Conf’574 – « Comment mieux réagir face à la cybermalveillance touchant nos vies professionnelles et personnelles ? » par Jérôme Notin et Gilles Berthelot.

Jérôme Notin est Directeur Général du groupement d’intérêt public cybermalveillance.gouv.fr. Quant à Gilles Berthelot, il est Directeur sécurité numérique du Groupe SNCF.

Mardi 5 octobre 2021, soit 5 ans jour pour jour après l’attribution du prix Nobel de chimie au français Jean-Pierre Sauvage, au néerlandais Bernard Lucas Feringa, et à l’écossais James Fraser Stoddart, pour leurs travaux sur la conception et la synthèse de machines moléculaires.

Au 574, le siège parisien de SNCF Digital situé à Saint-Denis (93), soit à environ 5 kilomètres de la Cité des Sciences et de l’Industrie, créée en 1986 et aujourd’hui le plus grand musée consacré aux sciences en Europe.

En 2016, la décision a été prise de mettre en place un dispositif d’assistance aux victimes d’actes de violences cyber. Il a été incubé par l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, et par le ministère de l’Intérieur. Ce dispositif est totalement indépendant et possède sa propre structure juridique, ses propres partenaires, sa propre équipe et ses propres budgets pour adresser la cybermalveillance aux particuliers, aux PME et aux collectivités.

La plateforme a trois missions. La première est le dispositif national d’assistance aux victimes. Si l’on est victime de cybermalveillance, il suffit d’aller sur la plateforme pour trouver une réponse à sa situation. Aujourd’hui, plus de 45 cybermalveillances sont identifiées, ce qui permet de gérer le spectre des attaques que l’on peut subir au quotidien.

La seconde mission est la sensibilisation, grâce à de la création de contenus, dont un kit gratuit distribué massivement. Enfin, la troisième mission est la mise en place d’un observatoire de la menace. Les pouvoirs politiques et les journalistes ont besoin d’avoir une vue de la menace la plus neutre et la plus exhaustive possible. « Par exemple, nous faisons face à une arnaque au compte professionnel de formation (CPF) qui a coûté 12 millions d’euros l’an dernier au Trésor public. Si nous avions fait une campagne de sensibilisation pour expliquer cette arnaque, nous aurions économisé ces 12 millions d’euros. Cela nous aurait coûté 4 millions pour en économiser 12 » explique Jérôme Notin.

« On peut voir aussi l’évolution de la fréquentation de la plateforme et on constate un effet Covid. En 2017, l’année de création, nous avions 114 144 visiteurs, 200 000 en 2018 et aujourd’hui début octobre 2021, nous avons plus de 1,5 million de visiteurs. Dès la première semaine de la pandémie, nous avons constaté une augmentation des menaces par l’utilisation de mots-clés, tels que covid, masques…, pour notamment récupérer des numéros de carte bancaire » développe-t-il.

De nombreuses cybermalveillances existent, l’une des plus connues est le cas de faux remboursement. L’expéditeur prétend être les impôts, la sécurité sociale, une banque… L’idée est de voler le mot de passe et le login de manière à ensuite pouvoir faire des opérations illicites sous le nom de la victime.

Se faire voler son identité numérique peut donc engager la responsabilité de la personne. « On vous conseille de ne pas mélanger votre identité numérique personnelle et votre identité numérique professionnelle en utilisant par exemple les mêmes mots de passe, au risque sinon de tout perdre d’un coup » explique Gilles Berthelot. « Et même dans votre sphère privée, séparez les mondes de vos services en ligne, de vos administrations, de vos services bancaires. L’idéal serait d’avoir un mot de passe par compte, mais déjà un mot de passe par monde prévient des risques. Pour cela, il y a des outils qui permettent de générer des mots de passe robustes automatiquement. En revanche, comme c’est l’outil qui retient le mot de passe, pensez bien à utiliser des outils de confiance certifiés, car on voit aussi maintenant apparaître des pirates sur ce secteur » ajoute-t-il.

Un autre acte de cybermalveillance est le courrier où il faut confirmer un certain nombre de données. « Sur ce sujet, je vais juste revenir sur une anecdote que l’on m’a racontée hier. Une instance de l’état français vient de mettre en place pour les gens qu’elle gère une cantine en ligne. Les personnes peuvent ainsi créditer leur carte de cantine en ligne. Le site possède un petit outil qui calcule l’empreinte numérique non réversible du mot de passe et l’a comparé au mot de passe de messagerie. Un nombre considérable de personnes utilisaient le même. S’il y a bien une chose que l’on doit retenir, c’est que le mot de passe de messagerie est la porte d’entrée à son identité numérique. J’insiste donc sur ce point, a minima pour sa messagerie, il faut avoir un mot de passe robuste et unique » raconte Jérôme Notin

« Il faut également le changer régulièrement. On voit que depuis plusieurs années, de grands acteurs du numérique, comme Google, Facebook, Twitter… se sont faits pirater plusieurs fois. Tous les mots de passe et login ont été dévoilés et donc peuvent être réutilisés plusieurs années après, donc si vous ne changez pas vos mots de passe régulièrement, ces fuites de données répandues de grands opérateurs vont être réutilisés par des pirates sur des sites légitimes cette fois, et c’est le début des problèmes… » ajoute Gilles Berthelot.

« Les pirates sont très agiles. Il y a une actualité Covid ? Ils vont surfer sur la vague Covid. À la SNCF, nous avons aujourd’hui la numérisation de nos facilités de circulation, il va falloir rester très attentif là-dessus parce que dès qu’il y a un changement, il y a toujours des gens qui surveillent et qui vont profiter de cela. Et le cas le plus fréquent, on l’a vu plusieurs fois, c’est la tentative de fraude au Président. Les pirates profitent des nominations d’un nouveau PDG ou d’un nouveau directeur, pour essayer de contourner les procédures, car comme les personnes ont changé, les procédures peuvent changer elles aussi, donc ils rentrent dans ces interstices pour demander un virement bancaire en se faisant passer pour un fournisseur. Nos comptables et nos services financiers sont aujourd’hui bien au courant et sont très attentifs à ce type de procédures, mais quand on ne sait pas, il suffit de nous demander. Il y a un numéro unique et un email unique pour contacter le support cybersécurité de la SNCF, il y a toujours quelqu’un qui va vous répondre et qui va qualifier votre problème » explique Gilles Berthelot. « Avant tout, c’est la vigilance qui compte » conclut-il.