Comprendre la sécurité numérique

Les cibles

"Je fuite, tu fuites, il fuite,…". Les cyber-attaques se multiplient en France. Depuis l'avènement du Web et des mobiles, tout s'accélère. On code, on code, on code, vite, encore lus vite, de plus en plus vite. Cependant, le volume de code développé depuis plusieurs décennies est tellement considérable, qu'il est désormais quasiment impossible de revenir dessus afin de l'améliorer, ne serait-ce que pour corriger les failles inhérentes aux technologies anciennes. Les technologies se superposent ainsi en couches, rendant les systèmes de plus en plus complexes, rendant illusoires les tests avec une couverture complète. Il en est de même pour la sécurité, devenue une véritable course en avant du chat et de la souris. Les mécanismes valables à un instant T ne le sont plus à l'instant T+1, où l'unité T se raccourci sans cesse (année, trimestre, mois, ...) représente, pour les pirates (hackers), le temps de trouver une faille qui leur permettra de pénétrer dans le Système d'Informations (SI) ciblé afin de réaliser son exploit, c'est-à-dire de son attaque, grandement facilitée aujourd'hui avec l'aide de l'IA.

Le Web étant ouvert à tous, l'ensemble des sites proposant de collecter des informations sont ainsi concernés, aussi bien dans le privé que dans le public, avec toutefois quelques nuances. Contrairement au public, malheureusement, il existe en effet, dans le privé, un principe de responsabilité qui impose de facto, des mesures de correction rapides, avec des conséquences qui peuvent être très sévères dans la poursuite des activités (voir l'exemple de l'attaque subie par SONY Pictures en 2014). Dans le cas de l'attaque des impôts (DGIP) survenue en juin 2026, l'intrusion est détectée, mais que sans l'impact ne soit mesuré. Il ne sera révélé que 50 jours plus tard par les attaquants ZeroBytes eux-mêmes.

Le pacte fiscal d'un état reposant sur le consentement à l'impôt, en contrepartie d'un service public assurant la sécurité des citoyens se trouve ébranlé, d'autant que les attaquants sont des adolescents français et non pas une organisation disposant de moyens beaucoup plus importants.

À l'approche des éléctions de 2027, ce sujet devrait donc être clairement abordé avec des mesures concrètes. Non pas avec des moyens supplémentaires, mais avec une gouvernance visant à prioriser les mises à jour des parties logicielles anciennes et les modes opératoires. L'attaque a en effet été menée à partir du poste usurpé d'un agent donnant accès à l'ensemble des données piratées, un peu comme si un vendeur d'une grande enseigne avait accès à l'ensemble des fichiers clients. Sachant que la section informatique de Bercy compte 5 300 salariés (plus qu'Anthropic, éditeur de l'IA Claude), la fuite concerne 700 000 comptes comportant chacun les informations renseignées dans la déclaration, à savoir : la situation familiale, l'adresse, les revenus, les références cadastrales des propriétés, etc. Il le sera d'autant que la procédure de facturation numérique est lancée, avec tous les risques de divulgations de données sensibles (clients, fournisseurs, etc.) pour les entreprises étant donné le nombre important (130 en juillet 2026) de plateformes agréées, dont certaines viennent d'être spécifiquement créées afin de tirer parti de cette mesure.

Pour l'heure, la liste des attaques ne cesse en effet de grandir (ANTS, Education nationale, France Travail, CAF, URSSAF, détenteurs d'armes, données médicales, Free, Axa, Conforama, Leclerc, ...)

Les différents types d'attaques

Avant de pouvoir aborder la question des risques, puis des mesures, il est nécessaire de comprendre le principe des principaux types d'attaques des deux côtés : à savoir celui de l'utilisateur et celui du site Web. Dans ce deuxième cas, nous n'entrerons pas ici dans des explications techniques puisqu'un site fonctionne sur un serveur auquel nous n'avons pas accès. Il doit donc être installé dans un espace hyper sécurisé. L'incendie du centre de données de l'hébergeur OVH a montré en 2021 que cela pouvait néanmoins survenir. Nous y reviendrons dans les mesures à prendre dans ce cas. Cette partie (côté serveur) est donc hors de contrôle pour les utilisateurs, qui ne peuvent que faire confiance aux responsables de ces infrastructures. Le côté client est au contraire de la responsabilité des utilisateurs de ces plateformes. Étant donné que tout se passe à partir d'un navigateur fonctionnant sur un ordinateur ou un mobile, la première précaution est bien entendu de disposer d'un environnement sain, exempt de virus. Autrement dit, d'avoir un anti-virus à jour.

Les mesures

Il s'agit ensuite d'être sûr de consulter le bon site. Une attaque courante consiste en effet à reproduire, quasiment à l'identique, un site existant, mais avec un nom erroné comportant une lettre ou une extension différente (.com au lieu de .fr ou l'inverse par exemple). Il est donc essentiel de vérifier le nom du site consulté et de vérifier son authenticité avec son certificat qui doit être valide. Le problème est encore plus fréquent dans les emails qui comportent des liens sur lesquels il ne fait JAMAIS cliquer sans être sûr et certain d'atteindre le site voulu ! Il est généralement possible de voir le lien en passant le curseur dessus, sans cliquer. En cas de doute, il suffit d'aller explicitement sur le site à partir d'un navigateur, voire d'appeler votre conseiller si le message vous demande une démarche.

Attention, car un email peut mettre en confiance avec des informations dérobées vous concernant (nom, prénom, adresse, etc.). Ce type de message a le plus souvent un ton alarmant vous incitant à cliquer, du type, "Votre compte va être suspendu si ...", "Vous avez été verbalisé et vous devez vous acquitter ...". En cas de doute, c'est à vous de consulter le site et entrant son nom dans un navigateur (qui peut bien entendu être mémorisé en favori) et non pas de cliquer sur le lien vers un site frauduleux qui vous incitera à entrer des informations sensibles (attaque de type Phishing, que l'on peut traduire en hameçonnage puisque mordez à l'appât comme un poisson'). C'est exactement le même principe avec les SMS-textos, voire avec un appel téléphonique. En cas de doute, raccrochez en précisant que c'est vous qui allez appeler votre conseiller ou l'agence en question. Signalez alors ce qui s'est passé.

Finalement, étant donné que les données dérobées vous concernent (à peu près tout ce que vous avez saisi en ligne, sauf les mots de passe qui sont chiffrés et par conséquent inutilisables), il est indispensable de surveiller vos comptes en ligne, notamment ceux de la banque et de vos contrats d'assurance afin de vérifier qu'aucune opération suspecte n'a été enregistrée. Il est également indispensable ici de la signaler sans attendre.

Sans oublier les mesures de base concernant les mots de passe, les sauvegardes, etc. présentées dans la page concernant les principes du numérique ... notemment de sauvegarder ses fichiers sur un disque local stocké en lieu sûr, crypté s'il contient des données sensibles, afin de palier le type de problème évoqué plus haut, voire une coupure réseau, une rupture d'abonnement, ....

Références