Hier soir, des hackers russes publiaient sur Internet plus de 5 millions d’identifiants et de mots de passe d’utilisateurs Gmail. Une situation délicate pour Google, qui n’aurait pas subi de faille de sécurité directe. Curieux d’en apprendre plus sur le sujet, nous avons posé quelques questions à Stéphane Pacalet, le Directeur Général de Bitdefender, grand spécialiste de la sécurité informatique.

© DR
© DR
Geeko – Pourquoi les hackers dérobent-ils les données d’utilisateurs et les publient-ils sur Internet?

Stéphane Pacalet – Il est très difficile de connaître la motivation du hacker. Une certaine logique voudrait que ce soit pour une prise de conscience, dans la mesure où ces données ont été publiées. Certains hackers organisent des attaques pour dénoncer les faiblesses des systèmes de sécurité de multinationales, participer à une forme de prise de conscience. Mais de manière générale, les raisons de hacker une boite de messagerie sont multiples. La raison la plus basique, c’est l’accès aux données personnelles hébergées sur ces plates-formes. D’une certaine façon, il s’agit de l’usage le moins grave. Ils peuvent aussi regrouper des informations pour cibler des attaques ou réaliser des escroqueries en se faisant passer par quelqu’un en utilisant plusieurs comptes piratés. A partir du moment où vous accédez au compte Mail d’une personne vous pouvez accéder à presque tout sa vie numérique. Si quelqu’un a accès à votre boite mail, il va pouvoir indiquer qu’il a oublié son mot de passe sur un compte bancaire, et réinitialiser le mot de passe. L’accès au compte de messagerie c’est souvent la porte d’accès à toutes les plates-formes en ligne.

Geeko – La validation en deux étapes nous protège-t-elle réellement contre tous les types d’agression?

Stéphane Pacalet – C’est un très net progrès et cela réduit considérablement les risques. Malheureusement, la protection à 100% n’existe pas. Les deux étapes réduisent les risques, sauf qu’à l’usage les gens ne vont pas l’utiliser de façon systématique. Dans le cas de Google par exemple, vous avez une option qui fait que la deuxième étape de validation soit valide 30 jours. Demander continuellement une seconde étape devient vite rebutant. Pourtant, c’est le minimum qu’il faut mettre en place. De la même façon qu’il faut penser à avoir des accès uniques pour chaque plate-forme visitée, avec des codes complets mêlant majuscules, chiffres etc. Il doit véritablement y avoir une prise de conscience des utilisateurs sur ces risques là.

Geeko – Faut-il craindre de voir davantage de gros services, comme Gmail ou le cloud d’Apple, affectés par des failles de sécurité à l’avenir?

Stéphane Pacalet – Des failles, il y en a aura toujours malheureusement. La question est de savoir la réactivité des entreprises pour les fixer. Elles seront de plus en plus exploitées. Ces plates-formes deviennent le centre de notre vie numérique. Vu qu’on stocke de plus en plus d’informations sur ces plates-formes, elles ne deviennent que plus attirantes aux yeux des hackers.

Geeko – Comment savoir si un site ou un service est plus sécurisé qu’un autre?

Stéphane Pacalet – Je pense qu’aujourd’hui il n’y a pas de moyen de le savoir. Il n’y a pas, aujourd’hui, de plate-forme inviolable. Ce serait de toutes façons toujours difficile de prétendre que tel ou tel service est plus sécurisé d’un autre. Les grandes plates-formes ont mis en place de nouveaux modèles de sécurité, comme la double vérification. Mais il y a encore beaucoup de progrès à faire. Il n’y a pas d’indicateur universel. Eventuellement, on pourrait dire aux gens n’allez pas chez tel ou tel acteur. Plus c’est gros, plus c’est susceptible de devenir la cible d’attaques. Un petit hébergeur est moins intéressant aux yeux des hackers. Mais là encore, il n’y a pas de règle universelle. Certaines plates-formes attaquées hier ont pris des mesures pour que ça ne se reproduise plus et sont aujourd’hui plus sécurisées que les autres. Il est important de consulter les règles d’utilisation et les protocoles de sécurité du site lors de l’inscription, pour s’assurer par exemple du chiffrement des données stockées dans les services, ou vérifier dans quels pays le serveurs sont stockés, etc. Si les données sont stockées aux Etats-Unis, l’acteur est soumis au Patriot Act américain qui oblige le fournisseur de services de communiquer les données aux autorités américaines lorsque celles-ci l’exigent.

Geeko – L’Internet est-il de moins en moins sûr?

Stéphane Pacalet – Je pense que l’Internet n’a jamais vraiment été sûr. Les attaques se multiplient. Leur nombre est lié à l’usage accru d’internet. C’est l’évolution des usages de chacun qui a rendu ces attaques de plus en plus intéressantes pour les hackers. Internet n’est pas une zone sécurisée en soi. Il faut bien réfléchir à ce que l’on y fait. Les risques auxquels nous sonmes confrontés aujourd’hui ne sont pas nouveaux. Ce n’est pas un nouveau phénomène. C’est juste que c’est plus attractif qu’avant.

Geeko – Quel est aujourd’hui la plus grande menace pour l’internaute?

Stéphane Pacalet – La menace d’ordre financier. Détourner l’argent de l’internaute est possible aujourd’hui. Il y a des risques plus forts d’un pays à l’autre, comme dans le cas du vol d’identité, très répandu aux Etats-Unis. Il y a les risques d’escroquerie. Le fait de récupérer des infos personnelles permet de faire le profilage d’une personne, et d’utiliser ces données pour tenter de l’escroquer en contournant sa vigilance. L’enjeu des pirates aujourd’hui est de rendre les escroqueries les plus plausibles possibles.

Si j’envoie une offre à un faux casino en ligne à une personne réfractaire au jeu, il y a 99,99% de chances qu’il ne cliquera pas. Si vous avez détecté qu’il jouait à beaucoup de jeux de hasard en fouillant sur son profil Facebook, cette personne là est peut-être plus sensible à ça. Ces informations peuvent être récupérées sur les réseaux sociaux, dans une boite mail, et dans d’autres lieux. C’est la même notion de big data que l’on retrouve chez les boites de marketing et publicité en ligne. Il y a un côté où c’est légal et où ça ne pose pas trop de problèmes, et il y a un usage illégal qui pose problème.