Internet, c’est le mal : à Sciences-Po, un agent du contre-espionnage m’a expliqué pourquoi Facebook ou Copains d’avant étaient les meilleurs amis des espions.
Q (Ben Whishaw), geek des services de renseignement britanniques dans le dernier James Bond, « Skyfall » (Francois Duhamel/Danjaq, LLC, United Artists Corporation, Columbia Pictures
Industries, Inc.)
En mai, l’Elysée a été piraté et les ordinateurs de plusieurs conseillers
haut placés infiltrés, révèle L’Express de ce
mercredi.
Hasard du calendrier : le jour de la sortie de l’hebdomadaire, j’ai assisté à un séminaire de formation en sécurité informatique dispensé par un policier de la Direction centrale du
renseignement intérieur (DCRI, le service de contre-espionnage français, issu en 2008 de la fusion entre RG et DST).
Ce séminaire, qui se déroulait dans les locaux de Sciences-Po à Paris, n’était ouvert qu’à certains étudiants de l’école, pas aux journalistes (mais voilà, je suis l’un et l’autre).
Le but : sensibiliser les futurs fonctionnaires (ou cadres) aux enjeux de la protection de leurs données et celles de leur employeur. Comment ? En nourrissant la paranoïa vis-à-vis
d’Internet, en faisant bien comprendre que le Web, c’est sale et plein de dangers.
« Je connais déjà certains d’entre vous »
Il commence, se présente :
« C’est la dernière fois que je vous dis mon nom. »
On se contentera donc du petit panonceau qu’il y a devant son bureau : « DCRI » (plus tard dans la matinée, son nom réapparaîtra dans un logiciel utilisé pour une démonstration).
Monsieur DCRI est « spécialiste des réseaux sociaux » et, logiquement :
« Hier soir, j’ai fait vos réseaux sociaux. On verra plus tard ce que j’ai trouvé. Je connais déjà certains d’entre vous visuellement. »
Un léger froid s’installe parmi la trentaine de participants et je me crispe un peu à l’idée d’un espion fouinant sur ma page Facebook.
La DCRI aime Facebook (et Copains d’avant)
On le savait plus ou moins, mais là, ça se confirme : les services secrets adorent les réseaux sociaux.
« Avant les réseaux sociaux, on devait faire des planques. Avec Facebook, on gagne du temps et on n’a plus besoin de sortir. Sur vos pages Facebook et sur Twitter, vous donnez vos goûts et
vos opinions. C’est grâce à ça qu’on se fait une idée de la psychologie de la personne. »
Situation professionnelle, goûts, désirs, habitudes : tout est bon dans les réseaux pour établir le profil d’un suspect ou d’une personne à approcher.
Parmi les réseaux sociaux, la DCRI a un petit faible : Copains d’avant, « le Facebook du vieux ».
LE BON CONSEIL DE LA DCRI POUR VOTRE PAGE FACEBOOK
Entre « les naturistes du numérique », qui affichent toute leur vie sur Internet, et les phobiques du numérique, il faut adopter « une position intermédiaire » pour
maîtriser ce que l’on dit de vous. Cela nous semble également une bonne idée.
Il faut dire que certains en ont une utilisation particulièrement légère : ils détaillent leurs compétences et leurs responsabilités dans leurs entreprises de manière bien trop précise, par
exemple.
Mention spéciale à ce technicien qui a posté sur Copains d’avant une photo de lui... et de matériels spatiaux classés « confidentiel défense », son badge et ses autorisations de
sécurité bien en évidence. La DCRI n’a pas trop aimé.
« C’est comme dans les films ! »
Le policier est là pour marquer les esprits, alors il se vante un peu :
« On a des pros qui peuvent ouvrir toutes les portes : c’est vraiment comme dans les films. »
On le savait depuis la parution de « L’Espion du Président » (le fameux
livre sur la DCRI), mais cela fait son petit effet.
Et d’enchaîner sur les petites techniques des services, grandement facilitées par les réseaux sociaux et toutes les informations qu’on y trouve :
« Quelqu’un renverse son café sur vous. Très gentil, il vous rembourse les frais de teinturier. Quelques semaines plus tard, vous le croisez, par hasard évidemment, sur un tapis de course
dans votre salle de sport. Il vous propose de vous offrir un verre. Etrangement, vous vous découvrez des tas de points communs, vous venez de la même région, vous êtes allés dans la même école.
Vous vous dites : “C’est incroyable, le monde est petit !” »
Ces opérations, destinées à obtenir des informations en se rapprochant d’une cible, sont courantes. La plus longue a duré quinze ans : « Quinze ans de mise en place d’une amitié. Quinze
ans de repas de couples ! »
« Un système développé pour nous coincer »
Paradoxalement, notre policier, s’il utilise beaucoup les réseaux sociaux, n’aime pas trop les géants américains du Web, quitte à verser dans un brin de paranoïa :
« Ce genre de jouet [les smartphones, ndlr] ont des applications de traduction. Gratuites. Pourquoi ? Pour généraliser l’installation de l’application. Pour récolter de grandes masses
de données. Quand on utilise Google Traduction pour traduire une documentation technique, ça envoie les données sur un serveur américain. »
Et de voir la main de la CIA un peu partout :
« Gmail, Google traduction, Twitter, Facebook, LinkedIn : c’est vraiment un système qui a été développé pour nous coincer. Ces entreprises américaines ont toutes In-Q-Tel [le fonds
d’investissement de la CIA, ndlr] dans leur capital. »
Et il a raison. De là à voir la CIA partout...
Les smartphones, c’est la plaie
Comme les réseaux sociaux, il veut nous convaincre des dangers des smartphones en termes de sécurité (là non plus, il n’a pas tort) :
« J’ai besoin de 30 secondes pour piéger votre téléphone Android. Le temps moyen pour casser le code de déverouillage à quatre chiffres d’un iPhone ? Trois minutes trente !
[Il nous a fait la démonstration en direct grâce à un petit logiciel, ndlr] Dupliquer l’intégralité du contenu de votre téléphone ? Vingt minutes maximum ! »
La petite astuce, avec la généralisation des smartphones et leur connexion 3G (qui permet d’accéder à l’Internet mobile) ? Très simple :
« On brouille la 3G pour que les téléphones descendent sur le réseau inférieur, le réseau Edge, qui est mal chiffré. »
Plus facile ensuite d’intercepter certaines informations : contrairement aux lignes fixes, il est possible d’écouter un téléphone mobile sans se brancher directement sur la ligne,
lorsqu’on est à proximité.
Bercy piraté par un entretien d’embauche ?
Au fil de sa présentation, notre policier nous aide à mieux comprendre les quelques attaques informatiques qui ont touché la France :
« Il faut cibler l’ego [pour obtenir des informations, ndlr]. En organisant de faux entretiens d’embauche par exemple, où on pousse la personne à étaler ses compétences et ses infos. C’est
arrivé à un responsable informatique d’un ministère. Quelques semaines plus tard, le ministère a été piraté. »
Ce genre de techniques permet de rassembler de précieuses informations : quel est le système de défense mis en place ? Quelles sont les marques et les logiciels utilisés ? On avait
presque oublié cette histoire de ministère, quand soudain :
« Bercy, on sait que c’était la Chine [Ah bon ? Je pensais naïvement qu’on enétait resté au stade des suspicions, ndlr], peut-être à travers un faux entretien d’embauche. »
Travailler dans les transports, c’est risqué
Le long de ce que la DCRI appelle « les lignes professionnelles », là où circulent de nombreux patrons (Paris-Toulouse pour l’aéronautique, mais aussi dans le Thalys ou l’Eurostar), il
y a beaucoup de regards baladeurs. Et de caméras et appareils photo pour les seconder.
Notre agent explique ainsi qu’un patron a perdu un grand marché d’éoliennes off-shore, simplement parce qu’il avait potassé sa réponse commerciale dans les transports.
Selon le fonctionnaire de police, il y a encore du boulot à faire dans l’hygiène numérique de certains patrons. Et de nous raconter l’histoire de cet industriel, dans le train :
« Au bout de 30 minutes de trajet, il est parti pendant 40 minutes, en laissant tout ouvert : son ordinateur, sa messagerie, son téléphone. »
A son retour à sa place, il a eu droit à une gentille « sensibilisation » de la part de notre conférencier. Certains n’ont pas eu cette chance :
« Un jour, avec un collègue, on a dû “sensibiliser” des industriels de l’électronique de défense dans un avion. Ils manipulaient des “tampons rouges” [des documents classifiés, ndlr]. On
les a “accueillis” chez nous. Et chez nous, c’est pas une sensibilisation. C’est une garde à vue, et il n’y a pas de café ou de jus de fruits. »
La France, un peu en retard
Ces deux larrons ne sont pas les seuls à faire n’importe quoi :
« Pendant longtemps, on n’a pas vendu notre fameux avion [probablement le Rafale, ndlr], car on ne savait
pas sécuriser l’information. »
Autre exemple :
« Le pire, ce sont les hôtels à l’étranger. Une grande entreprise négociait en Asie pour une centrale nucléaire, ils ont attendu que tous les membres de l’équipe soient arrivés pour louer
une salle dans un grand hôtel. Des services étatiques les ont écoutés, et bam ! Le contrat de centrale nucléaire a été perdu. »
Il nous parle aussi du micro placé dans les taxis chinois au moment des
Jeux olympiques :
« Beaucoup d’industriels ont la fâcheuse habitude de faire une dernière réunion dans le taxi ou le soir à l’hôtel. »
« Le numérique, c’est quelque chose de dangereux »
En conclusion, le policier en rajoute une couche :
« On n’est pas dans un monde de Bisounours. En face, il y a de vrais méchants. Le numérique, c’est vraiment quelque chose de dangereux et c’est pour ça que les Etats se démènent et on
rame. c’est une course à l’armement. »
Le patriotisme doit aussi être numérique :
« A l’étranger, si vous n’êtes pas prudents, vous dégradez le drapeau bleu-blanc-rouge et ça, vous avez tendance à l’oublier. C’est votre comportement qui va décider de notre sort
économique. »
Ce que j’ai appris
- Ne pas trop donner d’informations personnelles et professionnelles sur lesréseaux sociaux ;
- ne jamais (JAMAIS) se connecter sur un réseau
WiFi public, ouvert et sans mot de passe, surtout dans les aéroports ;
- paramétrer la sécurité de son réseau wifi en
« WPA AES », car des choses très embêtantes peuvent vous arriver si votre réseau est piraté (comme se faire squatter par un pédophile, dixit notre policier) ;
- lors d’un déplacement à l’étranger, ne rien
stocker sur son ordinateur, préférer une clé USB chiffrée, plus discrète ;
- si vous vous faites approcher par un service
étranger (chantage, par exemple), il faut aller en parler avec la DCRI (« Nous sommes vos alliés ») ;
- dans les transports, il faut toujours conserver
son ordinateur sur soi ;
- protéger ce dernier avec un mot de passe long
et unique.
- on peut être un agent de la DCRI spécialiste des réseaux sociaux, et ne pas se rendre compte qu’un journaliste assiste à sa
conférence.
Mais ces mêmes médias « savent » déjà. Alors que, selon les
informations fournies par la préfecture, les agresseurs, au nombre d’une vingtaine, sont à l’heure actuelle encore, « des inconnus », la plupart des titres (ou des articles)
présument sans preuve, sans même prendre la peine de simplement téléphoner à
la brigade de gendarmerie de Châteaubriand [Le souci de vérification des « faits » et
de précision dans leur présentation est tel dans cette affaire que les différents médias ne parviennent pas à se mettre d’accord sur les blessures dont souffre le vigile :
selon Libération il a été « roué de coups » au niveau « des membres,
des mains et des épaules » ; tandis que pour La Dépêche il a été touché
« aux mains et au dos » ; pour sa part, Le Figaro, repris par Le
Nouvel Observateur, tout en relatant aussi un passage à tabac, évoque avant tout des
brûlures « aux mains et aux avant-bras » consécutives à l’incendie de son véhicule par ses agresseurs.], en charge de l’information judiciaire, que des « opposants » au projet d’aéroport à
Notre-Dame-des-Landes sont responsables de l’agression [Une bonne partie d’entre eux
ne se prive pas d’accuser les « opposants » dès le titre de l’article – ainsi, par exemple, 
/fdata%2F4977455%2Favatar-blog-1263118064-tmpphpzuiWvP.jpeg){kind=avatar}