Cyber sécurité : la DGSI alerte les entreprises de La Réunion

Lors du séminaire SecNumEco qui s'est tenu ce mercredi, un agent de la DGSI est intervenu face à des dirigeants d'entreprise pour évoquer les bonnes conduites à adopter lors d'un déplacement à l'étranger. Utilisation de WhatsApp, recharge sans data blocker ou connexion à des Wi-Fi publics figurent parmi les principaux écueils à éviter.

L'assistance était clairsemée, ce mercredi 29 octobre dans l'amphithéâtre du pôle formation de la CCI Réunion. Tout au plus une cinquantaine de dirigeants d'entreprise et de responsables de la sécurité informatique venus participer à la seconde édition du SecNumEco, le Séminaire des décideurs face aux défis sécuritaires économiques et numériques organisé par l'Agence nationale de la sécurité des systèmes d'information (ANSSI).

Parmi les orateurs de la matinée, un agent de la DGSI (Direction générale de la sécurité intérieure) spécialiste de l'intelligence économique et de la protection des données sensibles des entreprises françaises. Très à l'aise avec le public, maniant l'humour pour mieux faire passer son message, le fonctionnaire de l'État s'est appuyé sur de nombreux exemples réels pour sensibiliser l'auditoire, conquis d'avance, sur les bonnes pratiques à adopter lors d'un déplacement à l'étranger.

Lire aussi : Cyber Réunion : un numéro d'urgence pour les entreprises victimes de piratage informatique

« Sur la dizaine de start-up françaises qui se sont déplacées au CES [Consumer Electronics Show] de Las Vegas, six ont vu leur ordinateur confisqué pendant quatre heures par les douanes américaines. À votre avis, qu’est-ce qui s’est passé ? Évidemment, des risques de captation des informations à l’intérieur, et surtout des risques de piégeage des ordinateurs », a relaté l'agent du ministère de l'Intérieur, sur le ton rapide et maîtrisé de celui qui excelle dans l'exercice de communication.

Des conversations WhatsApp épluchées par le FBI

Si certaines des personnes arrêtées par la douane US avaient pris la précaution d'utiliser un ordinateur ou un téléphone propres, c'est-à-dire des supports vierges de toute information stratégique, l'une d'elles a perdu des données économiques capitales ayant trait à des levées de fonds, des codes source ou des travaux de recherche.

« La Commission européenne conseille de se déplacer aux États-Unis avec des téléphones personnels dédiés et des outils professionnels dédiés », a souligné l'orateur, en rappelant que le guide sur le nomadisme numérique accessible sur le site de l'ANSSI depuis une dizaine d'années reste toujours d'actualité.

L'agent de la DGSI a aussi relaté le témoignage du scientifique français arrêté à son arrivée à l'aéroport de Houston (Texas) en mars dernier, dont certaines conversations sur WhatsApp ont été décortiquées et analysées sous un prisme politique. Le FBI s’intéressait aux appels à soutenir la manifestation Stand Up for Science (un rassemblement contre la politique de l'administration Trump) ou encore aux opinions pro-avortement d'une de ses collègues.

« Ce n’est pas le zèle isolé d’un douanier américain »

Des « messages qui traduisent une haine contre Trump et ses électeurs » selon l'officier qui a interrogé le scientifique français, dont l’arrestation est rapidement parvenue aux oreilles du consulat, qui n'a pu obtenir que le refoulement des États-Unis du scientifique français, au lendemain de son arrestation.

« Qui aurait refusé de donner le code de son téléphone ? », a interrogé l'agent de la DGSI à l'attention du public, avant de railler l'une des rares personnes ayant levé le doigt dans l'assistance. « Là vous êtes tranquillement assis dans votre canapé, mais si cela vous arrive, je vous conseille de dire oui. Je vous rappelle qu’en tant que citoyen étranger sur le territoire américain, vos droits se limitent à zéro. Il n'y aura pas de rétropédalage possible et la première chose qu'on vous dira c'est : monsieur vous avez refusé de coopérer, c’est un crime. »

Lire aussi : Les données volées au Département en vente sur le darknet

Avant d'assener : « On va être très clair : j’ai toujours vu le renseignement américain, quelles que soient les mandatures, démocrate ou républicaine, faire du renseignement économique. C’est la première fois que je vois des personnes interceptées pour des opinions personnelles. Ce pays est en train de changer, ce n’est pas le zèle isolé d’un douanier américain, ce sont des consignes qui ont été passées. »

« Un conseil : regardez le documentaire Pegasus sur Arte »

L'homme de l'ombre a ensuite fait la démonstration des types de piratage les plus courants sur les smartphones (mirroring, captation des conversations par le micro ou infection par la connexion à des points d'accès Wi-Fi publics), avant d'insister sur le danger qui consiste à recharger un appareil USB-C sans utiliser de data blocker. Cet objet se branche entre la prise et l'appareil pour être certain que seule l'électricité passe dans le câble, et pas vos données.

« Safran, Thales ou Hermès, qui ne vend pas d'avions de chasse, ils ont des data blockers. Un conseil : regardez le documentaire Pegasus sur Arte. Quand le téléphone du président de la République a été infecté par Pegasus, je peux vous assurer que là, il y a zéro limite. Pegasus, d’abord une société israélienne, maintenant une société américaine », a commenté le fonctionnaire de la DGSI, ironique.

Couper son accès au Wi-Fi et au Bluetooth lorsqu'on n'en a pas besoin figure parmi les conseils les plus simples et les plus efficaces lorsqu'on se déplace à l'étranger pour des motifs professionnels, mais aussi personnels.

« Si TikTok est installé sur un téléphone, l'appareil est compromis »

Autre faille de sécurité critique pour les dirigeants d'entreprise : l'utilisation de la messagerie gratuite WhatsApp, propriété du groupe Meta, qui l'a rachetée « entre 14 et 22 milliards de dollars ». Photo de Mark Zuckerberg à l'appui posant avec un ordinateur dont la caméra est obstruée par un adhésif noir, le spécialiste de la sécurité informatique fait remarquer aux dirigeants d'entreprises qui rient dans la salle qu'il ne serait pas bien sérieux de leur part de confier leurs données professionnelles ou personnelles au géant du GAFA.

« Gardez à l’esprit que le gendarme boursier américain a condamné des banques américaines pour avoir utilisé WhatsApp, c’est dire que cela ne sent pas très bon quand même. Nous, on considère que si WeChat ou TikTok sont installés sur un téléphone, l'appareil est compromis », avance l'agent.

D'autres solutions connues existent, « la moins pourrie » étant la messagerie Signal, la plus recommandée par la DGSI étant Olvid, une application - bien sûr - française « certifiée par l'ANSSI et qui n'a pas d'annuaire centralisé ». Autre conseil en cas de doute sur une intrusion sur son matériel à l'étranger, ou lors d'un contrôle suspect à la douane : avertir la DGSI et ne surtout pas redémarrer ses appareils, pour ne pas effacer la moindre trace des éventuelles interventions malveillantes.