Transcription

• Speaker #0

  Le CNED vous présente Perspective, un podcast qui explore comment on apprend, se forme et se transforme dans un monde en mouvement. Parce que les carrières ne sont plus linéaires, parce qu'on vit plusieurs vies en une seule, parce que les repères changent vite, Perspective donne la parole à celles et ceux qui choisissent d'apprendre autrement.

• Speaker #1

  Oui, allô ?

• Speaker #0

  Votre téléphone sonne, vous décrochez, et au bout du fil, quelqu'un se présente comme votre conseiller bancaire. Vous ne le connaissez pas, mais lui, en revanche, il sait très bien qui vous êtes. Il connaît votre conseiller habituel, votre agence, il vous appelle même avec leur numéro, et en plus, il a vos informations personnelles. Bref, aucune raison de s'inquiéter. Surtout que vous n'avez pas le temps de douter, car il vous informe que vous êtes victime d'une cyberattaque. Il faut donc agir vite pour protéger votre argent. Cette situation vous est peut-être déjà arrivée. En tout cas, moi c'est mon cas et j'ai eu de la chance parce que ça s'est arrêté à temps. Vous l'avez compris, ce n'était pas du tout mon conseiller bancaire, c'était l'escroc lui-même. Certaines victimes se retrouvent à faire des virements, moi la personne au téléphone voulait mes papiers pour ouvrir un crédit en ligne à mon nom. Et évidemment, je n'aurais jamais vu la couleur de cet argent. La fraude par manipulation, dont font partie les arnaques aux faux conseillers bancaires, a atteint en France un niveau estimé à plus d'un milliard d'euros fin 2024 selon la Banque de France. Le principe est simple, les fraudeurs récupèrent des informations confidentielles, souvent après des piratages ou des fuites de données, puis s'en servent pour piéger leurs victimes. Ce n'est pas un cas isolé, ces arnaques font partie d'un phénomène bien plus large, la cybercriminalité. Et ça ne concerne plus seulement les personnes peu à l'aise avec Internet. Tout le monde peut se faire avoir. La cybercriminalité, c'est un phénomène massif, mais qui reste pourtant très difficile à chiffrer. Rien qu'en France, les estimations varient énormément. Par exemple Statista. évalue le coût de la cybercriminalité pour les organisations françaises à près de 119 milliards d'euros en 2024. A l'inverse, le cabinet Asteres, qui travaille notamment sur l'analyse des politiques publiques et des impacts économiques, l'estime plutôt autour de 2 milliards d'euros pour l'année 2022. Autant dire qu'entre les deux, l'écart est colossal. Et ça montre surtout une chose, il reste très compliqué d'obtenir des chiffres vraiment fiables. La CNIL, la Commission nationale de l'informatique et des libertés, qui est l'autorité chargée de protéger nos données personnelles, a donc choisi une autre approche. Plutôt que d'essayer de calculer un coût global un petit peu abstrait, elle s'est intéressée à quelque chose de plus concret, les conséquences directes pour les victimes. Et les résultats sont assez frappants. Sur les personnes interrogées, plus de 41% disent avoir déjà subi une utilisation frauduleuse de leurs données personnelles. Et parmi elles, plus de 20% a subi un préjudice financier. Le montant moyen des pertes est de 740 euros par victime. Et finalement, c'est peut-être ça le plus marquant. Derrière les grands chiffres un peu abstraits, la cybercriminalité touche aujourd'hui des gens tout à fait ordinaires dans des situations du quotidien. Un compte piraté, une usurpation d'identité ou un SMS produleux. Et souvent, on se dit que ça n'arrive qu'aux autres. Jusqu'au jour où ça nous arrive à nous.

• Speaker #2

  Madame, bonjour. C'est pour quoi ?

• Speaker #1

  Oui, c'est pour un dépôt de plainte.

• Speaker #2

  Très bien, ça sera sur la gauche avec mon collègue là-bas.

• Speaker #0

  Merci. Après l'histoire qui m'est arrivée, je suis allée porter plainte. Alors, pour comprendre ce qui se joue vraiment derrière ces arnaques, j'ai rencontré Jean-Pierre Passemar, un ancien gendarme spécialisé en cybercriminalité. Bonjour, il y a plein de questions que je me suis posées après cet appel avec mon faux conseiller bancaire. Déjà, comment la personne a fait pour avoir autant d'informations sur moi ? Et comment il a fait pour m'appeler avec le numéro de ma banque ?

• Speaker #3

  Alors, généralement, ces personnes utilisent des techniques qu'on appelle du social engineering. pour faire un environnement complet de la personne. Donc, ils vont aller récupérer des informations sur votre profil LinkedIn, sur votre profil JADO, sur différents documents qu'ils peuvent trouver sur Internet, des photographies, des noms de comptes, des adresses, etc. Et ensuite, ils vont utiliser toutes ces informations pour essayer de vous mettre en confiance rapidement. Et ensuite, s'ils ont récupéré un numéro de téléphone, Il n'y a rien de plus facile que d'utiliser des outils comme ce qu'on appelle une passerelle Ericsson qui vont permettre de masquer le numéro de téléphone réel pour pouvoir faire apparaître un numéro de téléphone, en l'occurrence, dans votre cas, celui de votre banque.

• Speaker #0

  Ok. Et alors, pourquoi les cyberpirates cherchent à récupérer des données, que ce soit des adresses mail, des numéros de téléphone ?

• Speaker #3

  Alors, toutes ces données, elles ont une valeur. On parle de l'or. du XXIe siècle avec nos données. Donc, toutes ces données ont une valeur sur un marché noir qu'on appelle, entre autres, le dark web. Et on va trouver sur le dark web des markets spécialisés dans lesquels se vendent de la donnée. Votre numéro de carte bleue, par exemple, avec les CCV pour pouvoir l'utiliser, les références de votre compte Amélie, les références de votre compte auprès de l'EDF, etc. Tout ça a une vraie valeur marchande et est vendu sur ces markets. Donc c'est une véritable économie qui ressemble tout à fait à l'économie classique, mais qui est une économie souterraine de la délinquance. qui existent sur la valeur de cette donnée.

• Speaker #0

  Et alors moi, qu'est-ce que j'aurais dû faire concrètement au moment de cet appel ? Est-ce qu'il y a des signes qui auraient dû m'alerter ?

• Speaker #3

  Alors déjà, la banque qui appelle en direct sur un numéro de téléphone, c'est peu probable. Ensuite, communiquer des informations sensibles à travers que ce soit le courriel ou en direct sur de la visio, c'est fortement déconseillé. Il faut être sûr de l'interlocuteur. que l'on a en face.

• Speaker #0

  Pour recommencer aujourd'hui, un gendarme en brigade, qu'est-ce qu'il voit le plus passer comme affaire ?

• Speaker #3

  Alors, il voit en grande partie passer des escroqueries diverses et variées. Donc ça va être par exemple des achats, des faux achats sur le Boncoin. Ce qu'on voit nous beaucoup ici dans le sud de la France, c'est également à la veille des vacances, de fausses annonces avec des demandes de versements d'art pour réserver des villas ou des appâts. de location pour la saison estivale. On a eu pas mal également de faux sites de crypto-monnaies où on invite des gens à placer de l'argent sur les différentes crypto-monnaies. On leur donne un site de référence pour pouvoir voir où en sont leurs placements. Mais en fait, tout est en leur. Donc, ils voient leur argent fructifié. Et j'ai eu, par exemple, une pharmacienne qui s'est fait escroquer de plus de 90 000 euros et qui avait toujours du mal, quand on l'a rencontrée, à admettre qu'elle était dans le déni et qu'elle voulait continuer à envoyer de l'argent, etc.

• Speaker #0

  Si jamais vous êtes victime d'une cyberattaque, le premier réflexe, après avoir changé vos mots de passe bien sûr, c'est de se rendre sur le site cybermalveillance.gouv, une plateforme publique qui aide les victimes et permet de déclarer ce qui s'est passé. Vous pouvez ensuite aller sur la plateforme Pharos, qui est le site officiel de signalement des contenus et escroqueries en ligne, relié à la police judiciaire. Surtout, il ne faut pas garder ça pour vous. N'ayez pas honte, ça peut arriver à n'importe qui. Et en tout cas, n'hésitez pas à aller porter plainte en gendarmerie. C'est le meilleur moyen de pouvoir, peut-être un jour, récupérer ce qui vous a été volé. Et alors aujourd'hui, justement, on voit apparaître de plus en plus de techniques de fraude plus réalistes avec l'intelligence artificielle. Comment les reconnaître et ne pas se faire avoir ?

• Speaker #3

  Alors l'intelligence artificielle, c'est très difficile. On trouve beaucoup ce qu'on appelle la deepfake, où on va être en mesure, à partir de l'intelligence artificielle, de créer de fausses séquences vidéo. Elles sont de plus en plus réalistes. Avec l'IA aussi, ce qu'on voit beaucoup, c'est des courriers bien rédigés. Maintenant, avec les IA génératives, on est tout à fait en mesure de pouvoir demander à l'IA de réaliser des... qui sont avec un certain style de façon à mettre encore plus le doute à la personne que l'on a en face et la convaincre de pouvoir suivre, par exemple, le lien de phishing que vous avez indiqué tout à l'heure. Le phishing, c'est du social engineering, donc de l'ingénierie sociale, où on va vous envoyer à travers un courriel une explication avec un lien hyper... texte à suivre. On va faire en sorte que, soit un caractère d'urgence, soit vous mettre une certaine pression, c'est-à-dire que vous avez très peu de temps pour répondre, sinon vous allez perdre de l'argent ou quelque chose comme ça. Donc, comme vous êtes pris sous cette emprise psychologique, vous allez cliquer sur ce lien et atterrir sur un site mis en place par l'escroc. pour pouvoir vous faire réaliser certaines opérations.

• Speaker #0

  Et du côté de la police, est-ce que ça arrive souvent de retrouver les auteurs ?

• Speaker #3

  Alors, quand les auteurs sont sur le territoire national, heureusement, ça arrive quand même que des enquêtes aboutissent. Après, si les auteurs sont à l'écranger... Ça devient beaucoup plus compliqué parce qu'il faut déjà qu'il y ait des accords internationaux qui permettent de travailler avec une police étrangère, par exemple. Et sur certains États, il n'y a pas toujours une vraie volonté de combattre cette criminalité.

• Speaker #0

  Ce qu'on comprend assez vite, c'est que nos escrocs sont très bien organisés. Et quand ils arrivent à toucher à notre argent, il va être très compliqué de le récupérer. Déjà, si on simplifie, le phishing va surtout toucher les particuliers, parce que c'est facile à automatiser, alors que le ransomware vise plutôt les entreprises, parce que ça rapporte plus. C'est un logiciel qui bloque un système ou des données et demande une rançon pour les débloquer. Selon l'entreprise informatique Cisco, un des principaux acteurs mondiaux des infrastructures réseau et de la cybersécurité, seulement 3% des organisations sont considérées comme vraiment matures en cybersécurité. Une organisation dite mature, c'est une structure où la cybersécurité est vraiment intégrée à tous les niveaux. Ils peuvent anticiper, former et surtout détecter et réagir. Ça pose donc un vrai problème, parce que ça veut dire que l'immense majorité des entreprises reste encore vulnérable face à des cyberattaques. Même si vous faites attention à votre niveau, les entreprises, les collectivités ou les organisations publiques, elles aussi, peuvent avoir accès à vos données. Et si, lorsqu'on parle d'attaque contre des organisations, on a parfois l'impression que ça ne nous concerne pas directement, les conséquences peuvent être très concrètes. C'est tout un système qui peut se paralyser.

• Speaker #4

  Pour une mairie ou une administration, on va dire une collectivité, que ce soit une métropole, une comité d'agglomération ou une région même, le risque est un peu le même.

• Speaker #0

  Lui, c'est Marco Campagna. Il a été responsable de la sécurité des systèmes d'information, RSSI, de la métropole de Toulon, la mairie de Marseille et celle de Sanary-sur-Mer. Il est actuellement ingénieur cybersécurité à la base navale de Toulon.

• Speaker #4

  Il y en a deux principaux. Le premier, c'est de voir son système informatique complètement bloqué. comme on a pu voir la ville de Marseille en 2020 dans le cadre des élections municipales. Donc là, les services municipaux s'arrêtent complètement. Donc ça veut dire pas de possibilité de délivrer des titres d'identité, pas de possibilité de délivrer des actes de naissance, pas de possibilité de délivrer des subventions. Enfin, tous les services municipaux qu'on connaît, le paiement parfois des crèches, de la cantine des écoles, tout ça peut s'arrêter. Et le deuxième, c'est avant de faire ça, il faut une copie de vos données. Donc ça veut dire qu'ils exportent toutes les données de la commune, de la collectivité au sens large. Pourquoi faire ? Pour demander une rançon à la direction de la collectivité, en disant qu'on a les données de vos citoyens. Et parfois ça peut être des données très sensibles dans les collectivités, parce qu'il peut y avoir des données RH du personnel, il peut y avoir des données de la médecine du travail, qui est souvent gérée en interne, donc des données de santé, des données de paiement aussi, parce que toutes ces informations peuvent être très sensibles.

• Speaker #0

  Et est-ce que c'est fréquent les cyberattaques dans les collectivités ?

• Speaker #4

  Alors, les tentatives de cyberattaques, c'est très fréquent. Moi, j'ai été ressuscité d'une métropole pendant plus de dix ans et c'était plusieurs attaques par jour. Mais enfin, je dis que c'est des tentatives, c'est-à-dire qu'on met en place des systèmes pour les détecter et les arrêter. Après, les cyberattaques avérées, moi, dans mon expérience, dans le domaine des collectivités, sur les dix ans, j'en ai connu environ une à deux par an. À peu près. Donc c'est relativement fréquent. Mais quand ça arrivait, c'était quand même assez grave.

• Speaker #0

  Et donc vous parliez tout à l'heure des ransomware, c'est le fait de bloquer le système et de demander une rançon en échange. Dans ces cas-là, qu'est-ce que vous préconisez ?

• Speaker #4

  Les consignes, c'est d'appeler les forces de l'ordre, la police, la gendarmerie, de signaler ça à l'Agence nationale de la sécurité des systèmes d'information, donc l'ANSI. Donc tous ces acteurs nous disent de ne pas piller la rançon. pourquoi ? Parce que... Il y a deux raisons majeures. La première, c'est qu'on n'est pas sûr que le pirate vous donne la clé. Deuxième raison, c'est que même s'il vous donne une clé pour déchiffrer, rien ne nous dit qu'il n'a pas gardé une copie des données. et qui ne va pas redemander une autre rançon pour ne pas qu'il fasse fuiter les données. Ce sont des grands groupes qui mettent en œuvre ces ransomware. Et du coup, si vous payez, vous entretenez finalement cet écosystème.

• Speaker #0

  Et est-ce que ça touche autant les petites que les grosses, par exemple, organisations ?

• Speaker #4

  Alors les attaques touchent toutes les organisations. On le voit tout le temps dans la presse. On entend moins parler des PME parce que ça défraie moins la chronique. Mais il faut savoir que ce sont les grandes victimes quand même, les PME. Ce sont des entreprises qui, souvent, n'ont pas d'informaticiens et, du coup, n'ont pas les moyens de se protéger. Et les organisations étatiques, c'est malheureux, mais ça dépend souvent de leur taille. Donc, il y a les moyens humains, mais aussi les moyens financiers. Mettre en place des solutions techniques de protection, mettre en place de la sensibilisation, tout ce qui va autour de la cyber-sécurité.

• Speaker #0

  Et justement, est-ce que certaines structures, je pense à des PME par exemple, ont déjà mis la clé sous la porte à cause d'une cyber-attaque ?

• Speaker #4

  Des PME ont pu fermer parce que... Ils avaient perdu tous leurs fichiers clients, ils avaient perdu toutes leurs données clients. Et du coup, tout reconstruire leur coûtait beaucoup trop cher.

• Speaker #0

  Et justement, comment on se protège au mieux ? Parce qu'au final, tout le monde peut être à l'origine d'une faille.

• Speaker #4

  Il faut sans cesse expliquer, mettre en place des sessions de sensibilisation. Je parlais aussi de gestion de crise, il faut former les gens à la crise cyber. L'aspect technique, mettre en place des solutions de protection, ça reste un métier technique. Il faut comprendre ce qu'on fait pour pouvoir faire de la cybersécurité. On parlait de taille aussi, actuellement, même les organismes étatiques comme les agences comme France Titre, vous savez la NTS, l'agence qui délivre les pièces d'identité, etc. s'est fait pirater. Donc même maintenant, les ministères ne sont plus à l'abri. Donc il faut continuer nos efforts.

• Speaker #0

  C'est d'ailleurs souvent là que tout commence, car l'erreur est quasiment toujours humaine. On peut avoir des systèmes de sécurité très performants, si les personnes ne sont pas sensibilisées, ça ne suffit pas. Alors comment se former ? En entreprise, ça passe souvent par des formations courtes, de la sensibilisation ou du e-learning. Parfois, certains employés reçoivent même de faux mails piégés pour tester leurs réactions sans être prévenus. Si ça vous intéresse, vous pouvez vous rapprocher du site du gouvernement cybermalveillance.gouv qui peut mettre des supports adaptés à votre disposition. Et si vous êtes un peu perdu et que vous souhaitez savoir où vous en êtes concrètement sur les questions de cybersécurité, il existe aussi MonAideCyber, un service proposé par l'ANSI. L'idée est très simple, vous échangez gratuitement avec un expert comme Jean-Pierre Passemart ou Marco Campagna par exemple, qui va réaliser un premier diagnostic de la cybersécurité de votre organisation. Et à la fin, vous repartez avec des recommandations concrètes et adaptées à votre structure pour savoir quoi améliorer en priorité. Alors oui, sensibiliser ses collaborateurs et mieux protéger les organisations, c'est très important. Mais derrière tout ça, il y a aussi une autre question. Qui va faire ce travail demain ? Là, il existe plusieurs parcours. On peut choisir des études longues en informatique ou en cybersécurité pour devenir de vrais experts. Et on en a grandement besoin. Il manque près de 3 millions de professionnels dans le monde pour répondre à la demande, selon un rapport du Global Cybersecurity Forum. Et aujourd'hui, ces besoins ne concernent plus uniquement des experts très techniques. La cybersécurité touche les grandes entreprises, les PME, les administrations, tous les secteurs et quasiment tous les métiers. Il faut donc des personnes capables d'avoir les bons réflexes, de comprendre les risques et de sécuriser les usages du quotidien. Des profils à tout niveau. C'est justement pour ça qu'on voit apparaître des formations plus accessibles, ouvertes à des parcours plus variés, parfois même sans bagage informatique au départ. C'est le cas par exemple de la formation Assistant Cybersécurité proposée par le CNED, qui peut se suivre à distance. Malgré le besoin énorme, il y a pour certains des freins importants. Les femmes par exemple restent encore sous-représentées dans le secteur. Et c'est dans ce contexte que des initiatives comme Women for Cyber, représentées par Charlotte Greer, cherchent à encourager plus de femmes à se lancer. Bonjour, alors déjà aujourd'hui en termes de parité, on en est où dans la cybersécurité ?

• Speaker #1

  La parité, ça veut dire un équilibre 50-50 entre les femmes et les hommes, et dans la cyber, on en est très loin. Donc on est plutôt à parler de diversité, pour avoir une forme représentative du nombre de femmes par rapport au nombre d'hommes, et la parité, on espère que ça viendra plus tard, mais on essaye déjà d'avoir une représentation significative. À l'heure actuelle, dans les métiers techniques de la cyber, on est à 17% de femmes en France. C'est un chiffre qui est en amélioration. Il y a à peu près cinq ans, on était plutôt à 11%. Malgré tout, on ne s'en satisfait pas. Il y a beaucoup de postes qui sont ouverts, qui ont du mal à recruter. Donc on se dit, mathématiquement, s'il y avait plus de femmes qui postulaient et qui pouvaient s'orienter vers les carrières de cyber, alors on pourrait plus nourrir. Les postes qui sont ouverts avec des talents en complément des talents masculins. En plus de ça, lorsqu'il s'agit de détecter des attaques cybermalveillantes, avoir des profils diversifiés, que ce soit des hommes et des femmes, avec des points de vue différents, on est beaucoup plus pertinent et donc meilleur dans les détections d'attaques. Face à ce constat, on a créé une association qui s'appelle Women for Cyber en France, il y a cinq ans, qui a l'objectif de présenter les métiers de la cyber aux femmes, pour attirer davantage de femmes dans ces métiers-là, mais aussi promouvoir les femmes dans les métiers de la cyber, parce que faire partie d'une minorité, ce n'est pas toujours ce qu'il y a de plus facile.

• Speaker #0

  Vous faites aussi partie du campus cyber, est-ce que vous pourriez m'expliquer en quoi ça consiste ?

• Speaker #1

  Le campus cyber, c'est vraiment un lieu totem de la cyber. Il a été créé pour regrouper les entreprises, les instituts de recherche, les instituts de formation, les start-up, mais aussi les associations dont Women for Cyber fait partie. Donc les idées foisonnent, les réseaux se créent, et c'est ainsi qu'on peut vraiment essaimer une bonne parole et que nos actions peuvent vraiment faire tâche d'huile au sein de l'ensemble de l'écosystème de cyber en France.

• Speaker #0

  Et alors comment est-ce qu'on explique aujourd'hui que les femmes soient si peu nombreuses dans ce secteur-là ?

• Speaker #1

  Alors, depuis un certain temps, les images des femmes dans la cyber étaient toujours un peu stigmatisées. Dans l'imaginaire collectif, les représentations n'étaient pas les meilleures pour donner envie aux jeunes filles d'embrasser ces carrières.

• Speaker #0

  En réalité, ce problème de représentation, il ne date pas du tout d'aujourd'hui. Dans les sciences et les métiers dits techniques, les femmes ont longtemps été mises de côté, voire complètement effacées de l'histoire. On parle d'effet Mathilda. C'est entre autres le fait que des découvertes réalisées par des femmes aient souvent été attribuées à des hommes. Pourtant, des pionnières de l'informatique, il y en a eu plein. Ada Lovelace, par exemple, est considérée comme l'une des premières programmeuses de l'histoire. Mais le problème, c'est que son nom ne vous dit probablement rien. Alors forcément, quand on grandit sans voir de femmes représentées dans ces métiers-là, c'est plus difficile de se dire « moi aussi, je peux y aller » .

• Speaker #1

  Le manque de représentativité, on a voulu le combler dans l'association Women for Cyber en créant des vidéos avec des femmes qui expliquent leur parcours, pourquoi elles ont envie, ce que cela leur apporte, quel est leur métier au quotidien, afin de présenter ces métiers aux lycéens, aux lycéennes, aux collégiens, aux collégiennes, aux professeurs d'orientation, aux référents métiers, afin que l'ensemble de la société, jusqu'aux parents, puissent voir qu'il y a des femmes qui s'épanouissent dans ces métiers-là. C'est une des actions de l'association qu'on fait notamment avec le campus pour sensibiliser dès le collège à la fois les adolescents mais aussi les adultes, le corps professoral et les parents qui les entourent pour que cet effet de représentativité puisse changer.

• Speaker #0

  Finalement, la cybersécurité, ce n'est pas un univers réservé à quelques experts enfermés derrière des écrans toute la journée. Aujourd'hui, c'est un sujet qui nous concerne tous, parce qu'on utilise tous Internet, qu'on reçoit tous des mails, des SMS ou encore des appels suspects. et qu'il suffit parfois d'un petit moment de fatigue pour tomber dans le piège. Évidemment, face à cela, les besoins explosent. Il faut bien sûr des experts techniques, mais surtout, pour protéger toute une société, il faut qu'elle soit correctement représentée. Ça passe par des profils variés en termes de parcours, de niveau d'études, de genre ou encore de milieu socioprofessionnel. C'est aussi pour ça que de plus en plus de formations accessibles, parfois à distance comme celle du CNED, permettent aujourd'hui de se former ou même de se réorienter vers ces métiers-là. Peut-être que le vrai enjeu maintenant, c'est justement de faire en sorte que davantage de personnes se sentent légitimes à y aller. Merci d'avoir écouté ce nouvel épisode de Perspective. Aujourd'hui, on a vu que la cybersécurité est un métier d'avenir, mais ce n'est pas le seul. Si ce sujet vous intéresse, vous pouvez retrouver notre documentaire sonore consacré au métier de demain. On revient entre autres sur les grandes évolutions du monde du travail pour comprendre quels sont les emplois qui prendront plus de place dans les années à venir. Si cet épisode vous a plu, n'hésitez pas à lui laisser une note ou un commentaire sur votre plateforme d'écoute préférée. A bientôt dans Perspective !