Transcription

• Speaker #0

  Bonjour à tous et bienvenue dans ce nouvel épisode de Kirites, le podcast de l'Institut des Hautes Etudes du ministère de l'Intérieur. Je suis Louis Cacret et aujourd'hui nous allons parler cybercriminalité et cyberenquête avec mon invité, le commandant Christophe Sansig. Christophe Sansig, bonjour.

• Speaker #1

  Bonjour, merci de nous recevoir, merci de votre invitation.

• Speaker #0

  Vous êtes en charge du pôle cyberenquête de l'OFAC, l'office anti-cybercriminalité. Je vous laisse peut-être d'abord vous présenter pour nos auditeurs et puis vous préciser un peu le rôle. rôle et le travail de l'office anti-cybercriminalité au sein du ministère de l'Intérieur.

• Speaker #1

  Je suis commandant de police au sein de l'office anti-cybercriminalité qui est un office de la direction nationale de la police judiciaire. Alors la direction nationale de la police judiciaire, on est en traite du haut du spectre de la criminalité organisée, la mafia entre autres, et parmi tous les offices qui composent la DNPJ, il y a l'office anti-cybercriminalité, particulièrement pour la criminalité organisée sur le volet cyber. Cet office a été créé en novembre 2023. Il est constitué de quatre pôles différents qui travaillent sur l'ensemble du spectre de la cybercriminalité. A ce titre, la DNPJ est chef de file dans la lutte contre la criminalité organisée au sens large. dans le même ordre d'idée, l'office anti-cybertribunité, nous, on est le chef de film dans la lutte contre la cybertribunité. criminalité et on coordonne l'action, l'investigation des services sur l'ensemble du territoire national. On prend toutes les informations et la donnée qu'on peut récolter sur des phénomènes les plus prévus qui sont les rangs sompliciels au Gilead-Potty.

• Speaker #0

  D'accord. Et votre parcours à vous avant d'arriver à l'OFRAC ?

• Speaker #1

  Alors j'ai un parcours qui n'a absolument rien à voir avec un geek. J'ai un parcours très opérationnel de la police, notamment dans l'investigation contre le Trimorgue, dans le sens large, à la brigade de répression du banditisme à Paris, brigade d'estudes au sud de la France, brigade criminelle et répression du banditisme dans les Antilles. J'étais aussi en poste à l'étranger, en Italie, comme officier de liaison. Le tribunal a été organisé pour lutter contre la mafia et l'engraide a plus particulièrement en lien avec la France.

• Speaker #0

  Alors peut-être pour commencer à poser le tableau, est-ce que vous pourriez me dresser en paix. panorama global des infractions cyber et des principales cyber menaces qui agissent aujourd'hui en France. Est-ce que c'est le phishing, ces SMS frauduleux qui visent à récupérer vos données personnelles ? Est-ce que c'est plutôt les rançongiciels, les escroqueries en ligne ? Quelles sont les infractions cyber les plus fréquentes aujourd'hui en France ?

• Speaker #1

  Tout d'abord, toutes ces infractions en France, elles existent. On a affaire à tout ce type d'infraction. Ensuite, plus que le le volume, le nombre des infractions, c'est plus la dangerosité et le préjudice ou la gravité qu'elles comportent. Alors le phishing, en soi, il y en a énormément, donc effectivement, on peut dire que c'est l'infraction la plus commune. Mais en fait, le phishing, c'est une étape avant des infractions plus... comme le renseignement logiciel, par exemple. Pour accéder à la rente logicielle, je vais essayer d'être le moins technique possible, mais en soit c'est, on vient mettre un malware dans un dans un système de traitement automatisé de données. Mais avant d'arriver à ce système de traitement, l'ordinateur de l'entreprise ou même du particulier, il faut pouvoir y accéder. Et là, on a toute une querelle d'acteurs, d'étapes, pour arriver à ce résultat. Et le phishing, c'est la première, en fait. C'est ce qui vous ouvre la porte sur les ordinateurs. Donc du coup, c'est là où il y a le plus de tests, parce qu'il y a beaucoup de déchets sur le phishing, il y en a beaucoup qui ne servent absolument à rien, mais parmi l'ensemble, une partie va servir pour la mise en place de ransom logiciels. Donc on a tout le spectre, nous, plus particulièrement à Lofact, on centralise l'ensemble des dossiers, des procédures de ransom logiciels, et toute la donnée de toutes les attaques depuis, je crois que c'est 2020, On est en train, on doit être à plus de 2600 procédures judiciaires en cours et à toutes les données de toutes les attaques, ce qui nous permet, nous, au niveau national, de pouvoir identifier les attaquants, les familles d'attaquants, et à partir de là, d'informer d'abord l'autorité judiciaire et ensuite les services police ou gendarmerie qui peuvent être saisis de l'enquête, en sachant que nous, on a toujours, en fait, un regard sur ces dossiers.

• Speaker #0

  Quels sont les secteurs les plus touchés au sein du pays ? Est-ce que le secteur de l'énergie, le secteur bancaire, est-ce que ce sont les administrations publiques ? On a vu ces dernières années une petite question d'attaque contre les hôpitaux. Quels sont les secteurs les plus critiques ?

• Speaker #1

  Tous les secteurs sont susceptibles d'être attaqués. De toute façon tous les secteurs sont attaqués. Que ce soit privé, public ou des administrations en fait ça dépend de l'infraction qu'est ce que recherche l'attaquant en fait alors les entreprises privées les grosses compagnies ce sera plutôt le ransomware parce qu'elles ont des capacités de payer éventuellement même si en france on ne fait pas les grandes entreprises également comme téléphonie mobile ou même l'énergie c'est pour récupérer des données clients qui peuvent servir par la suite pour faire une attaque ou pour pour des extorsions, etc. Les entités, les administrations, les entités publiques, il y a d'autres... Il peut y avoir d'autres objectifs. Des objectifs que nous, forcément, à l'OFAC, on ne va peut-être pas traiter, puisque si c'est quelque chose de plus étatique, ça va être les services de renseignement qui vont prendre en compte. Nous, on s'occupe de la partie criminelle. Mais dans la partie criminelle, il peut aussi y avoir bloquer un hôpital pour qu'il paye une rançon pour pouvoir les remettre en route, il y a un moment où on peut se poser la question de savoir est-ce qu'on ne va pas payer. Donc en fait, tout le monde est susceptible d'être attaqué, tout dépend de l'infraction. Les gens, le vol de données, 9 personnes sur 10 a fait l'objet à un vol de données parce qu'on a tous un téléphone portable avec un des opérateurs et pratiquement tous les opérateurs se sont fait voler, extraire l'ensemble des données des clients.

• Speaker #0

  Et puis dernièrement, les données de santé des Français.

• Speaker #1

  les français qui ont été Alors il y a aussi, il y a un bémol, c'est entre ce qui est médiatisé et la réalité des choses, il y a quand même un gap entre les deux, à savoir, alors certes il y a des données importantes qui sont dérobées, mais peut-être pas aussi gravement, peuvent gravement porter atteinte aux gens que ce qu'on veut bien en dire dans les médias. Il y a un peu un côté, on aime bien faire un peu de catastrophisme, mais c'est vrai que sur le volume c'est énorme.

• Speaker #0

  Alors pour bien comprendre qui sont les groupes cybercriminels qui agissent sur le territoire français. Est-ce que vous pourriez les catégoriser un peu ? On a en tête ces dernières années les groupes russophones qui se sont beaucoup manifestés. Il y a une quinzaine d'années, c'était la galaxie Anonymous qui incarnait pour le grand public la cybercriminalité. Est-ce que vous pourriez les caractériser et nous expliquer un peu comment ils sont organisés et est-ce qu'il leur arrive de collaborer entre eux ?

• Speaker #1

  Encore une fois, tout dépend... du type d'attaque. Je vais revenir sur les rançons JCL. Les attaques proviennent... C'est rarement franco-français. Les attaquants des groupes proviennent souvent de l'étranger et on dit Russie, bah oui. Un exemple, les Cantinics. Par exemple, le Cantin, on fonctionne par famille d'attaquants, de rançons JCL. Parce qu'il y a des affiliés, c'est-à-dire que quelqu'un qui fait une attaque ransom peut prendre le malware Cantin un jour, demain il va Merci. prend Akira et après moi il en prend un autre. Il s'affilie à des familles. Par contre, Conti, c'était l'un des plus grands ransom au niveau international, planétaire en fait, parce qu'ils attaquent tout le monde. Et eux, ils étaient structurés avec des affiliés qui étaient russes ou ukrainiens. Sauf que la guerre de 2022 a fait une scission au sein de ces groupes et Conti sur son site s'est rendiqué pro-russe. De fait, les ukrainiens à eux. qui faisaient partie de l'équipe, se sont désogalérisés de Conti et ont voulu se venger un peu. Et donc, il y a eu les ContiLix, c'est-à-dire que tous les échanges qui avaient lieu, etc., ont été publiés. Ce qui nous a permis, nous, d'avoir vraiment un éclairage sur la manière dont ça fonctionnait. Et en fait, Ransomware Conti, c'est une structure entrepreneuriale. Vous avez un COO, vous avez des COO, et vous avez plusieurs divisions. Vous avez une division spécialisée dans ce qu'on appelle le pin-test, c'est-à-dire comment réussir. à tester vos capacités et comment réussir quand même à les contourner pour rentrer dans une compagnie, je parle, pas pour un particulier, mais en même temps, ils avaient un groupe, une division aux int, pour aller récupérer des informations sur les particuliers ou sur les chefs d'entreprise de grosses compagnies, etc. Jusqu'aux cuisiniers. Là, vous voyez, c'est une vraie structure. Tous ne sont pas comme ça, mais nous, c'est la grande somme. À côté, nous en France, on a les vols de données, et les vols de données c'est plutôt pour ce qui les prix sur notre territoire et on n'a pas du tout à faire à ça on a plutôt à faire à des gens qui sont assez jeunes qui se connaissent en groupe qui sont structurés oui en groupe qui se sont connus via des messageries d'histoire télégramme parce qu'ils jouent sur les mêmes jeux en ligne et ils passent leur temps à ça d'ailleurs. Les très jeunes entre 14 et 18 ans souvent déscolarisés complètement asocial et qui ne vivent que dans le virtuel en fait ils ont jamais chez eux et dont les parents en fait ont complètement abandonné parce qu'ils peuvent absolument rien faire aussi parce que au démarrage très jeunes ils ont mis un ordi dans les mains pour un peu s'en débarrasser ils sont très calmes sauf que bon ils ont réussi à aller sur tous les sites et s'auto-former donc là c'est encore une autre forme vous voyez de groupes organisés et malgré tout qui font beaucoup de préjudice parce qu'ils récupèrent toutes ces données le troisième groupe derrière ceux qui réussissent à une fois que vous avez réussi à récupérer la liste et ce que vous en faites ces groupes qui faisaient ça un peu par notoriété pour montrer qu'ils étaient capables d'eux et que sur la toile, dans leur réseau, vous avez vu, nous on a réussi à faire telle société ou telle administration. Derrière, qu'est-ce qu'on fait de la donnée ? Il y en a qui la récupèrent pour les vendre. Et c'est encore une autre forme de groupe, c'est un petit peu plus organisé et ça leur permet de se faire payer de la donnée qui a été prise par des autres. Il y a une forme de, notamment pour les ransom, il y a aussi une forme de coopération les uns avec les autres. Puisque lorsque vous avez le phishing, c'est un groupe qui est spécialisé dont vous phishing pour arriver jusqu'à votre système de traitement automisé de données, vous avez un autre groupe qui lui va être spécialisé pour réussir à monter vos privilèges dans votre ordinateur on va dire. C'est-à-dire que là si vous êtes rentré dedans, vous êtes juste spectateur de ce qui s'y passe, maintenant il faut prendre la main pour pouvoir réussir à mettre un malware. Mais là ils sont spécialisés là-dedans et il y a un autre groupe en fait qui lui, bah lui c'est vraiment le malware, il va mettre le ransomware dans l'ordinateur et il va demander la rançon, il va la récupérer. Et tout le monde prend une part là-dedans. chacun va prendre son pourcentage sur la rançon qui aura été payée. Après il y a des volumes, vous avez Akira au niveau international, ils ont récolté pour cette année, pour 2025 pardon, 243 millions de dollars de paiement de rançon. Pas en France, parce qu'on a plutôt la réputation de ne pas payer et puis on a la réputation aussi que ça ne fonctionne pas, le ransom jcl. Je pense que le travail de l'OFAC, j'espère, il est pour quelque chose. On est moins impacté que d'autres pays. toute façon on ne paye pas.

• Speaker #0

  La règle c'est qu'on ne paye pas.

• Speaker #1

  Juste un petit mot sur lorsque vous payez vous avez un ransomware sur votre sur votre système c'est à dire notamment il vous a chiffré votre système c'est à dire vous n'avez plus à dire absolument rien enfin tout est illisible mais de toute manière ils ont aussi exfiltré votre donnée ça c'est certain lorsque vous payez pour avoir une clé de décryptage de ces données vous allez mettre la clé et effectivement à l'instant tout redevient Par contre, vous n'allez pas enlever le mal voir. Donc le groupe qui l'a mis en place, quelques temps plus tard, va le revendre. Et vous allez avoir un autre groupe qui va utiliser le même billet, le même fil, et pour activer le même malware avec une autre clé de chiffrement. Et on va vous redemander une rançon. Donc en fait, si vous êtes victime une fois de vous payer, vous êtes à peu près certain, dans un temps très court, vous allez l'être une nouvelle fois.

• Speaker #0

  Pour dresser un peu un panorama des cybercriminels français, est-ce qu'on peut dresser une typologie des différents profils ? Vous avez parlé des adolescents qui sont surdoués dans leur chambre, à qui les parents ont donné un ordinateur trop tôt pour s'en débarrasser et qui se sont formés tous tout seul. On pense aussi aux pirates qui peuvent agir de façon isolée en quête de trophées avec moins l'appât du gain que l'appât de la gloire d'avoir piraté un site réputé incraquable. Et puis, est-ce qu'il y a des groupes criminels français connus pour être implantés sur le sol français ?

• Speaker #1

  Oui, tout à fait. On a des groupes avec des noms plutôt anglo-saxons et qui sont aussi lié à des jeux en ligne. Et donc, ils se regroupent comme ça, en fait. Ça dépend de l'équipe. Par exemple, on peut avoir un type de, on va l'appeler attaquant, hacker, si on veut, très bon techniquement. C'est-à-dire que lui, il sait faire pour accéder sur des systèmes d'administration, trouver les failles qui vont lui permettre d'aller exfiltrer la donnée. En fait, il l'exfiltre, il la copie plutôt. C'est-à-dire que c'est pas que vous n'avez plus de données derrière, c'est qu'en fait, il la copie. à votre insu et ensuite il va la republier. Mais alors justement dans un groupe vous en avez un ou deux comme ça et après vous avez toute une querelle, une nébuleuse tout autour, une galaxie de partenaires mais qui sont beaucoup moins bons techniquement, mais alors qui vont avoir, qui vont savoir porter la parole, revendiquer les attaques les uns les autres, alors c'est C'est un groupe ou c'en est un autre, ou voir, pour pouvoir essayer de faire comprendre à la police que c'est pas nous, on va faire ce qu'on appelle du dot-sign, c'est-à-dire qu'on va publier sur des forums des informations aux hommes, mais c'est le groupe là qui a fait l'attaque, alors évidemment tout ça il n'y a rien de vrai là-dedans, c'est mieux de faire un autre travail pour essayer de remettre les choses dans le bon ordre. Mais voilà, ça c'est très franco-français, et souvent, celui qui est un peu plus technique, il est un peu plus âgé, dans l'informatique, dans le cyber, qui ne voient pas peut-être... Alors, il n'y a peut-être pas forcément, parfois oui, mais pas forcément, pas tout le temps, la volonté de faire quelque chose de mal, en fait. Mais de dire, non, voilà, moi, techniquement, j'ai réussi à le faire.

• Speaker #0

  Et si vous deviez donner une estimation à la louche du nombre d'accueils vraiment de nouveaux opérants français, opérants sur le sol français, vous en avez quelle fourchette ?

• Speaker #1

  Alors, nous, on retombe souvent sur les mêmes... On travaille sur le haut du spectre, je vous le disais, des NPJ, au FAC, forcément, on travaille sur un certain niveau de saisine procédurale. Donc là, on n'a pas énormément de gens qui sont en mesure de le faire. Techniquement, je dirais entre 10 et 20, à peu près. Et après, en dessous, alors là, c'est plus large, parce que dans les groupes, j'en ai un en tête, il doit être une vingtaine, à peu près.

• Speaker #0

  Et le taux de récidive est très important ?

• Speaker #1

  Ça, c'est le souci, en fait. c'est qu'on a beau... En plus, ils sont mineurs. Malgré tout, avant d'avoir... Je ne mets pas en cause du tout la réponse pénale. Malgré tout, on a la loi en France sur les mineurs. Elle s'applique à tout le monde. Et donc, comme on va nous les chercher le matin, et ils ont 14 ans, on va récupérer tout leur système. On va tout prendre, on va tout saisir, on va tout exploiter. Bon, le temps de la rétention de la garde à vue, il est ce qu'il est. Et rapidement, ils vont ressortir. Ils ont 14 ans en même temps, entre 14 et 17 ans. Sauf que... je ne vais pas vous dire le soir même, mais dès qu'ils vont avoir récupéré du matériel informatique, ils vont recommencer. Donc là, c'est là où il faut... Bon, après, il y a un moment où les choses vont s'arrêter, parce qu'il y a là une réponse, une vraie réponse pénale. D'ailleurs, on a une vraie... Là aussi, en France, on a une chance, c'est d'avoir une autorité judiciaire spécialisée dans la cybercriminalité, avec qui on travaille. Et donc nous, on a un panel de procureurs à J3, ils sont, je ne sais pas, une dizaine, je pense, avec une on interagit quotidiennement et on a à se retourner que vers eux. Parce qu'on fait des procédures. Le fond de la DNPJ, c'est faire de la procédure panale aussi. Il y a le côté technique, mais il y a aussi le côté procédural. Et cette chance d'avoir un seul service de procureur, c'est quand même beaucoup plus facile de le comprendre mieux. Donc du coup, aussi, il y a la réponse qui va avec. Le taux de récidive, je ne vais pas vous dire 100%, mais ce n'est pas loin.

• Speaker #0

  Comment ces groupes cybercriminels arrivent-ils à recruter ? Est-ce qu'il y a des parcours types ? vous parliez des étudiants en informatique, des autodidactes, des jeux en ligne qui permettent de sélectionner des nouvelles recrues ?

• Speaker #1

  Essentiellement, c'est ça. C'est-à-dire qu'ils se connaissent les uns les autres. Alors, il y a un peu le mystère, genre, anonyme, vous voyez, qui est derrière le masque, qui fait quoi, qui est où, on ne sait jamais trop, mais au bout d'un moment, ils se font approcher via les bâtiments. D'abord via les réseaux de jeux, etc. Après, c'est les réseaux Discord, Telegram, ce que vous voulez. Et c'est comme ça, en fait, qu'ils se créent. Après, il y a d'autres. Dans une partie un peu moins technique, il y a aussi des chaînes Telegram où on propose, où on cherche. Comme ils proposent la vente de stupéfiants ou les recherches de personnes pour vendre des stups ou proposer des stups, etc. Il y a aussi des chaînes Telegram, Discord, etc. où il y a des offres de services parce qu'on cherche un spécialiste dans le domaine. Mais on n'a pas affaire à la même population. Ceux qui vont répondre aux chaînes Telegram où on cherche des spécialistes, ce n'est pas forcément les plus spécialisés. Ils vont se servir un peu de l'IA pour récupérer un peu de technique, et ce n'est pas forcément le meilleur.

• Speaker #0

  Les motivations, vous avez évoqué la notoriété, le jeu, l'argent. Est-ce qu'il y a aussi une dimension idéologique parfois ?

• Speaker #1

  Oui, et en ce qui nous concerne, Parce que si tu es un homme, Si on arrive sur le volet idéologique, etc., c'est moins... On n'est plus dans la partie judiciaire. On est plus dans la partie de renseignement qui a aussi un volet judiciaire mais que nous, on ne traite pas. Ça, c'est les services de renseignement. Alors, évidemment, on échange. Lorsqu'on a de l'information, au contraire, on partage beaucoup ce qu'on a et on travaille beaucoup. Soit on peut travailler en co-saisine aussi avec ces services. Mais c'est eux qui s'occupent de cette partie. Mais lui, c'est la liste, bien sûr.

• Speaker #0

  Vous avez parlé de la coordination 23. avec les services de renseignement, avec... L'autorité judiciaire, en quoi une enquête cyber diffère-t-elle d'une enquête classique de police ? La dimension numérique des preuves, la traçabilité des données et des fonds, qu'est-ce qui différencie fondamentalement les deux ?

• Speaker #1

  Au démarrage, l'enquête est la même dans la cybercriminalité que dans la criminalité classique. C'est bien pour ça que je suis à ce poste-là, parce que pour le coup, je ne suis pas du tout geek. Mais j'ai une appétence pour les nouvelles technologies, etc. je ne sais pas du tout l'idée, mais par contre... les techniques qu'on applique à la brigade de répression du non-liquidisme, à la brigade d'estupes ou à la brigade criminelle, ce sont les mêmes que celles qu'on applique au sein de la cybercriminalité. En gros, en police judiciaire, on constate des infractions, on les relie à des tests de loi qui existent, on prend les traces et indices, et après derrière on cherche les auteurs. On fait exactement la même chose en cybercriminalité, sauf qu'il y a un volet un peu plus technique, cyber, numérique. Constater les infractions, c'est plutôt simple, c'est aller voir quand même ce qui se passe, à regarder, à exporter, les systèmes de traitement. Ensuite, les traces d'indices, c'est des traces d'indices numériques qui sont aussi travaillées dans des enquêtes classiques, mais nous, c'est un peu plus poussé. Nous, on travaille sur des IP. Et les IP, c'est pas l'ADN, mais un peu. C'est l'empreinte, c'est l'ADN. Voilà, on travaille là-dessus. Après, on relie avec la vraie vie parce qu'il y a des téléphones souvent, il y a des boîtes mail qui elles-mêmes rebondissent sur des boîtes mail, qui rebondissent sur des téléphones. Et là, on revient dans la vie classique ou là c'est plus du physique. et au final, comme on interpellait des gens, j'interpelle de la même manière que dans les autres services auxquels je n'ai plus participé. La différence par contre, c'est qu'on n'a pas de frontière. Les attaques cyber ne s'arrêtent pas à la frontière française. En fait, les attaques cyber, et donc nos acteurs, ils sont partout dans le monde. Ils peuvent provenir de partout. Les serveurs qui servent couramment des IP, ils peuvent être en France ou à l'autre bout du monde. Les auteurs et les acteurs, on peut avoir un affiné français qui est relié avec un dénordeur dans Russie ou dans d'autres pays. C'est la différence avec les autres enquêtes. Il faut être forcément... On a un volet coopération internationale.

• Speaker #0

  Et justement, quels sont les principaux obstacles dans vos enquêtes ? Est-ce que c'est la dimension technique qui pêche le plus ou est-ce que la dimension juridique et humaine va aussi freiner l'efficacité de vos enquêtes ?

• Speaker #1

  Alors, le... Le volet technique, certes, on est toujours en train de courir un peu, parce que la technique a voulu très vite, et nous, il faut qu'on essaie de la suivre. On a la chance d'avoir, enfin la chance, c'est aussi une volonté, mais d'avoir au sein de nos groupes d'investigation un groupe d'ingénieurs, qui sont dédiés que pour nous, et qui nous permettent aussi de ne pas perdre la main par rapport aux nouvelles avancées. Les obstacles qu'on peut avoir c'est surtout en France par exemple on a des services avec la loi française qui dit voilà vous devez conserver les données sur les serveurs pendant tant de temps pour une infraction si vous avez un serveur qui nuit et je vais prendre les ondes de l'allemagne le donné de conservation de données en allemagne c'est sept jours ont déjà un folie très vite et en fait là c'est un vrai c'est un vrai obstacle parce que déjà fournir à remonter le serveur dans le bon timing une fois que vous avez remonté des foules pour avoir la donnée faut agir très vite et très agir très vite mais en allemagne on n'a pas le temps de monter au une enquête, on n'a pas le temps. Alors du coup, l'autre aspect de Ausha, c'est qu'on est point de contact unique à l'international en ce qui concerne la cybercriminalité. Et du coup, on gère aussi la convention de Budapest qui nous permet de geler de la donnée à distance. C'est-à-dire qu'il y a une soixantaine de pays maintenant, je crois, qui l'ont signée. C'est-à-dire qu'on a une enquête, on n'a pas encore la structure juridique de la demande d'entraînement international ou européenne, etc. Mais il faut qu'on gèle tout de suite La donnée est au travers de la conscience. de Budapest, nous, à l'OFREC, on envoie des messages aux pays qui font partie de cette convention et qui ordonnent à la compagnie qui gère le serveur de bloquer la donnée. C'est-à-dire qu'on ne perdra pas. Même si on va l'avoir officiellement dans 6 mois, on est sûr de la récupérer. C'est un obstacle et ce n'est pas un obstacle, malgré tout, c'est long. Alors tout ça, c'est toutes les difficultés auxquelles nous, on peut être confrontés. Au niveau humain, non, on a la chance de pouvoir recruter. puis il n'y a plus d'affaires... cybercriminels sont médiatisés, et ça va de plus en plus, et plus long, on a des gens qui veulent venir chez nous, parce qu'ils comprennent qu'il y a le volet technique, mais aussi le volet policier. Donc du coup, on n'a pas de...

• Speaker #0

  J'imagine que la fiction qui s'empare des sujets cyber également crée des vocations.

• Speaker #1

  Oui, ça crée des vocations. En plus, on s'aperçoit qu'aujourd'hui, la fiction d'aujourd'hui, dans deux ans, ça sera sûrement la réalité. Donc, il y a une évolution comme ça. Évidemment, on attire plutôt des jeunes policiers. Merci. Bire ou tonneau, en fait, ça Ils ont la même culture que les acteurs derrière lesquels on court. Ils sont numérisés depuis tout petit. C'est plus qu'une appétence. C'est leur vie, c'est leur routine, c'est leur quotidien.

• Speaker #0

  Vous évoquiez l'évolution technologique très rapide et on pense évidemment à l'intelligence artificielle qui a un impact très important sur la dimension cybercriminel. Comment le FAC s'est structuré pour répondre à ces spécificités ?

• Speaker #1

  Dès 2023, elle s'est structurée pour vraiment jouer avec les quatre pôles pour pouvoir réussir à travailler tout le spectre. Ensuite, nous, au niveau du pôle des enquêtes cyber, c'est pareil. On s'est structuré par rapport aux infractions principales et aussi avec les divisions, les groupes, notre groupe d'ingénieurs. Et puis on répond aussi, là l'année dernière on a créé un nouveau groupe qui est spécialisé dans ce qu'on appelle les enquêtes sous pseudo parce que de plus en plus il faut travailler sur les chaînes Telegram, Discord, etc. On essaie de se coller aux nouveautés techniques qui apparaissent. Aussi il y a l'IA. Alors regarde, on va sur les forums, on participe à tous les forums pour voir un peu tout ce qui se passe. Pour l'instant l'IA, ça va être une vraie menace, ça c'est clair. Elle est déjà utilisée par exemple, je reviens une nouvelle fois sur le ransom c'est un exemple où on a eu l'utilisation de l'IA pour créer un ransom. Effectivement, ça a fonctionné. Sauf que nous, comme on les gère au niveau national depuis 4 ans, on n'a plus, je vous ai, 2600 dossiers, je crois, de tête. Lorsqu'on a vu celui-ci, on s'est dit, non, mais là, on a affaire à une nouvelle famille de ransom qu'on ne connaissait pas et qui, en fait, c'était un peu le ransom low cost. C'est-à-dire que rapidement, on a réussi à le déchiffrer, en fait. On n'a pas eu besoin d'avoir les clés, parce qu'on l'a fait nous-mêmes. Enfin, nous, ingé, on l'a fait nous-mêmes. Et ça, on s'est interrogué, on s'est dit, non, c'est compliqué. Et c'est comme ça qu'on a compris que ça avait été fait via un lien. Alors aujourd'hui le rendu n'est pas terrible. C'est sûr que d'ici la fin de l'année, je te le dis à prenant de ses ors, d'ici l'année prochaine peut-être qu'ils seront en mesure de faire beaucoup mieux en fait. C'est là où il faut tenir. Il y a d'autres techniques. Vous avez ce qu'on appelle le voting, c'est à dire lorsque vous avez un appel téléphonique ou vous avez automatisé, bonjour monsieur je vous appelle, vous avez dire non bonjour je suis pas d'accord arrêtez de m'appeler vous raccrocher là déjà vous avez une dizaine de mots avec ça on peut recréer votre votre votre voix et faire un carrément un message avec votre voix ça peut mettre votre signe et ça après si je prends un téléphone je me fais passer pour conseiller bancaire vous allez répondre vous allez me parler ça aurait pour l'instant c'est pas très utilisé mais c'est quand même faut savoir il ya le fait si c'est pareil on peut en besoin de vidéos quelqu'un d'autre qui n'a absolument rien à voir avec alors que même je suis en train de me filmer ça c'est aussi lié à l'IA, il va falloir y faire attention nous on le suit très près, on essaye aussi d'utiliser l'IA dans nos enquêtes mais comme c'est pas 100% nous, notre résultat, quand on cherche quelque chose, c'est de la procédure pénale on doit être sûr à 100% de ce qu'on étudie l'ADN, il faut qu'on soit sûr à 100% qu'il appartienne à une personne c'est pas 99% sauf que l'IA, les réponses qu'elle nous donne elles sont à 80%. Donc pour l'instant, on ne peut pas se fier que à l'IA, donc il y a toujours une partie humaine, un opérateur derrière. Mais voilà, c'est pareil, c'est quelque chose qui va évoluer au fil du temps.

• Speaker #0

  Et justement, votre collaboration avec les acteurs privés que sont les hébergeurs et puis les plateformes, vous avez évoqué Telegram, dont le dirigeant a été placé en garde à vue en France, il y avait des tentatives dans la dernière loi narcotrafic de pouvoir Heureux. décrypter certaines conversations utilisées par des narcotrafiquants. Comment réussissez-vous à collaborer dans le cadre de vos enquêtes avec ces acteurs qui sont, encore une fois, de droit privé ?

• Speaker #1

  On a tout un réseau de ce qu'on appelle de contacts privilégiés avec nombre d'entreprises, bien sûr, mais surtout privées, qui sont dans le domaine cyber-alors. Il faut savoir que la loi française leur impose de nous répondre, qu'ils soient en France ou ailleurs. C'est à compris... Pavel Durov, le directeur de l'Ivéram, c'est qu'à force de ne pas nous répondre, il allait être exposé à des sanctions judiciaires. Il a fini par le comprendre. En fait, ils ont joué aussi sur le fait de dire, nous, on ne répond pas à la police, forcément, vous allez faire un appel d'air à toute la criminalité qui puisse exister. Donc, peu d'entreprises ne répondent pas. On a quand même ce qu'on appelle des VPN, vous savez, pour un peu brouiller les pistes des IP. Alors, il y a des entreprises qui ne répondent pas. pas et qui sont souvent à l'étranger Ils font très attention de ne pas mettre un pied en France, parce que là on a une réputation maintenant où ça peut faire mal. C'est pas la majorité, heureusement. Les compagnies, de manière générale, collaborent avec nous.

• Speaker #0

  Est-ce que vous pourriez nous partager quelques anecdotes marquantes issues de vos enquêtes, évidemment, sans compromettre des dossiers en cours ?

• Speaker #1

  Pour donner un ordre d'idée de ce à quoi on peut être confronté ou travailler, il y a quelques années, il n'y a pas très longtemps, on a un service, une agence étrangère qui nous contacte et qui nous explique que dans un paradis fiscal, très loin, une banque dans la crypto monnaie et dans la vente de nft ils ont employé un spécialiste pour sécuriser les transactions ce spécialiste ukrainien russophone directeur d'une entreprise entreprise en Royaume-Uni, a fait le système dont ils avaient besoin. Sauf qu'après, ils ont eu un petit souci commercial entre eux, et ce que lui avait oublié de dire, c'est qu'il avait fait ce qu'on appelle une batte d'or, une porte dérobée, qui lui a permis, puisqu'il n'était pas content, de siphonner 14 millions de dollars en crypto-monnaie en 3 secondes. Et eux, ils ont essayé de courir derrière leurs 14 millions de dollars, parce qu'effectivement, les 14 millions, peut-être, pouvaient appartenir à diverses entités qui étaient vraiment nettoyantes. n'étaient pas d'accord avec ça. Donc une enquête a été menée par l'agence étrangère et l'acteur principal était venu sur le territoire français. Alors ils nous ont contacté tout de suite pour nous dire non mais on a besoin de vous, d'autant que nous, toujours avec la structure de l'autorité judiciaire, avec le droit français etc. on a quand même pas mal de possibilités et d'opportunités. Et donc là on a envoyé une enquête sur ce monsieur qui lui-même était entouré d'une galaxie d'influenceurs, enfin ils Ils étaient une dizaine, entre 20 et 25 ans, qui vivait une vie grand train. Alors le temps de réussir à savoir où ils étaient exactement en France, sur Paris, ils étaient partis dans le sud de la France, louer une maison de 10 000 euros par jour. Et on s'organise, on arrive à le trouver. Et de là, ils finissent par prendre un hélicoptère pour aller jusqu'en Sardegne, puis sur l'île d'Alpes, puis sur Capri. Mais on a réussi malgré tout à s'organiser. Moi j'ai eu la chance de travailler un peu en Italie, donc d'avoir encore quelques connexions là-bas. Et on a fini. par aller les interpeller sur la côte à Malfitaine sur un retour d'un trip qu'ils avaient fait à Capri je peux vous assurer que là, quand ils sont descendus du bateau ils ont vu la police de partout et notamment la police italienne elles ont réussi quand même tout de suite à récupérer pas moins de 7 millions sur des clés légères voilà, ça c'est la dette de Troyes on travaille sur une entreprise enfin sur une victime dans un paradis fiscal très très loin d'ici sur une entreprise qui est immatriculée en Angleterre avec un gars qui est la Russe et qu'on interpelle en Italie.

• Speaker #0

  Et est-ce qu'il y a des affaires particulièrement marquantes dans l'histoire de l'OFAC ? Je pense à l'affaire Emotet ou autre qui vous ont particulièrement marqué.

• Speaker #1

  Oui. Emotet, entre autres, mais une grande qui a... Enfin, on en a plusieurs parce que franchement, on travaille sur des domaines... Moi, personnellement, c'est Stylio CC. Stylio CC, c'est vraiment un dossier à plus d'un titre. Tout d'abord, sur le volume. On a le dossier initial Sky qui est traité par l'OFAC, c'est-à-dire la procédure, les serveurs, comment remonter, réussir à récupérer la donnée, plus d'un milliard de messages qui ont été récupérés, qui ont été travaillés pour pouvoir une phase live où on sait exactement ce qui se passe. Mais c'est surtout qui utilisait Sky ECC, c'est l'agriculture organisée mondiale. Le bénéfice que donnait Sky pour tous les clients, c'est que... disait son créateur et son vendeur, c'est que personne, votre privacy est vraiment hyper solide parce que de toute façon personne ne peut récupérer, ne peut créer notre système de chiffrement. Donc l'accrématité organisée de manière générale a plongé avec cette appli pour prendre cette appli, l'utiliser et en plus de manière hyper libre. on a des échanges avec des images d'exécution, vente de stuf, vraiment le plus sordide de plus sordide. Une série de Netflix, mais en vrai. Et ce qu'il faut savoir, c'est qu'une grande partie, ça c'est ce que les Belges nous disent, c'était eu employé par le haut du spectre de la communauté organisée, il y a eu plus de 7 000 interpellations dans tout le monde grâce à Sky, des centaines de tonnes de stupéfiants, Des centaines d'armes et des millions qui ont été récupérées, mais surtout il semble que 80% des gens qui ont été interpellés, qui font partie du haut du spectre de l'incriminateur organisé, étaient inconnus du service de police ou de justice. Ce qui veut dire quand même qu'on a touché au cœur de l'incriminateur mondial. Et aujourd'hui, pour donner une idée, c'est que Sky, on a toujours l'admiration, on traite toujours un donné, on a toujours des demandes qui proviennent en demandes d'entraide internationales de tous les pays dans le monde, on est à près de 3600 procédures pénales traitées. Donc voilà, c'est vraiment un dossier emblématique. On en a eu d'autres derrière, en téléphonie cryptée comme ça, qui ont été plus distinctes, toujours avec un haut niveau, mais celui-là c'est vraiment emblématique. Il a éclairé sur les usages des uns et des autres au niveau des groupes criminels. Il a éclairé aussi sur le fait que, contrairement à ce que vous pourriez penser au niveau stupéfiant, les groupes crimes narcos ne ne sont pas forcément que concurrents, mais peuvent être aussi complémentaires ? C'est-à-dire que les uns et les autres, comme une entreprise en fait, vous font bénéficier de leur chemin d'accès ou de livraison de stupéfiants ou même de paiement, etc. C'est vraiment un dossier emblématique et puis surtout mondial.

• Speaker #0

  Avant de conclure, est-ce que vous pourriez nous dire comment vous voyez l'évolution de la lutte contre la cybercriminalité dans les 5 à 10 années ? Je sais que vous avez évoqué la rapidité des évolutions technologiques et des évolutions. l'évolution de la criminalité, comment va évoluer la réponse ?

• Speaker #1

  5-10 ans, c'est impossible d'avoir une idée déjà, déjà un an, deux ans, vu à la rapidité de l'avancée. Ce qui est certain, c'est qu'il faut qu'on soit... Bon, déjà, nous, en France, on est organisé. maintenant. Les choses sont claires, on sait qui fait quoi. Le décret de 2023 a donné des prérogatives pour le FAC, sur l'investigation dans le cadre de la cybercriminalité. On est organisé au niveau, c'est déjà important en fait, de ne pas se disperser. Parce que ça permet aussi de mutualiser des moyens, de mutualiser des compétences, et de ne pas se disperser. Parce que lorsqu'on utilise des outils, c'est pareil, on On utilise des logiciels qui sont créés et vendus par le privé, à des tarifs de licences qui sont astronomiques. Il faut s'organiser pour en acheter une et la mutualiser. Enfin, je dis une, ça peut être dix, mais il faut mutualiser les systèmes. Sinon, si par service vous le faites, ça devient impossible. Donc là, c'est la première chose. Ensuite, il y a un côté, c'est le volet international, la coopération internationale. Et là, c'est vraiment très important dans ce domaine, puisqu'on n'a vraiment pas de frontières. On est très bien organisé, c'est bien mis en place, mais ça se développe encore avec Europol, puisqu'on a un J4, nous on fait partie, on partit à Télend tous les jours, on a un contact avec Europol, on monte des task forces dans plein de domaines différents, à être plein de pays qui sont impactés par tel ou tel phénomène, si vous voulez, et c'est tout comme ça qu'on peut répondre, et aussi en utilisant notre savoir-faire. dans le cadre par exemple d'impact, ça va être l'Europe et la Commission européenne, on a des stratégies sur 3-4 ans, on dit bah voilà, sur tel domaine, nous on a réussi, notamment pour les ransomware, on a réussi à juguler, à faire baisser parce qu'on a mis en place un protocole particulier, et bah en fait ce protocole là, on veut l'upgrader et surtout le partager au niveau européen. Et c'est ce qu'on est en train de faire là, avec une... dans de nouvelles actions avec un pacte. La seule réponse, c'est une coopération internationale, mutualisation, organisation.

• Speaker #0

  Et comment le grand public peut-il contribuer à cette lutte contre la cybercriminalité ?

• Speaker #1

  On a la plateforme Pharos qu'on gère au sein de l'OFAD. C'est dans un des pôles, Pharos, TZ. TZ, c'est pour une prise de plainte estro-trioline, mais Pharos aussi, le signalement est plus largement. Il ne faut pas hésiter à l'utiliser, parce que ça nous fait remonter de l'information, Nous allons être là. et on traite vraiment ce qui arrive en signalement sur cette plateforme. C'est un 7 jours sur 7, 24 heures sur 24, ça ne s'arrête jamais en fait, avec un volume à travailler. Alors après, au-delà du signalement, avant le signalement, la prévention. En fait, il faut bien expliquer les risques auxquels les particuliers peuvent faire face et en fait faire le plus... attention possible et en fait souvent très simplement l'appel de votre de votre agent bancaire sur votre téléphone pour vous dire faut faire un transfert immédiat parce que vous avez un souci de moi ça faut absolument on peut y croire évidemment des mails qui vous arrivent avec une livraison d'un objet que vous n'avez jamais commandé mais qui vraiment je trouvais ça extraordinaire on va mieux s'en méfier ne pas ouvrir à des fichiers qui peuvent vous paraître que vous ne connaissez pas en fait tout simplement en fait c'est vraiment ça paraît tellement simple au démarrage mais tout le monde arrive à se faire avoir c'est pour ça que le particulier doit vraiment faire attention à l'outil à ce qui peut le mettre en danger au niveau numérique il faut faire attention après pour les sociétés pour les administrations nous je t'en dis simplement mettre en place par exemple une double identification ce qui se fait beaucoup maintenant avec les banques c'est à dire que vous allez sur votre système de banque avec votre appli je vous ai envoyé un code sur votre portable, vous envoyez-vous le code. Rien de ça en fait. Ça vous enlève 90% des attaques que vous pouvez avoir. Et ça, il faut le faire tout le temps en fait. Il y a eu des messageries dans des administrations au niveau privé qui ont été captées, dont les messages ont été récupérés avec l'ensemble des fiches contacts, etc. Mais ça, c'est pareil. Il suffit juste d'avoir une double identification. C'est-à-dire que vous vous identifiez avec votre votre mail est en code, et derrière, vous en recevez un autre, sur une autre boîte, sur un téléphone, sur autre chose, en fait, qui vous permet de vous réidentifier. Et là, ça enlève une grande, grande partie des difficultés que vous pourriez avoir à faire face.

• Speaker #0

  Commandant, merci beaucoup pour cette discussion passionnante, et merci à nos auditeurs de nous avoir écoutés. Je vous donne rendez-vous dans 15 jours.