- il y a 14 minutes
Ce mardi 3 novembre, Frédéric Simottel a reçu Aymeric Renaud, président de Schneider Electric France, Michel Van Den Berghe, président-directeur général de Seclab, Benoît Grunemwald, expert en cybersécurité chez ESET France, et Pascal Le Digol, directeur général France de WatchGuard Technologies, dans l'émission Tech&Co Business sur BFM Business. Retrouvez l'émission le samedi et réécoutez la en podcast.
Catégorie
📺
TVTranscription
00:05BFM Business présente Tech & Co Business, le magazine de l'accélération digitale. Frédéric Simotel.
00:13Bienvenue dans Tech & Co Business sur BFM Business et puis si vous êtes en replay, bienvenue sur ce
00:18replay sur les plateformes BFM Business et puis bientôt sur YouTube Tech & Co Business. Alors
00:22aujourd'hui on va beaucoup parler cybersécurité avec nos deux premiers invités déjà, Michel
00:27Vandenberg, que vous connaissez bien, président de SecLab, mais que l'on a connu chez Campus
00:30Cyber, chez Orange Cyber Défense. Et SecLab, ce sont ses boîtiers, cette cartographie de toutes les
00:37failles d'un site de production, a signé un accord avec Schneider Electric. Et nous aurons
00:43Aymeric Renaud, le président de Schneider Electric qui va nous parler de ce partenariat très renforcé
00:50autour de la cyber dans les milieux industriels. Deuxième partie de l'émission, on enchaînera
00:54avec nos débriefeurs sur la cyber, il s'est passé beaucoup de choses, 6 milliards d'euros de
00:57cryptos qui ont disparu, le casque du siècle, on reviendra, on essaiera d'analyser tout ça.
01:02Et puis vous verrez, on va pas mal parler aussi de l'IA qui est au service des agents, au
01:06service des
01:06pirates qui montrent des armées d'agents pour attaquer plus facilement. Et puis les patchs,
01:11les patchs ont pensé que c'était la solution à tout. Eh bien non, peut-être pas, peut-être que
01:15quand on
01:15divulgue une faille, quand un éditeur divulgue une faille dans son logiciel, est-ce qu'il faut qu'il le
01:22fasse tout de suite ? Est-ce qu'il faut
01:23patcher tout de suite ? On verra tout ça avec nos débriefeurs. On est parti pendant une heure sur
01:27Tech & Co-Business. Restez avec nous sur BFM Business.
01:36Voilà, on démarre avec nos invités. On va évidemment parler d'intelligence artificielle. C'est quand même le
01:41thème récurrent, le fil rouge de toutes nos émissions. Mais là, on va en parler sous un angle aussi
01:46énergie, sous un angle industriel, sous un angle aussi cybersécurité. Car l'IA est clairement en train de
01:52tout transformer. Mais on va revenir vraiment de façon très forte sur cet élément parce que
01:58Schneider Electric a renforcé son partenariat avec SecLab. Alors SecLab, vous ne connaissez peut-être pas,
02:02c'est une de nos pépites qui était un peu enfouie. Et puis un entrepreneur que nous connaissons bien,
02:08Michel Vandenberg, l'a ressorti des lames et est en train d'en faire une belle entreprise dans la
02:13cybersécurité industrielle. On va parler de tout ça justement avec Michel Vandenberg. Bonjour Michel.
02:18Bonjour. Merci d'être avec nous, président de SecLab. Et puis Michel, que l'on a connu avant,
02:22qui avait fondé Atheos dans la cybersécurité. Et puis Orange Cyberdéfense pendant quelques années.
02:28Et puis le campus cyber. Je rappelle, tu es l'un des promoteurs autour d'experts en cyber.
02:35Et avec nous, Emeric Renaud. Bonjour Emeric. Bonjour. Merci d'être avec nous, président de Schneider
02:39Electric France. Justement, avant d'aborder, parce qu'on va voir comment l'IA, la cyber,
02:46tout ça est un peu mêlé. Nous dire un petit peu comment Schneider Electric aujourd'hui,
02:52et pourquoi c'est important d'avoir ce réflexe cyber aujourd'hui, comment Schneider Electric
02:56prend encore plus d'importance dans toute cette chaîne de valeurs industrielles, mais dans
03:01toutes ces chaînes de valeurs industrielles et IA aujourd'hui, Emeric ?
03:04Alors quand on parle de révolution numérique, notamment avec l'IA, parce qu'on en voit
03:08effectivement plein de cas d'usage, il faut voir que derrière chaque algorithme,
03:12chaque LLM, on a des infrastructures. Et donc ces infrastructures, elles ont besoin
03:16de refroidissement, elles ont besoin d'énergie, elles ont besoin de capacité de calcul.
03:21Et donc Schneider Electric intervient dans cette chaîne de valeurs pour pouvoir mettre
03:24à disposition des équipements qui permettent de faire le calcul pour faire tourner ces
03:29modèles d'IA. Et ces modèles d'IA, après, nous on les utilise dans nos offres,
03:33parce qu'aujourd'hui, effectivement, face à l'afflux de données, il faut pouvoir développer
03:37des modèles qui aident à la décision ou qui même opèrent la décision pour l'opérateur
03:42pour gagner soit en productivité, compétitivité, notamment dans le secteur industriel.
03:46Et vous avez vu monter cet aspect cyber, justement, dans l'industrie, parce que, voilà,
03:51on a parlé de la transformation numérique, alors on a parlé d'industrie 4.0, mais on
03:55avait l'impression que, voilà, la cyber, ce n'était pas forcément la priorité, c'était
03:59de sortir des datas, c'était que toutes les machines puissent communiquer entre elles.
04:03Et puis, c'est vrai que 2017, c'est le virus Notpetya, enfin, voilà, toute cette affaire
04:08qui a mis à l'arrêt des industries, enfin, des centres de production. Et là, on a senti
04:15qu'il y avait une prise de conscience. Mais vous avez vraiment vu, voilà, et là, c'est
04:17en train de s'accélérer sur ce potentiel cyber.
04:19Alors, on voit évidemment une accélération. Il suffit de regarder l'actualité pour comprendre
04:23qu'il y a un risque que les entreprises soient affectées. Maintenant, si on regarde l'histoire
04:28de chaîne électrique, nous, justement, en 2017, on a pris conscience dans notre schéma
04:32de production qu'il fallait mettre, évidemment, du Lean, de l'excellence opérationnelle
04:36si on voulait être compétitif. Et très vite est arrivé le digital, qui était finalement
04:40un nouveau levier de compétitivité avec l'automatisation. Et donc, dès lors qu'on
04:44digitalise, on a l'accès à la donnée, on a l'accès aux opérations. Et donc, ça
04:49nous a sensibilisés sur le fait de déployer à grande échelle, sur nos 200 usines
04:52à travers le monde, à la fois le digital, mais également un référentiel
04:56cyber pour pouvoir pallier, tout simplement, aux attaques potentielles
05:00et faire évoluer ce modèle au gré des ans. Donc, ce qui est important
05:03de comprendre, c'est qu'il ne faut pas opposer la performance
05:06et la cybersécurité. On doit vraiment penser, quand on va chercher
05:10l'implantation de digital, la capacité à y trouver aussi
05:13le domaine cyber, savoir défendre, justement, protéger
05:18ces usines face aux menaces extérieures.
05:19Et Michel, et on reparlera dans un instant de ce partenariat
05:23entre Seclab et Schneider, mais justement, cette prise de conscience
05:28des industriels, elle est assez récente, autour de la cyber.
05:32Oui, elle est récente. En fait, tu as trois phénomènes.
05:35Le premier phénomène, tu l'as rappelé, c'est l'hyperconnexion.
05:38Aujourd'hui, on veut tout connecter, récupérer des informations,
05:40pousser de l'information à ces environnements industriels.
05:44Le deuxième sujet, c'est un sujet aujourd'hui qui touche
05:46plutôt à la géopolitique, c'est-à-dire qu'on voit quand même
05:48que les attaques aujourd'hui sont portées sur les activités critiques
05:52aujourd'hui, donc les activités industrielles, l'eau, l'électricité,
05:56la raffinerie, etc., pour pouvoir faire du mal à un pays.
05:59Et le troisième phénomène, tu l'as cité, c'est l'intelligence artificielle
06:03aujourd'hui qui lance des agents, découvre des vulnérabilités
06:06sur tout ce qu'on a construit et montre que tout le château fort
06:09qu'on avait construit aujourd'hui est blindé de faille
06:12et qu'aujourd'hui, les pirates s'en servent pour pouvoir justement
06:14attaquer ces industries critiques.
06:15Parce que ça va être quoi le risque cyber, justement, pour un industriel
06:19comme Schneider, vis-à-vis de Schneider lui-même,
06:22mais vis-à-vis aussi de Schneider et de ses clients ?
06:24Alors, on parle beaucoup de vol de données, qui est un point connu,
06:28mais il faut voir que dans l'industrie, on peut aller aussi
06:30à l'arrêt de production. Et là, l'impact est beaucoup plus important
06:33parce que le cycle de mise à jour, par exemple, d'Automate
06:36ne se fait pas comme dans le monde du grand public,
06:38quand on est sur une ligne de production.
06:40Donc, la menace cyber, elle est multiple.
06:42Elle repose sur l'extorsion de données, mais également,
06:45comme je dis, sur l'arrêt de production, ce qui peut, derrière,
06:48avoir un impact soit sur le chiffre d'affaires, la propre livraison
06:51de ses clients dans ses intérêts vitaux, et comme disait Michel,
06:54sur des aspects très critiques qui peuvent être liés
06:56aux infrastructures énergétiques, aux infrastructures de calcul.
06:59Donc, on vient de se protéger face, finalement,
07:01à une menace qui évolue beaucoup parce que l'intégration de l'IA
07:05va démultiplier la capacité d'analyse pour trouver ses failles.
07:08Donc, il faut développer des modèles qui sont en apprentissage permanent
07:11pour pouvoir répondre, finalement, à cette menace
07:14qui, elle aussi, évolue de jour en jour.
07:15Ça veut dire qu'il y a une équipe cyber,
07:18des hackers éthiques chez Schneider aussi,
07:21qui testent sans cesse les équipements Schneider au sein de Schneider ?
07:25Alors, on travaille, évidemment, dans la sécurisation de nos usines.
07:28On apprend tous les jours, mais ça pose sur plusieurs triptiques.
07:31Il y a déjà une gouvernance en termes de sensibilisation,
07:33qu'on ait des opérateurs qui soient conscients du risque externe,
07:37et d'avoir des champions cybersécurité sur chacun de nos sites de production.
07:41Ensuite, ça passe par des partenariats,
07:43puisque derrière, il y a beaucoup de technologies
07:45qui permettent de se prémunir contre ces risques.
07:47Et on va construire plusieurs couches de protection
07:50pour pouvoir, effectivement, répondre aux menaces externes.
07:52Et ensuite, c'est une remise en cause permanente
07:55et de l'apprentissage face à un monde qui évolue
07:57et pouvoir adapter nos méthodes, tout simplement,
08:00de protection de nos infrastructures de production.
08:03Et c'est là qu'intervient donc SecLab.
08:05Alors, juste un mot, je l'ai dit très rapidement,
08:07SecLab, c'est une pépite technologique,
08:09mais un peu enfouie.
08:10C'était chez EDF, il y a encore quelques années.
08:13Tout à fait, j'ai racheté EDF, oui.
08:14Alors, concrètement, c'est un boîtier physique,
08:17il faut bien le dire,
08:18mais derrière, il faut expliquer un peu tout ce qui est.
08:20SecLab, notre promesse, elle est simple,
08:22elle est dédiée aux éléments critiques et industriels.
08:25Et en fait, on a deux technologies.
08:26Une technologie de cartographie.
08:28En fait, on vient et on fait une cartologie passive
08:30et souveraine déjà, c'est-à-dire que...
08:32On détecte tout ce qui est installé
08:34sur les réseaux de l'entreprise et de l'usine.
08:36Et on est capable de donner une cartographie précise
08:38de tout ce qui est installé
08:39et de tous les flux qui transitent.
08:41Et c'est là où on a parfois quelques surprises de découvrir.
08:43Et pas parfois, très souvent.
08:46Parce qu'effectivement, il y a la télé maintenance,
08:47parce qu'effectivement, ça s'est connecté de façon assez rapide.
08:50On s'aperçoit qu'il y a des choses
08:51qui sont directement connectées à Internet.
08:53On a eu dans l'actualité les cas des frigos dans les supermarchés.
08:56Oui, exactement.
08:56Aujourd'hui, voilà.
08:57Donc là, c'est le premier cas.
08:58Une fois qu'on a fourni cette cartographie,
08:59notre promesse, c'est de dire qu'on va construire des îlots d'invincibilité.
09:03On va vous dire qu'on ne peut pas tout protéger dans l'entreprise.
09:05On va regarder ce qui est extrêmement critique
09:07et qui doit tout le temps fonctionner
09:08et qui doit permettre à l'entreprise, à l'usine, de redémarrer.
09:11Et ça, on va les mettre dans un îlot
09:13qu'on va rendre de façon complètement invincible.
09:16Notre technologie, elle est extrêmement simple.
09:17On crée cet îlot, une petite île.
09:19Et en fait, derrière, on descend un pont-levis.
09:21Et on vient voir arriver le flux qu'il y a eu,
09:23c'est-à-dire le transporteur et son colis.
09:25On détruit le transporteur.
09:26C'est le fameux conseil de rupture protocolaire qu'on a breveté.
09:29Et on prend le colis.
09:30Une fois qu'on a vérifié que c'était le bon colis qu'on attendait,
09:33et seulement celui-là, on le met à l'intérieur
09:35et on remonte le pont-levis.
09:36Et plus personne ne peut accéder à cet îlot.
09:38C'est simple, mais en tous les cas, ça fonctionne extrêmement bien.
09:41Et c'est vraiment adapté au milieu industriel.
09:43Puisqu'une fois qu'on a installé une technologie,
09:44qu'on a défini les flux qui devaient passer,
09:47en entrant comme en sortant,
09:48on ne touche plus à rien.
09:49Et donc, on n'est pas soumis à ce qu'on voit,
09:51à devoir patcher sans arrêt les équipements de cybersécurité.
09:56Tous les dix jours, il faut intermédiaire dessus,
09:58non pas pour ajouter des règles,
10:00mais pour les protéger contre les tentatives d'intrusion.
10:02Oui, et justement, avec l'IA qui fait découvrir,
10:04on l'a vu encore avec les fuites PHP,
10:07il y a peu de temps.
10:09Ça veut dire, on ne ralentit pas les flux.
10:12Parce qu'on se dit, j'ai mon pont-levis qui doit se baisser,
10:14qui doit laisser passer le transporteur,
10:16j'analyse, j'en renvoie.
10:17Il faut bien comprendre, à la vitesse du numérique,
10:19mais on ne ralentit pas la chaîne de production.
10:22Absolument pas, on n'a aucune latence.
10:24C'est fait de façon complètement électronique.
10:25Mais si je reviens au cas du firewall,
10:27tu as des firewalls dans les usines,
10:28ils ont 4000 règles à devoir dérouler.
10:30C'est-à-dire que quand le flux arrive,
10:32on défend les 4000 règles pour dire,
10:33oui, c'est bon, il peut passer.
10:34Nous, ce n'est que des chemins électroniques.
10:36Et bon, il rentre, il a accepté,
10:38il trouve son chemin électronique
10:39et il rentre directement de l'autre côté.
10:40Donc, on n'a zéro latence.
10:42Ça veut dire, pour bien comprendre,
10:44c'est un boîtier par, mettons,
10:46une usine de production,
10:47qui a ses équipements Schneider
10:50pour fournir l'électricité,
10:51pour garantir tout ça.
10:52Ça veut dire qu'il y a un boîtier
10:53pour l'ensemble de l'usine,
10:54on le met sur différents nœuds critiques.
10:56Non, justement, comme on doit vraiment
10:59gérer l'ensemble des flux
11:00qui rentrent et qui sortent
11:01de façon extrêmement précise.
11:03Parce qu'en fait, au début,
11:03quand on installe le boîtier,
11:04on coupe tout.
11:05On dit, voilà ce qui est attendu
11:07et voilà ce qui doit sortir.
11:08Et on laisse passer
11:09que ces flux extrêmement nécessaires.
11:11Et donc, ça, il faut le paramétrer
11:13et le paramétrer de façon précise,
11:14d'où l'utilisation
11:15de notre outil de cartographie
11:16des flux en amont.
11:18Et ensuite, une fois que c'est installé,
11:20en fait, tu as un guichet
11:21qui est le guichet de la personne
11:22qui dit « je veux t'envoyer
11:23ce flux d'informations ».
11:24Tu as notre boîtier électronique
11:26avec ce cœur réseau aujourd'hui
11:27qui est complètement électronique,
11:28dans lequel il n'y a aucune ligne de code,
11:30donc inattaquable par les IA.
11:31Et de l'autre côté,
11:32tu as le guichet de la personne
11:33qui est la réceptrice
11:34et qui dit « ok, je veux bien accepter
11:36le flux qui vient de telle adresse IP
11:37et seulement celui-là ».
11:39Et une fois que c'est fait,
11:40la règle est définie,
11:42elle est codée.
11:43D'ailleurs, par exemple,
11:43si on prend l'environnement de la défense,
11:45une fois qu'ils ont paramétré
11:46notre boîtier,
11:46ils les résinent
11:47pour que plus personne
11:47ne puisse y toucher.
11:48Donc, c'est vraiment
11:49une garantie absolue.
11:50Et c'est pour ça
11:51que je parle d'îlot d'invinciabilité.
11:53Ça permet vraiment
11:54aux entreprises,
11:55et c'est ce qu'on fait
11:56par exemple avec Schneider,
11:56de dire « on est capable
11:57de rendre votre infrastructure
11:59industrielle résiliente
12:00puisque ce qui ne doit pas tomber
12:01ne tombera pas ».
12:03Et alors, si je comprends bien
12:04le fruit de ce partenariat,
12:07Aymeric Renaud,
12:07de Schneider Electric,
12:08c'est de proposer ça
12:10ensuite à vos clients,
12:11on leur dit « on arrive
12:12avec l'offre classique,
12:15enfin des différents métiers
12:17de Schneider,
12:18selon les besoins
12:18de l'usine,
12:20du site industriel,
12:20et derrière,
12:21on vous apporte
12:22ce surplus sécuritaire ».
12:24Alors, Schneider Electric,
12:25c'est le partenaire
12:26des technologies de l'énergie,
12:27donc on a effectivement
12:28plusieurs équipements,
12:29plusieurs types de logiciels,
12:30mais on a également
12:31des capacités de conseil.
12:33Et donc, notre rôle
12:34en tant qu'industriel,
12:35qui opère aussi
12:36200 usines dans le monde,
12:37c'est au travers
12:38de missions de conseil,
12:40aider nos clients
12:40à la fois à cartographier
12:42les risques
12:43auxquels ils font face
12:44dans le domaine
12:45de la cyberautie,
12:46et les aider ensuite
12:47à intégrer.
12:49C'est des équipes
12:49qu'on a d'abord constituées
12:51pour nos propres besoins,
12:52dans un premier temps,
12:53on a déployé à l'échelle
12:54le programme
12:55sur l'intégralité
12:56des usines
12:56qu'on opère dans le monde,
12:57et ensuite,
12:58on a mis à disposition
12:59ce savoir-faire
13:00pour accompagner
13:01des clients industriels
13:02dans la sécurisation
13:04de leur infrastructure.
13:05Et donc, de ce fait,
13:06nous, on arrive avec
13:08finalement un audit
13:08de maturité
13:09qui nous permet
13:10de comprendre
13:11où se situe le client
13:12d'un point de vue gouvernance
13:13qui est à la cybersécurité
13:14des outils,
13:14les solutions qui ont été
13:15mises en place.
13:16Ensuite, d'accélérer
13:17le déploiement
13:18à l'échelle de solutions
13:19sur ces sites,
13:20au travers de partenaires
13:21et de partenariats,
13:22et au travers de ces claves
13:23notamment,
13:24pour s'assurer
13:25que les infrastructures
13:26post-déploiement
13:27soient opérantes
13:28et suivies dans le temps
13:29pour se prévenir
13:29d'une menace
13:30qui, je répète,
13:30n'a de cesse d'évoluer,
13:32donc qui nécessite évidemment
13:33de monitorer les intrusions
13:35et de corriger
13:36au fil du temps
13:36ces installations.
13:37Donc notre savoir-faire,
13:38finalement,
13:38c'est la crédibilité
13:39d'un industriel
13:40qui l'a fait
13:40sur ces installations
13:41qui continuent
13:42d'apprendre tous les jours
13:43face à une menace
13:44qui évolue
13:44et de mettre
13:45cette expertise
13:46finalement à disposition
13:47d'autres industriels
13:48pour déployer
13:49des solutions
13:49à l'échelle
13:50dans un délai de temps
13:51relativement court
13:52à travers le monde.
13:53Et j'imagine
13:54que c'est ça aussi
13:55qui intéresse vos clients
13:55parce qu'on a l'impression
13:57que la cyber,
13:57Michel le disait avant,
13:59on découvre une faille,
14:01le temps qu'on mette le patch,
14:02ça pouvait prendre
14:02parfois des mois
14:03et là,
14:03vos clients aujourd'hui,
14:05parce que l'IA
14:06permet à n'importe qui
14:08un peu malin
14:09d'exploiter des failles,
14:11de le faire vite.
14:13Là,
14:14vous répondez aussi
14:15à ces clients
14:16en disant
14:16voilà,
14:16il n'y a plus
14:17à attendre de temps,
14:18on est sur la temporalité,
14:19si une faille est découverte,
14:20on peut,
14:21enfin nous en tout cas,
14:22Schneider avec CECLAB,
14:23on garantit tout de suite
14:24cette sécurité.
14:25Il y a une construction
14:26de protection
14:27avec plusieurs couches,
14:28il y a l'arrivée
14:28effectivement d'une expertise
14:29pour traiter des besoins
14:30très précis,
14:31par exemple dans des industries
14:32de process continu,
14:33on a des équipements
14:35qui tournent
14:35sur des environnements
14:36très critiques,
14:37sécuriser la communication
14:38entre des équipements,
14:39c'est clé
14:39si on veut garantir
14:40la production d'un site.
14:42Donc nous,
14:42on va intervenir
14:43avec notre expertise
14:44finalement d'industriel
14:45pour dire
14:45voilà les processus critiques,
14:47on va les travailler
14:48évidemment avec le métier
14:49et au travers de solutions
14:50qui permettent
14:51de sécuriser
14:52le bon fonctionnement.
14:53Derrière,
14:54effectivement,
14:54ce qu'il faut bien comprendre
14:55c'est que
14:55ces éléments
14:57vivent dans le temps,
14:58donc il nécessite
14:59d'avoir aussi
14:59des équipes
15:00qui sont formées
15:01et d'avoir
15:02ce qu'on appelle
15:02les champions cyber
15:03sur nos sites,
15:04des personnes
15:04qui vont comprendre
15:05finalement la menace,
15:06avoir les bons réflexes,
15:07de réponses
15:08en cas d'attaque
15:09et s'assurer ensuite
15:10de la continuité
15:11de production des sites.
15:13Parce que Michel,
15:13c'est souvent ce qui manque,
15:14c'est cette expertise,
15:16on ne sait pas trop
15:17comment réagir,
15:17encore plus
15:18dans le monde industriel
15:19où on disait,
15:20même si ça a quand même
15:21quelques années,
15:22c'est un peu plus récent
15:22tous ces phénomènes
15:23de cyberattaque.
15:24Oui, bien sûr,
15:25et puis même
15:25il y a une grande différence.
15:26Dans le monde IT,
15:27il y a un seul
15:28protocole réseau,
15:29c'était CPIP.
15:29Dans le monde industriel,
15:30les industriels ont développé
15:32leurs propres
15:32protocoles réseaux
15:33et en fait,
15:34c'est un co-développement
15:34qu'on a fait avec les équipes
15:35de chez Néritic,
15:36c'est-à-dire qu'ils ont
15:37des protocoles industriels
15:38dédiés qui leur permettent
15:39justement de maintenir
15:40et puis de pouvoir
15:42contrôler les communications
15:43entre leurs systèmes critiques.
15:45Et en fait,
15:45nous,
15:46on a repris ce protocole réseau,
15:48on l'a analysé,
15:49ce qui nous permet
15:50d'aller jusqu'à des traitements
15:51de commandes.
15:51Si je reprends l'exemple
15:52des frigos par exemple,
15:53on est capable
15:53avec notre boîtier
15:54de dire,
15:55jamais par le réseau,
15:56par Internet,
15:57tu ne peux pas dépasser
15:58une commande
15:59de plus de zéro degré.
16:00Les frigos,
16:00je rappelle,
16:01pour ceux qui ont,
16:01enfin si vous avez peut-être
16:02montré ça dans l'actualité,
16:04mais ce sont des frigos
16:04dans des supermarchés
16:05qui ont été piratés
16:06et donc il a fallu,
16:07on a augmenté la température
16:09et donc il a fallu
16:11jeter toute la marchandise
16:12et pour plusieurs centaines
16:13de milliers d'euros
16:14de dégâts
16:15et ça,
16:15c'était via
16:17un télémateneur,
16:17c'était le site d'un...
16:19C'était tout simplement
16:20que ces réseaux de frigos
16:21étaient directement connectés
16:23à Internet,
16:23donc on pouvait y accéder
16:24sans même s'identifier.
16:26Donc c'était quand même
16:28et d'ailleurs,
16:29l'attaque n'a toujours
16:30pas été revendiquée.
16:31Ça prend bien
16:32quand je parlais aujourd'hui
16:33d'États qui commencent
16:34à attaquer aujourd'hui
16:35les industries,
16:37là, ça crée quand même
16:37un peu de déstabilisation
16:39en disant,
16:39les gens sont capables
16:40à tout moment
16:41d'arrêter l'industrie alimentaire
16:43par exemple.
16:44Il faut se convaincre,
16:47Emmerick Renaud,
16:50où Schneider est devenue
16:52une entreprise aussi logicielle,
16:54vous avez fait des euros rachats
16:56encore très récemment
16:57dans ce domaine,
16:58que la partie mécanique,
17:00la partie physique encore
17:01est encore importante
17:02dans la cyber
17:02parce qu'on a toujours
17:03l'impression que
17:05toutes ces fonctions cyber,
17:07on ne les résolvera
17:08que par la partie logicielle.
17:10Oui, effectivement,
17:10et c'est tout le domaine
17:11de la cyberautie,
17:12c'est-à-dire qu'à un moment,
17:13quand on prend une décision
17:14dans un logiciel,
17:15derrière,
17:16il va falloir,
17:17le vrai, par exemple,
17:17ouvrir une vanne,
17:19ce n'est pas le logiciel
17:20qui veut le faire,
17:20derrière,
17:21il y a un automate,
17:22il y a un actionneur,
17:22et donc c'est bien
17:23cette chaîne de commandement
17:24qu'il faut cybersécuriser
17:25de façon très verticale.
17:27Donc,
17:27dans le domaine IT,
17:28ça a été fait depuis
17:29plusieurs années,
17:30et il y a une vraie maturité.
17:31Dans le domaine OT,
17:32celui des opérations,
17:34il y a encore,
17:34effectivement,
17:35une montée en maturité
17:36nécessaire,
17:37et donc cybersécuriser
17:38ces installations,
17:39c'est finalement répondre
17:40à une menace nouvelle
17:41et s'assurer
17:42qu'on ait une chaîne
17:43de commandement
17:43qui part des opérations
17:44au plus proche
17:45des équipements techniques
17:46sur site,
17:47et ensuite,
17:47le manœuvrer
17:48au travers du logiciel.
17:49Tout à l'heure,
17:50Michel a cité
17:51ce terme de souveraineté,
17:52alors c'est que là,
17:54enfin français,
17:55aujourd'hui,
17:56européen,
17:57pour vous,
17:58c'est important aussi,
18:00Emmerich,
18:01chez Chine Directrique,
18:02d'avoir ce,
18:03ben voilà,
18:04de jouer
18:04le drapeau européen,
18:06le drapeau français.
18:07On parle beaucoup
18:07de souveraineté,
18:09la souveraineté,
18:09c'est la capacité
18:10d'analyser une situation,
18:12de définir une solution,
18:13et puis de l'opérer
18:14de façon libre.
18:15Donc,
18:15quand on est sur
18:16des éléments critiques,
18:17c'est d'avoir ces choix-là
18:19et de pouvoir les opérer
18:20dans le temps,
18:21donc de travailler
18:21aujourd'hui avec SecLab,
18:23évidemment,
18:24une entreprise française
18:25qui s'est hautement
18:26internationalisée,
18:27elle ne va pas vivre
18:27en autarcie,
18:28on va travailler
18:29avec des écosystèmes.
18:30Par contre,
18:30dès lors qu'on a
18:31un partenariat technologique
18:33de référence
18:34qui nous permet
18:34d'œuvrer
18:35et de sécuriser,
18:36c'est un facteur
18:37de résilience,
18:38parce que derrière,
18:38dans ce choix
18:39qu'on opère ensemble,
18:40on va pouvoir
18:41cybersécuriser
18:42certains sites
18:42industriels critiques.
18:44C'est un choix important,
18:45j'imagine,
18:46pour les industriels
18:47aujourd'hui,
18:47avec ce terme souveraineté.
18:48Alors,
18:48il y a beaucoup de choses
18:49qu'on met derrière
18:49ce terme souveraineté,
18:51mais quand même
18:51la dépendance technologique,
18:53l'autonomie
18:54que l'on peut avoir
18:55vers cette souveraineté,
18:56c'est un élément
18:56sur lequel joue SecLab,
18:57j'imagine.
18:58Absolument.
18:59On voit qu'il y a
18:59beaucoup de clients
18:59aujourd'hui
19:00qui font confiance
19:00à la technologie
19:01de cartographie,
19:02parce que justement,
19:03les données restent
19:04chez eux
19:04ou chez nous.
19:06Elles ne vont pas,
19:06à un moment,
19:06être stockées
19:07dans un cloud
19:08aux États-Unis,
19:09etc.
19:10Avoir toutes ces données
19:11de cartographie
19:12qui soient stockées
19:12dans un cloud américain.
19:14Moi,
19:14je veux bien,
19:14mais ce n'est pas
19:15tout à fait sécurisé.
19:17On va dire ça comme ça.
19:18Puis,
19:18le deuxième sujet aussi
19:19dont on peut parler,
19:21c'est que la grande différence
19:22entre l'IT et l'OT,
19:23c'est que dans le monde industriel,
19:25quand on installe un serveur
19:27dans le monde IT,
19:27c'est pour deux ou trois ans.
19:29Dans l'industrie,
19:30on se retrouve
19:31avec des serveurs
19:31qui sont installés
19:32depuis 10, 15 ans.
19:33Et à qui on dit,
19:34ah là là,
19:34attention,
19:35il y a une nouvelle faille PHP,
19:36il y a une nouvelle faille
19:36qui a été découverte
19:37par l'intelligence artificielle,
19:38etc.
19:39Il faut patcher.
19:40Et le gars te dit,
19:40mais je ne peux plus patcher.
19:41Si j'y touche,
19:43il ne fonctionne plus.
19:44On se souvient de notre PTIA,
19:46c'était ça en 2017.
19:46Exactement.
19:47Donc nous,
19:47on dit,
19:48ces serveurs-là,
19:49isolez-les avec notre technologie
19:51parce que de toute façon,
19:52on ne pourrait plus y toucher.
19:53Vous êtes garantis
19:53que les seuls contacts
19:55qu'il auraient avec l'extérieur
19:56sont les contacts
19:57que vous avez choisis vous
19:58et pas quelqu'un
19:59qui va essayer justement
20:00de le cryptoloquer
20:02ou de le mettre à jour
20:03de façon inopinée.
20:04Aujourd'hui,
20:05en termes de déploiement,
20:06ça y est,
20:06on y est,
20:08donc en termes de déploiement,
20:09le niveau de maturité
20:10effectivement des industriels,
20:12il est présent,
20:13surtout les grandes multinationales.
20:14Après,
20:15derrière,
20:15on est ravi de ce partenariat
20:16sur la dimension technologique
20:18parce que oui,
20:18il est en place,
20:19il est opérant
20:20et maintenant,
20:20il faut passer à l'échelle
20:21dans le cadre de déploiement.
20:23Voilà,
20:23dans cette partie échelle,
20:27comment on facture justement
20:28un boîtier ?
20:29On achète le boîtier
20:30et puis les outils de cartographie,
20:32juste pour comprendre ?
20:33Oui,
20:34c'est ça.
20:34Alors,
20:34l'outil de cartographie,
20:35on fait ce qu'on appelle
20:36beaucoup dans le logiciel
20:37ce qu'on appelle de la location,
20:38de l'ARR,
20:39voilà.
20:39Dans le monde matériel,
20:41on vend le boîtier
20:42et ensuite,
20:43on prend une maintenance
20:44pour pouvoir le garantir
20:45et le faire se remplacer
20:46sous 4 heures,
20:47sous 24 heures
20:47en fonction des contrats
20:48qui sont passés.
20:49Et dernière question,
20:49Michel,
20:50il y a un indicateur
20:51pour dire,
20:51tiens,
20:51là,
20:52on a été hyper efficace.
20:54Comment on sait justement
20:55que le boîtier a bien joué
20:56son rôle de pont de vie ?
20:57Je ne peux pas citer de nom,
20:58mais par exemple,
20:58il y a des grandes entités étatiques
21:00qui ont été touchées aujourd'hui
21:02par des attaques
21:02il y a peu de temps.
21:03Nous,
21:04on protégeait des parties
21:05extrêmement sensibles.
21:06Je peux te garantir
21:07que rien n'est passé.
21:08Rien n'est pas passé.
21:08Ils n'ont absolument pas été touchés.
21:09Et que nous,
21:10on sécurise des gens
21:11comme EDF,
21:12on l'a cité,
21:13la SNCF,
21:14des gens de la Défense,
21:15etc.
21:16Tout ce qui est derrière
21:17nos boîtiers,
21:18vraiment,
21:18en général,
21:19c'est intouchable.
21:20Bien voilà,
21:20merci à tous les deux
21:21d'être venus nous parler
21:22de tout cela.
21:23Émeric Renaud,
21:24président de Schneider Electric France,
21:26avec ce partenariat
21:28avec Seclab,
21:29dont Michel Vandenberg
21:30est le président.
21:31Merci tous les deux
21:32d'avoir fait l'amitié
21:33d'être sur ce plateau.
21:34On marque une courte pause
21:35et on va revenir
21:36sur la cybersécurité
21:37avec notre débrief cyber.
21:39Il y a pas mal d'actu
21:39aussi dans le domaine.
21:40Il y a ses frigos,
21:41ses fuites PHP,
21:42il y a beaucoup de choses.
21:43On va aussi parler
21:44de ce casse-du-siècle
21:45en crypto.
21:46Là,
21:46on est dans un autre domaine,
21:47mais 6 milliards quand même
21:48qui ont disparu
21:49et encore une faille cyber.
21:51Allez,
21:51c'est tout de suite
21:51sur BFM Business.
21:58BFM Business présente
21:59Tech & Co. Business,
22:00le magazine
22:01de l'accélération digitale.
22:04Frédéric Simotel.
22:05Voilà,
22:06je vous l'ai promis,
22:06on va continuer
22:07à parler cybersécurité
22:08avec nos invités,
22:09débriefer une activité
22:10toujours très riche
22:11en cyber
22:12avec Pascal Ledigold.
22:13Bonjour Pascal.
22:14Merci d'être avec nous,
22:15directeur général
22:16franche de WatchGuard.
22:17Et Benoît Grunemval,
22:19bonjour Benoît.
22:19Bonjour Frédéric.
22:20Expert en cybersécurité
22:21chez ISET France.
22:23Il y a beaucoup de sujets,
22:24je voulais juste
22:24qu'on commence par
22:25le premier d'entre eux
22:26qui a fait couler
22:27beaucoup d'or.
22:28c'est de la cyber
22:29mais dans un domaine particulier
22:30puisque c'est la cyber
22:32en termes de,
22:32dans le monde des cryptos,
22:34c'est 6 milliards,
22:35c'est le cas du siècle,
22:366 milliards d'euros
22:37qui ont disparu,
22:38enfin qui ont disparu
22:38pas pour tout le monde,
22:40en volée en tout cas,
22:42chez Binance
22:43qui est un de ses,
22:45de ses coffres forts
22:46à priori pour la crypto.
22:49Alors le FBI
22:50soupçonne la Corée du Nord
22:51parce que...
22:52C'est attribué directement,
22:53ça y est, c'est fait.
22:54Ça y est, c'est fait.
22:55Alors qu'est-ce qui s'est passé
22:55exactement Benoît ?
22:57Malheureusement,
22:58c'est assez simple,
22:59c'est parti d'un poste
23:00d'un développeur,
23:02celui-ci,
23:02on ne sait pas encore
23:03exactement comment...
23:03Donc d'un poste
23:04d'un ordinateur.
23:05Un ordinateur d'un développeur
23:07qui a priori
23:08a été donc pris d'assaut,
23:10compromis,
23:11et à partir de là,
23:12les cybercriminels
23:13ont réussi à escalader
23:14leurs privilèges
23:15sur des environnements
23:16de production.
23:17Et ces environnements
23:18de production...
23:18Donc c'est-à-dire qu'il s'est fait
23:18avoir par un lien de phishing
23:20ou un truc comme...
23:21On ne sait pas trop.
23:22On ne sait pas trop,
23:23mais nous,
23:24on vient de sortir un rapport
23:25sur les menaces
23:26notamment liées aux APT,
23:29donc les groupes alignés
23:30avec les intérêts des États
23:30et en particulier
23:31sur les menaces nord-coréennes.
23:33On voit qu'elles ciblent
23:34toujours les actifs
23:35liés aux cryptos
23:36et pas uniquement
23:37les plateformes,
23:37mais bien les développeurs
23:38et ou les personnes
23:39intéressantes.
23:40Et on les a vues,
23:41et vous vous souvenez,
23:42de Deceptive Development
23:44où en fait,
23:44on avait des campagnes
23:46qui allaient via
23:47de recrutement,
23:48qui allaient notamment
23:49via les réseaux sociaux
23:50professionnels,
23:50chercher les personnes
23:51intéressantes
23:52et leur envoyer
23:54des éléments
23:54pour prendre le contrôle
23:55de la machine.
23:56Voir à la limite
23:56un truc de James Bond.
23:58On le repère,
23:59on le suit,
23:59on rentre dans sa chambre
24:00d'hôtel un soir,
24:01on voit que son ordinateur
24:03n'est pas couplé.
24:04Ça peut aller jusque-là.
24:05Ça peut aller jusque-là,
24:05mais malheureusement,
24:07bien souvent,
24:07c'est plus facile.
24:08Il suffit de l'arponner
24:09sur LinkedIn,
24:10de faire une discussion
24:11avec lui,
24:11de voir sur quoi il travaille
24:12et lui dire
24:13j'ai le job parfait pour toi
24:15parce que ça correspond
24:16à ce que tu fais,
24:16je vais te payer mieux
24:17et soi-disant,
24:18je suis méta.
24:19Et donc là,
24:19ils sont rentrés
24:20dans l'ordinateur,
24:21ils sont escaladés,
24:22ils sont allés
24:23sur des systèmes
24:24qui permettent
24:25de réaliser des transactions
24:26et c'est là
24:27où finalement,
24:28c'est assez intéressant,
24:28c'est que la blockchain
24:30en elle-même
24:30n'est pas du tout touchée.
24:32Il n'y a pas de faiblesse
24:33dans la blockchain.
24:34Il y a une faiblesse
24:35dans ceux
24:36qui sont capables
24:37de passer des ordres
24:39et dans ce cas-là,
24:40les ordres ont été
24:41minutieusement préparés
24:42pour pouvoir être passés
24:44en moins de 20 minutes
24:45et ensuite...
24:46La blockchain n'a pas
24:47été corrompue,
24:48c'est vraiment
24:49cette partie-là.
24:49Pascal ?
24:50C'est ce qui est impressionnant,
24:51c'est qu'ils ont signé
24:52avec des vraies signatures
24:54pour avoir les droits
24:56de vider
24:58les portefeuilles concernés.
25:01Et après,
25:02pour bien comprendre
25:03ce système-là,
25:04ça veut dire
25:05que cet argent-là,
25:05il est porté sur des comptes
25:07et puis il part au bon
25:07et puis c'est impossible
25:08de remonter.
25:09Alors,
25:10il y a tout un tas
25:11d'adresses
25:12que le FBI a récupérées.
25:14Ils essayent de suivre
25:15le flux
25:15parce qu'effectivement,
25:17là,
25:18ça va prendre
25:18des flux de blanchiment
25:19connus.
25:20Ils vont changer
25:20de crypto-monnaie,
25:22etc.
25:23Il n'empêche
25:24qu'il y a quand même
25:24les adresses
25:25qu'on peut suivre
25:25voir ce qui a été opéré.
25:27Donc,
25:27je pense quand même
25:29que le FBI
25:31est là ce qu'il faut pour.
25:33Après,
25:33le problème,
25:34c'est que
25:35c'est l'heure pour rien.
25:37Ils ne vont pas
25:37falloir se déplacer
25:38si on veut le récupérer.
25:39Ils ne vont pas
25:39en problème.
25:40Qu'est-ce qu'il faut
25:41retenir
25:41d'un tel piratage,
25:44Benoît et Pascal ?
25:45La sécurisation
25:46du maillon faible
25:46parce que là,
25:47c'est exactement
25:47ce qui s'est passé.
25:48On le répète,
25:50ce n'est pas le bitcoin
25:50qui a été corrompu.
25:52Du tout,
25:52ce n'est pas structurel.
25:54C'est rentré
25:54par le poste
25:57d'un ingénieur
25:57qui était...
25:58Alors,
25:58on n'a pas les détails.
25:59Comment il était sécurisé ?
26:00Est-ce qu'il avait
26:00les MFA qui vont bien ?
26:02Enfin,
26:02c'est des discussions
26:03qu'on a eues
26:04un millier de fois ici.
26:05Donc,
26:06il faut que ces postes-là
26:08soient sécurisés
26:09comme il faut.
26:10Peut-être qu'il était,
26:11peut-être qu'il s'est rentré
26:12avec des choses...
26:14Peut-être que tu en sais plus,
26:15Benoît,
26:16mais je n'ai pas vu
26:16de détails
26:17sur comment il s'est rentré.
26:18Est-ce que c'est du phishing ?
26:19Est-ce que c'est de l'ingénierie sociale ?
26:20Est-ce que c'est quelque chose
26:22de plus poussé ?
26:23Malheureusement,
26:24d'expérience,
26:24on sait que c'est des choses classiques.
26:25Mais en tout cas,
26:25le point très,
26:26c'était ce poste-là.
26:27Oui.
26:29Déjà,
26:30concernant les fonds,
26:30on a vu qu'il y a à peu près
26:31la moitié qui a été gelée
26:32et notamment
26:33ceux qui sont en stablecoin.
26:35Stablecoin parce que...
26:36Ils ont quand même réussi,
26:37enfin,
26:38le FVI a réussi à un moment
26:39à stopper le...
26:40Alors,
26:40l'écosystème crypto,
26:42c'est vraiment,
26:43dès qu'il y a eu l'annonce,
26:44on a vu une très grande réactivité
26:46de l'écosystème crypto.
26:47Ce qu'il faut voir,
26:48c'est que quand on est
26:49sur la blockchain,
26:50ce qui a été réalisé en transaction,
26:53c'est réalisé.
26:53C'est le principe de la blockchain.
26:55Par contre,
26:55il y a des modifications
26:56qui ont été faites
26:57sur des stablecoins
26:58et là,
26:59les stablecoins,
27:00c'est des sociétés
27:01qui les détiennent.
27:02D'accord.
27:03Ces avoirs-là
27:04ont été gelés.
27:05J'imagine que dans leur attaque
27:07qui est finement préparée,
27:09ils avaient prévu
27:09cette perte.
27:11Oui,
27:11parce que je crois
27:12que c'est 3 milliards
27:12qui ont été...
27:13Voilà,
27:13à peu près la moitié
27:14qui a été gelée
27:15et puis ensuite,
27:16effectivement,
27:17maintenant,
27:17il y a des opérations
27:18de blanchiment
27:19qui sont en cours
27:20où il y a à la fois
27:21des techniques
27:23et puis aussi
27:24des opérateurs.
27:25Certains ont été démantelés
27:25par la justice
27:26mais des opérateurs
27:27qu'on va appeler
27:27un peu bulletproof
27:28comme les data centers
27:29qui ne donnent pas
27:30ou les VPN
27:31qui ne donnent pas
27:32les coordonnées,
27:33l'identité de leurs clients
27:34et donc,
27:34on utilise
27:35ces machines à blanchir
27:38comme pour le cash,
27:39pour la crypto.
27:40Mais comme le disait Pascal,
27:41s'il faut aller en Corée du Nord,
27:43dérouler,
27:44c'est la fin de la pelote
27:45en Corée du Nord,
27:46bon là,
27:46il y a grande chance
27:47que justement,
27:48ça soit stoppé
27:49à cette frontière.
27:51Je voulais revenir
27:51sur un autre sujet aussi
27:52autour des partis politiques.
27:54Évidemment,
27:55on est en pleine,
27:55je pense que ça ne vous a pas échappé,
27:57que la campagne présidentielle,
27:59on en est à 5-6 mois
28:01mais ça bat son plein
28:04et il y aura législative derrière
28:06et beaucoup de choses.
28:07Et on voit,
28:08il y a eu plusieurs compromissions
28:09sur les partis politiques.
28:10Alors,
28:10on a eu des histoires
28:11d'ingérence aussi,
28:14il y avait Édouard Philippe,
28:15ils ont été plusieurs,
28:17qu'on a attribués peut-être
28:18à des puissances étrangères.
28:19Et là,
28:19qu'est-ce qui s'est passé,
28:20Benoît ?
28:21Alors moi,
28:22je distinguerais deux choses.
28:23La première,
28:23c'est la revendication
28:24des fuites
28:25et les fuites
28:26réellement confirmées
28:28par les partis.
28:29À ce jour,
28:30il n'y a que le PCF
28:31qui a confirmé la fuite.
28:32Les deux autres
28:33sont des fuites
28:34qui sont revendiquées
28:35par les cybercriminels
28:36mais qui n'ont pas...
28:37Donc c'était LFI ?
28:38C'était LFI
28:40et c'était aussi Renaissance.
28:42Renaissance, d'accord.
28:43Voilà.
28:44on serait sur 4,15 millions
28:47revendiqués par Chimera Z
28:48et sur LFI,
28:49on est sur 1,7 million
28:51d'entrées dans les bases.
28:52Donc ça représente quand même
28:53des volumes très importants.
28:55Pour autant,
28:56les deux parties
28:57n'ont pas confirmé,
28:58ont affirmé
28:59ne pas avoir eu, eux,
29:00de fuite.
29:01Ils n'ont pas constaté de fuite.
29:02Donc on est effectivement
29:03dans un jeu
29:04que l'on avait déjà vu d'ailleurs
29:06pour certains grands industriels français,
29:08notamment dans l'armement,
29:09où des fuites de données
29:11avaient popé sur le dark web
29:13mais après étude,
29:14ces grands groupes
29:15avaient nié l'existence de fuites.
29:17Parce que quand on s'en rend compte,
29:21c'est ça,
29:21c'est que sur le dark web,
29:23tout d'un coup,
29:23on a un ensemble,
29:24on a des fichiers
29:25et puis on se rend compte
29:26que voilà,
29:26c'est tous les adhérents,
29:27là en l'occurrence au PCF
29:28ou à LFI
29:29ou à Renaissance,
29:30on se dit,
29:30ah tiens,
29:30il y a peut-être eu
29:32une compromission dans tout ça.
29:33C'est ça
29:33et c'est ce que revendiquent
29:34les cybercriminels
29:35et c'est ce que nient
29:37les différents partis.
29:39Alors derrière,
29:39Pascal,
29:40qu'est-ce qu'on peut,
29:41je ne sais pas si il y a quelque chose
29:42à rajouter par rapport
29:42parce qu'on dit,
29:43mais qu'est-ce qu'on peut faire
29:44en suite de ces datas ?
29:45Ça va être du phishing,
29:47enfin c'est tout.
29:47Alors,
29:48deux choses.
29:49Qu'est-ce que peuvent faire
29:50les pirates de ces données ?
29:51Alors,
29:53l'enjeu,
29:53il est colossal
29:54parce qu'on a les présidentielles,
29:55donc savoir qui vote,
29:57pour qui,
29:58les adhérents,
29:59etc.
29:59Enfin,
30:00on a déjà vu
30:01de l'ingérence étatique
30:03à ce sujet-là.
30:05arriver à influencer
30:06une présidentielle
30:07en France,
30:08c'est colossal.
30:08L'enjeu,
30:09il ne se débat même pas en fait.
30:12Et donc,
30:13il faut se rendre compte
30:13qu'on a un écart colossal
30:15entre la valeur
30:17de la donnée
30:17de ces partis-là
30:18et la manière
30:19dont ils la sécurisent,
30:20qui est en mode
30:23PME.
30:25En vrai,
30:25c'est un peu...
30:25Un petit mot de passe
30:26sur mon tableau Excel.
30:28Pas forcément,
30:29mais c'est des gens
30:30qui se battent
30:32pour qu'il y ait plus...
30:33D'ailleurs,
30:33c'est le cas du PCF
30:34qui s'est battu
30:35pour ce qui est plus
30:37de budgets,
30:38de cybersécurité
30:38dans les budgets IT
30:40de l'État,
30:40etc.
30:41Et qui se fait lui-même avoir.
30:43Donc,
30:43c'est le coordonnier.
30:45Mais il faut bien voir
30:46que la manière
30:46dont ils se sécurisent
30:47aujourd'hui,
30:47ce sont des PME.
30:48C'est un système
30:49un peu associatif.
30:51Alors oui,
30:52il y a du firewall,
30:53il y a des...
30:53C'est vrai que c'est
30:54qu'on le sait quand même.
30:56Mais ils n'ont aucune...
30:57Ils n'ont quand même
30:58aucune obligation.
30:59Je veux dire,
30:59il n'y a pas de Nice 2,
31:01il n'y a rien qui pèse
31:02sur ces partis politiques
31:03aujourd'hui
31:03pour les obliger
31:04à se sécuriser
31:05et puis d'avoir
31:05les budgets
31:06qui vont avec.
31:07Et on retrouve
31:09le même écart
31:10que ce qu'on trouve
31:11dans l'industrie.
31:13C'est-à-dire que
31:14mettre plus de budget
31:15en cyber,
31:16c'est en mettre moins
31:17ailleurs dans la production.
31:18Et eux,
31:19c'est pareil.
31:19S'ils mettent du budget
31:20en cyber,
31:21ils en mettent aussi
31:22un peu moins dans la campagne.
31:23Donc,
31:23ce n'est pas leur priorité.
31:25Alors,
31:25on rappelle
31:26que parmi les trois
31:28particités,
31:29il n'y a que le PCF
31:29qui a confirmé,
31:30les autres n'ont pas...
31:32Enfin,
31:33ils contestent
31:34toute intrusion.
31:35Mais bon,
31:35on voit bien
31:36ces 4 millions
31:36d'enregistrements
31:37attribués à Renaissance,
31:381,2 millions
31:39chez LFI,
31:40en plus avec des données GPS.
31:42Tout ça
31:43est assez important.
31:44Ton regard aussi ?
31:46Moi,
31:46j'ai un regard
31:47plutôt technique
31:48et exploitation.
31:49Quand on voit
31:50toutes les fuites
31:51que l'on subit
31:52ces derniers temps,
31:53on rajoute là
31:53des données
31:54à caractère politique,
31:55on va rajouter
31:56effectivement
31:56des données GPS.
31:58Est-ce que c'est
31:59les plus intéressants ?
32:00Je ne sais pas.
32:00Quand on a déjà
32:01l'État civil,
32:02notamment avec l'adresse.
32:03Et finalement,
32:04on se rend compte
32:04qu'on a encore
32:05une source
32:06qui va nous permettre
32:07de qualifier
32:09telle ou telle personne.
32:10On avait avant
32:11potentiellement
32:12son revenu
32:12avec la fuite des impôts,
32:13s'il était à la Fédération
32:15française de rugby
32:15et ou de tir.
32:17Maintenant,
32:17on va potentiellement
32:18savoir
32:19quelle est son orientation
32:20politique.
32:21Oui,
32:21c'est ça qui est dangereux,
32:22Pascal et Benoît,
32:23c'est qu'aujourd'hui,
32:24avant,
32:25c'était un peu en silo,
32:26tout ça.
32:27On se faisait voler,
32:28enfin,
32:28un opérateur
32:29pouvait se faire voler
32:29ses données.
32:30Bon,
32:31on n'espérait pas.
32:32Mais là,
32:32aujourd'hui,
32:32on peut faire
32:33ces recoupements
32:33et c'est ça qui est le...
32:35Avec de l'IA,
32:36on peut faire
32:36un profiling complet,
32:38créer des emails
32:40de phishing
32:41hyper réalistes,
32:42hyper personnalisés,
32:44dont le taux de clic
32:45va augmenter
32:47considérablement
32:47parce qu'on sait
32:47très exactement
32:48ce par quoi
32:49la personne est intéressée.
32:50donc arriver
32:52à pirater
32:53ces gens-là
32:54avec ce genre
32:54d'informations
32:56qu'on détient,
32:56ça devient presque facile
32:58pour un...
32:59Ça veut dire
33:00qu'il faut encore...
33:01J'ai vu d'ailleurs
33:02qu'il y a un spot
33:02qui passe en ce moment
33:03en télévision
33:04sur Cyber Malveillance
33:05qui rappelle justement
33:07quand on a un doute,
33:08voilà,
33:09on ne touche pas.
33:10Exactement.
33:10Et il y a un autre élément,
33:12c'est que...
33:12Quand on soit un mail
33:12un peu étrange,
33:13qu'on soit LFI,
33:14Renaissance ou...
33:15Le premier réflexe,
33:16de toute façon,
33:16c'est tout ce qui vient...
33:18Et alors,
33:18e-mail,
33:19SMS,
33:20appels vocaux
33:21avec ou une personne
33:22ou avec l'IA.
33:23Et puis,
33:23on l'a vu dans le cadre
33:25de la Fédération française
33:26de tir,
33:26mais certainement d'autres,
33:28l'intrusion dans le réel.
33:30La présentation
33:31de faux gendarmes,
33:32de faux se forts de l'ordre
33:34directement au domicile.
33:35Donc, finalement,
33:36la question,
33:37c'est tout ce qui vient
33:38de l'extérieur,
33:39je le considère
33:40avec un niveau de suspicion
33:41très élevé.
33:43Et alors,
33:43je ne sais pas
33:44si ces parties
33:44ont des applications,
33:45mais moi,
33:45ma recommandation,
33:46c'est si vous recevez
33:47un e-mail
33:47soi-disant de livraison.
33:49Soit vous avez passé commande
33:50et dans ce cas-là,
33:51vous allez quand même vérifier
33:51dans l'application
33:52type La Poste
33:53ou le fournisseur.
33:55Soit vous allez directement
33:56dans le site
33:59qu'on fournit.
33:59Et puis,
34:00ça évite
34:00de croire au mail.
34:02Malheureusement,
34:02dans ce milieu-là,
34:04c'est beaucoup par mail,
34:05c'est beaucoup par téléphone.
34:06Donc,
34:07arriver à faire
34:08la part des choses,
34:08ça va être extrêmement compliqué.
34:09Ce qui est dingue,
34:10c'est que tu disais,
34:12en clair,
34:13c'est un peu
34:14le style PME,
34:15mais on se dit
34:16que Nice 2,
34:16ça va concerner
34:1815 000 entreprises.
34:19On se dit
34:19qu'à partir du moment
34:20où des entreprises
34:21ont des coordonnées
34:23personnelles,
34:23sans aller jusqu'à Nice 2,
34:25mais ils devraient quand même
34:25avoir des contraintes.
34:26Ça n'empêche
34:27qu'ils tombent
34:27sous le coup
34:28de la RGPD
34:29avec l'article 32
34:30qui sont censés
34:31sécuriser leurs données.
34:32Mais après,
34:33il n'y a pas d'audit,
34:34il n'y a rien du tout
34:34qui va aller vérifier ça
34:36chez eux.
34:37Et puis on peut imaginer,
34:39en plus,
34:39dans le contexte politique
34:40actuel,
34:41si on tombe dessus,
34:42si on a une ANSI
34:43qui leur tombe dessus,
34:44on va dire que...
34:45Accepter que l'État
34:45fasse un audit
34:46sur un parti,
34:48c'est tout de suite compliqué.
34:50On se doute,
34:51en tout cas,
34:53un rappel
34:53pour toutes les PME
34:54quand vous avez
34:54des fichiers
34:55de données clients,
34:56de données fournisseurs,
34:57il faut toujours
34:58davantage sécuriser tout ça.
35:00Autre sujet,
35:02on en parle
35:02de plus en plus,
35:03c'est ces agents
35:03et autonomes
35:04qui sont utilisés
35:05pour pirater
35:06les entreprises,
35:07Pascal ?
35:08C'est mon sujet préféré,
35:10mais également
35:11ma crainte la plus forte.
35:14Ma prédiction,
35:15c'est que ça va nous
35:16tomber dessus
35:17sur les PME françaises
35:18avant la fin de l'année.
35:19Donc ça commence
35:20à nous frôler
35:21un peu les oreilles.
35:21Parce que là,
35:22c'est 100 sites d'entreprises
35:23qui ont été piratées.
35:24C'est pas en France,
35:24c'est des sites américains,
35:25canadiens,
35:26japonais,
35:26donc ça ne nous tombe
35:27pas encore dessus.
35:28Mais les balles,
35:30il faut commencer
35:31à les éviter.
35:32Alors très concrètement,
35:32ça se passe comment ?
35:34C'est un pirate
35:35qui va préparer
35:37son infrastructure
35:37avec des agents IA.
35:39On l'avait déjà vu
35:40cet été
35:41avec certaines attaques
35:43où l'agent IA,
35:45en fait,
35:45il est autonome,
35:46il va dérouler
35:47son attaque
35:48de A à Z
35:49et il ne va certainement
35:50pas s'arrêter.
35:51C'est-à-dire qu'avant,
35:52le pirate,
35:53il dit,
35:53tiens,
35:53je vais faire un faux email
35:54et puis je vais l'envoyer
35:55à toutes les adresses
35:55que je peux.
35:56Là,
35:56c'est beaucoup plus loin,
35:57assez loin,
35:58plus important.
35:59C'est même différent
36:00que de ça,
36:01c'est pire.
36:02C'est qu'avant,
36:03les pirates,
36:04c'était des vraies entreprises.
36:06On se rappelle Conti,
36:07on se rappelle,
36:08il fallait faire
36:09des vraies entreprises
36:09avec toute une armée
36:10d'affiliés
36:11pour pouvoir attaquer.
36:12Et là,
36:12on revient dans un mode
36:14où,
36:14avec l'IA,
36:15des pirates presque tout seuls
36:17arrivent à faire
36:18la même chose,
36:19voire même plus fort.
36:20Donc,
36:20il faut bien voir
36:21ce changement
36:22dans la cyber
36:22depuis cet été.
36:24C'est hyper...
36:24Donc,
36:24ça veut dire
36:25une personne,
36:25un développeur un peu malin,
36:27un mal intentionné,
36:28sans doute.
36:28Un pirate,
36:29développeur un peu malin
36:30et encore développeur,
36:31non,
36:32parce que l'IA
36:33développe à sa place.
36:34développeur même pas,
36:34un pirate un peu malin,
36:36peut développer,
36:37alors il faut un peu
36:37l'infrastructure aussi,
36:39mais on l'a vu là
36:40dans l'attaque,
36:40il y a les coûts
36:41qui ont été mis,
36:42les coûts d'attaque
36:43sont dérisoires
36:44par rapport
36:44à ce que ça rapporte.
36:47Oui, c'est ça.
36:48Là, c'est 5 dollars
36:49par tâche et tout ça ?
36:51Oui, c'est très, très peu.
36:53Et donc,
36:54on programme un peu
36:55ces agents
36:56pour leur dire,
36:56voilà,
36:56essayer de trouver...
36:57En fait,
36:57on se construit
36:58sa petite armée
36:59qui va aller attaquer,
37:00qui quand elle va échouer,
37:01va retenter,
37:02va essayer différemment
37:04et en plus de ça,
37:05qui vont être potentiellement
37:06spécialisés
37:07sur certains sujets.
37:08C'est-à-dire que là,
37:09dans l'attaque,
37:10ça cherchait
37:10un certain nombre
37:11de vulnérabilités connues
37:14et si ça tombe dessus,
37:15comme on en connaît
37:17l'exploite,
37:17ça va dérouler l'attaque
37:19et ça va réussir.
37:20Et l'agent va tout faire
37:21tout seul.
37:22Le pire ne fait que
37:24l'orchestration.
37:25Oui,
37:26relever les compteurs même,
37:26j'allais dire.
37:27Oui, l'orchestration,
37:28le mot est parfait.
37:30Benoît,
37:30sur ce sujet ?
37:31C'est une magnifique
37:33industrialisation,
37:34pour le mal,
37:34mais magnifique industrialisation.
37:36Si on cherche
37:36des cas d'école
37:37dans les entreprises
37:37pour les agents IA...
37:39C'est le taylorisme par IA.
37:40Voilà,
37:40il y en a un qui est là.
37:42On voit d'ailleurs
37:43que cette IA,
37:44finalement,
37:44ne remplace pas
37:45complètement l'attaquant.
37:46C'est-à-dire que l'attaquant,
37:47il doit quand même
37:47se concentrer
37:49sur un certain nombre
37:49à la fois d'orchestration,
37:51peut-être leur donner
37:52des guidelines,
37:53leur dire,
37:54ben voilà,
37:54j'ai vu tel CVE,
37:55on va s'attaquer
37:56à tel site.
37:56C'est-à-dire qu'il y a
37:57de des sites.
37:58C'est le type de fuite,
38:00c'est ça ?
38:00Alors,
38:00la CVE,
38:01c'est une faille
38:02qui a été documentée,
38:04faille à laquelle
38:05on va d'ailleurs
38:06associer un score.
38:07Plus le score est élevé,
38:09plus la faille...
38:09C'est le CVSS ?
38:11Exactement.
38:11Plus la faille
38:12est potentiellement impactante,
38:14on va dire,
38:14et où facile à gérer.
38:16Ce qui s'est passé
38:17peut-être la suite
38:17de l'actualité
38:18avec PHP et d'autres.
38:21Et donc,
38:22cette armée finalement
38:25d'agents autonomes
38:28va venir industrialiser
38:30les demandes
38:31du cybercriminel
38:32qui lui va soit
38:34pouvoir orchestrer,
38:35soit vibe-coder
38:35et faire en sorte
38:36que tout ça avance sans lui.
38:38Et alors,
38:38Pascal,
38:39tu disais,
38:39ma crâne,
38:40c'est que là,
38:41on est aux Etats-Unis,
38:41on est en Australie,
38:42on est au Japon.
38:44Oui,
38:44on est une seule planète,
38:46donc c'est que ça arrive
38:47rapidement chez nous.
38:48Ça va arriver
38:49sur des entreprises françaises
38:50et quand ça va taper
38:51de la PME,
38:52TPE,
38:53TI,
38:53ça va faire...
38:54Et puis même du grand compte,
38:55en vrai,
38:56ça va faire assez mal.
38:59Et je vois deux choses,
39:00je vois ce type d'attaque
39:02avec une armée
39:03d'agents.
39:04Alors,
39:04une armée,
39:05c'est un bien gros mot,
39:06ils n'ont pas besoin
39:06d'énormément encore,
39:08mais on peut imaginer
39:09qu'avec l'avenir,
39:09ils vont en déployer
39:11de plus en plus.
39:12Donc,
39:13il y a ce premier niveau
39:14d'attaque.
39:15C'est pour ça que je disais,
39:16ma première prédiction,
39:17c'est que ça va arriver
39:18sur les PME françaises
39:19avant la fin de l'année.
39:19Je ne vois pas
39:20comment ça serait possible
39:22autrement que ça n'arrive pas.
39:23Mais ma deuxième prédiction,
39:25je ne sais pas si vous vous rappelez,
39:26alors,
39:27je vais appeler
39:27aux anciens,
39:28mais on va commencer
39:29par un code red.
39:30Et puis,
39:31si vous ne connaissez pas
39:31un code red,
39:32WannaCry,
39:33un verre informatique
39:34à l'époque.
39:35On en a parlé tout à l'heure,
39:36on était avec
39:37le scénario électrique
39:37et le scénario électrique.
39:38Imaginer un verre par IA
39:39piloté par un pirate
39:41comme ça,
39:42c'est un peu ma crainte
39:43du moment.
39:43C'est que ça,
39:44quand ça va tomber,
39:44ça va faire ça.
39:45Ça peut carrément aller
39:45dans des infrastructures...
39:47Et puis ça va s'arrêter,
39:48ça va se répandre.
39:50Et alors,
39:50comment faire
39:51pour ceux qui nous écoutent,
39:53pour les affoler un peu
39:55quand même,
39:55les alerter en tout cas,
39:56plus que les affoler,
39:57mais il faut faire quoi ?
39:59La mauvaise nouvelle,
40:00c'est qu'ils ont des armes
40:01qui sont dévastateurs.
40:03La bonne nouvelle,
40:04c'est que ces armes,
40:05à aujourd'hui,
40:06utilisent quand même
40:06des TTP,
40:07des techniques et des procédures
40:08qui sont des techniques connues
40:10qui rentrent dans la fameuse
40:11matrice du mitre
40:13pour ceux qui connaissent,
40:14sur lesquelles on sait
40:15se défendre,
40:16on sait mettre des protections,
40:17que ce soit firewall,
40:18endpoint,
40:19tout ce qu'on connaît en cyber
40:21fonctionne contre les attaques
40:22qu'on a aujourd'hui.
40:23Ce ne sont pas des agents
40:23qui inventent
40:25des nouvelles attaques.
40:26D'accord.
40:26Pour le moment.
40:27Oui, pour le moment.
40:28Pour le moment,
40:29ils ont un catalogue,
40:31ils ont tous les types de failles
40:32en disant,
40:32allez,
40:33La seule différence,
40:34c'est la volumétrie,
40:35la vitesse de l'attaque,
40:36la puissance de l'attaque.
40:38Mais la manière
40:38de se défendre,
40:39c'est la même.
40:40Il faut patcher,
40:42il faut...
40:43Et c'est ce que l'on voit,
40:44effectivement,
40:44dans le rapport
40:45que l'on a sorti
40:45sur les menaces à péter,
40:47donc celles liées
40:48aux groupes étatiques.
40:50On voit la même chose
40:51que pour les cybercriminels
40:52attirés par la patte du gain.
40:53C'est-à-dire qu'on voit
40:54une industrialisation
40:55de leurs capacités,
40:56mais on ne découvre pas
40:58de nouvelles techniques
41:00extraordinaires
41:01dignes de la science-fiction.
41:02Aujourd'hui,
41:03cette industrialisation,
41:04heureusement pour nous,
41:05parce que,
41:05comme tu le dis,
41:06les bases sont suffisantes
41:07pour se protéger,
41:08les bases un peu plus,
41:10sont suffisantes
41:10pour se protéger
41:11et on n'est pas face
41:13à quelque chose
41:13qui explose
41:14en créativité malveillante.
41:16En fait,
41:17ce que ça met en exergue,
41:19c'est ce qu'on retrouve
41:20d'ailleurs
41:20dans les lois européennes,
41:22ce que demande
41:23Nice 2,
41:24ce que demande
41:24la RGPD,
41:25etc.,
41:25c'est d'avoir un état de l'art,
41:26d'être à un état de l'art
41:27de la cyber.
41:28Quand on est à cet état de l'art-là,
41:30on se protège
41:30de ces techniques,
41:31de ces procédures
41:32de pirates suffisamment.
41:34Ce qu'il va falloir
41:36bien regarder,
41:37c'est cet état de l'art,
41:37comment il va évoluer
41:38pour contrer
41:40ses armées.
41:41Est-ce que c'est
41:42l'état de l'art actuel ?
41:43Est-ce qu'il faut
41:43le monter un peu ?
41:44Est-ce qu'il faut rajouter
41:45des techniques de défense
41:47dans cet état de l'art-là
41:48pour être...
41:50il n'y a jamais de 100%,
41:51soyons clairs,
41:52mais au moins
41:54pour être protégé
41:55comme on pouvait l'être avant ?
41:56Si je fais le lien
41:57avec une autre actuelle
41:58qui était il y a
41:58une quinzaine de jours,
41:59la fuite
42:01sur le protocole PHP,
42:04voilà,
42:04typiquement,
42:05c'est ça,
42:05on a ces deux failles
42:06et je vais piloter une IA
42:07pour dire,
42:07tiens,
42:08voilà les deux failles,
42:08va vite te promener partout.
42:10Exactement.
42:10Et c'est pour ça
42:11et on en reviendra
42:12à notre sujet
42:12sur le patch après.
42:13C'est ça ?
42:14Oui,
42:15c'est exactement cela.
42:16Et alors,
42:16comme on sait
42:17que les cybercriminels
42:18s'organisent souvent,
42:19on l'a vu avec
42:19les malwares à the service,
42:21des logiciels
42:22que l'on peut acheter,
42:23on l'a vu avec
42:23des EDR killers,
42:24des services après-vente,
42:25etc.
42:26Exactement,
42:26on l'a vu avec
42:26les rançons jiciels
42:27à the service,
42:28on l'a vu avec
42:29l'intelligence artificielle
42:31déplombée,
42:32sans limite,
42:32sans éthique,
42:33à the service
42:34que l'on peut acheter
42:35en ligne,
42:36on pourrait imaginer
42:37aussi demain
42:38l'IA agentique
42:39à the service
42:40à destination
42:41des cybercriminels.
42:42Si ce n'est pas déjà le cas,
42:44c'est ça.
42:44Soyons simples,
42:45si Benoît l'imagine,
42:46c'est que quelqu'un
42:47y a déjà pensé.
42:50Un pirate,
42:51c'est très facile
42:52de faire des prédictions
42:53en cybersécurité.
42:54Si nous on l'imagine,
42:55un pirate
42:55y a déjà pensé avant.
42:56On en est où ?
42:57D'ailleurs,
42:58vous deux,
42:58vous avez suivi
42:58évidemment cette actualité,
42:59mais autour de cette
43:00fuite PHP,
43:01on est 10-15 jours après,
43:03aujourd'hui,
43:04je ne sais pas Benoît ?
43:05Moi je dirais que
43:06le problème,
43:08surtout sur une faille
43:09aussi importante,
43:11certains disaient
43:11que grossièrement
43:1370% du web
43:14était concerné par cela,
43:1770% des sites
43:18qui utilisent PHP
43:19sont concernés,
43:20donc c'est certainement
43:20un peu moins,
43:21mais c'est quand même
43:21d'ampleur.
43:22Ça a fait énormément
43:24de bruit au moment
43:25où c'est sorti.
43:26On disait carrément
43:27Internet est en danger.
43:28On a vu des sites
43:30gouvernementaux
43:31qui ont préféré fermer.
43:32Certains ont fermé,
43:33dans plusieurs pays,
43:34notamment la France.
43:34Tout à fait.
43:36Et le soufflet est un peu retombé.
43:38Une actualité,
43:39on a chassé une autre.
43:40Malheureusement,
43:40il y a encore des équipes
43:41et heureusement
43:42qui travaillent sur le sujet
43:44parce que la faille,
43:45tant qu'elle n'est pas patchée,
43:46corrigée dans les sites Internet,
43:49elle est exploitable.
43:51Et là,
43:51on va voir encore une fois
43:52une sorte de pyramide.
43:53C'est-à-dire qu'on a
43:54tous ceux qui ont pris
43:55la chose à cœur
43:56et qui ont fermé leur site,
43:57qui ont corrigé,
43:58ceux qui n'ont pas encore
44:00pris le temps de le faire
44:01et ceux qui ne sont
44:01même pas au courant.
44:02Et là,
44:03on va avoir un certain nombre
44:04de petits forums,
44:05de sites associatifs,
44:07de sites communautaires,
44:09qui des fois reposent
44:10sur des technologies
44:12open source,
44:13par exemple,
44:13qui sont très bien,
44:14sauf qu'il faut les mettre à jour.
44:16Et là,
44:16on va avoir un temps nécessaire
44:18à la réactivité
44:19qui peut faire mal.
44:21Pascal ?
44:22Je crois qu'il reste
44:2230 millions de sites
44:25à patcher.
44:26Donc,
44:26c'est assez colossal.
44:28Là où je pense
44:30qu'on a la chance
44:32de notre côté,
44:33alors,
44:34ce n'était pas une chance
44:34au départ,
44:35mais là où on a la chance,
44:36c'est que,
44:36de ce que j'ai compris,
44:38il n'y a pas d'exploit
44:39universel
44:39sur l'attaque.
44:40en fonction des sites.
44:41Ce qui fait
44:42qu'une attaque massive
44:43qui scannerait tout,
44:44qui lancerait le même exploit
44:46pour faire tomber les sites,
44:47ça ne fonctionnerait pas.
44:48Je veux bien
44:49ce que disait Benoît,
44:50attention les scénarios
44:51de science-fiction,
44:52de l'IA qui va dire
44:52j'ai inventé
44:53un nouveau virus.
44:54Ça pourrait arriver
44:55sur notre faille,
44:56mais cette faille-là,
44:57en l'occurrence,
44:58on ne peut pas l'exploiter
44:59de manière universelle
45:00sur tous les sites.
45:01Il faut cibler.
45:02Et c'est ce qu'on voit,
45:02en fait,
45:02c'est qu'il y en a
45:03qui se font pirater
45:04par cette faille-là,
45:05mais de manière vraiment ciblée
45:06avec un exploit fait
45:07pour cette attaque-là.
45:09C'est ce qui fait
45:10que je pense
45:10que le soufflet,
45:11il a aussi un peu retombé.
45:12C'est qu'il y aura
45:13une attaque massive.
45:14Là, on sera encore
45:15en train d'en parler.
45:16Là, on n'en parle plus
45:17parce que c'est des cibles
45:20ponctuelles
45:20qui vont être attaquées.
45:23Et pour ça,
45:23ça prend un petit peu de temps.
45:25Et puis,
45:26quand elles sont attaquées,
45:27on ne le voit pas forcément
45:27parce qu'il faut déjà
45:30que celui qui est attaqué
45:31alors qu'il n'a pas patché.
45:32Imaginez,
45:32quelqu'un qui ne patche pas,
45:33là, à l'heure actuelle,
45:34ce n'est pas quelqu'un
45:35qui est bien placé
45:36pour savoir qu'il est attaqué.
45:37En général,
45:38ça va de pair.
45:39Donc,
45:40comme le dit Benoît,
45:41on va découvrir des choses
45:43dans les six mois
45:44qui viennent progressivement.
45:46Alors,
45:47je voulais revenir
45:48sur un sujet.
45:49C'est toi, Pascal,
45:50qui l'a remonté.
45:51Alors,
45:52on va évacuer tout de suite
45:53parce qu'en fait,
45:54c'est parti d'une actualité.
45:56C'est un patch de Fortinet
45:59qu'il faut passer
46:01sans connaître les CVE,
46:02donc le type de file,
46:04les CVSS,
46:04les niveaux.
46:06Le but, là,
46:07de ça,
46:07c'est de,
46:08est-ce qu'il ne faut pas
46:08de chier en aveugle ?
46:09Ce n'est pas,
46:10voilà,
46:11d'accuser l'un ou l'autre,
46:12mais c'est cette tendance
46:14de se dire,
46:14oula,
46:16ça arrive,
46:16il ne faut pas de chier.
46:18Voilà,
46:18qu'est-ce qu'il faut en penser
46:19de tout ça ?
46:20C'est un sujet
46:20dont on parle,
46:21qu'on a parlé plusieurs fois
46:23dans l'émission
46:23sur la vitesse des patchs,
46:25sur la vitesse des exploits
46:26des pirates,
46:27et là,
46:28c'est,
46:28alors,
46:29c'est cet éditeur-là,
46:30mais à la limite,
46:31peu importe,
46:31on se rend compte
46:33que,
46:34effectivement,
46:34quand un éditeur
46:36publie ses CVE,
46:37en moins de 48 heures,
46:39il y a un reverse engineering
46:40qui est fait par IA
46:42et qui trouve comment
46:42l'exploiter
46:43et qui, du coup,
46:44vont permettre
46:44aux pirates
46:45de réattaquer.
46:46Donc,
46:46on rappelle,
46:47un éditeur,
46:48donc voilà,
46:48ça peut être un watchguard
46:49qui, tout d'un coup,
46:50se dit,
46:50ah tiens,
46:51là,
46:51on vient de découvrir
46:52une faille ou un client,
46:53enfin bref,
46:54et de tout de suite
46:55envoyer à ses clients,
46:56on leur dit,
46:56voilà,
46:57il faut télécharger
46:57tel type de...
46:58Et en général,
46:59on y associe les CVE,
47:00on dit,
47:00voilà,
47:00voilà les CVE
47:02avec les scores CVSS
47:03de Valé Benoît,
47:03pour convaincre
47:06aussi les gens
47:07de le faire
47:07parce que c'est important.
47:10Là,
47:10maintenant,
47:10la peur,
47:11elle est telle
47:11de l'IA
47:12et du reverse engineering
47:13par IA
47:14sur les vulnérabilités
47:15qu'on se dit,
47:15si on le dit,
47:17on donne l'opportunité
47:18aux pirates
47:19de faire ce reverse engineering,
47:21le pirate
47:22va aller beaucoup plus vite
47:23qu'on le sait
47:24que les clients
47:26et du coup,
47:27lui va attaquer
47:28parce qu'on lui a dit
47:28qu'il y en avait une.
47:30Et donc,
47:30on se retrouve
47:30dans un monde
47:31où on va devoir patcher
47:34des choses
47:35sans savoir ce que c'est.
47:36C'est-à-dire que là,
47:36il faut se mettre
47:37quand même à la place
47:38des prestataires
47:39qui vont dire à leurs clients,
47:40il me faut une fenêtre
47:41de tiers
47:41pour patcher
47:43ton équipement.
47:45Mais je sais,
47:46voilà,
47:46on sait que c'est important,
47:47c'est pour la cyber,
47:48mais tu n'as pas le détail,
47:49tu n'as pas les CVE,
47:50tu n'as pas les choses.
47:51Et du coup,
47:52on rentre dans une ère
47:54qui risque d'être
47:55On ne peut pas aller chercher
47:56client par client,
47:57ça devient compliqué.
47:59et on rentre dans une ère
48:01où ceci va être
48:02encore plus industrialisé.
48:03Souvenez-vous,
48:04le CRA,
48:05Cyber Resilience Act,
48:06qui invite tout à chacun
48:08qui produit
48:08des éléments numériques,
48:10donc adoption progressive,
48:13mais une télé,
48:15une imprimante,
48:16une voiture,
48:16un frigo,
48:18je ne parle même pas
48:18des équipements
48:19que l'on a l'habitude
48:20de côtoyer.
48:21Les frigos,
48:24industriels notamment,
48:25et en fait,
48:26le CRA invite
48:27ces fabricants
48:28à avertir
48:29encore plus
48:30leurs clients
48:31à partir du moment
48:32où ils ont connaissance
48:33qu'une faille
48:34est en cours
48:34et qu'il faut la mettre à jour.
48:36C'est ce que dit Pascal,
48:36c'est qu'en avertissant
48:37les clients,
48:39on réveille un peu
48:39les pirates
48:40qui se disent
48:40« Ah tiens ! »
48:41Exactement,
48:42on les réveille,
48:42on leur donne finalement
48:43une sorte de clé de lecture
48:44qu'eux vont devoir
48:46interpréter
48:47avec l'intelligence artificielle
48:48et force est de constater
48:49qu'ils sont très forts
48:50dans le reverse
48:52de ces vulnérabilités.
48:53Ils l'ont toujours fait
48:54mais auparavant
48:55ça prenait plus longtemps.
48:57On se souvient,
48:58quand on en parle aujourd'hui,
49:00c'est vrai que,
49:00enfin ça continue encore aujourd'hui,
49:02mais Microsoft,
49:02c'était son patch
49:03tous les mardis,
49:04tombaient les patchs
49:06et puis voilà,
49:07aux gens de mettre ça
49:09en marche ou pas,
49:10de mettre ses pansements,
49:11je demande ses patchs
49:13là-dessus.
49:14Du coup,
49:15qu'est-ce qu'il faut faire Pascal ?
49:17La question que je me pose,
49:19qu'on se pose,
49:19c'est est-ce que ça ne va pas
49:20devenir justement
49:21une bonne pratique
49:23de ne pas dévoiler
49:25des CVE qui,
49:27alors des CVE
49:27qui n'ont pas encore
49:28été exploitées,
49:29bien entendu.
49:29Les CVE qui est exploité,
49:30il n'y a pas de débat,
49:31elle est déjà exploité,
49:32donc ça ne sert à rien
49:33de la cacher.
49:33Donc que les éditeurs
49:34d'eux-mêmes se disent,
49:36là pour l'instant...
49:37Pour faire la transition
49:39avec Benoît,
49:40en vrai,
49:41c'est pris en compte
49:41dans le CRA.
49:42Dans le CRA,
49:44il est pris le cas,
49:46il est demandé
49:47de dévoiler les CVE
49:48qui sont activement exploitées
49:49et si elles ne le sont pas encore
49:51et qu'on a peur
49:52que ça soit exploité
49:52si on la divulgue,
49:53on peut la mettre
49:55sous silence.
49:55Alors,
49:55ce n'est pas expliqué
49:56comme ça dans le texte,
49:57je le vulgarise un peu
49:58à ma façon,
49:59mais ce cas-là
50:00qu'a fait cet éditeur
50:02est pris en compte
50:03a priori dans le CRA.
50:05Je me demande
50:05si ça ne va pas devenir
50:06une généralité
50:07plus qu'une exception,
50:08en vrai.
50:09On a un fonctionnement
50:09qui est aujourd'hui
50:10assez simple.
50:11Quand un white hat,
50:13un hacker éthique,
50:14hacker éthique trouve une faille,
50:16il suit un protocole
50:17de responsable disclosure,
50:18donc d'annonce
50:19de divulgation responsable.
50:21Il s'adresse à l'éditeur
50:22et lui dit
50:22« j'ai trouvé cette faille-là,
50:24je te laisse un peu de temps
50:25pour la corriger,
50:27permettre à tes clients
50:28eux-mêmes
50:29de télécharger le patch
50:30et puis d'être protégé. »
50:32Et ensuite,
50:32moi,
50:32en tant que chercheur,
50:33j'expliquerai
50:33comment je l'ai trouvé.
50:34Au final,
50:35on va peut-être
50:36se retrouver dans une situation
50:37où au moment
50:38où l'éditeur
50:40va lui-même
50:41déclarer cette faille
50:43à ses clients,
50:44cette vulnérabilité
50:44de ses clients,
50:45peut-être qu'il ne donnera
50:46plus de détails
50:47comme il le faisait auparavant
50:48pour éviter
50:49que les cybercriminels
50:50puissent eux-mêmes
50:50faire ce travail
50:52de recherche inversée.
50:53La question,
50:54c'est combien de temps ?
50:55Pendant combien de temps
50:56est-ce que je ne dis pas
50:58ce que j'ai trouvé
50:59et pourquoi ?
51:00Ça change quand même
51:01le paradigme
51:02parce qu'on change
51:03complètement de...
51:04Je trouvais que c'était
51:05pour ça que ce sujet-là
51:06était assez intéressant.
51:07Merci à tous les deux.
51:08Pascal Lodigold,
51:08directeur général France
51:09de WatchGuard
51:10et Benoît Grunemval,
51:12l'expert cybersécurité
51:13chez ISET France.
51:14Merci à tous les deux
51:15de nous avoir accompagnés
51:16pour cette émission
51:17et puis voilà,
51:17on a beaucoup parlé
51:18cybersécurité
51:19mais c'est vrai
51:19que c'est quand même
51:20le sujet du moment
51:21et puis on a allé
51:22nous retrouver en replay.
51:23On a parlé aussi
51:23de ces partis politiques
51:24qui justement
51:25ne se sécurisent pas assez.
51:27On a beau être
51:28une association,
51:28tout ça, il faut toujours
51:29dès qu'on a des...
51:30On a vu avec la Fédération
51:32Française de tir,
51:33la Fédération Française
51:33de rugby,
51:35il faut continuer
51:35à se sécuriser.
51:36C'est ce qu'on veut dire
51:37en cette émission,
51:37continuer de vous sensibiliser
51:39autour de tout cela
51:40parce que ça n'arrive
51:40pas qu'aux autres.
51:41Allez, excellente semaine
51:42sur BFM Business.