Transcription

• Speaker #0

  Bienvenue sur Keytime, le podcast des acteurs du numérique proposé par l'Effray. Grâce à notre machine à voyager dans le temps, mise au point par les étudiants de l'Effray, nous allons revivre ensemble trois dates clés de la vie d'un alumni. Je suis Anna, du pôle alumni de l'Effray, et aujourd'hui je vous propose de revivre les événements marquants de Elsa Van Blum. Bonjour Elsa, tu vas bien ? Bonjour,

• Speaker #1

  ça va et toi ?

• Speaker #0

  Ça va, merci d'être venue aujourd'hui.

• Speaker #1

  Merci de m'inviter.

• Speaker #0

  Aujourd'hui, on va parler de trois dates qui ont été très importantes dans ton parcours. On va commencer par la première date. Est-ce que tu pourrais nous la donner s'il te plaît ?

• Speaker #1

  Du coup, j'ai choisi le 19 avril 2021 qui correspond à mon admission à l'Effray.

• Speaker #0

  Est-ce que tu pourrais nous en dire un peu plus ?

• Speaker #1

  Pour rappeler un peu de contexte, en 2021, on sortait un peu du Covid, on était encore dedans. C'était vraiment une période pas facile pour tout le monde. J'avais très mal vécu cette période, c'était une période d'isolation complète. Pour ce qui était de mes études, j'avais terminé une licence de maths et j'avais commencé cette année-là un master en mathématiques. Après plusieurs années de vraiment faire que du théorique, je voulais faire autre chose, je voulais quelque chose de plus concret. quelque chose de plus pratique. Et du coup, j'ai arrêté ce master. J'ai arrêté ce master complètement, sans plan B. J'ai pris du temps pour moi. J'avais pris quelques mois pour moi. J'avais commencé des certifications en ligne, en intelligence artificielle. En parallèle, je cherchais quand même, au bout de quelques mois, qu'est-ce que je vais faire de ma vie quand même. C'est quand même important. C'était une période de beaucoup d'introspection, où je réfléchissais, mais qu'est-ce que je veux faire ? Qu'est-ce qui est vraiment pour moi ? Je savais que je voulais faire quelque chose avec beaucoup d'impact. un domaine très impactant, très concret dans la vie des gens. Mais je ne savais pas précisément quoi. Et à force de recherche, je suis tombée un peu par hasard sur le site de l'Effray avec ce master, master en cybersécurité et intelligence artificielle. C'était la première promotion et là, ça a été vraiment un déclic. Je me suis dit, ah oui, ça c'est pour moi. Du coup, j'ai immédiatement postulé. Je me suis dit, il ne faut pas que je laisse passer ma chance, ça c'est vraiment pour moi. J'ai eu une interview, une sorte d'interview de questions pour voir si j'allais être... de pouvoir être admise. Ça a dû bien se passer parce que quelques jours après, j'ai reçu un mail félicitations, vous êtes admise au parcours Master Cybersécurité et IA à l'Effray.

• Speaker #0

  En 2021, si on m'avait parlé de cybersécurité, je pense que je n'aurais pas su ce que c'était. Tu maîtrisais déjà un peu le terme, comment ça t'est venu à part le fait qu'il y avait aussi de l'IA dans l'appellation du Master ?

• Speaker #1

  En fait, c'était des parcours qui n'étaient pas comme médecine qui étaient prévus, c'était plus des gens qui faisaient ça dans leur temps libre et certains pouvaient avoir un métier, mais ce n'était pas des parcours qui étaient... Maintenant, c'est défini par des écoles, tout le monde se passe par une école. Mais les gens qui ont, par exemple, 50 plus que moi dans leur carrière, j'en connais, je ne sais pas, au moins 3 ou 4 qui n'ont pas fait d'études et qui ont pu avoir des postes juste en faisant de leur côté. Mais maintenant, ce n'est plus vraiment possible parce qu'il y a les écoles qui ont pris le relais et qui ont un peu balisé les parcours.

• Speaker #0

  Quel bon souvenir tu gardes de l'Effray ?

• Speaker #1

  Tellement ! Déjà, je venais de l'université. Le point faible, c'est qu'on est un peu livré à nous-mêmes. C'est un peu toi contre tout le monde, quoi. Là, à l'Effray, c'est une école déjà. Il y avait vraiment l'esprit classe, l'esprit d'entraide. Si une personne était plus spécialisée dans un sujet que les autres, elle aidait les autres. On se complétait comme ça. J'ai beaucoup appris d'autres personnes. J'espère que d'autres personnes ont pu apprendre de moi aussi. Et c'est vraiment l'esprit de camaraderie, d'entraide que je retiens.

• Speaker #0

  Merci beaucoup pour cette première partie de témoignage. C'est le moment de passer à la deuxième date. Est-ce que tu pourrais m'en dire un peu plus ?

• Speaker #1

  La date que j'ai choisie, c'est février 2024. À cette époque, je suis déjà consultante en cybersécurité, mais plus particulièrement, je suis pentester.

• Speaker #0

  Est-ce que tu pourrais me dire ce que ça veut être pentester ?

• Speaker #1

  Oui, bien sûr. Mon rôle, c'est de me mettre dans la peau d'un attaquant et d'identifier les failles de sécurité qu'il y a dans un système. d'informatique pour une entreprise. Ça peut être tester un site web, tester leur réseau, tester une imprimante. Ça peut être beaucoup de choses. Tout ce qui est un système d'information. Tout ce qui a des données dessus.

• Speaker #0

  Et qu'est-ce qui s'est passé du coup en février 2024 ?

• Speaker #1

  Alors en février 2024, j'ai eu une mission un peu hors du commun. Donc c'était un site web. Normalement, ça aurait dû être un test d'intrusion un peu comme les autres. Mais ça s'est terminé. On avait le contrôle total de l'infrastructure. Donc on est lundi. Tout se passe bien. Ça aurait dû être un pentest comme un autre. Et là, on trouve une faille, puis une deuxième, puis une troisième, puis une quatrième. Et là, ça commence à être vraiment une course contre la menthe. Parce qu'un pen test, il faut savoir que ça va vraiment très vite. C'est une à deux semaines maximum, là c'était une semaine. Donc en une semaine, on doit restituer au client tout ce qu'on a trouvé et le maximum d'impact qu'un attaquant pourrait causer contre son site. Je ne peux pas dire le nom du client, mais je peux raconter comment la mission s'est passée. D'abord, on arrive sur une page d'authentification. Et à partir de là, on arrive déjà à avoir une faille cryptographique. On peut s'authentifier en tant que n'importe quel compte utilisateur qui est sur la plateforme. Donc on a trouvé une faille qui peut déjà... C'est incroyable, on ne rencontre pas ça souvent. On peut s'authentifier sur le site sans aucun compte. Une fois qu'on est sur l'application avec un compte utilisateur, on a pu aussi trouver une autre faille qui nous permet d'accéder à la base de données du site. Quand on crée un compte sur un site, on crée un mot de passe, on met son nom d'utilisateur. Toutes ces données, elles sont dans une base de données. Et le mot de passe, il faut savoir qu'il n'est pas stocké tel quel en clair. Ça passe par une fonction mathématique qui le rend illisible. Et le but de ça, c'est que si un attaquant a accès à une base de données, Il ne peut pas voir votre mot de passe. Donc ça, c'est le cas normal. Sauf que le site avait choisi une fonction mathématique qui était obsolète. Du coup, on a pu craquer les mots de passe des utilisateurs et notamment des mots de passe des développeurs de l'entreprise. C'était des mots de passe de type quelques chiffres. Donc des mots de passe vraiment très simples. Les développeurs avaient une partie dédiée dans le site. On a pu accéder à cette partie. Et les développeurs avaient le droit de rentrer du code. Et le code s'exécutait. Donc grâce à ça... On avait accès au serveur qui hébergeait l'application. Donc normalement, quand on a accès à ça, c'est un peu en pentest web, c'est un peu le Graal. Ouais, on a terminé, c'est incroyable. On voulait toujours avancer plus, voir jusqu'où on pouvait aller. On a regardé les fichiers dans le serveur et on a vu des fichiers avec les clés AWS. Donc AWS, c'est le cloud Amazon. Donc on a testé les clés et on a vu que c'était valide. Donc concrètement, on avait accès à leur compte cloud. Et ça, ce que ça peut faire, ça peut faire des dégâts. On aurait pu, par exemple... miner de la crypto-monnaie et leur utiliser toutes leurs ressources cloud et leur faire payer des millions en frais de crypto-monnaie, en frais de minage de bitcoin par exemple. Donc on aurait pu au final complètement mettre leur entreprise à plat, on avait accès à absolument tout. Et en parallèle de tout ça, parce qu'on ne sait jamais à l'avance à quel point on peut aller et quel chemin on va prendre, on avait une bonne dizaine d'autres vulnérabilités qui n'ont pas eu autant d'impact. Mais c'était vraiment une mission contre la montre, très dense. Je pense que c'est la mission la plus extraordinaire que j'ai faite. Et je ne pense pas que j'en aurais d'autres comme ça.

• Speaker #0

  Est-ce que, par simple curiosité, ce client dont tu ne peux pas parler, que tout le monde le connaît, c'est quelque chose que beaucoup de gens utilisent ? Est-ce que tu étais surprise de voir qu'il y ait autant de failles sur ce client en particulier ?

• Speaker #1

  Non, ce n'est pas un client connu, non. Je suis étonnée que l'entreprise tienne encore debout.

• Speaker #0

  Quel message essentiel aimerais-tu que le grand public retienne après ce genre d'épisode ?

• Speaker #1

  Que ce que je décris là, c'est loin d'être la majorité. Il ne faut pas s'angoisser pour tous les sites qu'on voit. Ça reste vraiment une exception. On ne voit pas ça souvent.

• Speaker #0

  Merci beaucoup. C'est déjà un peu plus clair sur le type de mission que tu réalises au quotidien. On va passer du coup à la dernière date. 3, 2, 1...

• Speaker #1

  Alors j'ai choisi le 30 septembre 2025.

• Speaker #0

  Qu'est-ce qui s'est passé en septembre 2025 ?

• Speaker #1

  C'est le jour où je me suis lancée sur les réseaux sociaux.

• Speaker #0

  Oui parce qu'on a oublié de le dire au début mais Elsa a deux casquettes. Elsa Pentester et Elsa, si je peux me permettre, influenceuse.

• Speaker #1

  Oui, oui on peut.

• Speaker #0

  Donc t'es connue aussi sous le nom de Elsa Arnak, est-ce que je le prononce bien ?

• Speaker #1

  Oui, donc ça faisait déjà plusieurs années que je conseillais les grandes entreprises pour leur sécurité et je me suis rendue compte que mon... Dans mon propre entourage, il y avait beaucoup de gens qui étaient complètement angoissés, mais vraiment angoissés par l'informatique. Et je pense que c'est le cas de millions de personnes, des millions de gens qui se disent, où le cerveau vraiment se bloque, et se disent « je ne comprends pas, c'est pas pour moi, je refuse de comprendre » . Et la cybersécurité, il y a une vision encore plus élitiste que l'informatique. On vit dans un monde où l'information est gratuite et vraiment très accessible, mais le problème c'est que la désinformation est très accessible aussi. Et j'ai voulu prendre la parole sur les réseaux sociaux pour apporter du soulagement aux gens. vraiment qui sont angoissés par ces questions et qui tout est digitalisé dans ce qu'on fait, que ce soit la banque, pour payer, pour toute notre vie. Sauf que la technologie avance super vite, sauf qu'il y a des millions de gens qui sont complètement largués, qui ne comprennent pas le monde qui nous entoure. Donc j'ai choisi le nom de Elsa Arnaque. C'est un jeu de mots entre Elsa et Arnaque. Et Arnaque, il faut vraiment voir ça au sens large. Je ne parle pas que de phishing ou des scrocs qui veulent vous arnaquer. Par exemple... Pour moi, une arnaque, ce n'est pas que dans le sens légal. Ça peut très bien être une publicité un peu mensongère sur un VPN. Est-ce que vous allez avoir la connaissance, la compréhension pour comprendre est-ce que cette publicité me dit un truc vrai ? Est-ce qu'un VPN, ça peut vraiment te rendre anonyme sur Internet ? Un autre exemple, quand un vendeur vous vend un abonnement d'antivirus à 10 euros par mois en plus de l'ordinateur que vous venez d'acheter. Est-ce que vous avez les armes pour comprendre si vous avez vraiment besoin de ça ? Ou si on vous vend un truc qui finalement ne va pas vous servir à grand-chose ? C'est faire de la vente en jouant sur les peurs et l'ignorance des gens. Pour moi, c'est une forme d'arnaque, même si ce n'est pas illégal.

• Speaker #0

  Donc ça, c'était l'année dernière, donc en septembre. Aujourd'hui, tu es quand même suivie par de nombreuses personnes. Est-ce que tu t'attendais à ce qu'autant de personnes suivent tes vidéos, les regardent, les partagent, les commentent ?

• Speaker #1

  Sur mes réseaux, j'aime beaucoup démonter les mythes de cybersécurité qu'on a, les fausses croyances. Et les gens ont souvent des avis très tranchés sur ce qu'ils sont persuadés d'être vrai. Et ce qui est particulier avec ce domaine, c'est quelque chose qui pouvait être vrai il y a dix ans, ne l'est plus maintenant. Et c'est compliqué de s'actualiser tout le temps, Et beaucoup de gens, ça les énerve. Ce qui fait qu'un compte va percer plus qu'un autre, si je peux dire ça, c'est vraiment le nombre de commentaires. Si les gens te réagissent vraiment à ton contenu, émotionnellement. Le pire qu'on peut avoir sur les réseaux, c'est l'indifférence. C'est si tu provoques aucune émotion chez les gens. Ce qui est assez paradoxal, c'est que c'est plus tes haters qui vont te faire monter que les gens qui aiment bien ton contenu. Parce que les gens qui aiment bien ton contenu, ils vont éventuellement liker en se disant « Ah oui, j'ai appris quelque chose » , ou en remerciant. J'ai beaucoup de gens qui me remercient dans les commentaires. Mais les gens qui ne vont pas aimer et vraiment détester ce que tu dis, ils vont faire des énormes pavés, ils vont se disputer en commentaire avec d'autres. Et l'algorithme. ne voient pas la différence. Et pour moi, c'est vraiment ça qui m'a fait monter et qui continue à me faire monter.

• Speaker #0

  On a eu un étudiant qui a voulu, en fait, te poser une question. Comment tu vis ton exposition sur les réseaux sociaux aujourd'hui ? Est-ce que tu aurais des conseils à me donner si jamais je souhaiterais, moi aussi, me lancer sur les réseaux sociaux ?

• Speaker #1

  Oui. Alors, je ne sais pas quel âge a cette personne.

• Speaker #0

  L'étudiant en question a 25 ans.

• Speaker #1

  D'accord, 25 ans, ça va. Parce que, vraiment, mon conseil, ça serait de... Si tu n'es pas prêt à ce que des centaines de personnes te critiquent en même temps, ne te lance pas. Il faut vraiment se dire que les gens ne te critiquent pas toi, ils ne te connaissent pas. Ils critiquent ce qu'ils voient. Il faut réussir à mettre une certaine distance, comme un travail. Ton travail, ce n'est pas toi. Ce qu'il y a sur les réseaux sociaux, ce n'est pas toi. C'est ce que tu as envie de montrer. Mon autre conseil aussi, ça serait vraiment moins de penser à soi, mais de vraiment toujours penser à ce que tu apportes aux autres. Quand je commence une vidéo, je me demande toujours qu'est-ce que les autres vont apprendre de cette vidéo. Est-ce que c'est utile ? Est-ce que vraiment je vais leur apporter de la valeur ajoutée dans leur vie ? Si ce n'est pas le cas, je ne la fais pas. Parce que souvent, on pense trop à soi. Est-ce que je suis bien coiffée, maquillée ? Oui, c'est important, mais ce n'est pas ça qui compte. Ce qui compte, c'est vraiment apporter quelque chose aux autres. Et peu importe ce que tu apportes, que ce soit du cinéma, de la beauté, de la cybersécurité, de l'informatique, peu importe, ou de la joie, tu dois l'apporter et en très grande quantité. Il faut vraiment poster beaucoup. pour pas que les gens t'oublient.

• Speaker #0

  Aujourd'hui, tu postes une vidéo par semaine ou plus ?

• Speaker #1

  Ah non, plus, plus. J'étais un peu malade cet hiver, mais j'essaye vraiment d'en poster le plus possible.

• Speaker #0

  Et comment tu arrives à gérer ton métier et ton entrepreneuriat finalement à côté ?

• Speaker #1

  Les vidéos, ce que je fais, ça demande pas beaucoup de temps de production. C'est vraiment moi qui parle. Je fais quelques cuts. Après, je suis pas monteur. Je sais pas faire les beaux montages comme les grands youtubeurs. Donc c'est vraiment, c'est juste moi qui parle. Ça prend pas énormément de temps. Je fais ça le soir quand je rentre.

• Speaker #0

  Pour toutes les personnes qui seraient intéressées aujourd'hui de regarder ces vidéos, elles sont disponibles sur quelle plateforme ?

• Speaker #1

  Sur TikTok, sur Instagram et je me lance aussi sur YouTube Shorts. Elsa Arnaque, tout attaché.

• Speaker #0

  J'espère que beaucoup de personnes seront intéressées et iront attiser leur curiosité en allant voir ce que tu fais. Merci beaucoup Elsa pour ce témoignage. Merci à toi. J'espère te revoir et repasser des moments avec toi et pouvoir peut-être partager des nouveautés d'ici peu.

• Speaker #1

  J'espère aussi. Merci de m'avoir invitée.

• Speaker #0

  Merci.