Chapitre 3.14La cybersécurité

Année après année, le baromètre du CESIN montre qu'environ une grande entreprise française sur deux déclare avoir subi au moins une cyberattaque réussie dans les douze derniers mois. Et contrairement à ce qu'on voit dans les films, la plupart ne reposent pas sur des génies du piratage. Elles exploitent des erreurs humaines, des négligences et des habitudes qu'on pourrait facilement corriger.

La cybersécurité ne concerne pas que les développeurs. Elle concerne tout le monde.

Le phishing : l'arnaque qui marche toujours

Le phishing (ou hameçonnage), c'est l'attaque la plus courante. Et de loin.

Le principe est toujours le même. Tu reçois un email, un SMS ou un message qui semble venir d'une source de confiance (ta banque, La Poste, Netflix, les impôts...). Le message t'incite à cliquer sur un lien et à saisir des informations personnelles : identifiants, coordonnées bancaires, numéro de sécurité sociale...

Le lien mène vers un faux site, visuellement identique au vrai. Tout ce que tu saisis est directement récupéré par l'attaquant.

Comment le repérer ?

• L'adresse de l'expéditeur : "service-client@la-banque-postale.security-update.com" n'est pas un email de La Banque Postale. Le domaine qui compte est celui juste avant l'extension, ici "security-update.com". Tout ce qui le précède peut être inventé par l'attaquant.
• L'urgence artificielle : "Votre compte sera supprimé dans 24h si vous ne confirmez pas vos informations." Les entreprises légitimes ne procèdent pas ainsi.
• Le lien : passe ta souris dessus sans cliquer. L'URL affichée ne correspond généralement pas au site officiel.
• Les fautes : même si les attaquants font de moins en moins de fautes grâce à l'IA, un ton inhabituel ou des formulations étranges doivent alerter.

En cas de doute, ne clique jamais sur le lien. Ouvre toi-même le site officiel dans ton navigateur et connecte-toi normalement. Si un vrai problème existe sur ton compte, tu le verras.

Les ransomwares : la prise d'otage numérique

Un ransomware (ou rançongiciel) est un logiciel malveillant qui chiffre tous les fichiers de ton ordinateur ou du réseau de ton entreprise. Une fois les données chiffrées, un message apparaît : "Payez X milliers d'euros en cryptomonnaie pour récupérer vos fichiers."

Les ransomwares se propagent souvent par phishing (une pièce jointe piégée dans un email) ou par l'exploitation d'une faille de sécurité dans un logiciel non mis à jour.

L'impact peut être dévastateur. Des hôpitaux ont dû reporter des opérations. Des entreprises ont perdu des années de données. Des mairies se sont retrouvées paralysées pendant des semaines.

Payer la rançon ne garantit rien. Certaines victimes paient et ne reçoivent jamais la clé de déchiffrement. D'autres paient et sont attaquées de nouveau parce qu'elles ont montré qu'elles étaient prêtes à payer. La plupart des groupes copient d'ailleurs les données avant de les chiffrer, puis menacent de les publier. Restaurer une sauvegarde règle le problème du chiffrement, pas celui de la fuite.

L'ingénierie sociale : pirater l'humain

L'ingénierie sociale regroupe toutes les techniques de manipulation psychologique pour obtenir des informations confidentielles. Le phishing en fait partie, mais il existe des formes bien plus ciblées.

Un attaquant appelle le service informatique en se faisant passer pour le directeur financier : "J'ai perdu mon mot de passe et je suis en déplacement, il me le faut dans les 5 minutes pour une réunion critique." Le stress et la hiérarchie font le reste.

Ces attaques sont redoutables parce qu'elles contournent toutes les protections techniques. Tu peux avoir le meilleur pare-feu du monde, si un humain donne les clés, ça ne sert à rien.

De mon expérience personnelle, les attaques les plus efficaces sont les plus simples. Un email bien rédigé qui arrive au bon moment peut faire plus de dégâts qu'un virus sophistiqué.

Les mots de passe : ta première ligne de défense

On en a parlé dans le chapitre sur l'authentification, mais ça mérite d'être répété ici du point de vue de la sécurité.

Voici les règles essentielles :

• Un mot de passe unique par site. C'est la règle la plus importante. Si un site se fait pirater, seul ce compte est compromis.
• Au moins 12 caractères. La longueur prime sur la complexité. "monchatestaupaysdesmerveilles" est plus solide que "P@ss1!".
• Utilise un gestionnaire de mots de passe. Tu n'as pas besoin de retenir des centaines de mots de passe complexes. Le gestionnaire le fait pour toi.
• Active la 2FA partout où c'est possible. Surtout sur ta boîte email, car c'est souvent par elle qu'on réinitialise les mots de passe des autres services.

Petite pensée pour les classiques "123456", "password", "azerty" et "motdepasse" qui figurent encore chaque année dans le top 10 des mots de passe les plus utilisés.

Les mises à jour : le réflexe qu'on repousse toujours

"Rappeler demain", "Reporter", "Plus tard"... On repousse tous les jours les mises à jour de nos logiciels et systèmes d'exploitation. Et c'est un vrai problème de sécurité.

Quand une faille de sécurité est découverte dans un logiciel, l'éditeur publie un correctif sous forme de mise à jour. Les pirates le savent, et ils savent aussi que beaucoup d'utilisateurs n'installeront pas cette mise à jour immédiatement. Ils se dépêchent donc d'exploiter la faille tant que la fenêtre d'opportunité est ouverte.

Le pire cas porte un nom, la zero-day. C'est une faille exploitée alors qu'aucun correctif n'existe encore, l'éditeur ayant eu zéro jour pour la corriger. Mais la majorité des attaques réussies n'exploitent pas des zero-days. Elles visent des failles corrigées depuis des mois, sur des machines que personne n'a mises à jour.

Active les mises à jour automatiques sur ton téléphone et ton ordinateur. C'est le geste de sécurité le plus efficace pour le moins d'effort.

Le Wi-Fi public : pratique mais risqué

Le Wi-Fi gratuit du café, de l'hôtel ou de l'aéroport est tentant. Mais sur un réseau public, un attaquant sur le même réseau peut potentiellement intercepter le trafic non chiffré.

La bonne nouvelle, c'est que la quasi-totalité des sites utilisent désormais HTTPS, ce qui chiffre les échanges entre ton navigateur et le site (voir le chapitre sur le chiffrement). Un attaquant peut voir que tu te connectes à ta banque, mais pas ce que tu y fais.

Le risque principal est plutôt le faux point d'accès. Un attaquant crée un réseau Wi-Fi qui s'appelle "Starbucks_WiFi_Gratuit" dans un Starbucks. Tu t'y connectes en pensant que c'est le vrai. Tout ton trafic passe par sa machine.

Si tu travailles régulièrement sur des réseaux publics, un VPN, auquel nous consacrerons un chapitre entier plus loin, ajoute une couche de protection supplémentaire en chiffrant tout ton trafic.

Les sauvegardes : le filet de sécurité

La meilleure défense contre un ransomware, c'est une sauvegarde récente. Si tes données sont chiffrées par un attaquant mais que tu as une copie saine quelque part, tu peux tout restaurer sans payer.

La règle classique est la règle 3-2-1 :

• 3 copies de tes données.
• 2 supports différents (disque dur externe, cloud...).
• 1 copie hors site (pas dans le même bâtiment).

Pour un particulier, la version simplifiée suffit. Sauvegarde tes fichiers importants dans le cloud (Google Drive, iCloud, OneDrive) et vérifie de temps en temps que la synchronisation fonctionne. Le jour où ton disque dur lâche ou ton ordinateur est compromis, tu seras content de retrouver tes photos de vacances et tes documents importants.

En entreprise : la sécurité est l'affaire de tous

Les entreprises investissent des millions dans la cybersécurité : pare-feu, systèmes de détection d'intrusion, équipes dédiées (les fameux SOC, Security Operations Center)...

Mais la faille numéro un reste humaine. Un seul clic sur une pièce jointe piégée par un employé peut compromettre tout le réseau. C'est pourquoi les entreprises organisent régulièrement des campagnes de sensibilisation et des simulations de phishing pour tester la vigilance de leurs équipes.

Si tu reçois un email suspect au travail, le bon réflexe est de le signaler à l'équipe informatique plutôt que de le supprimer silencieusement. Ton signalement peut protéger tous tes collègues.

Les bons réflexes au quotidien

• Mot de passe unique par service et un gestionnaire de mots de passe.
• 2FA activée sur les comptes critiques (email, banque, réseaux sociaux).
• Mises à jour automatiques sur tous tes appareils.
• Ne jamais cliquer sur un lien suspect. En cas de doute, va directement sur le site officiel.
• Sauvegardes régulières de tes fichiers importants.
• Méfiance sur le Wi-Fi public, surtout pour des opérations sensibles.

La cybersécurité n'est pas une question de compétences techniques. C'est une question d'habitudes. Et les bonnes habitudes, ça s'apprend.