« Si l’humain continue de constituer une faille,
il y aura toujours un trou dans la raquette
en matière de cybersécurité »

Pour Aurélie Luttrin, qui accompagne entreprises et collectivités dans la sécurisation de leur transformation digitale, l’humain doit plus que jamais être placé au cœur des stratégies de cybersécurité. À condition de rectifier certains travers, et de développer des compétences indispensables. Interview.

En septembre 2021, vous avez signé une tribune titrée « L’ego, une faille sous-estimée de notre cybersécurité ». Pourquoi cet angle un rien provocateur ? Est-ce, selon vous, l’angle mort des sujets sur la cybersécurité ? 

J’ai voulu être dans la provocation pour éveiller les consciences sur cet aspect de la cybersécurité. Quand on parle de cybersécurité, on est concentré – et à juste titre – sur l’aspect technologique. Mais on oublie trop souvent qu’il y a un point d’entrée : l’être humain. On a beau avoir la meilleure technologie qui soit, si l’être humain continue de constituer une faille par ses usages, s’il divulgue des informations en étant égocentré – sur les réseaux sociaux en particulier –, il y aura toujours un trou dans la raquette. 

Publier trop d’informations en ligne sur sa vie privée peut avoir des conséquences dramatiques. J’ai en tête l’exemple du directeur technique d’une entreprise, qui communique sur sa passion des chiens de façon publique sur les réseaux. Des cybercriminels ont piraté l’adresse personnelle de son épouse (en l’encourageant à cliquer sur un lien renvoyant à une photo de chien), puis sont ensuite parvenus à s’introduire dans le système de production de l’entreprise. Laquelle a été à l’arrêt pendant 15 jours avec une perte de… millions d’euros.

L’investissement dans les systèmes est crucial, mais il convient d’avoir une vision à 360° : il faut protéger les données, et sécuriser les personnes aussi ! 

De quoi votre analyse est-elle le fruit ? 

De mon expérience, et du partage d’expérience avec des experts et des professionnels. Je constate qu’il y a encore beaucoup de naïveté. 

Une entreprise peut mettre des millions pour protéger un système d’information et, en parallèle, des collaborateurs vont sur Instagram publier de beaux selfies avec l’écran d’ordinateur bien visible. Et quand on zoome sur la photo, on peut avoir accès à des infos sensibles… 

Vous estimez que les cybercriminels utilisent des ressorts psychologiques pour réussir leurs attaques par le biais des humains. De quels ressorts s’agit-il ? 

Cela relève des 7 péchés capitaux ! Le maillon faible humain est récurrent ; mais le problème s’aggrave, notamment avec l’usage des réseaux sociaux. 

Les cybercriminels sont de fins psychologues, ils s’engouffrent dans les failles, les faiblesses, ils profitent de cette société dans laquelle « je communique donc je suis ». Ils vont sur les réseaux sociaux, où l’on apprend beaucoup sur la personnalité des gens ! Ils utilisent la ruse, l’arme la plus redoutable. 

Ce sont les mêmes méthodes que celles utilisées au plan étatique pour les missions de renseignement : l’exploitation de données publiques pour percevoir la personnalité de la cible. Et les réseaux sont formidables pour ça ! On remarque les failles de la personne, ses goûts, ses passions, c’est donc très facile ensuite de la cibler. 

Comment cela se matérialise ? Je surcommunique sur ma passion, j’ai besoin de reconnaissance, je reçois un e-mail relatif à ma passion ou un message LinkedIn qui m’invite à parler de mon expertise, je clique sur un lien… et je deviens le vecteur d’une attaque.

Pour de nombreuses entreprises et leurs collaborateurs, il semble pourtant complexe de se passer totalement des réseaux sociaux…

Il faut savoir être son propre communicant ! En prenant exemple sur les artistes qui scénarisent leur vie mais de façon contrôlée, en brouillant les pistes. Il faut bien choisir ce que l’on communique, et se demander : quel est le but de ma communication ? Est-ce que la trace publique que je laisse peut avoir des conséquences ?

Et ne croyez pas être à l’abri en travaillant dans une petite PME ou une petite commune. La stratégie des cybercriminels, c’est de faire du chiffre. Ils sont soumis à des impératifs de rendement, et envoient des attaques en masse. Sur le volume, ils savent qu’ils auront des résultats. 

Il faut bien choisir ce que l’on communique, et se demander : quel est le but de ma communication ? Est-ce que la trace publique que je laisse peut avoir des conséquences ? 

Aurélie Luttrin

Vous considérez également que les qualités humaines sont des armes à peu près égales aux solutions technologiques dans la lutte cyber ? Est-ce que cela signifie qu’il faut aussi et surtout des soft skills (compétences douces) pour être efficace dans ce domaine ?

Je dirais que l’un ne va pas sans l’autre. Avec cet arsenal du savoir-être, la meilleure des technologies sera encore plus efficace. Les deux sont interdépendants.

Il est important de percevoir qu’il n’y a pas de frontières entre la vie personnelle et professionnelle, et qu’il va falloir se limiter. Clairement, chaque collaborateur peut être un cheval de Troie pour un cybercriminel.  

Ce cheval de Troie expose les organisations à ces principaux risques : les ransomwares, les attaques étatiques (par effacement des données), les attaques de la concurrence, l’usurpation d’identité, l’introduction de logiciels espions, d’aspirateurs à données qui captent des infos pour les revendre sur le darkweb.