vraiment, dès qu'il y a eu l'annonce,
04:51on a vu une très grande réactivité de l'écosystème crypto.
04:55Ce qu'il faut voir, c'est que quand on est sur la blockchain,
04:57ce qui a été réalisé en transaction, c'est réalisé, c'est le principe de la blockchain.
05:02Par contre, il y a des modifications qui ont été faites sur des stablecoins,
05:06et là les stablecoins, c'est des sociétés qui les détiennent.
05:10Ces avoirs-là ont été gelés.
05:13J'imagine que dans leur attaque, qui est finement préparée,
05:16ils avaient prévu cette perte.
05:19Parce que je crois que c'est 3 milliards qui ont été...
05:20Voilà, à peu près la moitié qui a été gelée.
05:23Et puis ensuite, effectivement, maintenant, il y a des opérations de blanchiment
05:26qui sont en cours, où il y a à la fois des techniques,
05:31et puis aussi des opérateurs.
05:32Certains ont été démantelés par la justice,
05:34mais des opérateurs qu'on va appeler un peu bulletproof,
05:36comme les data centers, qui ne donnent pas,
05:38ou les VPN, qui ne donnent pas les coordonnées,
05:40l'identité de leurs clients.
05:41Et donc, on utilise ces machines à blanchir,
05:46comme pour le cash, pour la crypto.
05:48Mais comme le disait Pascal, s'il faut aller en Corée du Nord,
05:51dérouler la fin de la pelote en Corée du Nord,
05:53bon là, il y a une grande chance que, justement,
05:56ça soit stoppé à cette frontière.
05:58Je voulais revenir sur un autre sujet aussi,
06:00autour des partis politiques.
06:02Évidemment, on est en pleine...
06:03Je pense que ça ne vous a pas échappé,
06:05que la campagne présidentielle,
06:07on en est à 5-6 mois,
06:09mais ça bat son plein.
06:12Et il y aura législative derrière,
06:14et beaucoup de choses.
06:15Et on voit, alors, il y a eu plusieurs compromissions
06:16sur les partis politiques.
06:18Alors, on a eu des histoires d'ingérence aussi,
06:22il y avait Édouard Philippe,
06:23ils ont été plusieurs,
06:24qu'on a attribués peut-être à des puissances étrangères.
06:26Et là, qu'est-ce qui s'est passé, Benoît ?
06:28Alors, moi, je distinguerais deux choses.
06:30La première, c'est la revendication des fuites,
06:33et les fuites réellement confirmées par les partis.
06:36À ce jour, il n'y a que le PCF
06:38qui a confirmé la fuite.
06:40Les deux autres sont des fuites
06:42qui sont revendiquées par les cybercriminels,
06:44mais qui n'ont pas...
06:45Donc, c'était LFI, c'était...
06:46C'était LFI, et c'était aussi Renaissance.
06:50Renaissance, d'accord.
06:51Voilà.
06:51Renaissance, on serait sur 4,15 millions
06:54revendiqués par Chimera Z,
06:56et sur LFI, on est sur 1,7 million d'entrées
06:59dans les bases.
07:00Donc, ça représente quand même
07:01des volumes très importants.
07:02Pour autant, les deux partis n'ont pas confirmé,
07:06ont affirmé ne pas avoir eu, eux, de fuite.
07:08Ils n'ont pas constaté de fuite.
07:09Donc, on est effectivement dans un jeu
07:12que l'on avait déjà vu, d'ailleurs,
07:14pour certains grands industriels français,
07:16notamment dans l'armement,
07:17où des fuites de données
07:18avaient popé sur le dark web,
07:21mais après étude,
07:22ces grands groupes avaient nié
07:23l'existence de fuites.
07:25Parce que quand on s'en rend compte,
07:29c'est ça, c'est que sur le dark web,
07:30tout d'un coup, on a un ensemble de...
07:31On a des fichiers,
07:33et puis on se rend compte que, voilà,
07:34c'est tous les adhérents,
07:35là, en l'occurrence, au PCF,
07:36ou à LFI, ou à Renaissance,
07:37se disent, ah tiens,
07:38il y a peut-être eu une compromission
07:40dans tout ça.
07:40C'est ça, et c'est ce que revendiquent
07:42les cybercriminels,
07:43et c'est ce que nient les différents partis.
07:46Alors, derrière, Pascal,
07:47qu'est-ce qu'on peut...
07:48Je ne sais pas si il y a quelque chose
07:49à rajouter par rapport à ce que tu dis,
07:50mais qu'est-ce qu'on peut faire
07:51en suite de ces datas ?
07:53Ça va être du phishing ?
07:54Enfin, c'est tout.
07:55Alors, deux choses.
07:56Qu'est-ce que peuvent faire
07:57les pirates de ces données ?
08:00Alors, l'enjeu, il est colossal,
08:01parce qu'on a les présidentielles,
08:02donc savoir qui vote pour qui,
08:06les adhérents, etc.
08:07Enfin, on a déjà vu
08:08de l'ingérence étatique à ce sujet-là.
08:12Donc, arriver à influencer
08:14une présidentielle en France,
08:15c'est colossal.
08:16L'enjeu, il ne se débat même pas, en fait.
08:19Et donc, il faut se rendre compte
08:21qu'on a un écart colossal
08:23entre la valeur de la donnée
08:25de ces parties-là
08:25et la manière dont ils la sécurisent,
08:28qui est en mode...
08:31PME, en vrai.
08:33Un petit mot de passe
08:34sur mon tableau Excel, quoi.
08:35Pas forcément,
08:36mais c'est des gens
08:38qui se battent pour qu'il y ait plus...
08:40D'ailleurs, c'est le cas du PCF,
08:42qui s'est battu pour ce qui est plus
08:44de budgets, cybersécurité,
08:46dans les budgets IT,
08:47de l'État, etc.
08:49Et qui se fait lui-même avoir.
08:51Donc, c'est le coordonnier...
08:52Voilà.
08:53Mais il faut bien voir
08:53que la manière dont ils se sécurisent
08:55aujourd'hui,
08:55ce sont des PME.
08:56C'est un système un peu associatif.
08:59Alors, oui, il y a du firewall,
09:00oui, il y a des...
09:01Il y a un certain nombre
09:02de sécurité,
09:03mais ils n'ont quand même
09:05aucune obligation.
09:06Je veux dire,
09:06il n'y a pas de Nice 2,
09:07il n'y a pas de...
09:08Il n'y a rien qui pèse
09:09sur ces parties politiques
09:11aujourd'hui
09:11pour les obliger à se sécuriser
09:12et puis d'avoir les budgets
09:13qui vont avec.
09:16Et on retrouve
09:17le même écart
09:18que ce qu'on trouve
09:19dans l'industrie.
09:21C'est-à-dire que
09:22mettre plus de budget
09:23en cyber,
09:24c'est en mettre moins
09:25ailleurs dans la production.
09:26Et eux, c'est pareil.
09:27S'ils mettent du budget
09:28en cyber,
09:29ils en mettent aussi
09:30un peu moins dans la campagne.
09:31Donc, ce n'est pas
09:31leur priorité.
09:32Alors, on rappelle
09:33que parmi les trois
09:35parties citées,
09:36il n'y a que le PCF
09:37qui a confirmé,
09:38les autres n'ont pas...
09:40Enfin, ils contestent
09:41toute intrusion.
09:42Mais bon, on voit bien
09:43ces 4 millions
09:44d'enregistrements
09:44attribués à Renaissance,
09:461,2 million chez LFI,
09:48en plus avec des données GPS.
09:49Enfin, tout ça
09:51est assez important.
09:52Ton regard aussi ?
09:53Moi, j'ai un regard
09:55plutôt technique
09:56et exploitation.
09:57quand on voit
09:58toutes les fuites
09:58que l'on subit
09:59ces derniers temps,
10:00on rajoute là
10:01des données
10:02à caractère politique.
10:03On va rajouter
10:04effectivement des données GPS.
10:06Est-ce que c'est
10:06les plus intéressants ?
10:07Je ne sais pas.
10:08Quand on a déjà
10:08l'État civil,
10:09notamment avec l'adresse.
10:11Et finalement,
10:11on se rend compte
10:12qu'on a encore une source
10:14qui va nous permettre
10:15de qualifier
10:16telle ou telle personne.
10:18On avait avant
10:19potentiellement son revenu
10:20avec la fuite des impôts.
10:21S'il était à la Fédération
10:22française de rugby
10:23et ou de tir.
10:24Maintenant,
10:25on va potentiellement
10:26savoir quelle est
10:27son orientation politique.
10:28Oui, c'est ça
10:29qui est dangereux,
10:30Pascal et Benoît.
10:31C'est qu'aujourd'hui,
10:32avant, c'était un peu
10:33en silo tout ça.
10:34On se faisait voler.
10:36Enfin, un opérateur
10:36pouvait se faire voler
10:37ses données.
10:38Bon, on n'espérait pas.
10:39Mais là, aujourd'hui,
10:40on peut faire
10:40ces recoupements
10:41et c'est ça qui est le...
10:43Avec de l'IA,
10:44on peut faire
10:44un profiling complet,
10:46créer des emails
10:47de phishing
10:49hyper réalistes,
10:50hyper personnalisés,
10:52dont le taux de clic
10:53va augmenter considérablement
10:54parce qu'on sait
10:55très exactement
10:56ce par quoi
10:57la personne est intéressée.
10:58Donc,
11:00arriver à pirater
11:01ces gens-là
11:01avec ce genre
11:02d'informations
11:03qu'on détient,
11:04ça devient presque facile
11:05pour un...
11:07Ça veut dire
11:08qu'il faut encore...
11:08J'ai vu d'ailleurs,
11:09il y a un spot
11:10qui passe en ce moment
11:11en télévision
11:12sur cyber malveillance
11:13qui rappelle justement
11:14quand on a un doute,
11:16voilà,
11:16on ne touche pas.
11:17Exactement.
11:18Et il y a un autre élément,
11:19c'est que...
11:19Quand on sent un mail
11:20un peu étrange,
11:21qu'on soit LFI,
11:22Renaissance ou...
11:22Le premier réflexe
11:23de toute façon,
11:24c'est tout ce qui vient
11:25et alors,
11:26email,
11:27SMS,
11:28appel vocaux
11:28avec ou une personne
11:29ou avec l'IA
11:30et puis,
11:31on l'a vu dans le cadre
11:32de la Fédération française
11:33de tir
11:33mais certainement d'autres,
11:36l'intrusion dans le réel,
11:38la présentation
11:39de faux gendarmes,
11:40de faux forts de l'ordre
11:41directement au domicile.
11:43Donc finalement,
11:44la question,
11:44c'est tout ce qui vient
11:46de l'extérieur,
11:47je le considère
11:47avec un niveau de suspicion
11:49très élevé
11:50et alors,
11:51je ne sais pas
11:51si ces parties
11:52ont des applications
11:53mais moi,
11:53ma recommandation,
11:54c'est si vous recevez
11:55un email soi-disant
11:55de livraison,
11:56soit vous avez passé commande
11:58et dans ce cas-là,
11:58vous allez quand même
11:59vérifier dans l'application
12:00type La Poste
12:01ou le fournisseur,
12:03soit vous allez directement
12:04dans votre...
12:05le site concerné
12:07et puis ça évite
12:08de croire au mail finalement.
12:09Malheureusement,
12:10dans ce milieu-là,
12:11c'est beaucoup par mail,
12:12c'est beaucoup par téléphone
12:13donc arriver à faire
12:15la part des choses,
12:16ça va être extrêmement compliqué.
12:17Ce qui est dingue,
12:18c'est que tu disais,
12:20en clair,
12:21c'est un peu le style PME
12:22mais on se dit
12:23que Nice 2,
12:24ça va concerner
12:2515 000 entreprises
12:26et on se dit
12:27qu'à partir du moment
12:28où des entreprises
12:28ont des coordonnées
12:30personnelles,
12:31sans aller jusqu'à Nice 2
12:32mais ils devraient quand même
12:33avoir des contraintes.
12:34Ça n'empêche
12:34qu'ils tombent
12:35sous le coup de la RGPD
12:36avec l'article 32
12:37qui sont censés
12:39sécuriser leurs données
12:40mais après,
12:41il n'y a pas d'audit,
12:41il n'y a rien du tout
12:42qui va aller vérifier ça
12:44chez eux.
12:45Et puis on peut imaginer
12:46en plus dans le contexte
12:47politique actuel,
12:48si on tombe dessus,
12:50si on a une Nancy
12:51qui leur tombe dessus,
12:51on va dire que voilà ça.
12:52accepter que l'État
12:53fasse un audit
12:54sur un parti,
12:55c'est tout de suite compliqué.
12:57On se doute,
12:59en tout cas,
13:00un rappel
13:01pour toutes les PME
13:01quand vous avez
13:02des fichiers de données
13:03clients,
13:04de données fournisseurs,
13:04il faut toujours
13:05davantage sécuriser tout ça.
13:07Autre sujet,
13:09on en parle de plus en plus,
13:10c'est ces agents
13:11IA autonomes
13:12qui sont utilisés
13:13pour pirater
13:13les entreprises,
13:15Pascal ?
13:15C'est mon sujet préféré
13:17et également
13:18ma crainte la plus forte.
13:22Ma prédiction,
13:23c'est que ça va nous
13:24tomber dessus
13:24sur les PME françaises
13:26avant la fin de l'année.
13:27Donc ça commence
13:28à nous frôler
13:28un peu les oreilles.
13:29Parce que là,
13:29c'est 100 sites d'entreprise
13:30qui ont été piratés.
13:31C'est pas en France,
13:32c'est des sites américains,
13:33canadiens, japonais,
13:34donc ça ne nous tombe pas
13:35encore dessus.
13:35Mais les balles,
13:38il faut commencer
13:39à les éviter.
13:39Alors très concrètement,
13:40ça se passe comment ?
13:41C'est un pirate
13:43qui va préparer
13:44son infrastructure
13:45avec des agents IA.
13:47On l'avait déjà vu
13:48cet été
13:50avec certaines attaques
13:51où l'agent IA,
13:52en fait,
13:52il est autonome,
13:53il va dérouler
13:54son attaque
13:55de A à Z
13:57et il ne va certainement
13:58pas s'arrêter.
13:59C'est-à-dire qu'avant,
13:59le pirate,
14:00il disait,
14:00tiens,
14:01je vais faire un faux email
14:02et puis je vais l'envoyer
14:02à tous les adresses
14:03que je peux.
14:04Là,
14:04c'est beaucoup plus loin.
14:05C'est même différent
14:08que ça,
14:09c'est pire.
14:10C'est qu'avant,
14:11les pirates,
14:12c'était des vraies entreprises.
14:13On se rappelle Conti,
14:14on se rappelle,
14:15il fallait faire
14:16des vraies entreprises
14:17avec toute une armée
14:18d'affiliés
14:18pour pouvoir attaquer.
14:20Et là,
14:20on revient dans un mode
14:21où,
14:22avec l'IA,
14:22des pirates presque tout seuls
14:25arrivent à faire la même chose,
14:26voire même plus fort.
14:27Donc,
14:28il faut bien voir
14:28ce changement dans la cyber
14:30depuis cet été.
14:31c'est hyper...
14:32Donc,
14:32ça veut dire
14:32une personne,
14:33un développeur un peu malin,
14:35un mal intentionné,
14:36sans doute.
14:36Un pirate,
14:37un développeur un peu malin
14:38et encore développeur non
14:39parce que l'IA
14:40développe à sa place.
14:41un développeur même pas,
14:42un pirate un peu malin
14:43peut développer.
14:44Alors,
14:44il faut un peu l'infrastructure aussi
14:46mais on l'a vu là
14:47dans l'attaque,
14:48il y a les coûts
14:48qui ont été mis.
14:50Les coûts d'attaque
14:51sont dérisoires
14:52par rapport
14:52à ce que ça rapporte.
14:54Oui,
14:55c'est ça.
14:56Là,
14:56c'est 5 dollars
14:57par tâche
14:58et tout ça.
14:58c'est très très peu.
15:01Et donc,
15:02on programme un peu
15:03ces agents
15:03pour leur dire
15:04essayer de trouver les...
15:05En fait,
15:05on se construit
15:05sa petite armée
15:06qui va aller attaquer
15:07qui quand elle va échouer
15:09va retenter,
15:10va essayer différemment
15:11et en plus de ça
15:12qui vont être
15:14potentiellement spécialisés
15:15sur certains sujets.
15:16C'est-à-dire que là,
15:16dans l'attaque,
15:17ça cherchait
15:18un certain nombre
15:18de vulnérabilités connues
15:21et si ça tombe dessus,
15:23comme on en connaît
15:24l'exploit,
15:25ça va dérouler l'attaque
15:27et ça va réussir.
15:28Et l'agent va tout faire
15:29tout seul.
15:29Le pirate ne fait que
15:32l'orchestration.
15:33Oui,
15:33relever les compteurs même,
15:34j'allais dire.
15:35Oui,
15:35l'orchestration,
15:36le mot est parfait.
15:38Benoît,
15:38sur ce sujet ?
15:39C'est une magnifique
15:41industrialisation
15:41pour le mal,
15:42mais magnifique industrialisation.
15:43Si on cherche des cas d'école
15:44dans les entreprises
15:45pour les agents IA...
15:46C'est le taylorisme par IA.
15:48Voilà,
15:48il y en a un qui est là.
15:50On voit d'ailleurs
15:51que cette IA,
15:52finalement,
15:52ne remplace pas
15:53complètement l'attaquant.
15:54C'est-à-dire que l'attaquant,
15:54il doit quand même
15:55se concentrer
15:56sur un certain nombre
15:57à la fois d'orchestration,
15:59peut-être leur donner
15:59des guidelines,
16:01leur dire,
16:01ben voilà,
16:02j'ai vu tel CVE,
16:02on va s'attaquer
16:03à tel site.
16:04C'est-à-dire qu'il y a
16:04de des sites.
16:05C'est le type de fuite,
16:07c'est ça ?
16:08Alors,
16:08la CVE,
16:09c'est une faille
16:10qui a été documentée,
16:12faille à laquelle
16:13on va d'ailleurs
16:13associer un score.
16:14Plus le score est élevé,
16:16plus la faille...
16:17C'est le CVSS.
16:18Exactement.
16:19Plus la faille
16:19est potentiellement impactante,
16:21on va dire,
16:22et ou facile à gérer.
16:23Ce qui s'est passé
16:24peut-être la suite
16:25de l'actualité
16:25avec PHP
16:27et d'autres.
16:29Et donc,
16:30cette armée finalement
16:33d'agents autonomes
16:36va venir industrialiser
16:38les demandes
16:39du cybercriminel
16:40qui, lui,
16:41va soit pouvoir orchestrer,
16:42soit vibe-coder
16:43et faire en sorte
16:43que tout ça avance
16:44sans lui.
16:45Et alors,
16:46Pascal,
16:46tu disais,
16:47ma crâne,
16:48c'est que là,
16:48on est aux Etats-Unis,
16:49on est en Australie,
16:50on est au Japon.
16:51Oui,
16:51bon,
16:52on est une seule planète,
16:54donc c'est que ça arrive
16:54rapidement.
16:54quand ça va arriver
16:56sur des entreprises françaises
16:58et quand ça va taper
16:58de la PME,
17:00TPE,
17:00TI,
17:01ça va faire,
17:02et puis même du grand compte,
17:03en vrai,
17:04ça va faire assez mal.
17:06Et je vois deux choses,
17:08je vois ce type d'attaque
17:09avec une armée,
17:11une armée d'agents,
17:12alors une armée,
17:13c'est un bien gros mot,
17:13ils n'ont pas besoin
17:14d'énormément encore,
17:15mais on peut imaginer
17:16qu'avec l'avenir,
17:17ils vont en déployer
17:18de plus en plus.
17:20Donc,
17:20il y a ce premier niveau
17:22d'attaque,
17:23c'est pour ça que je disais
17:24ma première prédiction,
17:25c'est que ça va arriver
17:25sur les PME françaises
17:26avant la fin de l'année
17:27et je ne vois pas
17:28comment ça serait possible
17:29autrement que ça n'arrive pas.
17:31Mais ma deuxième prédiction,
17:32je ne sais pas si vous vous rappelez,
17:34je vais appeler aux anciens,
17:36mais on va commencer
17:37par un code red,
17:38et puis si vous ne connaissez pas
17:39un code red,
17:40WannaCry,
17:41un verre informatique
17:42à l'époque.
17:45imaginer un verre par IA
17:46piloté par un pirate
17:48comme ça,
17:49c'est un peu ma crainte du moment,
17:51c'est que ça,
17:51quand ça va tomber,
17:52ça va faire ça.
17:52Ça peut carrément aller
17:53dans des infrastructures...
17:54Et puis ça va s'arrêter,
17:55ça va se répandre.
17:57Et alors,
17:58comment faire
17:59pour ceux qui nous écoutent,
18:00pour les affoler un peu quand même,
18:03les alerter en tout cas,
18:04plus que les affoler,
18:04mais il faut faire quoi ?
18:07La mauvaise nouvelle,
18:08c'est qu'ils ont des armes
18:09qui sont dévastateurs,
18:11la bonne nouvelle,
18:12c'est que ces armes à aujourd'hui
18:13utilisent quand même des TTP,
18:15des techniques et des procédures
18:16qui sont des techniques connues,
18:18qui rentrent dans la fameuse matrice
18:20du mitre,
18:20pour ceux qui connaissent,
18:21sur lequel on sait se défendre,
18:23on sait mettre des protections,
18:25que ce soit firewall,
18:25endpoint,
18:27tout ce qu'on connaît en cyber,
18:29fonctionnent contre les attaques
18:30qu'on a aujourd'hui.
18:30Ce ne sont pas des agents
18:31qui inventent des nouvelles attaques.
18:33D'accord.
18:34Pour le moment.
18:35Ah oui.
18:35Oui, pour le moment.
18:36Pour le moment,
18:37ils ont un catalogue,
18:38ils ont tous les types de failles
18:39en disant,
18:40allez,
18:40la seule différence,
18:42c'est la volumétrie,
18:43la vitesse de l'attaque,
18:44la puissance de l'attaque.
18:45Mais la manière de se défendre,
18:47c'est la même.
18:48Il faut patcher,
18:49il faut...
18:50Et c'est ce que l'on voit,
18:51effectivement,
18:52dans le rapport que l'on a sorti
18:53sur les menaces à péter,
18:54donc celles liées
18:55aux groupes étatiques.
18:57On voit la même chose
18:58que pour les cybercriminels,
19:00attirés par la patte du gain.
19:01C'est-à-dire qu'on voit
19:02une industrialisation
19:03de leurs capacités,
19:04mais on ne découvre pas
19:06de nouvelles techniques
19:08extraordinaires,
19:08dignes de la science-fiction.
19:09Aujourd'hui,
19:10cette industrialisation,
19:11heureusement pour nous,
19:12parce que,
19:13et comme tu le dis,
19:13les bases sont suffisantes
19:15pour se protéger,
19:16les bases un peu plus,
19:17sont suffisantes
19:18pour se protéger
19:19et on n'est pas face
19:20à quelque chose
19:21qui explose
19:22en créativité malveillante.
19:24en fait,
19:24ce que ça met en exergue,
19:26c'est ce qu'on retrouve
19:28d'ailleurs dans les lois européennes,
19:30ce que demande Nice 2,
19:31ce que demande la RGPD,
19:32etc.,
19:33c'est d'avoir un état de l'art,
19:34d'être à un état de l'art
19:35de la cyber.
19:36Quand on est à cet état de l'art-là,
19:37on se protège de ces techniques,
19:39de ces procédures de pirates
19:41suffisamment.
19:42Ce qu'il va falloir bien regarder,
19:44c'est cet état de l'art,
19:45comment il va évoluer
19:46pour contrer ses armées.
19:48Est-ce que c'est
19:49l'état de l'art actuel ?
19:50Est-ce qu'il faut le monter un peu ?
19:52Est-ce qu'il faut rajouter
19:53des techniques de défense
19:54dans cet état de l'art-là
19:56pour être...
19:58Il n'y a jamais de 100%,
19:59soyons clairs,
20:00mais au moins pour être protégé
20:02comme on pouvait l'être avant.
20:04Si je fais le lien
20:05avec une autre actuelle
20:06qui était il y a une quinzaine de jours,
20:07la fuite sur le protocole PHP,
20:12voilà, typiquement, c'est ça.
20:12On a ces deux failles
20:13et je vais piloter une IA
20:15pour dire, tiens,
20:15voilà les deux failles,
20:16va vite te promener partout.
20:17Exactement.
20:18Et c'est pour ça
20:18et on en viendra
20:19à notre sujet
20:20sur le patch après.
20:21C'est ça ?
20:22Oui, c'est exactement cela.
20:23Et alors,
20:24comme on sait
20:24que les cybercriminels
20:25s'organisent souvent,
20:26on l'a vu avec
20:27les malwares à the service,
20:29des logiciels
20:29que l'on peut acheter,
20:30on l'a vu avec des EDR killers.
20:32Oui, mais les services
20:32à prévente, etc.
20:33Exactement.
20:34On l'a vu avec
20:34les rançons logicielles
20:35à the service.
20:36On l'a vu avec
20:36l'intelligence artificielle
20:39déplombée,
20:39sans limite,
20:40sans éthique,
20:41à the service
20:42que l'on peut acheter en ligne.
20:44On pourrait imaginer aussi
20:45demain l'IA
20:46à Gentic
20:47à the service
20:48à destination
20:48des cybercriminels.
20:50Si ce n'est pas déjà le cas,
20:51c'est ça.
20:52Soyons simples.
20:53Si Benoît l'imagine,
20:54c'est que quelqu'un
20:55y a déjà pensé.
20:56Oui.
20:58Un pirate, hein.
20:59C'est très facile
21:00de faire des prédictions
21:01en cybersécurité.
21:01Nous, on l'imagine,
21:02un pirate
21:03y a déjà pensé avant.
21:04On en est où ?
21:05D'ailleurs, vous deux,
21:05vous avez suivi évidemment
21:06cette actualité,
21:07mais autour de cette fuite PHP,
21:08on est 10-15 jours après,
21:11aujourd'hui,
21:11je ne sais pas, Benoît ?
21:12Moi, je dirais que le problème
21:15surtout sur une faille
21:16aussi importante,
21:18certains disaient que,
21:19alors, grossièrement,
21:2170% du web
21:22était concerné par cela.
21:2470% des sites
21:26qui utilisent PHP
21:27sont concernés,
21:27donc c'est certainement
21:28un peu moins,
21:28mais c'est quand même
21:29d'ampleur.
21:30Ça a fait énormément de bruit
21:32au moment où c'est sorti.
21:33Ah ben, on disait carrément
21:34Internet est en danger.
21:35On a vu des sites
21:38gouvernementaux
21:38qui ont préféré fermer.
21:40Certains ont fermé,
21:40enfin, beaucoup ont fermé,
21:41notamment la France.
21:43Et le soufflet
21:45est un peu retombé.
21:46Une actualité,
21:46on a chassé une autre.
21:48Malheureusement,
21:48il y a encore des équipes
21:49et ou heureusement
21:50qui travaillent sur le sujet
21:51parce que la faille,
21:52tant qu'elle n'est pas patchée,
21:54corrigée dans les sites Internet,
21:57elle est exploitable.
21:58Et là,
21:59on va voir encore une fois
22:00une sorte de pyramide.
22:01C'est-à-dire qu'on a
22:02tous ceux qui ont pris
22:03la chose à cœur
22:04et qui ont fermé leur site,
22:05qui ont corrigé,
22:05ceux qui n'ont pas encore
22:07pris le temps de le faire
22:08et ceux qui ne sont
22:09même pas au courant.
22:10Et là,
22:11on va avoir un certain nombre
22:11de petits forums,
22:13de sites associatifs,
22:14de sites communautaires
22:16qui, des fois,
22:18reposent sur des technologies
22:20open source,
22:20par exemple,
22:21qui sont très bien,
22:22sauf qu'il faut les mettre à jour.
22:23Et là,
22:24on va avoir un temps nécessaire
22:26à la réactivité
22:27qui peut faire mal.
22:29Pascal,
22:29je crois qu'il reste
22:3030 millions
22:32de sites
22:33à patcher.
22:34Donc,
22:34c'est assez colossal.
22:36Là où,
22:36je pense,
22:38on a la chance
22:40de notre côté.
22:41Alors,
22:41ce n'était pas une chance
22:42au départ,
22:42mais là où on a la chance,
22:43c'est que,
22:44de ce que j'ai compris,
22:45il n'y a pas d'exploit
22:46universel sur l'attaque
22:48en fonction des sites.
22:49Ce qui fait qu'une attaque
22:50massive qui scannera
22:52et tout,
22:52qui lancerait le même
22:53exploit pour faire tomber
22:54les sites,
22:55ça ne fonctionnerait pas.
22:56J'aimais bien ce que disait
22:57Benoît,
22:57attention les scénarios
22:58de science-fiction,
22:59de l'IA qui va dire
23:00tiens,
23:00j'ai inventé un nouveau virus.
23:02Ça pourrait arriver
23:03sur une autre faille,
23:04mais cette faille-là,
23:05en l'occurrence,
23:06on ne peut pas l'exploiter
23:06de manière universelle
23:08sur tous les sites.
23:09Il faut cibler.
23:09Et c'est ce qu'on voit,
23:10en fait,
23:10c'est qu'il y en a
23:11qui se font pirater
23:11par cette faille-là,
23:12mais de manière vraiment ciblée
23:14avec un exploit fait
23:15pour cette attaque-là.
23:17C'est ce qui fait que,
23:17je pense,
23:18le soufflet,
23:18il a aussi un peu retombé.
23:19C'est qu'il y aura
23:20une attaque massive,
23:22on sera encore en train
23:23d'en parler.
23:24Là,
23:24on n'en parle plus
23:25parce que c'est des cibles
23:27ponctuelles
23:28qui vont être attaquées.
23:30Et pour ça,
23:31ça prend un petit peu de temps
23:33et puis quand elles sont attaquées,
23:34on ne le voit pas forcément
23:35parce qu'il faut déjà
23:38que celui qui est attaqué
23:39alors qu'il n'a pas patché.
23:40Imaginez,
23:40quelqu'un qui ne patche pas,
23:41là,
23:41à l'heure actuelle,
23:42ce n'est pas quelqu'un
23:43qui est bien placé
23:43pour savoir qu'il est attaqué.
23:45En général,
23:46ça va de pair.
23:47Donc,
23:48comme le dit Benoît,
23:49on va découvrir des choses
23:51dans les six mois
23:52qui viennent progressivement.
23:54Alors,
23:55je voulais revenir
23:56sur un sujet,
23:56c'est toi,
23:58Pascal,
23:58qui l'a remonté.
23:59Alors,
23:59on va évacuer tout de suite
24:00parce qu'en fait,
24:02c'est parti d'une actualité.
24:03C'est un patch de Fortinet
24:07qu'il faut passer
24:08sans connaître les CVE,
24:10donc le type de file,
24:11les CVSS,
24:12les niveaux.
24:14Le but,
24:14là,
24:14de ça,
24:15c'est de,
24:15est-ce qu'il ne faut pas
24:16de chier en aveugle ?
24:17Ce n'est pas,
24:18voilà,
24:19d'accuser l'un ou l'autre.
24:20Mais,
24:21c'est cette tendance
24:22de dire,
24:22oula,
24:23ça arrive,
24:24il faut pas de chier.
24:26Voilà,
24:26qu'est-ce qu'il faut en penser
24:27de tout ça ?
24:27C'est un sujet
24:28dont on parle,
24:29qu'on a parlé plusieurs fois
24:30dans l'émission
24:31sur la vitesse des patchs,
24:32sur la vitesse des exploits
24:34des pirates,
24:34et là,
24:35c'est,
24:36alors,
24:36c'est cet éditeur-là,
24:38mais à la limite,
24:38peu importe,
24:39on se rend compte que,
24:41bah,
24:41effectivement,
24:42quand un éditeur
24:44publie ses CVE,
24:45en moins de 48 heures,
24:47il y a un reverse engineering
24:48qui est fait par IA
24:49et qui trouve comment l'exploiter
24:50et qui, du coup,
24:51vont permettre aux pirates
24:52de réattaquer.
24:54On rappelle,
24:54un éditeur,
24:55donc voilà,
24:56ça peut être un watchguard
24:57qui, tout d'un coup,
24:58se dit,
24:58ah tiens,
24:58là,
24:59on vient de découvrir
25:00une faille ou un client,
25:01enfin bref,
25:01et de tout de suite
25:02envoyer à ses clients
25:03leur dire,
25:03voilà,
25:04il faut télécharger
25:05tel type de...
25:06Et en général,
25:07on y associe les CVE,
25:08on dit,
25:08voilà les CVE
25:09avec les scores CVSS
25:10de l'exercice
25:11et c'est quelque chose
25:12de très grave.
25:13Pour convaincre aussi
25:14les gens de le faire
25:15parce que c'est important.
25:17Là,
25:18maintenant,
25:18la peur,
25:18elle est telle
25:19de l'IA
25:20et du reverse engineering
25:23si on le dit,
25:24on donne l'opportunité
25:26aux pirates
25:27de faire ce reverse engineering,
25:29le pirate va aller
25:30beaucoup plus vite,
25:31on le sait,
25:32que les clients
25:34et du coup,
25:35lui va attaquer
25:35parce qu'on lui a dit
25:36qu'il y en avait une.
25:37Et donc,
25:38on se retrouve
25:38dans un monde
25:39où on va devoir patcher
25:42des choses
25:42sans savoir ce que c'est.
25:43C'est-à-dire que là,
25:44il faut se mettre
25:44quand même à la place
25:45des prestataires
25:46qui vont dire à leurs clients,
25:47il me faut une fenêtre
25:48de tiers
25:49pour patcher
25:51ton équipement
25:52mais je sais,
25:53voilà,
25:54on sait que c'est important,
25:55c'est pour la cyber
25:56mais tu n'as pas le détail,
25:57tu n'as pas les CVE,
25:57tu n'as pas les choses
25:58et du coup,
26:00on rentre dans une ère
26:02qui risque d'être
26:03On ne peut pas aller chercher
26:04client par client,
26:05ça devient très compliqué.
26:06Non,
26:07et on rentre dans une ère
26:08où ceci va être
26:10encore plus industrialisé.
26:11Souvenez-vous,
26:12le CRA,
26:12Cyber Resilience Act
26:13qui invite
26:14tout à chacun
26:15qui produit
26:16des éléments numériques,
26:18donc adoption progressive,
26:21mais une télé,
26:22une imprimante,
26:23une voiture,
26:24un frigo,
26:25je ne parle même pas
26:26des équipements
26:27que l'on a l'habitude
26:28de côtoyer,
26:30les frigos industriels
26:32notamment,
26:32et en fait,
26:33le CRA
26:34invite ces fabricants
26:35à avertir
26:37encore plus
26:38leurs clients
26:39à partir du moment
26:39où ils ont connaissance
26:41qu'une faille
26:42est en cours
26:42et qu'il faut la mettre à jour.
26:43Ce que dit Pascal,
26:44c'est qu'en avertissant
26:45les clients,
26:46on réveille un peu
26:47les pirates
26:47qui se disent
26:48« Ah tiens ! »
26:49Exactement,
26:49on les réveille,
26:50on leur donne finalement
26:51une sorte de clé de lecture
26:52qu'eux vont devoir interpréter
26:54avec l'intelligence artificielle
26:55et force est de constater
26:56qu'ils sont très forts
26:58dans le reverse
26:59de ces vulnérabilités.
27:01Ils l'ont toujours fait,
27:02mais auparavant,
27:03ça prenait plus longtemps.
27:04Ça prenait plus longtemps.
27:04On se souvient,
27:06quand on en parle aujourd'hui,
27:07c'est vrai que,
27:08enfin ça continue encore aujourd'hui,
27:09mais Microsoft,
27:10c'était son patch use
27:11tous les mardis,
27:12tomber les patchs
27:14et puis aux gens
27:15de mettre ça en marche ou pas,
27:18de mettre ses pansements,
27:19ses patchs là-dessus.
27:21Du coup,
27:23qu'est-ce qu'il faut faire, Pascal ?
27:25La question que je me pose,
27:26qu'on se pose,
27:27c'est est-ce que ça ne va pas
27:28devenir justement
27:29une bonne pratique
27:30de ne pas dévoiler
27:32des CVE qui,
27:34alors des CVE
27:35qui n'ont pas encore été exploitées,
27:36bien entendu.
27:37Les CVE qui est exploité,
27:38il n'y a pas de débat,
27:39elle est déjà exploitée,
27:40donc ça ne sert à rien
27:40de la cacher.
27:41Donc que les éditeurs
27:42d'eux-mêmes se disent,
27:43là pour l'instant...
27:44Pour faire la transition
27:47avec Benoît,
27:48en vrai,
27:48c'est pris en compte
27:49dans le CRA.
27:50Dans le CRA,
27:52il est pris le cas,
27:53il est demandé
27:54de dévoiler les CVE
27:55qui sont activement exploitées.
27:57Et si elles ne le sont pas encore
27:59et qu'on a peur
27:59que ça soit exploité
28:00si on la divulgue,
28:01on peut la mettre
28:02sous silence.
28:03Alors,
28:03ce n'est pas expliqué
28:04comme ça dans le texte,
28:04je le vulgarise
28:05un peu à ma façon,
28:06mais ce cas-là
28:08qu'a fait cet éditeur
28:10est pris en compte
28:11a priori dans le CRA.
28:12Je me demande
28:13si ça ne va pas devenir
28:14une généralité
28:14plus qu'une exception,
28:15en vrai.
28:16On a un fonctionnement
28:17qui est aujourd'hui
28:18assez simple.
28:18Quand un white hat,
28:20un hacker éthique,
28:22trouve une faille,
28:24il suit un protocole
28:25de responsable
28:25d'annonce,
28:27de divulgation responsable.
28:29Il s'adresse à l'éditeur
28:30et lui dit,
28:30voilà,
28:30j'ai trouvé cette faille-là,
28:32je te laisse un peu de temps
28:33pour la corriger,
28:35permettre à tes clients
28:36eux-mêmes
28:37de télécharger le patch
28:38et puis d'être protégé.
28:39Et ensuite,
28:39moi,
28:40en tant que chercheur,
28:40j'expliquerai comment
28:41je l'ai trouvé.
28:42Au final,
28:43on va peut-être
28:44se retrouver dans une situation
28:45où au moment
28:46où l'éditeur
28:47va lui-même
28:49déclarer cette faille
28:51à ses clients,
28:51cette vulnérabilité
28:52à ses clients,
28:53peut-être qu'il ne donnera
28:54plus de détails
28:55comme il le faisait auparavant
28:56pour éviter
28:56que les cybercriminels
28:57puissent eux-mêmes
28:58faire ce travail
28:59de recherche inversée.
29:00La question,
29:01c'est combien de temps ?
29:03Pendant combien de temps
29:04est-ce que je ne dis pas
29:06ce que j'ai trouvé
29:06et pourquoi ?
29:07Ça change quand même
29:09le paradigme
29:09parce qu'on change
29:11complètement de...
29:12Je trouvais que c'était
29:13pour ça que ce sujet-là
29:13était assez intéressant.
29:15Merci à tous les deux.
29:15Pascal Lodiguel,
29:16directeur général France
29:17de WatchGuard
29:18et Benoît Grunembal,
29:19l'expert cybersécurité
29:21chez ISET France.
29:22Merci à tous les deux.
29:23Merci à tous les deux.