Panorama de la Cybermenace 2025

Bonjour et bienvenue sur NonLimiteSécu le podcast francophone hebdomadaire des diales à cybersecurité Alors aujourd'hui nous avons le plaisir de recevoir le directeur général de l'Anci Vincent Strubelle. Bonjour Vincent. Bonjour. Pour discuter avec lui les contributeurs NonLimiteSécu sans Herve et Choreux. Bonjour. Marc Antoine le dieu. Bonjour et Nicolas. Bonjour. Alors Vincent en premier dieu est-ce que tu voudrais bien te présenter et nous s'indiquer ce qui t'a poussé à te intéresser à la cybersecurité? Alors Vincent Strubelle je suis actuellement dégée de l'Anci mais je y ai fait l'essentiel de ma carrière puisque j'ai rejoint ce qui s'appelait pas encore l'Anci, s'appelait la DCCC en 2025 et un peu par hasard parce que à la base moi je voulais faire de l'informatique que je voulais écoder dans Noyau Linux et un jour on m'a quelqu'un qui se reconnaîtra peut-être ma convaincu qu'on pouvait faire ça au sein de l'Etat et quand la question s'est posée de où? Il y avait des gens qui faisaient ça pour la cyber, ça s'appelait pas encore la cyber plutôt offensive mais il ne voulait pas me dire ce que j'y ferai et puis d'autres qui faisaient de la cyber défensive. Ça s'appelait pas non plus de la cyber et il me proposait de causer coder en truc dans FreeBSD puis un jour Linux qui s'est appelé ClipOS. Et donc c'est comme ça que je suis tombé dans la cyber parce que c'était pas du tout la cyber là basque je voulais faire mais c'était ce qui avait plus intéressant à faire au sein de l'Etat en informatique. Et au départ qu'est-ce que tu voulais coder dans Noyau Linux? Je ne sais pas, je voulais. Je devrais pas. voilà, j'avais envie de coder des trucs et on m'a proposé de coder un OS sécurisé, souverain, ce n'est pas encore un concept non plus l'OS souverain mais voilà. Et je découvre que je pouvais faire ça et servir mon pays en même temps. Les gens intéressés pour en aller voir la conférence à Stig 2015, la conférence de clôture qui est sur ce thème qui est encore disponible en enregistrement sur le site. Ça ne nous rajeunit pas. Alors donc aujourd'hui nous allons parler du panorama de la cyber monace, un rapport que vous produisez annuellement. Qu'est-ce qui vous a poussé à produire sur rapport? Alors le panorama de la monace, c'est quelque chose qui, qu'on fait depuis déjà quelques années, qui nous permet de parler de monace cyber parce qu'on ne fait pas en direct en général. D'abord parce qu'on ne parle que de ce qu'on comprend et de ce qu'on maîtrise et en direct sur une cyberattaque, généralement il y a que l'attaque en quissé. Et donc nous, on ne parle pas en direct, on préserve aussi les victimes. Donc on a trouvé ces moyens-là de partager un peu notre vision du paysage de la monace de manière anonymisée parce que noyer dans la masse, on s'y bleue pas sauf quatre et particuliers et on accorde avec les victimes une attaque en particulier. Et puis, et c'est de plus en plus d'util avec les années qui passent, de donner un peu de recul, un peu de temps froid sur une monace alors qu'il de plus en plus rythme l'actualité. Donc on a chaque semaine, ça cyberattaque marquant très visible. Il y a des choses qu'on voit pas aussi, il y a des cyberattaques, des spyonages et des choses comme ça dont on ne parle pas en général. Mais voilà, se prendre un peu ce recul, le côté statistique, le côté décortiqué, analysé ce qu'on a vu, le comparer aussi avec ce qu'on voit l'étranger, aussi un des publications, des choses comme ça, donc on fait le lien entre ce que nous, on voit, est ce que voit des partenaires, ce que voit le secteur privé, ce que voit des chercheurs par exemple. Et quelque part c'est un peu un compar à posteriori, ça nous permet de voir année après année comment la menace est volue, qu'est ce qui est les grandes tendances, les choses qui doivent nourrir nos actions mais aussi peut-être mesuré, et permettre de mesurer l'efficacité de certaines choses. Mais quels sont les sources de données que vous utilisez, est ce que c'est uniquement des cas sur lesquels elle est intervenu la gence, ou est ce que vous intégrer aussi les gens que vous renvoyez par exemple vers du cyber malveillance ou des prestataires prises ce genre de choses? C'est un peu tout, c'est essentieira, c'est les choses qui ont été traités à un moment ou un autre par l'ANSI. Donc, on des, on, des, on, il y a des choses qu'on, alors il y a un tout un jargon, on parle de d'événements de cyber-sécurité, c'est globalement quelqu'un qui nous a contacté pour ne dire, il se passe quelque chose, donnez moi votre avis. On parle d'incident cyber-sécurité, lorsque l'ANSI a été mobilisé pour traiter une attaque. Mobiliser ça peut vouloir dire plein de choses, ça peut vouloir dire, ça assurer que la victime est en relation avec un prestataires qualifié, donner quelques conseils, ça assurer qu'ils ont bien pensé à tous les choses à faire, ou ça peut veut dire vouloir à l'extrême lancer une opération de cyber-défense qui va mobiliser 10-15 personnes pendant des semaines et mois. Donc voilà, il y a toute la gradation des traitements, mais la source de données fondamentale, c'est ce qu'on a vu passer, ce qu'on a traité, comment on la traité, et on fait pas une collecte d'informations à postérieux riz, auprès des six heures de régionaux, des prestataires, des acteurs de cette nature-là, si on leur a transmis le dossier. On a généralement un peu de suivi, mais on va pas faire un sondage, un approfondissement auprès de. Et puis, à l'intercerte, il fait aussi son propre bilan. En vrai, sur un traitement d'incidence cyber, aujourd'hui, il y a toujours une multitude d'intervenants, enfin, il y a des prestataires privés, il y a des six heures, il y a potentiellement plusieurs six heures de la victime, de la région, du secteur d'activité, de l'ancif. Il y a potentiellement la police, enfin, la récitation, ou la position. Il y a la police, il y a la judiciaireisation, donc tout ça, ça fait partie des choses qui font aussi que c'est compliqué pour nous de parler de manière un peu naturelle de la menace, parce que on a toujours des contraintes de judiciaireisation, de choses comme ça. 12, le bénéfice de prendre un peu de recul sur l'année écoulée, ce qui nous permet d'en parler plus facilement. Et puis évidemment, de le repositionner, on a aussi des sources d'information externe, des filles de données diverses évarielles, des partenaires internationaux, du privé, etc. Donc on cite, on sait qu'à là. Et donc, quand on utilise des données externe, on les cite dans le panorama, et pour ça, c'est pour ça qu'il y a une longue liste de références à la fin. - Bon, et du coup, qu'est ce que vous avez vu? T'es-ce qu'il faut retenir de l'année 2025? Et surtout qu'est-ce qu'en quoi les différentes de 2024? - Alors, il y a des choses qui ne changent pas, et c'est ça qui a peut-être choqué certains dans la présentation de ce rapport. Le volume global des incides entretés par l'ANSI est quasiment identique en 2024 et 2025. 1361 incides entretés en 2024, 1366 en 2025, donc c'est pas une différence statistiquement significative. Alors même qu'on a pu avoir l'impression d'une explosion globale de la menace en 2025 au gré des filles de données, des vols de données. Donc voilà, il y a une réalité du vol de données comme une évolution majeure du paysage de la menace, c'est quelque chose qui a augmenté en tant que tel, mais qui est un effet de vaste communiquant qui fait que le niveau global, d'autres attaques ont disait diminué, le rang de ce moire un petit peu. Et donc, on est sur une volet-métrie constante par rapport à 2024, par contre il y a une différence entre 2024 et 2025, ce qui est en 2024, il y avait les choses ont n'impic et par l'impic. Donc pour nous c'était une année record, donc on a reproduit une année record, et quand on compare ça à un passé même récent, on est sur un plus 60% en trois ans. Par exemple en 2022, il y avait 800 assidents traités par l'insid. Donc on est quand même sur une explosion au cours des dernières années de la menace. Donc ça c'est quand même le fait macroscopique majeure de ce panorama. Après, il y a plein d'autres choses. On voit de la recomposition de tous les différents pans de la menace du paysage cybercriminel organisé ou pas, du paysage activiste, et puis évidemment de ce qui nous occupe quand même la plupart du temps, c'est les attaques étatiques. Et tout ça évolue avec aussi un phénomène majeur qui n'est pas totalement nouveau mais qui se confirme en 2025, qui est des frontières qui se brouillent de plus en plus entre ce triptique d'attaqueant. On a toujours des cris comme ça, un état criminel activiste. Ça reste vrai, mais les frontières sont parfois flous. Il y a des gens qui navigent un peu entre les deux mondes, il y a des outils qui sont réutilisés, il y a des infrastructures qui sont partagées, il y a des tas de choses comme ça qui compliquent le travail de d'analyse de ce pendule. D'autant que l'ancif est rarement de la tribution, donc attribuer à savoir si l'intérêt de la taque vient en fait d'un groupe mafieux ou d'un état ou d'un groupe paramilitaire. C'est assez rare. Il y a une différence à faire entre attributions, qui est un geste politique, qui est une décision de rendre public, en tant qu'étà français le fait que tel autre état nous a attaqué. Ça, on l'a fait une fois en 2025, une attribution à la Russie, au GRU, à PT28 pour l'ensemble de leur oeuvre sur une dizaine d'années. Mais ça, c'est pas systématique. Et nous, l'attribution, c'est pas notre rôle, c'est le rôle de nos autorités politiques parce que ça s'inscrit dans les relations de la France avec ces partenaires étrangers. Nous, ce qu'on fait, c'est de l'imputation. Donc, nous, on a une imputation qui n'est pas public, mais qui dit, on pense que, c'est un qui est quelque chose qu'on partage avec nos autorités politiques, on pense que c'est étatique pas étatique. Si c'est étatique, on pense que c'est plutôt tel MOA, tel mode opératoire adverse, à PT28 à PT9, voilà. On a toute la litanie, ils ont tous plusieurs noms, mais on essaie d'identifier avec un degré de certitude qualifié. On est sûr, on est moyennement sûr, on pense que c'est crédible, enfin voilà, on a toute une gradation. Mais généralement, on a quand même une idée assez claire de qui nous attaque, c'est pas pour autant qu'on le rend public. Et quand tu dis que la frontière entre les attaques en étatique et les cybercriminels s'estompes, s'estompe comment cette frontière? Alors, c'est sombre de plein de points de vue. Alors déjà, il y a une forme de cohabitation, un fondamental qui interroge ainsi. certains groupes de cybercriminalité organisés, prospères en Russie, sans être arrêtés par les autorités locales. Alors que je pense que personne ne doute de la capacité de la police russe, à interpeller quelqu'un si il y a l'en a envie, c'est qu'il y a un lien au moins de cohabitation qui interroge. Et on a vu dans des différentes fuites de données, parce que même les cyberattacons subissent des fuites de données, logbites, c'est une franchise, la seule règle, c'est pas attaqué des cibles en Russie. Donc voilà, il y a quand même des connivences ou des liens de cohabitation, de coexistence qui interroge et qui peuvent nous laisser suspecter un peu plus. Après, on voit aussi les pistes, les frontières qui se brouillent dans les outils, dans le ruissellement des outils d'attaque avancés du monde étatique vers le monde cybercriminel, les vulnérabilités, elles passent rapidement du monde des outils étatiques au monde cybercriminel. On le voit dans la réutilisation d'infrastructures communes, des réseaux d'adonimizations qui peuvent être en partie immutualisés. On le voit dans les techniques, le Living of the Land, l'utilisation n'ont pas d'outils spécifiques d'un plan logiciel, mais d'outils de la vie de tous les jours des réseaux, d'administration, etc. pour masquer ces traces. C'était une prérogative, quasi-exclusive des groupes attaquants étatiques. Aujourd'hui, les cybercriminels, la criminality orientée, fait pareil. Donc on a des choses qui se ressemblent de plus en plus en termes de technologie, de techniques d'attaque d'infrastructures sous-jacentes. Et puis une autre dimension qui complique les choses, c'est qu'on voit des acteurs qui interviennent dans les deux mondes, qui mènent des attaques dans un contexte étatique stratégique d'espionnage et dans un contexte d'action cybercriminale à but lucratif. C'est pas forcément le même groupe qui fait tout. Il y a derrière ça aussi des courtiers en accès initiales, comme on dit pour traduire malabilement initial de l'access broker. Mais les gens dont le métier, c'est simplement de prendre des accès dans un système d'information. On explotant une vulnérabilité 0D ou 1D. Et ensuite de revendre ces accès, visiblement, il y en a qu'il revende un coup à des Etats, un coup à des groupes criminels. Donc voilà, ça complique quand même la compréhension de tout ça. Et nous, ça nous nourrit quand même dans un scénario auquel on se prépare, qui est le scénario en pêvertigineux dont je parle quand je veux rappeler à tout le monde que ça pourrait être bien pire. C'est le jour où tous ces acteurs-là travaillent ensemble de manière coordonnée pour nous faire le plus mal possible. Et donc là, monde criminel, monde activiste, monde étatique, dans une logique de sabotage et de déstabilisation à grand échelle, c'est ça, le scénario, du pire auquel on se prépare. Est-ce que nos politiques concontions de l'ampleur du problème? Alors, il n'y a pas que le prisme anci, bien sûr, parce que vous avez quand même un cœur de cible à protéger, qui est statutèrement celui qu'on connaît? Mais est-ce que nos politiques réalisent l'ampleur du problème? Il y a moyen de frapper ce qui m'a beaucoup marqué dans le rapport de cette année? Les faits blessés techniques ou les mauvaises pratiques de sécurité sont structurables chez certains opérateurs patatiques patatiques. Est-ce que nos politiques comprennent ça? Alors, je ne sais pas pourquoi on se concentre sur les politiques parce que les mauvaises pratiques structurables, oui, ils ne sont pas réprouhétiques. Voilà, c'est vrai, on est vraiment dans l'entreprise que dans le secteur public. Je pense que pour nos politiques, même plus généralement pour les dirigeants, il y a quand même une vraie prise de conscience de la réalité de la menace. Alors, malheureusement, mais ça se comprend, on a passé des années et des années à dire, et l'espionnage s'est gravissie, mises pas des choses graves. On ne peut pas en parler pour des bonnes raisons, et ça, personne ne nous écoutait réellement, en tout cas, pas au point d'agir sur la base de ce qu'on disait. Malheureusement, l'explosion de la cyber criminalité organisée, des activistes, des gens qui cibent tout le monde de manière très visible, le rend son giciel, puis maintenant les vols de données, font que plus personne n'ignore la réalité de la menace. Après, je pense qu'il y a encore un défaut de compréhension assez généralisé sur les mesures à mettre en oeuvre. Il y a une tendance à se focaliser sur des élés fond blancs, une technologie, une course et la détection, un course et l'IA, un course et les deux en même temps, etc. Le message qu'on doit martoler, martoler, martoler, c'est les basiques. Voilà, ça sert à rien de mettre des catapéliques, me sur des gens de bois. Il faut des mises à jour bien gérées, il faut des systèmes segmentés, il faut un peu de sensibilisation des usagers, de la gestion des authentifiens, des choses comme ça. Et qu'ils sont, c'est toujours par là que le bablesse est là, je pense qu'on a encore un énorme effort de pédagogie à faire pour ne pas oublier ces choses de base. Il investir dans la durée, parce que c'est toujours des choix contraignants des choses comme ça, c'est toujours des virages dans lesquels on a envie de couper, et on a trop coupé dans ces virages là au cours des 25, 30 dernières années, donc il faut arrêter, il faut corriger les visages du passé et qu'on a pris un peu trop vite. Et ça, je pense que ce côté long terme et mesure pas forcément super enthousiasment faire de gérer de l'obsolescence logicale, dégager du légacy des choses comme ça, ce n'est pas des trucs qui font envie. Ça fait pas rêver là. Non, c'est ce qu'il faut faire, mais ça fait pas rêver. C'est ça qu'il faut faire. Mais dire que l'insécurité structurelle, c'est pas dire que la sécurité est un échec. La sécurité, la sécurité, c'est quelque chose de vers quoi on entend, mais qu'on atteint jamais. Donc il faut se mettre ça dans la tête, on n'est pas du tout seul métier qu'il en sait de situation, et c'est vrai qu'on aime bien créer et faire des choses nouvelles, mais maintenir entretenir les anciennes et supprimer ceux qui servent à rien, à bien en oublier, effectivement, il n'y a jamais personne pour le faire. La sécurité sera sous d'autres toujours en partie un échec. Peut-être juste avec un tout petit peu de perspective historique, on est sur un risque nouveau qui a émergé il y a 30 ans, des risques nouveaux dans l'histoire de l'humanité. Généralement, il prenne plus que 30 ans à être bien maîtrisé. Je pense qu'au Moyen-Âge, déjà, on savait que se baladait dans une maison en bois avec une chandelle allumée non protégée. C'était une mauvaise idée. Mais il y a fallu des siècles pour ça percolent dans les pratiques, dans la sécurité, dans les règles, les règles au sens formel utaire, mais simplement, la compréhension humaine de qu'est-ce qu'il faut faire et pas faire? Securité routière, on a mis 100 ans avant d'arriver à prendre. Donc, 30 ans, c'est triste ces dommages qui fait 30 ans pour s'y mettre. C'est pas si exceptionnel pour un risque nouveau, et je pense que ça charge à nous de faire en sorte que ça prenne moins que moins d'un siècle ou plusieurs siècles. Je pense qu'on n'a pas un siècle devant nous, clairement. Alors, en parlant de nouveaux risques, on va revenir au rapport, est-ce que l'intelligence artificielle est un nouveau risque? Alors, il y a. Moi, je dis ça un graide de choses, est-ce qu'on voit, est-ce qu'on décrit dans le rapport, qui est factuel et qui est la réalité d'aujourd'hui, et puisqu'on anticipe dans un monde, enfin, liat, ce déploie à très, très grande vitesse, et y rigue tout notre paysage numérique. Donc, ce qu'on voit, c'est l'usage par les attaquants de liat, et fondamentalement, il l'utilise un peu comme tout le monde pour gagner du temps sur des trucs pénibles. Pour faire du mailing de mast, du fishing, un peu correcte à grand échelle, pour générer du code, des exploits, tout simplement du code de l'outilage d'un frais ce tour d'attaque, pour créer des serveurs à tirer la rigue au pour faire des réseaux d'animisations, pour explorer des données. Finalement, ce que n'importe quel employé, entreprise, professionnelle, avocation à faire de liat dans sa vie quotidienne. Et donc, ça allait même zéffer dans le paysage de la menace que dans d'autres domaines, donc gagnant l'efficacité, on gagne du temps, ça permet de concentrer la tension des attaquants sur des trucs à valeur ajoutée. Donc voilà, ce n'est pas un game changer, et en même temps, ça ne fait que rajouter à ce qu'il y ait déjà une situation intonable, enfin, on n'a pas attendu liat pour avoir quasiment maintenant 50 000 vulnérabilités par an, dont celles qui sont exploités pour un tiers d'entre elles sont exploités dans les 24 heures qui suivent leur publication pour partir avant. Et ça, c'est avant liat. Donc liat, ça va faire caccelerer ce genre de choses. Mais aujourd'hui, on perd déjà la bataille contre les vulnérabilités, y a son truc à faire, bien en amont sur la sécurité des développements logiciels. Il y a peu aidé là aussi. Donc ça, voilà, c'est dual. Mais voilà, ça n'offait pas paniqué non plus. Ce qui moi, maquette plus profondément, c'est les risques qu'on va créer en déployant de liat grande échelle un peu partout, sans avoir des garanties fortes, sans savoir évaluer unia, sans savoir patcher unia de manière efficace, sans savoir faire un post mort-t-em sur unia, enfin, un bon chance pour ce premier qui devra faire et un vrai post mort-t-em, le vrai Forensics sur unia et savoir si elle a été attaqué ou juste là, elle a halluciné comme on s'y attend. Et tout ça, on ne le sait pas encore. Et donc le vrai risque, c'est de créer des vulnérabilités structurelles en déployant de liat très grande échelle et de son endroit contre trop tard. Et l'histoire montre que, quand on est en surf sur la courbe du A, et peut parfois en fait quand même des bêtises qu'on regrett après, je pense que dans ceux qui ont mis toute leur données dans le cloud, sans lire les petites lignes qui disaient, en fait, il n'y a pas de backup, si vous les faites pas vous-même, bon, c'est pareil sur liat. Faut pas négliger les tables de bonne compréhension de ce qu'on est en train de faire et d'analyses de risques. C'est pour ça qu'on dit, par exemple, aujourd'hui, il y a gentique dans des systèmes d'information un peu complexe et un peu sensible. C'est probablement pas une bonne idée. On se qu'on le répétera beaucoup et que beaucoup de gens nos ignorons, mais on en est convaincus. - Alors puisqu'on en est dans les sujets d'actualité brûlant, il y a aussi un sujet qui est traité dans le rapport, qui est tout ce qui est sous traitance. On va appeler "Supply Chain". - Alors, plaisir à rver. Qu'est-ce qu'on peut dire? Qu'est-ce qu'on peut faire là-dedans? Parce que ça, c'est aussi un sujet qui était chaud en 2025 et qui le reste au rend 2016. - Oui, alors qu'il n'y a pas attendu 2025 pour devenir un sujet d'actualité, une réalité, mais qui ne fait que se confirmer de plus en plus, années après-année. Les attaquants, ils sont tous softbets. Donc ils. ils s'emprènent au Mayon Fable, ils s'emprènent à des sous-traitants. Alors évidemment, à des sous-traitants informatiques, alors qu'ils soient des déficiences de sécurité, soit on a une plutôt bonne sécurité, mais on a une telle valeur ajoutée par l'ampleur de ce qui permet d'atteindre un cloud leader du marché aujourd'hui. C'est sans doute pas simple à attaquer, mais c'est quand même possible de l'attaquer et quand on y arrive le jeu en vol à chandelle pour un attaquant. Donc c'est une réalité aussi. Et puis on le voit aussi des attaques sur des sous-traitants qui ne sont pas informatiques, enfin sur des sous-traitants, du domaine bâtimentaire, de choses comme ça, qui ont tous des données potentiellement utiles pour mener des attaques ensuite, ou simplement des interconnections qui permettent d'attaquer. Donc oui, aujourd'hui, c'est une réalité qui permet aussi cette explosion de la menace, parce que potentiellement derrière N Victim, visuel apparente d'une cyberattaque, il y a un même prestataire. Ne n'aurait pas un exemple précis, mais voilà, dans des fuites de données à répétition des choses comme ça, il y a parfois aussi des attaques qui portent sur la supply chain et qui font des ravages. Donc ça, c'est une réalité. Et c'est une réalité qui, je pense, souligne l'un corps, un type de virage qu'on a peut-être un peu trop coupé par le passé, de ne pas maîtriser du tout cette supply chain, de ne pas savoir ce qu'il y a dans nos logiciels. Enfin, je pense que les petits mouvements de panique qui sont déclenchés ces derniers temps avec la taque supply chain, alors là, c'était carrément un piège âge, en un monde axiome, de l'Ital LLM, de choses comme ça, avant ça, la question se était posée sur XZ d'util, aussi, enfin voilà, il y a des choses comme ça, où on se rend compte qu'on a aucune traceabilité et personne ne sait réellement de quoi effer son logiciel. C'est pour ça que j'ai dit récemment et c'est une réalité, un malheureusement, on a plus d'informations sur le cochon qui se retrouve dans la saucisse qu'on achète au supermarché, que sur l'ensemble des composants logiciels qu'on retrouve dans un logiciel, enfin voilà, on est en train d'utiliser un certain nombre de logiciels pour se parler et s'enregistrer. - Oui, on n'a pas regardé, même si on est logiciels libres, on n'a pas regardé qu'elle était, par exemple, la nationalité des co-hauteurs de ces logiciels libres, et finalement, est-ce qu'on n'envient pas, justement, commencer à voir dans ce contrôle des prestataires, est-ce qu'il n'y a pas un problème sur la nationalité? Moi, j'ai vécu l'époque dans les années 2000 où la Terre était une petite planète et tout le monde se faisait venir tout le monde dans son pays et tout le monde travaillait avec tout le monde. Aujourd'hui, les gens ont les laisse dans leur pays, même si on l'a fait travailler, et tout le monde ne travaille plus du tout avec tout le monde. Et si les développeurs sont de certains pays, on a des doutes sur le fait que le logiciel on peut s'en servir. Donc, est-ce que finalement, on ne va pas dans ce contrôle des prestataires de voir regarder la nationalité des gens qui ont des privilèges, la nationalité des gens qui ingèrent du code? Est-ce qu'on ne va pas devoir en arriver là? On en est déjà là. Il y a vraiment deux sujets qui se recouvrent en partie. C'est simplement la traceabilité, savoir identifier quand il y a une vulnérabilité qui affecte un paquet de jeux NPM, qu'elle compte, jusqu'auquel se propage, qu'elle est l'enveloppe convex de la vulnérabilité, qu'est-ce qu'il a re-utilisé? Et puis alors, dans l'open source, il y a évidemment des gens qui réutilisent sans le dire, et qui ont pas envie que ça sache. Donc, on a un vrai problème de traceabilité. Auquel va répondre en partie le CRR, le Sable Resilience Act, on a posé un des esbommes un peu de traceabilité. Et puis derrière ça, il y a des enjeux d'ingérences. Évidemment, le droit applicable, en tout cas, en hors d'Europe, peut permettre des contraintes, surtout dans des régimes moins démocratiques que le nôtre, et d'imposer des choses, d'imposer des piéjages. Et je trouve ça, c'est des réflexions qu'on a en tête, sur des réseaux telecoms. On s'est pas réveillé hier, on y a travaillé depuis toujours, à prendre en compte ce risque-là. Et puis, après, mais voilà, il n'y a pas que la nationalité. Alors, il y a une menace qui semble avoir un éperdute à Superbe, ce sont les rends de sa moire. Est-ce que ce sont les attaquants qui se sont faraités, ou qu'est-ce qu'il a changé? Oui, on le voit un peu en perte de vitesse. Faut pas le comprendre. Enfin, il ne faut pas le surestimer, non plus. Ça reste une menace très présente. Je crois qu'on a eu dans ce panorama de la menace, 128 incidents, rençant giciel traités par l'NC en 2025. Donc, ce n'est pas non plus une disparition du phénomène. Moi, le constat que je pose, c'est plutôt une évolution des acteurs du crime organisé, parce que c'est plutôt cela, qui mène des attaquants rençongiiels. Alors, soit vers le vol de données, comme préalable, à tout rençongicielle, soit simplement comme le vol de données, comme finalité en tant que tel, j'ai envie de croire que c'est aussi, parce qu'on est devenu plus efficace pour lutter contre le rençongiiel. Après, en vrai, ça devrait pas être si compliqué que cela, de se protéger du rençongiiel, un en terme de détection, de cinématique, parce que ce n'est pas des choses qui se font en trois clics. Deux, parce que fondamentalement, avoir des backup, orlignes, testés et vérifiés, normalement, ça n'est pas à l'abri du rençongiiel, mais à l'abri des conséquences gravissimes qu'on a pu observer autrefois. Et donc, ça n'a pas payé la rençong ce qu'il faut jamais faire. Il faut jamais payer la rençong, évidemment, le dirage jamais assez. Donc, on a vu ce pivot, et ça se manifeste du coup, dans la pluie de fuite de données, de vol de données revendiquées, parfois ator, mais aussi parfois de manière avérée, parce que simplement les acteurs cybercriminels soient ceux qui faisaient du rençongiiel, sont passés au vol de données. Atitriques exclusifs font appréhable à tout rençongiiel, soit parce qu'il y a des nouveaux acteurs qui ont émergé, tous les. la galaxie de com, chagne, heu, etc. qui se sont quand même beaucoup positionnés sur le vol de données, parfois de manière très évoluée, sans chercher à déployer un rençongiiel, parce que finalement, j'imagine qu'ils gagnent leur. ils gagnent ce qu'ils soient de gagner, simplement par le vol de données. Alors, dans un épisode qu'on a registré récemment, un intervenant d'ils aussi, qui s'était après colonial pipeline, où les Etats-Unis avaient vraiment mis l'impression sur le fait que le système avait été indisponible pendant plusieurs semaines, et ils avaient fait arrêter les auteurs en Russie à l'époque. Donc du coup, les auteurs de rençongiiel, ce serait un petit peu. et ils ont été échodés et préfèrent pas trop causer d'indisponibilité au cas où, et récupère plus de l'argent par du vol de données plus résimple. - Oui, alors je. je. je serais prudent là-dessus, déjà parce que fondamentalement, on a vol de données, les vols de données personnelles, de données de santé, etc. Je pense que ça a énerve à peu près n'importe qui de censer, à peu près autant qu'un rençongiiel. Enfin, c'est. Rençongiiel sur un hôpital, c'est sûr que ça énerve beaucoup, mais c'est pas pour autant qu'il y a une tolérance, vis-à-vis du vol de données, et des gens qui pratiquent le vol de données, ceux qui sont à la portée de la justice, ils se font arrêter, on en a régulièrement des exemples. Mais. Je. l'action de la justice, elle se poursuit, enfin, et la France y contribue à travers le parquet, j'y crois, à travers les services enquêteurs, au faque BL2C, Jean-Darmerie, à travers l'Anci qui coopère avec tous ces services-là, sans être elle-même un service enquêteur, et ça donne des fruits, ça apporte des résultats, des résultats en termes d'arrestation, quand les gens sont à la portée de la justice, des résultats en termes de démantellement, d'un frais structure. On a eu toute la cinématique N-Game, qui s'est poursuivi à au cours de l'année 2025, qui a permis le démantellement d'un frais structure d'attaque, d'outils utilisés par des groupes de rangs, en gestion, etc. Après ce qu'on observe et ce qu'on détaille dans le panorama de la menace aussi, c'est que ces opérations, elles ont un effet pour faire baisser la pression, pour les forcer à se réorganiser, mais c'est pas pour autant que la menace disparaît. Saufa arrêtait les gens, et parfois, les auteurs de ces faits, ils sont hors de portée de la justice, quand ils sont Russi, on peut demander l'extradition pour rigoler, mais c'est en ces très biens que ça va pas marcher. Donc, ils reviennent. - Non, mais des fois, on a réussi à ce qu'ils se fassent à voir en passant en Europe. - Ah oui, parfois, et parfois les criminels sont bêtes. - Parfois, les criminels sont bêtes, et même quand ils sont pas bêtes, on peut se réjouir que leur vie soit quand même un peu plus compliqué quand ils peuvent pas sortir de quelques pays dans lesquels il n'est pas d'être arrêté et extra-dé, et puis quand on démantèle les infrastructures, évidemment, ces gens-là, ils vont pas se convertir à l'humanitaire dans la foulée, donc ils reviennent, ils reconstruisent. Donc, ça fait baisser la pression, mais ça fait pas disparaître la menace. Et donc, c'est pas l'action de la justice en tant que tel, je pense, qui a provoqué ce pivot d'une partie du paysage cybercréminelle, du rançon giciel vers le voile de données. Sans faire disparaître le rangosigiel, il faut pas surtout pas se dire que c'est fini. - Bon alors, qu'est-ce que tu veux faire passer comme message aux auditeurs de Nolimitikub, parce que je sais que l'Anci va régulièrement passer des messages dans des grands événements? - Alors, je. Je serai plein de messages à faire passer, mais. Alors, déjà, ce focus sur les bonnes pratiques de base. Et voilà, on est un secteur dans lequel il y a aussi beaucoup de marketing. On va toujours vendre des nouvelles solutions, des trucs magiques, etc. En fait, ça va avoir revenu au base régulièrement et ne pas négliger les bases. Et après, on peut faire des tas de choses intelligentes et utiles, sur la détection avancée, sur la réactivité, sur des tas de choses comme ça. Mais de base, gérer ces authentifiants, gérer ces misages jours, gérer sa segmentation, réseau, système, etc. On ne peut pas faire l'impasse dessus. Et donc, ça, c'est un message à avoir en tête, nous, en tant que professionnel de la cyber-sécurité, et je pense que les auditeurs de Nolimitikub sont avant tout, dans ce monde-là, mais c'est aussi un message qu'on doit faire passer et on doit faire preuve de pédagogie, au près du reste du monde. On parlait de l'insuffisante appropriation de la cyber-sécurité, par les décideurs de toute nature publique privée, etc. On a un vrai besoin de pédagogie à faire, parce que tant que ça reste une discussion, entre nous, on se dit des tas de choses intelligentes, mais ça n'a pas forcément d'impact sur le réel et on voit des décisions un peu pathologiques prises par des décideurs qui coupe dans des virages, qui se disent qu'une panne assez un peu magique va les couvrir et qu'en fait non, qui sous-estime le risque. Donc on a besoin de faire cet effort de pédagogie permanent et quelque part si nous on pousse aussi pour faire de la régulation, c'est pas parce qu'on a ce plait à jouer les perfaitards, mais c'est parce que ni se deux, le CRA, des choses comme ça, ça force quand même une prise en compte à des niveaux qui ne sont pas que le niveau des professionnels de la cyber-sécurité ou d'informatique. C'est bête à dire, mais la menace d'une amende en pourcentage de chiffres d'affaires, ça transforme un sujet pour l'informaticien ou le RSSI en sujet de Comex et en sujet qui mérit des investissements. C'est dommage d'en passer par là, mais nous on a jugé nécessaire et on sait très bien que ça ne épuisera pas le sujet et qu'il faudra continuer à faire preuve de cette pédagogie. Oui, mais c'est le rôle de l'égislateur de faire des choses quand le comien des mortels, la nature humaine prend des risques à le considérer. Quand la main visible du marché ne s'y fit pas à de même problème. Mais je pense qu'il va faire. Je le dis en plaisantant, mais il y a aussi un enjeu économique et de valorisation économique de la sécurité derrière tout ça. Si on continue à mettre sur le marché des logiciels qui sont des passoirs, je donnerai pas de nom, mais des trucs qui font année après année dans le panorama de la menace, parce qu'on a aussi le top 6, en général des vulnérabilités de l'année qui nous ont donné le plus de travail, il y a quand même des abonnés en la matière et qui continuent à vendre leurs produits. Il y a peut-être une mécanique économique simplement de ne pas acheter ou de dévaloriser des produits qui ont une sécurité catastrophique et de valoriser au contraire ce qui font les efforts, ce que nous on essaie de faire à travers l'évisa de sécurité. Mais derrière tout ça, il y a une logique marchée aussi de certains types de produits qui permettent des accès initials parce qu'ils sont en bordure qui passera le vpn ou il faudrait pas imposer uniquement des produits qualifiés. -Elle est le père de l'hôpital. -Le père de l'hôpital, il est prévu pour le rendre de la décent. -La question était pour Vincent. -Mais oui, mais il y a aussi, est-ce que nous tous autour de ce micro on voit, c'est qu'il y a quand même une certaine forme de résistance de la part du, moi je parle surtout du secteur privé, que je connais mieux que le secteur public, il y a quand même une volonté de résistance générale et quand on met des règles de sécurité à la régulation, parce que c'est aussi ce que je vois passer, à un moment la régulation tout le monde regarde ça et dit oui, oui on va le faire. -A jour. -OK. -On peut le remplir, mais il n'y a pas de gétrégal. -Il y a certaines passoires qui ne passeraient pas la qualification. -Ça réduit considérablement les accès initials avec des vulnérabilités perpétuelles. -Diseons au perpétuel dans le sens, il y a un certain type de produits qui font parler deux, de manière récurrente. -C'est pour ça qu'on croit depuis mains et mains de zané, c'est logique de qualification de cette application et tout ce que ça a pénible. On n'a pas forcément vocation à l'imposer à tout le monde, à l'imposer dans certains cas d'usage, pour les plus vulnérabilités qu'un terre. -Mais voilà, et après on ne peut pas tout régler non plus par des règles contraignantes et on ne va pas compenser par des règles contraignantes, l'absence de prise en compte légitime du risque. J'aime bien toujours reprendre l'anologie du sécurité routière. Si on fait des progrès en sécurité routière, c'est parce qu'il y a le code de la route, parce qu'il y a des contraintes, parce qu'on a des amendes quand on porte pas son casque ou sa ceinture, parce qu'il y a eu un travail avec les fournisseurs par la loi mais aussi par la valorisation de marché pour que les voitures soient plus sécurisées. Et parce qu'il y a eu aussi un travail de prise de conscience par tout un chacun dans sa manière de conduire, mais aussi dans sa manière d'apprécier le comportement des autres. Et parce qu'il y avait eu des accidents et qu'il en avait de plus en plus. En fait le constat il est là, alors si on attend d'avoir des morts parmi nos entreprises ou nos administrations, c'est ce qu'on est en train de vivre et après on voit bien que l'Etat et le marché t'entraînéscés de réguler ce phénomène qui est quand même assez nouveau, effectivement ça fait quoi une trentaine et ça parfois du mal à monter au cerveau. Et voilà, enfin je reste sur mon exemple de sécurité routière. Si on empêche un copain qui a trop bu de repartir le soir avec sa voiture, c'est pas parce qu'il y a une loi qui nous l'impose. C'est parce qu'on a à qui en tant que société cette perception, qui a un certain nombre de choses qui ne sont juste pas acceptables et qui sont de la responsabilité tout un chacun. Il faut des règles mais il faut aussi ce genre de prise de conscience qui n'est pas encore une réalité dans le monde de la cyber et qui n'est pas qu'un sujet d'experts. Ça me semble être un excellent conclusion mais peut-être que tu souhaiterais ajouter autre chose en mode la fin. Donc on n'a pas couvert ou. Oh ben, l'isai le panorama de la menace. Alors c'est. il y a des noms dedans. Il y a plein d'informations utiles et puis c'est quand même, enfin voilà c'est un. C'est pas si courant que ça d'avoir ce travail un peu de décorticage de la menace et je fais aussi le constat que avec des cyber-attaques qui rythme l'actualité, quelque part on attend ça a absorbé surtout les éléments de langage des attaquants. Parce qu'on est face à des attaquants en tout cas ce qui font du rend, d'extortion de rançon, du vol de donner des choses comme ça. Ils sont très communiquants, ils sont de une très communiquant, c'est du marketing de leur part. Il ne faut pas croire tout ce qui dise et parfois prendre le temps de l'analyse pour constater la réalité ou les réalités de certaines choses. C'est important donc je ne peux qu'un citer à lire ce type de document le panorama de l'Anci mais d'autres panorama de la menace des choses qui prennent un peu le temps parce que parfois il faut savoir prendre le temps de reposer les choses calmement et de les analyser. Vincent merci beaucoup d'avoir accepté notre invitation, merci aux constructeurs, chers auditeurs nous espérons que cet épisode vous aura intéressé, du donnant, rendez-vous la semaine prochaine pour un autre podcast. Au revoir. Au revoir. Au revoir. Merci à vous. [Musique]