Vols de données : au-delà de l'authentification, la question de la valeur perçue

Commençons par revenir fin 2025. Un intrus s'invite dans certaines applications métiers du ministère de l'Intérieur. Aussitôt, la question du contrôle des accès est posée. Ainsi, au micro de RTL, Laurent Nuñez, le ministre concerné, assure que « les modalités d’accès au système d’information de tous nos agents ont été durcies ».

Un peu plus tard, dans un entretien avec Franceinfo, Laurent Nuñez, expliquera que les intrus ont utilisé des identifiants légitimes, partagés entre agents, par messagerie électronique non chiffrée. De quoi concéder des « imprudences » au sein des effectifs rattachés au ministère.

Nos confrères du Monde viennent de lever le voile sur la manière dont les faits se sont enchaînés :

1. l'ordinateur personnel d'un agent a été compromis par un cleptogiciel, Rhadamanthys (au centre de la saison 3 de l'opération Endgame, en novembre dernier, ce qui a vraisemblablement joué un rôle important dans la reconstitution de la chronologie) ;
2. dérobés par l'infostealer, les identifiants de son compte Google ont permis à des acteurs malveillants d'accéder à son Google Drive ;
3. sur cet espace de stockage en ligne, ils tombent sur une perle, son certificat numérique d'authentification pour accéder au VPN du... ministère de l'Agriculture ;
4. le compte professionnel de l'agent est ainsi compromis et un travail exploratoire permet aux intrus de découvrir une passerelle qui l'emmènera directement dans les systèmes du ministère... de l'Intérieur ;
5. là, « en identifiant une faille sur un outil interne accessible depuis un simple navigateur Web, les hackeurs parviennent à prendre possession de comptes de gestionnaires e-mail de différentes directions interrégionales de la police », rapportent nos confrères ;
6. les intrus vont alors explorer ces boîtes de messagerie et trouver des certificats d'authentification assortis des mots de passe associés. Bingo.

Cette chronologie est particulièrement éclairante. Tout d'abord, elle révèle le recours à une forme d'authentification forte : le certificat. C'est bien mieux que ce qui était craint, sinon suspecté, voire suggéré jusque là.

Mais elle fait ressortir une première négligence, au niveau de la topologie des réseaux entre les deux ministères, et une autre, entre agents, sur le partage des comptes et des certificats associés. Une pratique qui n'apparaît généralement pas par hasard et interroge sur les stratégies de partage/délégation de comptes et de gestion des droits.

Et bien sûr, on ajoute à cela le stockage de l'un desdits certificats sur un Google Drive... La première question qui vient à l'esprit est, tout naturellement : « comment est-il possible de faire preuve d'une négligence pareille ? » Cette interrogation est plus que légitime, mais une autre est nécessaire afin de pouvoir y apporter un début de réponse.

À vous, donc, qui lisez ces lignes : de combien de comptes numériques disposez-vous ? Quelle valeur possèdent-ils à vos yeux ? Pour combien vous dites-vous « boh, si je le perds ; je m'en crée un autre » ?

Ces questions peuvent paraître superflues au regard de l'impératif de protection des données associées à ces comptes où à celles auxquelles ils donnent accès.

Mon gestionnaire de mots de passe gère près de 820 comptes. Comment en suis-je arrivé là ? Commençons par pointer du doigt ces innombrables sites de e-commerce qui vous demandent de créer un compte à la première (et parfois unique) commande. On ne va pas les blâmer : la donnée personnelle est une friandise très prisée. L'adoption croissante de tiers comme fournisseur d'identité (Facebook, Google, Apple, etc.) commence à aider, avec un (gros) défaut toutefois : il faut se souvenir de celui avec lequel on a l'habitude de s'authentifier ici ou là... Personnellement, je m'y perds aisément et je préfère encore le bon vieux compte associé à l'adresse e-mail. Mais passons, l'important n'est pas là.

En toute sincérité, 99 % de ces centaines comptes n'ont aucune valeur à mes yeux. Ceux qui importent ? Ceux avec lesquels j'ai des données auxquelles je tiens - à commencer par des photos, des informations de paiements -, ceux qui sont importants pour la vie civile (banque, impôts, santé...), et surtout ceux qui touchent à ma vie numérique. Et encore, cela varie forcément beaucoup d'une personne à l'autre, suivant l'intensité de cette vie en ligne. Vos pensez sincèrement que la personne titulaire du compte Gmail PaulD9475829 y accorde de la valeur ? J'ai un gros doute...

Du coup, ce n'est pas une surprise si les réseaux sociaux et les plateformes de vente entre particuliers sont inondées de comptes en déshérence détournés par des tiers malveillants : la valeur perçue de ces comptes est proche de zéro, quand elle n'est pas négative. Ils sont jetables.

Et même s'ils ne sont pas, sans sensibilisation appropriée, ancrée dans la réalité de la menace, ils sont susceptible d'ouvrir une porte sur l'univers professionnel de la personne victime d'infostealer, comme cet incident le rappelle.

« Ok, mais là on parle de comptes professionnels, donnant accès à des données sensibles de citoyens », me direz-vous. Oui, effectivement. Mais si les agents sont infantilisés comme le sont fréquemment les utilisateurs finaux en entreprise (la critique habituelle du bug planté entre la chaise et le clavier, ça vous parle ?), n'attendez pas d'eux qu'ils se sentent responsables.

En outre, pour beaucoup, un compte professionnel compromis, c'est un truc pour le service informatique (dont on attend bien sûr qu'il fournisse au plus vite les moyens de retravailler à nouveau avec ses outils numériques) ; ce n'est pas un sujet personnel. N'est-ce d'ailleurs pas cohérent avec ce qu'on leur demande, à savoir informer le support technique au plus vite ?

En fait, chaque attaque, brèche ou vol de données nous le répète : sans sensibilisation, sans responsabilisation, sans valorisation, le compte utilisateur restera perçu comme jetable, remplaçable. Et face à ça, je doute qu'empiler les solutions techniques soit une solution.