Cyberattaques : la France est-elle une “passoire numérique” ?

Bonjour et bienvenue dans le magazine du week-end. Nous sommes ensemble et en direct jusqu'à 13h30 alors que les cyberattaques se multiplient. La France est-elle une passoire numérique ? Une émission préparée par Apolline Limosino, réalisée par Nathalie Salle et Boris Pachinsky à la technique Mineta Diawara.

La semaine dernière, un hacker s'est introduit dans des serveurs de l'intérieur. Un média local révèle qu'un serveur d'un commissariat de police a été compromis.

Il s'agirait de l'un des plus grands vols de données médicales de l'histoire en France.

Nous avons contacté le hacker qui dit être à l'origine de ce vol. Ces fichiers viendraient selon lui de l'entreprise Cégédime. Si vous faites partie des 287 victimes de cette cyberattaque, vous avez dû recevoir un mail d'Intermarché.

Orchestré par les Etats-Unis, l'affaire remonte au mois de mai dernier entre les deux tours. Après s'être rapproché de plusieurs employés de l'Elysée via Facebook, les assayants leur ont envoyé par mail une invitation à se connecter à un faux intranet du palais présidentiel.

Le phishing, ça reste le mode opératoire qui est quand même le plus répandu.

C'est le cauchemar de toutes les grandes entreprises. Le groupe pharmaceutique Pierre Fabre a été piégé par un informaticien prestataire.

Les données personnelles de près de 250 000 agents de l'éducation nationale ont été piratées.

Le secrétariat général de l'enseignement catholique, le SGEC, a également été victime d'une attaque informatique.

Incident de sécurité à la Fédération française de tir. Ces dernières semaines, les hackers s'en donnent à cœur joie.

Hôpitaux, collectivités, entreprises, ministères, plus aucun secteur n'est épargné par les cyberattaques. Alors comment l'expliquer ? Pour comprendre, avec nous en studio, Clément Domingo, alias Saxe, spécialiste en cybersécurité, hacker éthique, un pirate qui vous veut du bien en quelque sorte. Bonjour. Bonjour Romy, bonjour à tout le monde. Benoît Piedalu, membre de l'association La Quadrature du Net, chef de projet informatique pour le déploiement de logiciels libres, spécialiste des dossiers liés aux données personnelles, à la santé et à l'IA notamment. Bonjour. Bonjour. Merci à vous deux d'avoir accepté notre invitation.

Selon le site de référence sur les fuites de données en France, French Bridges, après Free, Picard ou encore Auchan, c'est au tour du groupe Les Mousquetaires Intermarchés d'être victimes lundi 3 août du vol des données personnelles de près de 300 000 clients de son service Drive. Et le 25 juillet, le ministère de l'Éducation nationale a été victime de sa troisième cyberattaque en moins de six mois et n'est même pas en mesure de chiffrer le nombre de personnels et d'élèves concernés. Avant d'entrer dans les détails, messieurs, peut-on décrire la France comme une passoire numérique ? Clément Domingo.

Hélas, j'aurais voulu pour une fois dire non, mais la triste réalité des faits, la triste réalité des résultats depuis deux ans, depuis 2024, nous posent, nous positionnent. Et là, on pole position en Europe. On est vraiment le premier pays à avoir le plus de fuites d'informations en Europe et le deuxième quand même dans le monde, derrière les Etats-Unis.

Oui, donc, oui.

Donc oui, hélas.

Benoît Piedalu.

Oui, en effet, on voit que ces données sont récupérées chez tout un tas de fournisseurs de données, de tout un tas d'endroits dans lesquels elles sont stockées, que ce soit les ministères, que ce soit les entreprises privées. On a normalement une entité qui est en responsabilité de mener un peu le bâton, de prendre le bâton sur la responsabilité de stocker.

Donc pour vous, passoire numérique ou pas passoire numérique ?

Alors oui, passoire numérique, mais il y a des raisons pour ça. Alors, je me souviens que vous voulez les aborder plus tard.

Effectivement. Avec 43,4 millions de comptes compromis entre janvier et juin 2026, vous l'avez dit Clément Domingo, la France est le premier pays en Europe et le second dans le monde le plus touché par les cyberattaques. On peut citer le groupe CGDIM, acteur majeur des logiciels de santé, touché par un incident affectant potentiellement jusqu'à 15 millions de personnes. La NTS, l'Agence Nationale des Titres Sécurisés, responsable de la délivrance des pièces d'identité. Au mois de mai, plus d'un million de réservations du groupe Pierre et Vacances Center Park ont été ciblées, idem en février pour le fichier national des comptes bancaires, sans compter France Travail, à deux reprises en 2025.

Voilà, c'est un peu long, mais il faut quand même le dire. Comment est-ce possible, en fait, dans ces proportions d'abord et surtout sur des sites aussi sensibles ? On parle quand même de santé, Clément Domingo ?

Tout à l'heure, vous annonciez le chiffre de 43 millions. Peut-être mettre un petit bémol à ça en disant que les 43 millions sont les 43 millions déclarés connus. Dans la réalité, il y a bien plus que ça. Si on prend un petit exemple par rapport à l'année dernière, par exemple la CNIL, qui est la Commission Nationale Informatique et Libertés, lorsqu'elle dit qu'on a 6517 fuites de données, dans la réalité, le public, lui, était au courant. Et donc moi aussi, vraiment un peu moins de la moitié. Donc c'est 43 millions depuis le début d'année. Je pense qu'il faut au minimum faire un facteur x2, x3. Voilà, officiellement la première.

Et donc, pour répondre à votre question, comment on se retrouve dans cette situation ? Il y a plusieurs facteurs. Le premier facteur, je dirais qu'on a quand même des systèmes vieillissants, obsolètes, qui ne sont pas tout le temps mis à jour. On a donc ce qu'on appelle une dette technique. Deuxième facteur que j'évoquerai, c'est aujourd'hui de se rendre compte qu'il y a quand même des règles d'hygiène numérique de base, comme on a une hygiène corporelle, qui ne sont pas du tout présents dans nos systèmes informatiques.

Ce qui fait que, par exemple, lorsque vous avez d'ailleurs des cybercriminals et non des hackers, on pourra revenir aussi sur cette terminologie un peu plus tard, vous avez en fait ces jeunes cybercriminals, lorsqu'ils vont rentrer, c'est finalement assez simple. Et dans 8 cyberattaques sur 10, pour ne pas dire, dans toutes les cyberattaques, on a tout le temps le facteur humain qui prédomine, qui a vraiment à l'origine de cette cyberattaque. Et lorsqu'ils rentrent, quand vous vous rendez compte que vous n'avez derrière aucune hygiène numérique, mais c'est hyper, hyper simple.

Et la troisième, je dirais qu'aujourd'hui, vous avez des jeunes, des cybercriminals qui ne sont pas si doués, mais qui sont ingénieux. Ils sont ingénieux dans la mesure où ils savent utiliser l'intelligence artificielle. Et je vous donnerai tout à l'heure pas mal d'anecdotes, vu que je discute avec beaucoup de ces cybercriminals presque quotidiennement là-dessus. Et donc voilà, vous avez un peu ces trois choses-là. Et je rajouterai un quatrième ou mis, c'est que tant qu'on ne mettra pas assez d'argent sur la table, c'est impossible de se dire qu'on va faire de la cybersécurité, qu'on va venir assurer et surtout protéger les données des citoyens français.

De quoi parle-t-on quand on parle de cybercriminalité ? Qu'est-ce que cela englobe en termes de pratiques, Benoît Piedalu ?

Alors il y a la cybercriminalité dont parlait Clément, qui effectivement sont les gens qui ont du temps à passer, qui utilisent l'IA, qui ont des connaissances, des compétences techniques, qui vont aller attaquer des systèmes, qui vont aller récupérer des données personnelles pour permettre de se connecter à des systèmes à la place, via des comptes personnels corrompus, et puis qui vont se connecter sur des systèmes pour extraire de l'information. Mais vous avez des choses qui vont beaucoup plus loin que ça. Moi j'aimerais bien qu'on puisse parler des bandeaux de cookies par exemple. Allez-y.

Les bandeaux de cookies, ce sont des autorisations que vous donnez à des sites web, à des services web, pour récupérer de l'information personnelle sur des gens, sur vous, au-delà du service qui est rendu. Il y a une obligation légale.

Donc concrètement, c'est le petit bandeau qui s'affiche quand on se connecte à un site, qui nous demande de tout accepter ou de tout refuser.

Voilà. Ces bandeaux de cookies ne sont pas du tout obligatoires. Ce n'est pas une obligation légale. Ils imposent d'avoir une autorisation de la personne qui visite un service web lorsque des données sont récupérées, non pas pour rendre le service, mais pour avoir d'autres fins. Et en fait, ces données vont la plupart du temps, la majorité du temps, être transférées à des tiers. C'est-à-dire que vous avez des données personnelles que vous confiez parce qu'il y a du dark pattern, c'est-à-dire qu'on forge le bandeau de cookies pour vous faire disparaître, par exemple, le bouton « Je refuse ». Il est tout petit, il est invisible, il est dans un coin, etc.

Donc, dark pattern, concrètement, c'est ce qui nous gêne. On est un peu poussé à accepter.

Voilà. C'est lorsque vous êtes poussé à accepter, poussé à cliquer à un endroit. Donc, en fait, on vous arrache l'accord de transférer vos données à des dizaines, des centaines, voire des milliers de partenaires qui vont ensuite se distribuer toutes ces informations sur vous. Donc, j'aimerais bien qu'on n'imagine pas que la cybersécurité, c'est uniquement des attaquants qui viennent attaquer des grosses bases de données, des grosses entreprises. C'est en fait un comportement assez généralisé dans le monde numérique d'aller récupérer de l'information sur les gens. Alors, de cette manière-là, par les sites web qui vont aller vendre des informations au plus offrant, qui finissent...

Vous avez un article dans Mediapart assez récent sur WebLock, qui est une entreprise qui va donner accès à des données de positionnement de 500 millions de numéros de téléphone dans le monde, où vous allez pouvoir revenir sur trois ans en arrière, sur les positions précises géographiques des utilisateurs. En fait, ces informations ont été récupérées pseudo-légalement parce que les gens ont accepté des conditions générales d'utilisation d'applications mobiles qui, en fait, extraient, exfiltrent leurs données de géolocalisation.

Personne n'accepterait, sciemment, de donner sa géolocalisation, de donner la liste de ses contacts, le numéro de téléphone de sa grand-mère, la liste des applications qu'ils utilisent, à quelle heure ils se couchent, à quelle heure ils se lèvent, etc. Sarah, à des entreprises tierces...

Et pourtant, c'est ce qu'on fait tous les jours.

Et c'est ce qu'on fait en réalité tous les jours. Ce que dit Benoît est très pertinent parce qu'aujourd'hui, quand vous allez installer, par exemple, une application sur votre téléphone juste pour activer la caméra ou alors autre chose, la plupart du temps, certaines applications vont être très, très, très gourmandes et vraiment vous demander beaucoup plus de permissions. Et aujourd'hui, il faut savoir en effet qu'il y a un vrai marché autour de ça. Vous allez un peu avoir des régies publicitaires qui vont venir capter toutes ces informations-là et les offrir d'ailleurs aux plus offrants.

Et d'ailleurs, cet article-là, il est très intéressant parce qu'on se rend compte qu'au final, nous tous, y compris vous, y compris moi, y compris Benoît, y compris vos auditeurs, installent ces applications-là et ce sont ces entreprises qui vont les revendre. Et parfois aussi, ce sont ces entreprises, vu qu'elles viennent un peu capitaliser un maximum d'informations qui peuvent d'une manière ou d'une autre soit se faire pirater ou des personnes aussi parce que ça arrive en interne qui repartent avec la base de données.

Est-ce que c'est ce qu'on appelle les courtiers en données ? C'est ce marché-là ? Sur les data brokers. Les data brokers, oui.

Mais en fait, il faut bien avoir en tête que la meilleure donnée, finalement, c'est celle que vous n'allez pas pouvoir fuiter parce qu'elle n'existe pas. En fait, toutes ces applications créent de la donnée. Ex Nilo, elles créent de la donnée qui n'existait pas. Le fait de savoir toutes les secondes où vous êtes, c'est de la donnée qui n'aurait pas existé si ces applications ne l'avaient pas extraite de votre smartphone.

Donc, à partir du moment où on a un smartphone et on télécharge des applications, de toute façon, c'est mort, quoi.

Exactement.

Il faut le dire. Clément Odomingo, si vous étiez un hacker mal intentionné, est-ce que ce serait simple pour vous d'attaquer un ministère, par exemple ?

Ce serait bien. Vu qu'on met les pieds dedans, déjà, hacker...

Cyber criminel, vous m'avez dit.

Exactement. Je pense qu'il faut un peu le rappeler lorsqu'on parle un peu de hacker. Aujourd'hui, il y a un peu ce tamalgame-là qui est fait où on va penser automatiquement à quelqu'un de malveillant, à une personne malveillante. Et donc, ça, ça vient aussi vraiment des années 80 où, à l'époque, dans les médias, pour parler vraiment des crackers, pour parler vraiment, on va dire, de ces cybercriminels-là, on utilisait à défaut hackers et la translation dans notre langue a finalement pris un peu d'autres proportions. Et donc, un hacker, je le rappelle, c'est plutôt une personne bienveillante. Donc, on est obligé de rajouter le éthique.

Et donc, pour parler de ces cybercriminels, de ces pirates qui pillent aujourd'hui nos données en France, vous pouvez plutôt utiliser le terme de cybercriminel, de pirate.

OK, hacker, c'est positif. C'est très positif. C'est lié à l'éthique. Un cybercriminel, c'est le pirate malveillant. Exactement. D'accord, très bien, c'est fait.

Et donc, pour répondre à votre question, oui, tout va dépendre. Je pense qu'aujourd'hui, il y a tellement de manières de compromettre que ce soit un ministère des entités, hélas encore la France, vu que c'est notre sujet de ce jour. On a pu voir d'ailleurs que des ministères aussi bien régaliens, des entités hyper critiques ont pu être piratées. Et je ne donnerai même pas l'exemple, même si là, je suis en train de le faire, donner un peu l'exemple de la NTS qui a été piratée vraiment par une faille hyper, hyper, hyper simple.

D'accord.

Et sur la NTS, moi, je voudrais rebondir sur la NTS parce que c'est un exemple très, très intéressant. C'est un exemple sur lequel la quadrature du net a travaillé depuis des années. On avait, dès 2016, porté plainte contre la base de données des titres électroniques sécurisés. le fameux test qui contenait au départ uniquement toutes les informations nécessaires à la construction de votre passeport, puis du passeport biométrique. On a rajouté les informations biométriques. On a lutté et la CNIL était contre et l'ANSI était contre.

L'Agence nationale des titres sécurisés, je le rappelle.

Exactement. C'est elle qui vous permet aujourd'hui de faire votre pièce d'identité permis absolument. Voilà, permis et passeport. Et le fichier test, donc des titres électroniques sécurisés, ne contenait pas au début d'informations biométriques. Le gouvernement a décidé de rajouter des informations biométriques dans ce fichier contre l'avis de l'ANSI, contre l'avis de la CNIL, d'un certain nombre d'entités même régaliennes et de la quadrature du net qui, à l'époque, était contre. Ils ont rajouté ensuite les cartes d'identité dans la même base de données, dans cette base de données. Et cette base de données, aujourd'hui, effectivement, fuite avec 12 millions de comptes qui ont été exfiltrés.

15 millions. J'avais 11,7 en tête. Donc, encore plus. Et donc, c'est la démonstration finalement du danger de concentrer des informations absolument critiques. Heureusement, cette fois-ci, les données biométriques n'ont pas été exfiltrées, mais ce serait tout à fait possible que la prochaine fois ce soit le cas. Et encore plus de données. Donc, il faut bien voir aussi le risque que font porter toutes ces bases de données.

On pourrait parler du TAJ aussi, le fichier de traitement des antécédents judiciaires qui contient énormément de données personnelles et des données qui ne sont pas forcément mises à jour, voire largement non mises à jour et qui sont très régulièrement utilisées par la police pour extraire un certain nombre d'informations, pour aller faire de la... de retrouver des personnes par reconnaissance faciale, hors de toute légalité. Pareil pour le TES. La police y accède alors qu'ils n'ont pas le droit d'accéder, etc. C'est cette concentration d'informations qui est finalement un énorme danger.

On va parler de la loi, justement, dans son rapport annuel sur la cybercriminalité. L'Agence Nationale de la Sécurité des Systèmes d'Information, l'ANSI, souligne l'importance d'un cadre juridique modernisé et d'une coopération internationale renforcée. J'aimerais qu'on décrypte un peu ça ensemble. En France, l'ANSI sécurise donc les infrastructures critiques. Le RGPD, Règlement Européen, protège les données personnelles et la CNIL, on en a parlé, Commission Nationale de l'Informatique et des Libertés, veille au respect des libertés numériques. En théorie, moi j'aimerais comprendre quelle est la faille de cet arsenal qui semble assez complet, en théorie, dans un système mondial de la donnée.

Déjà, est-ce que le droit européen et français a un poids réel ?

Alors, il a un poids. Le RGPD, on a participé à sa rédaction à la quadrature du net. On était plutôt content du résultat. Alors, il y a évidemment des failles parce que c'est la somme d'un certain nombre de pouvoirs, de puissances qui arrivent à la construction d'un texte. Donc, évidemment qu'il y a des failles dans le RGPD, mais on était plutôt content du résultat. Le problème, in fine, et c'est ce que vous soulignez tout à l'heure sur qu'est-ce que finalement, est-ce que c'est mort ? Est-ce que quand on installe une application sur son téléphone mobile, on ne peut rien faire ? Tant pis, ça exfiltre toutes les données qui sont à l'intérieur.

Mais en fait, on aimerait bien pouvoir vous répondre que non parce qu'on a une entité qui est là pour lutter contre les entreprises qui vont exfiltrer vos données personnelles. C'est la CNIL. Elle va lutter contre et tout. Aujourd'hui, on est, enfin aujourd'hui et puis depuis des années maintenant, il nous semble intéressant quand même de rappeler régulièrement que la CNIL ne fait pas suffisamment son travail.

Alors je ne dis pas qu'elle ne fait pas du tout son travail, mais elle n'a pas les moyens, pas la volonté politique forcément d'aller faire son travail jusqu'au bout et c'est un véritable problème non pas seulement sur les enquêtes précises qu'elle pourrait faire sur certaines fuites de données, mais aussi sur l'image qu'elle renvoie aux entreprises, aux différentes applications françaises, européennes ou mondiales. C'est-à-dire que si elle n'agit pas sur les cas qui lui sont présentés, finalement, c'est un blanc-seing donné à l'ensemble des entreprises du numérique, qu'il ne va pas y avoir d'impact, il n'y aura aucune conséquence aux fuites de données.

Moi, j'ai un exemple à vous donner personnel. J'ai déposé une plainte à la CNIL il y a quelques années parce que j'utilise des adresses e-mail qui sont directement liées aux entreprises auxquelles je donne l'adresse e-mail. Comme ça, ça permet de savoir si ça fuite, j'ai immédiatement le nombre d'entreprises qui l'a fait fuiter. Et j'ai été victime d'un phishing. Vous pouvez expliquer

ce que c'est qu'un phishing ?

Le phishing, c'est quand vous recevez un e-mail qui se fait passer pour une entreprise et qui vous oriente par exemple vers un site web en vous disant connectez-vous, il y a eu un transfert d'argent sur votre compte, si ce n'est pas vous qui êtes à l'origine, cliquez ici. Et donc, dans l'urgence, vous vous dépêchez, vous arrivez sur un faux site web et paf, vous donnez vos données réelles à un faux site web qui vont ensuite pouvoir se faire passer pour vous sur le site de votre banque ou d'autres choses comme ça. Et quand je me suis aperçu de ça, j'ai déposé une plainte, la CNIL m'a répondu oui, oui, on sait.

Moi, je n'avais jamais été informé, il n'y a jamais eu de conséquences pour cette entreprise. Et donc, résultat, toutes les entreprises et les applications mobiles ou autres peuvent continuer à faire ce qu'elles veulent. Elles savent que la CNIL n'agira pas. Et c'est peut-être ce qui est terrible dans ce que Benoît est en train vraiment de raconter, c'est qu'aujourd'hui, il y a des gens qui sont victimes de piratage qui ont leurs données actuellement qui sont utilisées, usurpées et ils ne savent pas du tout parce qu'il y a peut-être encore aujourd'hui ce défaut-là avec le RGPD mais sauf que le RGPD n'excuse absolument tout.

Moi, j'irais encore un peu plus loin que Benoît, je dirais que personne n'a peur de la CNIL en France en 2026. Quand vous regardez, vous avez cité un peu des affaires qui se sont déroulées en 2024, entre autres France Travail, on ne sait toujours pas où s'en est.

En 2025, oui.

2024, la France Travail a été piratée des gens en 2024. Ça fait vraiment des mois et des mois. On a aussi parlé un peu de données des santé, hyper critique. En 2024, on a déjà eu Almeris et Viamélis. On parle quand même de 33 millions de Français qui ont le tiers payant et là, dernièrement, vous avez encore ton tout début 2026. Donc là, je vous parle d'une affaire qui date du mois de février-mars. Cette fois-ci, encore Almeris victime et on ne sait toujours pas ce que fait la CNIL. Peut-être qu'en effet que la CNIL, aujourd'hui, elle est sous-staffée mais ce qui est sûr et certain,

c'est que si on ne se donne pas

les moyens d'avoir une bonne protection et parce qu'aujourd'hui, tout ça aussi, ça concourt dans une forme un peu de centralisation de la donnée. Benoît en parlait mais qui est de plus en plus critique et surtout à l'approche des élections présidentielles et surtout quand vous avez aussi un peu dans le cadre, vu qu'on est en train de parler un peu du cadre légal, donc des lois ou des propositions des lois ou des lubies chez certains de nos politiques parce qu'il faut le dire qui sont hyper dangereuses pour nos libertés individuelles numériques lorsqu'on vous parle un peu de l'interdiction des réseaux sociaux au moins de 15 ans.

Mais qui dit interdiction des réseaux sociaux qu'il va falloir contrôler toute la population et donc y compris vous, y compris moi, y compris Benoît, y compris les gens qui nous écoutent, il va falloir montrer sa pièce d'identité, la mettre dans un service tierce et que se passera-t-il si ce service-là venait à être piraté ? On en reparlera.

Pareil aussi, lorsque vous avez un peu des lois européennes comme chat control sous couvert de la défense pour lutter contre la pédopornographie, il faut le faire mais je ne suis pas très sûr que ce soit la bonne manière de le faire et surtout lorsqu'il va falloir installer parce que ce que veut cette loi-là, ce que ne dit pas cette loi-là, c'est que pour faire du chat control, donc chat control, je rappelle, c'est simplement venir analyser à la volée les messages photos que vous enverrez en tout cas à une autre personne pour voir à ce que ces messages-là sont déviants et donc pour le faire, il faut avoir une infrastructure de surveillance qui puisse un peu le faire mais sauf ça, ça ouvre la porte à tellement de dérives et si on ne fait pas attention, peut-être qu'on pourrait vraiment se retrouver à la place d'État, de régime autoritaire que nous rayons il y a encore quelques années de ça et ça, ce serait terrible.

Je rajouterais, pardon, je suis désolé, mais en fait, sur l'affaiblissement des protections et des libertés individuelles dont Clément parle, j'en ajouterais une encore qui est un affaiblissement voulu par les différents gouvernements les uns après les autres au niveau français mais aussi au niveau européen d'affaiblissement du chiffrement. Le chiffrement, c'est ce qui permet d'avoir une correspondance, le secret de la correspondance entre deux personnes. Alors, on parle de secret de la correspondance particulièrement quand on s'envoie des courriers mais en réalité, c'est la même chose sur Internet. Vous vous envoyez des messages sur WhatsApp, sur Signal ou d'autres messageries sécurisées.

Il y a du chiffrement de point à point, c'est-à-dire que c'est votre application qui chiffre sur votre téléphone, elle envoie à l'application de la personne en face et personne entre les deux, même s'il regarde ce qui se passe, ne peut savoir exactement ce qui s'est passé, ce qui s'est dit entre les deux personnes, voire même qu'il y a eu contact entre les deux personnes. Il y a une volonté très très forte dans le cadre de Chat Control.

Chat Control, c'est finalement l'aboutissement justement de cette volonté contrainte de vouloir affaiblir le chiffrement qui en arrive à dire qu'il faudrait diminuer la qualité du chiffrement, voire mettre en place des portes dérobées, des backdoors dans ces différents logiciels. Ça, c'est une volonté politique hors sol, totalement hors sol puisqu'elle mettrait en danger l'ensemble de la population qui est aujourd'hui protégée d'une certaine manière dans ces relations, dans ces discussions, dans ces échanges, que ce soit personnel ou en plus entreprise.

Mais tout ceci serait mis à mal et mis en danger finalement si on suivait cette volonté des politiques de diminuer la qualité du chiffrement.

On va parler un peu budget. En 2025, l'ANSI avait demandé un budget de 35 millions d'euros et 60 emplois supplémentaires. L'agence a obtenu 27 millions d'euros et aucun poste en plus. Est-ce que c'est suffisant, Clément Domingo, si on compare à d'autres budgets de sécurité dans le monde pour avoir un ordre d'idées ?

Absolument pas. Ce qu'il faut dire déjà c'est que l'ANSI fait un travail remarquable mais peut-être que vous êtes passé très rapidement là-dessus, Oumy. Il faut quand même dire que l'ANSI aujourd'hui ne protège que nos OIV, que nos entreprises, les institutions les plus critiques. Donc elle n'a pas le temps au regard de tout ce qu'il y a à faire.

Quand on dit les institutions les plus critiques, c'est des ministères, des collectivités ?

Des médias. Anciennement, on appelait ça des OIV, donc des opérateurs d'importance vitaux. Aujourd'hui, c'est devenu des SIV, donc des systèmes d'importance vitale. Donc il y en a 200 dans cette liste. Hélas, il y en a certains qui sont publics, d'autres pas du tout. Heureusement, tant mieux comme ça. Par exemple, vous avez parlé un peu de TV5Mand en 2015, il y a eu une attaque qui a été dévastratrice. C'est là, on s'est rendu compte que le monde entier, en tout cas une partie qui ne savait pas que TV5Mand était un OIV. Je referme cette mini parenthèse mais quand vous voyez aujourd'hui... Oui, content. Bah non, c'est le cas, ce sont des choses qui sont documentées là-dessus.

Je suis vraiment désolé, voilà, je mets les pieds dans le plat. Et quand vous voyez qu'aujourd'hui, que l'ANSI ne peut pas non plus se démultiplier et surtout qu'il n'y a pas d'embauche, de poste supplémentaire, il ne faut pas non plus venir un peu se désoler de la situation. D'ailleurs, ça a été assez cocasse de voir qu'après la cyberattaque de l'ANTS que Sébastien Lecornu a quand même dû un peu se déplacer dans les bureaux, ensuite avoir une conférence de presse où là, il sort quand même deux, trois choses et là quand même, il annonce un budget de 200 millions.

Certes, très bien, mais je me suis un peu empressé de commenter ça en disant que, attention, ne nous emballons pas parce que ces 200 millions-là ne concernent que le secteur public. Hélas encore, l'actualité m'a donné raison parce que dans les semaines, dans les mois qui ont suivi, on a vu encore cette résurgence des cyberattaques dans le domaine privé et donc ce qu'il faut comprendre c'est que tant qu'il n'y aura pas, tant qu'on ne tirera pas ensemble dans le même sens, tant qu'on ne fera pas les efforts nécessaires et dans la mesure aussi où on a vraiment un écosystème qui est entremaillé entre le secteur public et le secteur privé, rien ne pourra vraiment aller dans ce sens-là.

On va passer maintenant au profil des cybercriminels. Je n'ai pas dit à cœur, il faut remarquer. J'aimerais qu'on écoute Vincent Strubel, justement, le directeur général de l'ANSI. ANSI, qui a gentiment décliné notre invitation d'ailleurs. Il s'exprimait à l'occasion de son audition mi-juillet devant la commission des affaires économiques.

Le vol de données d'aujourd'hui nourrit le vol de données de demain. La volumétrie s'accroît d'année en année. Nous avons traité en 2025 1366 incidents, ça veut dire 4 incidents par jour en moyenne, 7 jours sur 7, 24 heures sur 24, et avec, en perspective récente, une augmentation de volumétrie de 60%. Par rapport à 2022, on a en 3 ans cru de 60% en volumétrie d'incidents traités par l'ANSI.

Ça continue à augmenter, notamment à la faveur de l'épidémie de vol de données, qui est une évolution plus récente, même si des vols de données, ça a toujours existé, mais là, il y a une forme de régularité et de systématisation des vols de données qui est en partie le résultat d'une réorganisation de l'écosystème cybercriminel organisé, un des groupes qui pratiquaient l'extorsion par le rançongiciel sont passés au vol de données parce que c'est plus simple, parce que ça marche, parce que ça rapporte, qui est aussi le fruit, et ça c'est un phénomène plus français, d'une forme de criminalité endogène, de très jeunes français, généralement peu socialisés, qui se lancent dans des actions d'éclats.

Action d'éclats, criminalité endogène fait de jeunes français, qui sont ces cybercriminels ? Clément Domingo, quelles sont leurs motivations ?

Déjà, je ferais remarquer que le discours du patron de l'Annecy a légèrement changé depuis l'automne dernier, preuve en est quand même un peu de la situation assez inquiétante et surtout de cette folle ruée vers les fuites de données. Et lorsqu'on parle un peu de ces cybercriminels, jusqu'ici encore, j'entendais beaucoup « c'est les russes ». D'ailleurs, actuellement, c'est un peu la sauce.

On va y venir d'ailleurs, oui.

Je suis un tout petit peu taquin, mais toujours juste ce qu'il faut. Ne vous inquiétez pas,

vous allez pouvoir être très taquin.

Mais sauf que là, on est hélas très très très très loin du « c'est les russes », mais on est plutôt sur « c'est les français ». Qui plus est de jeunes français, hélas, qui sont vraiment très jeunes, des adolescents 13, 14, 15, 16, 17, des adolescents 18, 19, 20, 21. Je peux vous donner plusieurs exemples. Par exemple, celui qui a fait le piratage de la NTS, 15 ans. Deux jours avant encore qu'il se fasse arrêter, je discutais avec lui. Je pense qu'il ne se rendait pas du tout compte de ce qu'il était en train de faire.

Pareil aussi là, en tout début d'année, un autre jeune, enfin, adolescent, lui, 21 ans, maraîcher de profession, qui a quand même fait plus d'une centaine de victimes en France, dans des fédérations françaises. Lui aussi, pas si bon que ça, mais qui utilisait un peu l'IA, un autre groupe aussi, 17, 18 ans, un peu là-dessus.

Mais comment ils se forment ? Comment ils apprennent ça ?

Ce qui est très intéressant, c'est que pour beaucoup d'entre eux, hélas, ils sont soit déscolarisés, soit isolés, habitant, on va dire, de manière générale dans le profil en pavillon. Assez rapidement, ils se connectent soit sur Discord, parce qu'aujourd'hui, Discord est un peu ce carrefour-là, où vous allez à la fois rencontrer les gens qui vont... Discord,

vous pouvez expliquer, c'est une plateforme

de discussion ? C'est une messagerie vraiment de discussion, où on peut aussi un peu avoir des appels vocaux, parfois aussi un peu partager son écran, et assez beaucoup de jeunes aujourd'hui, soit viennent dedans par l'univers du gaming, donc des jeux vidéo, ou alors un peu des passions communes, sauf que sur ces plateformes-là, hélas, vous allez parfois être dans certains groupes, petit à petit, vous faire approcher par des grands qui vont vous donner des tâches.

Par exemple, une tâche, c'est simple, ça va être par exemple d'aller se connecter sur un serveur sur Telegram, de récupérer une liste d'identifiants, de les compiler dans un site, et petit à petit, ils vont monter en gamme, se faire d'autres amis, et puis se dire, pourquoi pas nous, parce qu'il y a aussi un peu cette quête de la notoriété qu'on puisse un peu parler, mais sauf que cette quête de notoriété, pour avoir discuté avec pas mal, ça dénote un peu d'un vrai mal-être, et peut-être aussi pour stopper ça, ils n'ont pas d'autre choix que de se faire arrêter.

Quelles sont les conséquences à moyen et long terme d'un vol massif de données sensibles pour un pays comme la France, Benoît Piedalu ?

Alors, une des conséquences majeures, c'est la capacité qu'ont les attaquants de se faire passer pour vous, de vous contacter, en fait, de vous contacter, de se faire passer. Alors, quand je dis pour vous, c'est surtout, c'est pas construire un deuxième Benoît, c'est surtout vous contacter et se faire passer pour toutes les personnes qui pourraient avoir la légitimité de vous contacter, votre conseiller bancaire, votre employeur, un client ou autre qui connaîtront tellement d'informations sur vous que vous serez en confiance vis-à-vis de ces personnes.

C'est ce qui arrive avec, par exemple, quand Free fuit un certain nombre de données dont le RIB, dont votre RIB, vous avez des informations bancaires qui peuvent vous être envoyées ou une partie des informations bancaires pour vous dire je suis bien votre conseiller bancaire, faites-moi confiance, quelqu'un va vous appeler, vous demandez de faire un virement, c'est important parce qu'il y a un risque, etc. Donc, un des gros risques de libérer une quantité importante comme ça de données, c'est que vous allez pouvoir vous faire approcher par des gens qui vont rentrer en confiance avec vous.

La deuxième, c'est effectivement de se faire passer pour vous, donc de prendre des, d'ouvrir des comptes bancaires à votre place, des choses comme ça, contracter des emprunts ou des choses comme ça qui pourraient avoir lieu, effectivement.

Si je peux permettre,

ce que Benoît dit, c'est peut-être le classique en effet qu'on voit, mais je pense que depuis 2025, il y en a deux nouveaux, dont un qui est peut-être terrible. Vous savez, aujourd'hui, hélas, la France est apparemment devenue la capitale, en fait, on cumule vraiment la capitale mondiale des cryptoraptes.

Qu'est-ce que c'est les cryptoraptes ?

Les cryptoraptes, ce sont les personnes qui détiennent des cryptomonnaies et donc qui se font cambrioler

et je pense que 2025,

2026, il y a eu tellement d'exemples où des gens d'ailleurs ont été séquestrés, et je pense aussi au patron de Ledger, on est cofondateur de Ledger qui a quand même eu un doigt sectionné par rapport à ça parce qu'il y a eu aujourd'hui des données qui ont fuité. Il y a par exemple Ledger, il y a aussi Valcio qui est une autre plateforme, elle qui agrège donc les détenteurs de données.

Donc avec cette fuite de données, on accède aux comptes des gens, aux possessions, on sait ce que vous avez.

Exactement, il y a même aussi une autre affaire qui est elle terrible, l'ancien locataire, hélas, qui n'était plus là-dessus, avait déménagé, sauf que les ravisseurs sont partis, et vous avez aussi un peu la fédération française de tir où les gens ont été cambriolés parce qu'ils détenaient chez eux des armes de catégorie C ou d'autres armes avec des munitions. Donc là aujourd'hui, on voit aussi un peu une évolution de ces fuites de données où peut-être on s'est dit on n'est plus du tout juste dans l'arnaque, juste venir vous soutirer de l'argent mais venir un peu porter une intégrité à votre, en tout cas porter atteinte à votre intégrité physique.

Et je dirais que pour ajouter vraiment le quatrième risque que je vois moi apparaître mais qui risque vraiment d'être latente c'est que exactement pour la campagne présidentielle et pour les années à venir le fait d'avoir toute cette quantité d'informations on pourrait aussi venir avoir un peu du vishing avoir donc le vishing vraiment les deepfakes autour de la voix autour aussi de l'image. On va y finir

mais j'aimerais juste avant qu'on reste un petit peu sur la menace et qu'on prenne un petit peu l'exemple du groupe Radio France qui lutte depuis de nombreuses années pour se prémunir des cyberattaques. Apolline Limosino et Mathilde Varin sont allées à la rencontre de François Brie 25 ans ingénieur cybersécurité au quatrième étage juste au-dessus de ce studio au cœur de la maison ronde.

Le magazine du week-end Oumidialo

François est-ce que vous pouvez nous décrire la pièce dans laquelle on se trouve ?

Alors on est dans une pièce avec une vue sur le ciel sur le dôme de l'auditorium de Radio France on a trois postes de travail avec des écrans très longs voilà on a du bazar comme dans tout bureau je t'ai vu et puis mon poste de travail ici avec une petite statuette de Mario qu'on est censé mettre sur une plage arrière et qui bouge la tête de façon effrénée.

Le pôle de cybersécurité dans lequel on se trouve aujourd'hui est assez récent il est en construction il existe depuis 2020 il a fait que s'agrandir depuis en régime total on est quatre il y a différentes facettes de ce métier là il y a une facette d'abord de pompier qui éteint le feu un peu de l'informatique c'est à dire lorsqu'il y a je le disais un incident une cyberattaque c'est de contextualiser de comprendre ce qui se passe et d'éventuellement intervenir si c'est vraiment en train de se dérouler parce qu'il y a aussi la notion de faux positif où on croit qu'il se passe quelque chose alors qu'en fait pas du tout et puis il y a un travail un peu plus d'ingénierie c'est à dire la conception des outils de sécurité la conception des stratégies pour détecter les menaces on est aussi amené des fois à analyser des ordinateurs qui reviennent de missions un petit peu sensibles

Est-ce que vous auriez des conseils pour nos auditeurs pour qu'ils ne tombent pas dans les griffes des cyberattaques ?

On est plein le premier conseil c'est l'hygiène numérique c'est à dire d'avoir par exemple un mot de passe différent sur chaque site sur lequel on a un compte la deuxième ça va un peu avec la première c'est l'authentification à deux facteurs c'est à dire vous vous connectez avec votre adresse mail et votre mot de passe sur votre boîte Gmail par exemple et bien l'authentification à deuxième facteur va vous demander un code pour valider la connexion ce qui fait que si votre mot de passe a été piraté l'attaquant ne pourra pas se rendre sur votre boîte mail puisqu'il lui faudra quelque chose qu'il n'a pas à savoir votre téléphone qui va recevoir un code pour la connexion à la boîte mail

Vous parliez tout à l'heure d'outils de machines que vous utilisez des machines aussi dans votre travail c'est quoi un petit peu ces machines ?

Ça peut être par exemple des serveurs qui vont avoir la charge d'analyser le trafic internet des personnes qui travaillent dans les entreprises pour détecter si telle connexion vers internet d'un ordinateur dans un bureau contient des éléments potentiellement liés à une cyberattaque en cours Radio France est une maison de l'information et donc évidemment ça va être de plus en plus difficile de faire de l'information sans que celle-ci ne soit potentiellement attaquée de toutes parts donc les enjeux ça va être de faire en sorte que toutes nos équipes de continuer à travailler de façon sereine

Radio France est un groupe stratégique est-ce qu'il y a une particularité en matière de cybersécurité à Radio France ? Vous pouvez pas répondre

Un reportage d'Apolline Limosino et Mathilde Varin et tout cela nous mène à l'enjeu de l'information à 8 mois du scrutin de 2027 ces derniers jours plusieurs candidats à la présidentielle ont été visés par des ingérences russes victimes de faux grossiers Edouard Philippe Raphaël Glucksmann et Gabriel Attal qui annonce d'ailleurs porter plainte c'est un enjeu crucial puisque depuis avril 2025 la cybermenace russe est considérée comme un enjeu de sécurité nationale Clément Domingo vous l'avez évoqué rapidement à écouter certains médias on a parfois l'impression qu'il n'y a que les russes qui s'adonnent aux cyberattaques l'actualité nous montre que non puisque le FBI soupçonne des pirates iraniens d'avoir attaqué les réseaux d'eau potable de 12 états américains contrôlés par des systèmes informatiques est-ce qu'ils sont les seuls ?

Ils ne sont pas du tout les seuls je pense qu'il ne faut absolument pas être naïf aujourd'hui on s'attaque les uns les autres parce que le numérique parce que le cyberespace est aussi devenu un territoire capital où il faut un peu montrer parfois les muscles et pour revenir un peu à cette actualité brûlante en France que les médias nous sassent et ressassent depuis quelques heures je pense aussi que c'est un très bon coup de la Russie pour voir à quel point on est poreux à quel point on est préparé ou pas préparé et pour être totalement honnête quand on voit un peu ce qui s'est passé avec Glucksmann c'est quand même très très très très grossier mais je pense que plus on va avancer plus ça va un peu se spécialiser mais il ne faut pas non plus que ces ingérences-là soient encore la porte ouverte pour que certains politiques et donc ça je reviens parce que moi j'y tiens beaucoup Benoît je sais aussi un peu dans une autre mesure que ce soit un peu la possibilité que certains de nos politiques nous disent qu'à cause de potentielles ingérences étrangères pour nous protéger il faut surtout venir censurer si ce n'est temporairement si ce n'est peut-être sur une durée beaucoup plus longue un réseau social et ça encore je le dis je le redis et jamais je ne cesserai de le dire commencer par ce type même d'idées voire même en fait de se dire de se projeter par rapport à ça c'est la porte ouverte à se dire en tout cas à moins de liberté d'expression sur les réseaux venir un peu cadenasser tout ça et ce n'est absolument pas bon pour un pays comme la France

Dans un contexte où une cyberattaque a été perpétrée de manière autonome par deux modèles d'intelligence artificielle d'OpenAI c'était mi-juillet à quoi faut-il s'attendre pour la suite et en particulier pour la campagne présidentielle chez nous Benoît Piedalu est-ce que ça va devenir hors de contrôle ?

Alors c'est une question très intéressante parce que c'est très lié à la question précédente sur qui sont les attaquants effectivement très souvent on va vous répondre alors effectivement les russes les iraniens les petits gars qui ne savent pas quoi faire chez eux et qui utilisent l'intelligence artificielle pour attaquer mais en fait la démultiplication des fuites de données permet aussi à l'intelligence artificielle de mieux connaître de mieux nous connaître c'est-à-dire qu'on va intégrer tout un système de classification des citoyennes et des citoyens qui sont en âge de voter pour savoir qu'est-ce qu'ils peuvent voter est-ce qu'ils savent déjà est-ce qu'ils doivent choisir dans les prochains mois sur quels critères ils vont choisir on peut avoir des choses extrêmement précises qui sont autorisées par les systèmes d'intelligence artificielle et donc c'est pas seulement des systèmes d'attaque méchants encore une fois comme on imagine à la Terminator ou autre mais des choses beaucoup plus subtiles qu'on peut voir sur les réseaux sociaux par exemple sur X avec des messages tout à fait forgés individuellement qui vont orienter petit à petit votre opinion parce qu'elle va créer de l'information dédiée à changer votre opinion et à vous déplacer à déplacer le centre de gravité de l'opinion on sait qu'il y a tout un tas d'études sur X qui visent à montrer que c'est l'extrême droite qui est largement favorisée par ce réseau social et en fait il n'est pas favorisé uniquement parce qu'il y a plus de messages il est aussi favorisé parce qu'il y a un travail d'influence qui est effectué par ce réseau social et que ça rapporte de l'argent surtout et que ça rapporte aussi de l'argent ça force les gens aussi à rester sur le réseau ça leur montre de la publicité etc.

mais pour la présidentielle ça a un impact extrêmement important et je pense qu'il serait urgent de se pencher sur l'influence que peuvent avoir ces réseaux sociaux c'est un message que la quadrature porte depuis de nombreuses années c'est l'influence néfaste que peuvent avoir les réseaux sociaux par leur puissance par leurs algorithmes derrière qui finalement choisissent les messages que vous voyez au quotidien et qui influencent finalement totalement la démocratie

et bien merci ce sera le mot de la fin le message est passé merci Benoît Piedalu membre de l'association la quadrature du net chef de projet informatique pour le déploiement de logiciels libres merci Clément Domingo alias Saxe hacker éthique il n'y a plus besoin de le préciser spécialiste en cybersécurité merci à vous de nous avoir suivis rendez-vous demain même heure pour une émission consacrée au quotidien des personnes issues de l'immigration dans les campagnes françaises entre ancrage et racisme Computer World Craftwork sur France Culture et c'est l'heure du fil droit présenté par Julien Janenet professeur de droit public à l'université de Strasbourg aujourd'hui le conseil constitutionnel face aux soupçons permanents

on les accuse parfois d'être des responsables politiques déguisés en juge pour bloquer les lois qui les dérangent ils ne feindraient l'impartialité que dans la perspective d'imposer leurs préférences politiques le soupçon largement injuste colle au conseil constitutionnel comme un sparadrap il vous est sans doute arrivé d'en éprouver le doute en y voyant siéger d'anciens premiers ministres ou d'anciens présidents de la république ce serait naturel la critique pour tout dire est aussi ancienne que le contrôle de constitutionnalité des lois dans les différents pays qui l'ont instauré en confiant à quelques individus qui n'ont pas été élus la faculté d'invalider des lois adoptées par les représentants de la nation on prend évidemment le risque de laisser penser qu'il joue un rôle politique c'est le fameux gouvernement des juges régulièrement dénoncé ce soupçon est accru quand le conseil constitutionnel bloque une loi au centre des débats ainsi de la loi sécurité globale en 2021 ou de la loi immigration en 2024 l'impression est encore plus vive lorsqu'est censurée une mesure placée au centre de la campagne du futur président de la république les procès en illégitimité atteignent alors un pic en 1982 par exemple le conseil constitutionnel censure la première version de la loi de nationalisation promise par François Mitterrand tous les membres du conseil ont été nommés par la droite impeccablement préparés par le grand professeur de droit Georges Vedel la décision est pourtant le fruit d'une analyse fine et rigoureuse les opinions personnelles des membres du conseil n'ont pas alors été déterminantes ajoutez-y une réticence avouée par Roland Dumas aujourd'hui bien documentée en 1995 le conseil constitutionnel refuse sous sa présidence de rejeter les comptes de campagne d'Edouard Balladur et de Jacques Chirac dans la conscience pourtant de leurs irrégularités quelques mois après l'élection du second ces membres n'imaginent pas provoquer ainsi une crise politique probable tout cela concédons-le n'améliore pas les représentations collectives du conseil constitutionnel il serait pourtant injuste de ne s'arrêter qu'à ces cas les plus frappants car ils ne sont pas les plus révélateurs dans leur très grande majorité les décisions du conseil sont rendues sans que les préférences personnelles jouent le moindre rôle parce qu'il s'agit de questions très techniques parce qu'une inconstitutionnalité saute aux yeux parce que le conseil constitutionnel s'en remet particulièrement au choix du législateur en matière économique ou sociétale alors sans doute les membres du conseil constitutionnel ne sont-ils pas dépourvus comme vous et moi de convictions politiques morales juridiques sociales religieuses comme tout un chacun ils ont des biais dont ils ne sont pas toujours conscients cependant ils jugent rarement habiles pour emporter la conviction de leurs collègues de mettre en avant ces convictions en somme le conseil constitutionnel rend des décisions dont la portée est indubitablement politique il lui arrive ponctuellement de peser sur le cours des événements il serait néanmoins erroné d'en déduire que ses membres seraient principalement mûs par des mobiles idéologiques ou partisans si le conseil constitutionnel est un juge politique il ne l'est que modérément et nous pouvons nous en réjouir

de la chine

de la chine

un chine de la chine et d'en dévoil et nous en somme la chine de la chine de la chine comme tout un coup de la chine l'entraie