Cyberattaques & vols de données : comme un parfum de 2021

Remontons le temps jusqu'au tout début 2021. Le Président de la République, Emmanuel Macron, annonce une allocation d’un milliard d’euros, dans le cadre du plan de relance, à la cybersécurité, dont 720 M€ de fonds publics.

À l’horizon 2025, cette enveloppe devait notamment permettre de doubler les ressources qualifiées disponibles sur le marché de l’emploi, et de faire émerger des champions hexagonaux du secteur, « en soutenant l’adoption de [leurs] solutions, par les petites et moyennes organisations, publiques et privées ». Le « Campus Cyber » figurait bien sûr en bonne place dans le dispositif.

Que s'était-il passé ? Les cyberattaques avec rançongiciels venaient de se multiplier au cours des mois précédents, tout particulièrement sur le monde hospitalier. De quoi provoquer un réel déclic. Les chiffres suggèrent que l'effort a produit de véritables résultats, bien tangibles. Au moins pour la protection des SI internes ; peut-être moins pour celle des applications métiers exposées sur Internet ou tout juste cachées derrières des VPN rudimentaires...

Car depuis 24 mois, la France enchaîne, presque quotidiennement, les vols de données. Tout récemment, l'Agence nationale des titres sécurisés (ANTS), l'Éducation nationale et la Direction générale des finances publiques (DGFiP) ont toutes trois reconnu des intrusions : 11,7 millions de comptes pour la première, trois incidents distincts pour la deuxième, 678 000 particuliers et professionnels pour la troisième. Et l'on ajoutera le vol de trois millions de numéros de téléphone de feu-le service Bloctel ou encore la fuite de données de l'Institut de recherche pour le développement (IRD). Le tout sur fond de retard interminable de transposition de la directive NIS 2.

Publiée début avril, la feuille de route de la cybersécurité de l’État pour la période 2026-2027 apparaît ancrée dans la réalité des menaces actuelles, avec notamment un accent sur la sécurité des identités et des accès, ainsi que sur la détection. Mais le calendrier était peut-être trop clément. Car aujourd'hui, Sébastien Lecornu le dit lui-même : « les dernières fuites nous obligent à accélérer ». Et de demander « aujourd’hui au SGDSN de constituer sous trois jours, autour de l’Anssi, une unité de première intervention, engagée dès la violation d’un accès sensible et présente jusqu’au rétablissement ».

Pas forcément tendre, le premier ministre souligne que « la cybersécurité n’est pas qu’une affaire de crédits. C’est aussi une discipline : hygiène numérique de chacun, détection précoce, commandement clair, exercices, retours d’expérience ».

Comme écho aux propos du Président de la République début 2021 : pour lui, disait-il alors, les cyberattaques « s'appuient souvent sur des négligences », sur la gestion de l'authentification, sur la sensibilisation, ou sur la gestion des correctifs. Parce que « les cyberattaquants ciblent le maillon le plus vulnérable et s'appuient », justement, « sur des négligences ».