Cyber Sécurité : Gros piratage chez France Travail (Pole Emploi)

Mes amis, bien le bonjour. France Travail et Pôle Emploi viennent de se faire pirater. On leur a piqué les données de 43 millions de personnes. Nom, prénom, date de naissance, adresse, numéro de Sécurité Sociale. L'année dernière, en août, ils leur avaient piqué les données de 10 millions de personnes. Mais la brèche était moins grave dans le sens où je crois qu'à l'époque, ils n'avaient pas pu accéder à tous ces champs que je viens de vous citer. Ils n'ont pas pu accéder, par exemple, au numéro de Sécurité Sociale. Mais cette fois-ci, c'est le cas. Alors, j'ai travaillé des années dans la cybersécurité et j'aimerais vous révéler un secret. J'aimerais vous dire pourquoi les compagnies se font pirater ou les administrations se font pirater. Je vais vous dire. Si tu travailles dans une compagnie et qu'ils te piratent, c'est que les pirates sont meilleurs que toi. C'est vraiment... Il ne faut pas se défendre. Il ne faut pas dire non. Vraiment, c'est ça. Les pirates sont meilleurs que la majorité des compagnies et la majorité des administrations. Ça veut dire que dans les temps qui vont venir, le problème ne va pas aller en Saint-Mélion, il va aller en Saint-Garant. Je vous donne quelques indications. Par exemple, l'année dernière, au mois de mai-juin, il y a ce qu'on appelle une CVE. Une CVE, c'est un système d'aide pour indexer les vulnérabilités et leur donner un score. Plus le score est élevé, ça va jusqu'à 10. Plus le score est élevé, plus la vulnérabilité est sérieuse. Un score bas pour une vulnérabilité signifie que oui, elle existe, mais parfois, elle est même théorique. Un score de 2, par exemple, ça veut dire qu'elle est très complexe à exploiter. Il faut avoir un compte. Il y a des conditions très nombreuses qui doivent être remplies pour qu'on puisse l'exploiter. Combien même on l'exploiterait, ça ne donnerait pas grand-chose. Donc ça, ça a des niveaux CVE, on va dire, très bas, qui peuvent changer par la suite dans certaines conditions. Maintenant, Une vulnérabilité de 10, c'est hyper grave. Une vulnérabilité de 10, il y en a régulièrement d'ailleurs, ça veut dire que n'importe qui peut l'exploiter depuis dehors, il n'a pas besoin d'avoir de compte, il n'a pas besoin d'avoir un savoir particulier, ça veut dire parfois qu'il y a même des kits qui se vendent ou qui se distribuent gratuitement sur le Dark Web permettant à des bots ou permettant à des gens qui n'ont pas de connaissances particulières en hacking ou autre de les utiliser, parce que beaucoup de hackers sont des script kiddies qui vont juste télécharger un kit, un programme, ils vont l'installer et puis il va scanner pour eux l'internet ou le site qu'ils veulent, s'ils trouvent que la vulnérabilité est là, cliquent, cliquent, cliquent, et ça marche. Donc eux, ils ne savent même pas nécessairement quels sont les mécanismes de ce piratage, mais ils sont capables de l'exécuter par un outil qui leur a été fourni gracieusement ou contre quelques cryptos dans le Dark Web. L'ACVE qui avait frappé en mai-juin dernier, un programme qui s'appelle Movit. Le programme Movit est un software qui tourne sur des serveurs Windows et qui permet à des utilisateurs, depuis dehors, l'utilisateur comment il le voit, il le voit comme une sorte de formulaire ou d'application permettant d'uploader des documents. Donc, par exemple, tu peux uploader des documents, partager des informations. Moi, j'ai jamais eu de compte chez France Travail ou Pôle emploi, mais je pense que ça te permet d'uploader un CV ou d'uploader une pièce d'identité ou un truc comme ça. Donc, ces programmes, en général, déjà même quand ils fonctionnent bien, sont vulnérables. Pourquoi ? Parce que ce sont des programmes qui vont connecter le monde extérieur au monde intérieur. Ce sont des programmes qui permettent au monde de dehors de ramener des fichiers, de ramener des informations dans tes serveurs, dans ton cloud, tout ça. Donc, c'est toujours des lieux de piratage, c'est toujours des axes, c'est toujours des autoroutes qui sont très recherchées par les pirates. Dans le cas qui nous intéresse, en juin, on révèle que Movit a un CVE de type 9,8. 9,8, ça veut dire que ton système est ouvert. Ça veut dire, c'est comme si je te disais, tu prends les mots de passe de tes systèmes et tu les publies sur Twitter, quoi. C'est de ce niveau-là, c'est open. 9,8, c'est... Tu peux pas faire pire que ça. Donc, clairement, une fois qu'un CV de cette nature est sorti, là, les pirates vont commencer à bouger. Les pirates, les bots, les scripts qui disent, tout le monde va l'exploiter parce qu'elle est facile. Quand une vulnérabilité à 4,5 tombe, Franchement, il n'y a que des besogneux qui vont aller dessus, parce qu'il faut travailler, elle est compliquée. Mais du 9,8, tout le monde va dessus. Donc, elle tombe en mai-juin, je disais. Le Pôle emploi, où France Travaille, utilise Mouvit, l'application Mouvit. Ils se font gauler en août. Ça veut dire qu'entre juin, juillet, août, ils n'ont pas pu, ils n'ont pas pu placer un patch, ils n'ont pas pu désactiver l'application, ils n'ont pas vu, ils n'ont pas pu changer, parce que des fois tu peux bloquer la CVE, pas nécessairement toujours avec une mise à jour, parfois avec une mise à jour, parfois même pas. Parfois il faut changer les configurations, parfois tu dois installer un système ou changer comment tu déploies l'app et tout ça. Il y a des moyens des fois de contournement quand on ne peut pas mettre à jour tout de suite. Mais rien n'a été visiblement, rien n'a été déployé. On arrive en août, ils se font engoler 10 millions de personnes, se font piquer leurs données. Alors, pourquoi ? Je vais te dire un truc. Je reviens à ce que je disais au début de vidéo. Les entreprises et les administrations disent toutes nous sommes agiles, nous sommes dynamiques, nous sommes flexibles. Ça, c'est au cœur de nos valeurs. En réalité, c'est n'importe quoi. C'est des bullshit. Ils racontent n'importe quoi. Comme d'hab, ils ouvrent leur bouche et ils en sortent de l'égout. Ils racontent n'importe quoi. Ceux qui sont rapides, flexibles, dynamiques, agiles sont les pirates, pas les compagnies. Les compagnies, elles sont, il y a un problème qui arrive, mais comment on décide dans une compagnie ? À votre avis, comment on décide ? Parce qu'ayant travaillé longtemps dans la cybersécurité et dans les entreprises en général, dans la cyber et pas dans la cyber, ayant aussi vu et discuté avec des pirates dans le Dark Web et ailleurs, Je suis comme quelqu'un qui regarde un match de foot ou un match de tennis, qui voit les deux équipes. Je vois les deux équipes, je les ai vues travailler. Alors quand tu vois les deux équipes dans un match de foot, des fois au bout de 10 minutes, tu sais qu'il va gagner parce que tu vois le jeu des uns, le jeu des autres, la préparation des uns, la préparation des autres. Tu te dis mais qu'est-ce qu'ils font ceux-là ? Ils vont se faire ramasser, ça va finir 7-0 cette histoire. C'est pareil, c'est le même effet que ça te fait quand tu regardes le monde de l'entreprise et tu regardes le monde du hacking. Le hacking est flexible et dynamique. Ça signifie que le hacker, quand une CV d'un inférieur lui tombe, lui n'a pas besoin d'un approuval managériel. On a besoin de faire lundi prochain un meeting pour préparer le meeting de la semaine d'après pour décider, bon, on va voir qui doit être là. Est-ce qu'on appelle Karim ? Est-ce qu'on appelle Philippe ? Oui, Marc est en vacances. Je ne sais pas s'il pourra se connecter en Zoom, vu le décalage horaire. Ce n'est pas comme ça, les pirates. Ce n'est pas comme ça. Les pirates, il y a 9,8, je te garantis qu'à l'instant où ils tombent, ils sont déjà dessus. Ils sont flexibles. Voilà la rapidité. Bam ! Et là, tu es là comme ça. En tant qu'entreprise, tu es juste là, comme ces lapins qui sont dans les phares d'une voiture qui a réussi en route nationale, qui ne peuvent pas bouger. L'entreprise est paralysée face à ça. On a de la flexibilité chez les pirates. Deuxièmement, qu'est-ce qu'on a chez les pirates qu'on n'a pas en entreprise ? On a ce qu'on appelle le focus. Le focus, c'est... Imagine, t'es en train de peindre le salon chez toi. T'es en train de peindre, tu donnes deux coups de pinceau, le téléphone sonne, ils allument, machin, tout ça. Tu passes du temps au téléphone. Par la suite, tu regardes s'il y a une petite fin, tu descends au four, tu mets une pizza, tu remontes, tu remontes tranquillement, tu reprends ton pinceau, tu donnes deux coups, la pizza sonne, tu descends pour faire ta pizza. Après, tu dis, oula, j'ai oublié de laver le linge, il faut que je mette le linge dans le lave-linge, tout ça. Ta peinture, c'est pas fait. Pourquoi ? Parce que t'es pas focus. T'es dispersé. Quand on est dispersé, la tâche ne se fait pas. On a l'impression qu'elle a beaucoup duré, mais en réalité, on n'a pas beaucoup travaillé dessus. C'est pareil au niveau de l'entreprise. J'ai travaillé dans des titres liés à la cyber ou pas à la cyber. Je vous assure qu'il m'est arrivé des fois dans certaines boîtes où pendant deux semaines, voire trois semaines, je ne passais pas 60 secondes à la tâche pour laquelle j'étais payé, à la tâche qui était la mienne. 10 meetings qui durent trois jours. Ah oui, là, il faut aller rencontrer un client, on va aller rencontrer un client. Un VP qui vient, ben il vient, puis on se retrouve encore en salle de meeting. Après, il y a les mondanités, après il y a les machins. Je veux dire, on travaille quand ? Les pirates ne sont pas comme ça. Les pirates, ils passent 100% de leur temps à travailler. C'est ça l'avantage avec eux. Le pirate, c'est bam, c'est direct. Il fonce et il est focussé sur sa tâche. Il peut avoir un film qui tourne sur l'autre écran ou un truc comme ça, mais il bosse 100% sur sa tâche. Quand un pirate décide, il dit France Travail. Ah oui, on va les explorer, on va les comprendre, on va essayer de voir ce qui se passe. Il va travailler. Il va travailler bien plus que les gens qui sont à l'intérieur, qui sont les défenseurs. Alors quand tu as l'attaquant qui est plus focus que le défenseur, c'est clair qu'il va gagner. C'est l'attaquant qui va gagner. Quand tu as l'attaquant qui est plus dynamique, qui est plus agile, qui est plus flexible que le défenseur, qui va gagner à ton avis ? Forcément, c'est le hacker qui va gagner. Je te rajoute autre chose. Dans le monde du hacker, du hacking, ce monde-là est extrêmement méritocratique. Ce monde, t'arrives. Tu étais dans une équipe qui a fait sauter, je sais pas moi, Pôle emploi ou Sony ou machin, Entertainment ou n'importe quoi. Tu étais là-dedans ? Oui, j'étais avec eux. Ouais, ils ont laissé machin. On a réussi à faire une injection ou on a envoyé on a envoyé une e-mail. Le PDF a été ouvert par quelqu'un. Puis on a fait du mouvement latéral, machin. Tu es reconnu avec tes résultats. Tu es reconnu avec ce que tu peux faire. Alors que dans le milieu de l'entreprise, tu es reconnu par tes relations, tu es reconnu avec qui tu sors, avec qui tu es en contact sur Facebook, tu es reconnu avec qui t'apprécie, qui t'aime bien, qui machin comme ça. Ça ne marche quand même pas comme ça dans le milieu du piratage. C'est de la méritocratie, de la vraie, de la pure. Tu vois ce que je veux dire ? C'est ça, chez les pirates, c'est pas les crétins qui montent en haut de la pyramide. Il faut comprendre, c'est des gens sérieux qui montent en haut de la pyramide. Tu vois, donc le problème, c'est que... Voilà, c'est pas... En fait, l'entreprise n'est pas du tout en train de lutter à armes égales. Elle est en train de lutter avec un ennemi qui va incarner de vraies valeurs, de vraies valeurs de travail, de vraies valeurs d'honnêteté, de dedication, de focus, d'agilité, de flexibilité, d'intelligence. Et oui, mes amis, ils sont pas corrompus, les pirates. Alors... Je disais que... On va arriver en... On va arriver là, maintenant... à de nos jours, on va arriver en 2024 et bam ! Repiratage ! Repiratage à Pôle emploi, France Travail. Mais oui, mais on peut comprendre, on peut comprendre. Je peux vous annoncer même qu'il y aura des piratages dans le futur. Pourquoi ? Parce que quand tu te fais pirater, alors si tu te fais pirater d'un truc vraiment... C'était tellement compliqué, tellement recherché, tellement qu'on se dit... Ouais, je te comprends. Franchement, c'était tellement imprévisible que franchement, ils t'ont eu. Mais quand tu te fais pirater par une CVE à 9,8 qui est dehors depuis deux mois, je vais dire bon voilà quoi, c'est que t'as la politique de la porte ouverte, c'est tout. Donc si on va t'attaquer plus tard, moi je suis pas complètement surpris. Donc là ils ont encore été attaqués avec 40 millions de données qui sont en circulation et c'est extrêmement dommageable pour les gens parce que, qu'est-ce que ça va donner ? Les personnes qui achètent ce genre de données peuvent les utiliser direct, ils peuvent les croiser avec les données d'autres piratages et constituer quelque chose d'assez sérieux sur les personnes qui ont été victimes de cette perte de données. peuvent par la suite les utiliser pour créer un compte en banque à leur place, prendre un prêt. On est dans du vol d'identité, le plus souvent pour des raisons financières. Les gens qui utilisent ce genre de données, ils le font pas pour des raisons idéologiques le plus souvent, c'est pour de l'argent. Donc, qu'est-ce que ça va donner aussi ? Ça va donner que, par exemple, chez la personne honnête, tu vas aller à ta banque pour ouvrir un compte ou tu vas en ligne pour ouvrir un compte, et on va te casser les pieds parce que la banque est paniquée, parce qu'ils savent qu'il y a des données qui ont été volées, donc ils ont peur et tout ça, il faut qu'ils multiplient les vérifications et tout. Ça fait que, ben voilà, que la vie de celui qui vole les données devient plus facile que la vie de l'honnête personne. Tu vois ? C'est... C'est terrible, qu'est-ce que je veux que je te dise ? C'est... C'est la... C'est le dysfonctionnement de l'administration et le dysfonctionnement généralisé du milieu de l'entreprise qui fait que ces situations ne sont pas sur le point de s'arrêter. Et ce n'est pas une question de technique. Il ne faut pas réfléchir sur le plan technique. Quand, par exemple, Boeing a un Porsche qui a sauté sur un Boeing, entre autres choses. On peut tout de suite aller réfléchir comment la porte est installée, quels sont les vis, les boulons, les écrous, les machins, les systèmes de rétention, qu'est-ce qu'on a oublié, qu'est-ce qu'ils n'ont pas boulonné. Mais peut-être que ça ne sert à rien tout ce travail. Peut-être que ce n'est pas ça le plus important. T'as une voiture à la fin des sorties de route, elle est contre un platane. Alors, on peut commencer à mesurer c'était quoi la vitesse, c'était quoi l'inclinaison du virage, est-ce que le virage n'est pas dangereux, est-ce que le bitume est de bonne qualité, est-ce qu'il ne serait pas glissant, est-ce que... Finalement, si on oublie tout ça, si on laisse... On ne peut pas zoomer trop tout de suite. Souvent, pour comprendre une situation, quelle qu'elle soit, il faut dézoomer déjà, comprendre, voir les grandes images comme ça, et après aller vers le détail. Si dans le cas de l'accident de voiture, le conducteur était ivre, n'avait pas de permis de conduire, donc il s'est ramassé. Est-ce que ça vaut la peine d'aller analyser les éléments techniques ? vu les éléments humains qu'on a sur la table, c'est pareil pour la cybersécurité. Le gros problème de la cybersécurité aujourd'hui, ce n'est pas un problème d'application, ce n'est pas un problème de Java, ce n'est pas un problème de Firewall, ce n'est pas un problème d'IPS, ce n'est pas un problème de ça, c'est un problème d'humains. Tant que les humains ne peuvent pas améliorer leur jeu, on peut balancer autant d'outils qu'on veut sur ces branches de sécurité, on aura toujours ces problèmes. Il y a d'autres éléments que je veux partager avec vous mais je le ferai dans une autre vidéo. A très bientôt mes amis.