Interview de Benoit Grunemwald - Cybersecurity Evangelist @ ESET

SDBR NEWS : L'été a été marqué par les annonces de dizaines de milliers de données perdues par des administrations et des organismes publics… Qu’est-ce que cette affaire vous inspire?

Benoit Grunemwald : Je porte deux regards : celui du citoyen et celui du spécialiste en cybersécurité. Pour le citoyen, l’ampleur de ces fuites interpelle. Les données liées à la santé, aux finances ou aux démarches administratives touchent directement à la partie la plus intime de la vie privée. Une fuite d’état civil est déjà préjudiciable. Une fuite qui révèle un salaire, un dossier de santé, un compte bancaire ou des informations fiscales est encore plus sensible. Cela explique en partie la forte médiatisation des fuites cet été. L’État est concerné avec une confiance implicite. Lorsque les citoyens lui confient leurs données, ils s’attendent à ce qu’elles soient correctement protégées, ainsi la nature des informations exposées renforce donc le sentiment de préjudice.

SDBR NEWS : Est-on sûr, d'ailleurs, de connaitre vraiment l'étendue des dégâts?

Benoit Grunemwald : Si nous connaissons le volume final de la fuite après l’incident, les conséquences sont elles ignorées, car les données fuitées le sont pour toujours. Une question se pose alors quant à la détection : si l’organisation peut reconstituer le nombre de fiches consultées ou extraites, pourquoi les comportements anormaux n’ont-ils pas déclenché une alerte plus tôt ? La consultation massive de données par un compte doit pouvoir être détectée lorsqu’elle s’écarte de son activité habituelle. Pour les responsables, l’enjeu est de s’assurer que la supervision couvre les systèmes sensibles, mais aussi les accès des prestataires et des partenaires. Les seuils d’alerte doivent être définis avec les métiers et testés régulièrement. Une condition demeure, que le système ait la capacité de produire des logs en continu.

SDBR NEWS : Combien de temps faut-il à peu près pour réaliser un piratage pareil ? Plus de 10 minutes quand même?

Benoit Grunemwald : Oui, une extraction de cette ampleur prend généralement plus de dix minutes. Mais chaque fuite repose sur un contexte propre : architecture, droits d’accès, historique du système, niveau de supervision et contraintes opérationnelles. On ne peut donc pas comparer directement deux incidents à partir du seul volume de données. Le résultat peut sembler similaire, mais les causes, le niveau de préparation et les mesures de protection diffèrent. Pour le dirigeant, la bonne question n’est pas de savoir quel incident est le plus grave, il doit comprendre le chemin d’attaque, la durée d’exposition et les contrôles qui n’ont pas fonctionné. Pour cela les RETEX sont indispensables, même en Chatham House*.

Dans les affaires évoquées, les mêmes attaquants ont revendiqué plusieurs fuites et deux suspects ont été arrêtés. Avant de connaitre le fin mot de l’histoire, pour les organisations, l’enseignement reste opérationnel : identifier les faiblesses exploitées, corriger les accès concernés et vérifier si les mêmes techniques pourraient atteindre d’autres systèmes ou partenaires, et s’assurer qu’elles ne sont pas exploitables dans nos infrastructures.

SDBR NEWS : Le génie du mal n’a donc pas de limite d’âge?

Benoit Grunemwald : L’âge ne détermine pas la capacité à mener une attaque. Plusieurs groupes internationaux ont compté de très jeunes membres (Lapsus$, Scattered Spyder…). Leur efficacité ne repose pas toujours sur une expertise technique exceptionnelle. Elle vient souvent de leur maîtrise de l’ingénierie sociale, de leur connaissance des usages numériques et de leur capacité à repérer des procédures fragiles. Dans les secteurs sensibles, malgré de nombreuses procédures et barrières, un attaquant peut contourner une technologie robuste en ciblant une personne, un prestataire ou un processus insuffisamment contrôlé. Les opérations DreamJob menées par le groupe APT Lazarus en sont un bon exemple.

SDBR NEWS : Nous sommes plutôt face à des ados à capuche?

Benoit Grunemwald : Ce profil existe, mais il ne doit pas masquer la diversité des attaquants. Certains sont jeunes, d’autres appartiennent à des groupes structurés ou agissent pour le compte d’intérêts criminels ou étatiques. Dans de nombreux cas, les premières failles exploitées restent simples : mot de passe compromis, compte trop permissif, absence de double authentification ou procédure de support détournée. L’industrialisation des ressources d’attaque (Initial Access Brooker, InfoStealers…) permettent à presque tous de se lancer dans une carrière de cyber criminel à moindre frais.

SDBR NEWS : C'est d'autant plus affligeant pour l'État…

Benoit Grunemwald : Une organisation peut subir une attaque malgré des protections solides. En revanche, l’absence de mesures élémentaires pose une question de responsabilité. Les attaquants exploitent souvent des faiblesses connues, puis utilisent l’ingénierie sociale pour contourner les procédures. Pour les dirigeants, la cybersécurité ne peut donc pas rester un sujet réservé aux équipes techniques. Elle suppose des priorités claires, des moyens adaptés et un suivi régulier au niveau de la direction. Ce pilotage doit inclure les sous-traitants, les mainteneurs et les fournisseurs qui accèdent aux systèmes ou aux informations sensibles.

Le modèle de la forteresse fermée ne correspond plus aux réalités opérationnelles. Télétravail, mobilité, coopération interministérielle, maintenance et chaînes de sous-traitance multiplient les accès légitimes. Chacun de ces accès doit être authentifié, limité, surveillé et réévalué. La sécurité doit accompagner l’ouverture nécessaire de l’organisation, sans bloquer son fonctionnement. Cela passe par le cloisonnement, la traçabilité et une gestion stricte des droits. Le Zéro Trust propose une grille de lecture et des solutions à ces environnement de plus en plus ouverts.

SDBR NEWS : Est-ce que la période du Covid a pu ouvrir la porte à tous les excès?

Benoit Grunemwald : Le Covid n’est pas la cause du problème. Il a accéléré l’ouverture des systèmes et généralisé des usages qui existaient déjà. Dans certaines organisations, les accès à distance ont été déployés plus vite que les mesures de sécurité associées. La priorité consiste désormais à revoir les droits accordés, à distinguer les fonctions selon leur sensibilité et à contrôler les usages réels. Tous les postes ne présentent pas le même niveau de risque. Mais un accès administratif ou logistique peut devenir un point de passage vers un système plus sensible s’il n’est pas correctement cloisonné.

Autoriser le télétravail relève d’une décision de gouvernance. Elle doit intégrer la finalité de l’accès, son périmètre, sa durée et son niveau de contrôle. Les seuils d’alerte doivent ensuite être définis avec les métiers. Dix consultations par minute peuvent être normales pour une application automatisée et anormales pour un utilisateur. La détection n’est pertinente que si elle repose sur une connaissance précise des usages attendus. Pour les environnements critiques, les droits doivent être réduits au strict nécessaire et les écarts traités rapidement.

SDBR NEWS : Finalement à quoi sert d’avoir créé l’ANSSI**, la direction interministérielle du numérique (DINUM) et tout un tas d’autres « machins »?

Benoit Grunemwald : Ces institutions produisent des référentiels, coordonnent l’action publique et accompagnent les administrations. Les recommandations existent, notamment les mesures d’hygiène de l’ANSSI. La question porte donc sur leur mise en œuvre, leur financement et leur contrôle dans la durée. La responsabilité incombe aux décideurs capables d’arbitrer les priorités, d’allouer les moyens et de suivre l’exécution. L’intelligence artificielle peut renforcer la détection et l’analyse, mais elle ne remplace ni les règles d’hygiène, ni l’audit, ni la gouvernance des risques.

SDBR NEWS : Quelle serait la recommandation d’ESET?

Benoit Grunemwald : Il faut partir du principe qu’une attaque reste possible. La différence se joue ensuite sur la capacité à la détecter rapidement, à freiner sa progression et à limiter les données accessibles. Dans une organisation sensible, la priorité est de savoir quels systèmes sont critiques, qui peut y accéder et comment isoler une compromission. Plus une fuite dure, plus ses conséquences augmentent. La préparation doit donc associer prévention, détection, réponse et continuité d’activité.

De tels environnements sont trop complexes pour qu’une réponse générique puisse convenir ; les ressources internes sont bien souvent les mieux placées pour apporter des réponses. Les audits permettent de mesurer les écarts, de hiérarchiser les actions et d’engager les budgets là où ils réduisent réellement le risque. Pour les dirigeants, cela implique aussi d’évaluer les dépendances industrielles, les accès des tiers et la capacité des partenaires à signaler un incident. Les équipes doivent disposer de moyens, de formations et d’un mandat clair. La supervision reste indispensable pour vérifier que les mesures décidées fonctionnent dans la durée.

* Quand une réunion se déroule sous la règle de Chatham House, les participants sont libres d'utiliser les informations collectées à cette occasion, mais ils ne doivent révéler ni l'identité, ni l'affiliation des personnes à l'origine de ces informations, de même qu'ils ne doivent pas révéler l'identité des autres participants.

 ** L’Agence nationale de la sécurité des systèmes d’information (ANSSI) est un service français créé par décret en juillet 2009.

ESET: https://www.eset.com/fr