Points clés à retenir

• Le chiffrement n'offre aucune protection contre les appareils piratés

• Les métadonnées revêtent une importance croissante pour les pirates informatiques

• La plupart des organisations ne disposent pas d'une souveraineté en matière de communication

• La gestion des crises dépend souvent des outils mis à la disposition des consommateurs

• Il faut commencer dès maintenant à planifier la transition vers l'informatique quantique

Republié avec l'autorisation de KBI Media.

Karissa Breen : Si les employés contournent les mesures de sécurité et que les pirates n'ont pas besoin de forcer le chiffrement, les entreprises sont-elles déjà en position de faiblesse ? Vos recherches indiquent que les utilisateurs font très largement confiance aux applications de messagerie grand public, ce qui témoigne d'une compréhension bien moindre de ce que le chiffrement protège réellement. Les entreprises surestiment-elles le niveau de sécurité réel de ces plateformes ?

Christine Gadsby: Tout à fait. C’était l’un des détails les plus choquants de ce rapport. 88 % des responsables de la sécurité se disent confiants quant à la sécurité de leurs applications de messagerie. Mais cette confiance repose sur une incompréhension fondamentale du fonctionnement du chiffrement : en effet, le chiffrement protège les données en transit, mais il ne protège pas contre le phishing, le piratage de comptes via ces applications, les appareils compromis ou la collecte de métadonnées, phénomènes que nous observons actuellement.

Cela a donné lieu à de nouvelles alertes émanant d'agences aux États-Unis, au Royaume-Uni, en Europe et désormais en Australie, qui évoquent spécifiquement des attaques soutenues par des États visant les comptes Signal et WhatsApp de leurs responsables gouvernementaux et de leurs journalistes.

On le constate désormais presque quotidiennement dans l’actualité. Ce sont précisément ces vecteurs que les attaquants soutenus par des États exploitent activement. Prenons l’exemple d’un fourgon blindé : vous avez un message — c’est ce que contient le fourgon, par exemple de l’argent provenant d’une banque. Le fourgon protège ce message, mais on peut tout de même voir qui est le conducteur. On peut toujours suivre le véhicule pendant qu’il circule dans la rue. Vous savez toujours qu’il se rend tous les matins à neuf heures prendre son petit-déjeuner au même endroit. Les attaquants surveillent cela de très près, et c’est ce nouveau vecteur que ces États-nations cherchent à exploiter.

On voit apparaître régulièrement de nouveaux articles, comme celui de ce matin, concernant le Pentagone et les militaires américains pris pour cibles. Et l’Australie vient de révéler, il y a quelques jours, que des membres de son personnel avaient été piratés sur WhatsApp par un acteur étatique étranger. Ce genre d’incidents se produit désormais quotidiennement. Cela a donné lieu à de nouvelles alertes émanant d’agences aux États-Unis, au Royaume-Uni, en Europe et désormais en Australie, qui évoquent spécifiquement des attaques soutenues par des États visant les comptes Signal et WhatsApp de leurs responsables gouvernementaux et de leurs journalistes. Nous surestimons le niveau de sécurité de ces plateformes. La surface d’attaque s’est en réalité déplacée des applications elles-mêmes vers le réseau. C’est là que nous n’avons pas les discussions difficiles qui s’imposent.

KB : Pensez-vous que, depuis notre dernière conversation il y a quelques mois jusqu’à aujourd’hui, on comprenne mieux les pièges potentiels et où se situe ce sujet en termes de risque ?

CG : Oui, c’est vrai. Dans le milieu de la sécurité, il nous faut beaucoup de temps pour changer de mentalité. On est un peu comme ce fossé qui flotte là, au loin. À mesure que nous entendons et assimilons les informations en tant que professionnels de la sécurité, nous commençons à nous tourner vers les mesures d’atténuation. Les mentalités évoluent. On constate un intérêt croissant pour ce sujet, et l’attitude vis-à-vis des discussions que nous menons est en train de changer. Je vais vous donner un exemple. Tout comme les autres professionnels de la sécurité, nous adorons WhatsApp et Signal : nous les utilisons pour différents types de conversations. Je communique avec mes enfants sur ces applications parce qu’elles sont pratiques. Nous ne disons pas que ces applications ne conviennent pas à tous les types de messagerie. Ce que nous disons, c’est que certains messages ne doivent pas être échangés sur ces applications, notamment ceux qui nécessitent un niveau de sécurité différent.

KB : Si vous dites à votre fille : « Salut, je viendrai te chercher à X à telle heure », ça va. Mais comment amener les gens à opérer ce changement de contexte pour se dire : « Je passe à une conversation plus délicate », alors que nous sommes déjà en plein milieu d’une discussion ? Surtout depuis la COVID, la frontière entre une conversation informelle et une discussion professionnelle s’est complètement estompée. Est-ce difficile de dire : « Je dois maintenant passer sur une autre plateforme pour poursuivre cette conversation » ?

CG : C'est là que la modélisation des menaces au sein d'une organisation n'a pas encore dépassé le cadre de l'entreprise — elle n'a pas franchi les murs pour atteindre le téléphone mobile. Les organisations doivent considérer l'appareil mobile, et tout ce qui s'y passe, comme un terminal à part entière qu'elles doivent gérer. Il ne s'agit pas seulement de se demander : « Pouvons-nous apporter notre propre appareil et allons-nous mettre en place des politiques pour nous assurer que le système d'exploitation est à jour ? » Il faut aller bien au-delà de cela.

Nous devons prendre un peu de recul lorsque nous abordons ce sujet et nous demander quelles sont les règles mises en place par les entreprises et les pouvoirs publics pour définir : « Pour ce type de conversations, voici les lieux où elles sont autorisées et ceux où elles ne le sont pas. » C'est précisément ce comportement que nous commençons à voir évoluer.

Ce sont de petits pas, mais j'ai mené de nombreuses missions de conseil sur les politiques que les gouvernements et les organisations fortement réglementées devraient mettre en place pour encadrer leur personnel : voici le type de conversations qu'il convient d'avoir sur des applications de messagerie gratuites après la journée de travail, et voici le type de conversations pour lesquelles nous devons nous assurer que l'intégrité des appareils est vérifiée, que l'identité est authentifiée et que les clés de chiffrement sont conservées sur notre territoire. C’est ce que nous appelons la « finalité de la plateforme » : la plateforme doit être spécialement conçue pour répondre à la sensibilité des tâches à accomplir. Nous constatons une évolution dans la prise de conscience des gouvernements, qui comprennent désormais qu’ils doivent mettre en œuvre cette politique plutôt que de laisser la question en suspens.

KB : De quelles politiques parlez-vous lorsque vous discutez avec des représentants des pouvoirs publics ?

CG : Nous partons vraiment de zéro : nous mettons en place des règles pour ce genre de situations. Il faut analyser les conversations que vous menez. Je répète la même chose à tous ceux qui veulent bien m’écouter : le niveau de vos conversations ne sera pas le même que celui des autres entreprises ou des pouvoirs publics. Même si vous dirigez un fabricant de bardeaux de toiture, vous ne menez pas, via un appareil, les mêmes conversations que celles menées par les pouvoirs publics ou toute autre entité. Ces conversations doivent être modélisées séparément.

La première étape consiste à cerner votre risque. J’ai eu de nombreuses discussions sur la modélisation des menaces. Si vos messages étaient compromis — et pour ceux qui nous écoutent et qui ne se sont pas encore lancés dans cette démarche, il suffit de consulter quelques articles d’actualité et de se demander : « Que se passerait-il si cela nous arrivait ? » C’est un excellent moyen de commencer la modélisation des menaces. Je classe les messages mobiles en sept catégories, puis nous élaborons un modèle de menaces pour chacun d’entre eux en tenant compte de ce qui se passerait s’ils étaient compromis, s’il s’agissait des métadonnées, ou encore si le chef d’un gouvernement s’entretenait avec celui d’un autre et que ces métadonnées étaient compromises, permettant ainsi aux attaquants de connaître la localisation de ces personnes. C’est vraiment le meilleur point de départ.

Cela ne sera pas la même chose pour tout le monde : un fabricant de bardeaux de toiture peut collecter des données à caractère personnel (DCP) sur ses clients qu’il doit protéger, mais cela relève d’un autre niveau de modélisation des menaces et implique également un autre niveau de politique. Cela pourrait simplement signifier : « Employés, ne partagez aucune information d’identité personnelle ou relative aux clients pouvant être considérée comme des DCP au sein des applications de messagerie. » Et voilà la politique établie. Ce sera plus complexe que cela, mais vous voyez où je veux en venir. Pour les pouvoirs publics, cela va nécessiter des pages et des pages de réflexion.

Mais ce que nous constatons, c'est qu'une fois ce niveau de transparence et de clarté atteint, les décisions qui s'ensuivent sont beaucoup plus faciles à prendre, car il suffit d'examiner la situation pour se dire : « Je dois vraiment passer à l'action. »

KB : Et que se passe-t-il lorsque les gens sont vulnérables sur ce plan ?

CG : Ce sont là les gros titres qui font la une. La réalité de ce qui se passe est bien plus vaste que ce dont nous parlons.

Vous avez un message provenant d'un appareil, un autre provenant d'un autre appareil, et toutes ces métadonnées qui circulent de part et d'autre. Ce message transite sur un réseau dont nous savons qu'il est hostile. Il n'y a pas un coin du monde où l'on puisse trouver un endroit qui n'ait pas été compromis, d'une manière ou d'une autre, par l Salt Typhoon e ou par un acteur malveillant de type APT. Vous avez un message qui part d’un point d’un réseau hostile pour arriver à un point d’arrivée. Ce que nous constatons, c’est que cela remonte à la surface — pas seulement le message lui-même et les métadonnées, mais aussi le risque lié au fait que ces métadonnées transitent par ce réseau.

Ce n’est pas un problème isolé, mais tout un ensemble de problèmes. Dans un contexte d’exploitation de la chaîne d’approvisionnement, qui s’est amplifié au cours des trois ou quatre dernières années, les attaquants ne cessent de gagner en ruse. Ils testent la chaîne d’approvisionnement et se disent : « Vous voulez mettre en place une mesure de protection ici ? Très bien, on va s’introduire par là, parce qu’on peut tout simplement contourner ça. » C’est ce qui se passe actuellement, et la situation va continuer à évoluer en faveur des attaquants, principalement parce que certains de ces problèmes sont insolubles.

KB : Il y a une autre statistique à ce sujet : 88 % des personnes interrogées se disent confiantes quant à la sécurité des applications pour les tâches sensibles. En quoi se traduit cette confiance ?

CG : À l'état brut, cette statistique met en évidence notre incompréhension de ce qu'est le chiffrement. Quand on entend le mot « chiffrement », on l'associe automatiquement à l'idée que « je peux alors parler de tout ce que je veux », sans vraiment comprendre ce que signifie le chiffrement.

Prenons l'exemple du fourgon blindé : on peut protéger ce qu'il contient, mais peu importe qu'il s'agisse du fourgon le plus résistant de toute la planète : s'il est piraté, on peut toujours accéder à son contenu. C'est exactement ainsi que les messages transitent par un téléphone portable.

Ce niveau de confiance de 88 % s'explique simplement par le fait que nous ne parlons pas assez de ce qui se passe si l'appareil est « rooté » ou si des pirates ciblant les métadonnées parviennent à contourner le chiffrement. Nous ne discutons pas suffisamment de l'ensemble des failles, au lieu de nous contenter de dire : « Super, le message est chiffré de bout en bout, ça suffit. » C'est clairement insuffisant.

KB : On a récemment vu des articles affirmant que cela ne suffisait pas et que, comme on dit, les choses commençaient à dérailler. Diriez-vous que les clients, les entreprises et les gouvernements commencent à s'en rendre compte ?

CG : Nous avons beaucoup discuté du changement de culture qui doit s’opérer. Le problème, c’est que — ce n’est pas la faute d’un seul facteur — il s’agit véritablement d’un problème culturel, d’un déficit de connaissances en matière de chiffrement, dont nous venons justement de parler, et ensuite, il s’agit vraiment de donner confiance dans la manière de le résoudre. En matière de sécurité, on aborde ces grands problèmes généraux, mais on n’est pas toujours très doués pour proposer des solutions ou indiquer ce qu’il faudrait faire, car les politiques sont toujours retardées et les infrastructures critiques évoluent lentement — ce qui est normal, puisqu’elles font preuve de prudence.

Ce à quoi nous sommes réellement confrontés, c’est un fossé : un fossé entre la confiance accordée à la sécurité des applications et une mauvaise compréhension de ce que signifie le chiffrement de bout en bout, ainsi qu’un fossé au niveau des politiques et de la réglementation concernant les mesures que nous devrions prendre. Quel devrait être notre point de référence ou notre ligne de base ? Quel devrait être le comportement attendu ? Et tout cela s’entrecroise avec toute une série d’éléments qui doivent changer. Il faut une approche de bout en bout — ce n’est pas une question isolée. En ce qui concerne la confiance et la mise en pratique, les progrès sont lents, mais réels. Nous constatons notamment, depuis un mois, une forte augmentation du nombre d’exploits.

KB : Au vu de ce dernier mois riche en exploits, en actualités marquantes, etc., pensez-vous que cette dynamique va s’amplifier à mesure que l’année avance et au-delà ?

CG : Oui, car la première étape pour toute nouvelle initiative en matière de sécurité consiste simplement à accepter qu’il y a un problème — et nous en sommes là. Aujourd’hui, l’écosystème a admis l’existence d’un problème, et ces éléments s’accumulent. Nous sommes désormais à la recherche de ce problème, et c’est déjà la moitié du chemin parcouru. Ces nouveaux articles qui commencent à faire la une — il y en avait un excellent récemment, pas sur un sujet réjouissant, mais un bon article qui abordait certaines recherches menées au Pentagone.

À mesure que ces cas commenceront à être signalés, nous recevrons davantage de signalements, car de plus en plus de personnes y prêtent attention. Cela ne signifie pas nécessairement que ce phénomène se produit plus souvent. Cela signifie simplement que nous y prêtons attention et que nous le constatons. Lorsque les gens sont vigilants et y prêtent attention, je peux affirmer avec certitude que nous verrons apparaître davantage de titres dans l'actualité, ce qui commencera à faire évoluer les comportements.

KB : Pensez-vous que ce soit l'un de ces phénomènes qui sont passés inaperçus, mais qui se sont insinués dans notre secteur et nous ont frappés de plein fouet ?

CG : Je suis d’accord, et encore une fois, cela n’est imputable à aucun secteur particulier de l’industrie de la sécurité. On ne peut pas pointer du doigt un seul secteur et dire qu’il n’a pas fait du bon travail. Ce n’est absolument pas le cas. Ces applications sont formidables. Elles permettent aux gens partout dans le monde de faire ce dont ils ont besoin, c’est-à-dire communiquer clairement et rapidement, et nous en avons besoin dans nos vies. Et n’oublions pas que ce n’est pas seulement un problème lié aux applications : elles communiquent sur un réseau hostile.

Même si vous réglez un problème, vous devez tout de même vous pencher sur les autres. Nous savons que le « Salt Typhoon » s’est infiltré dans tous ces réseaux mobiles. Et pour prendre encore un peu de recul, lorsque vous envoyez un message à quelqu’un sur WhatsApp, de par sa conception même — qu’il soit envoyé via Wi-Fi ou par réseau mobile, peu importe —, il transite par ce flux technologique. Il peut être interrompu et transféré six ou sept fois. Certaines de ces technologies datent des années 1970. De par sa nature même, lorsqu’on envoie un message sur WhatsApp ou Signal, ou même un simple SMS, celui-ci transite par l’opérateur mobile via un réseau datant des années 1970, effectue six à huit sauts à certains endroits, puis parvient à un autre appareil appartenant à un autre opérateur sur un réseau compromis. Réfléchissez-y : il existe une multitude d’endroits où un attaquant peut se cacher. Et s’il en a vraiment après les métadonnées — ce qui, nous le savons, est son objectif, et non le message lui-même —, il constitue des dossiers et cible des individus spécifiques selon des schémas d’attaque, car il souhaite simplement savoir où vous vous trouvez à neuf heures du matin lorsque vous envoyez ce message. C’est là que nous allons commencer à observer un changement : l’accent sera mis sur les métadonnées.

KB :Si je devais t'envoyer un message concernant un sujet sensible, est-ce plus sûr de t'envoyer un SMS ou d'utiliser l'une de ces applications de messagerie ?

CG : Ça dépend. Chaque éditeur d’application de messagerie collecte un ensemble différent de métadonnées — c’est la première chose à prendre en compte. Si vous m’envoyez un message sur WhatsApp et que je le reçois sur WhatsApp, WhatsApp/Meta collecte toutes ces métadonnées. Ils sont très transparents à ce sujet. Ce n’est pas un secret — c’est de notoriété publique. Si vous recherchez quelles métadonnées WhatsApp collecte, vous verrez qu’ils les collectent, qu’ils les vendent, et qu’ils utilisent désormais l’IA pour les récolter sans possibilité de refus. Nous sommes leur source de revenus — nous sommes leur profit. Ce n’est pas gratuit. Les applications de messagerie sont gratuites pour une raison : elles gagnent de l’argent grâce aux métadonnées.

Quelle est la solution la plus sûre ? La solution la plus sûre consiste à utiliser un système de messagerie local dont vous êtes propriétaire, où vous détenez les clés et les métadonnées, et où ces métadonnées ne sont transmises nulle part. Il existe de nombreuses solutions. Nous en proposons une avec BlackBerry^®SecuSUITE^®: BlackBerry gère les métadonnées au niveau administratif et celles-ci ne quittent pas le bâtiment d’où elles sont envoyées. Si je vous envoie un message via un autre compte BlackBerry SecuSUITE , c’est alors votre entreprise qui détient ces métadonnées à l’autre bout — elles ne se trouvent nulle part ailleurs. Les clés de chiffrement sont stockées localement, ce système est souverain, et le chiffrement respecte les normes approuvées par la NSA ; il n’y a donc aucun doute quant à sa conformité aux exigences de chiffrement. C’est l’option la plus sûre. La solution la moins sûre consiste à envoyer un message de WhatsApp à WhatsApp à travers d’autres régions du monde, car la distance parcourue par le message dépend du nombre de relais qu’il effectue, et chacun d’entre eux augmente la surface d’attaque.

KB : 52 % des personnes interrogées se disent préoccupées par la possibilité que les infrastructures des opérateurs télécoms soient surveillées ou perturbées par un adversaire. Faut-il mettre en place une réglementation applicable aux opérateurs télécoms pour répondre à ces préoccupations liées aux réseaux ? Vous avez évoqué des infrastructures datant des années 1970. Que se passe-t-il exactement ?

CG : Dans le domaine de la sécurité, certaines choses défient les lois de la gravité, et celle-ci en fait peut-être partie. Cette inquiétude est justifiée : 52 % de nos répondants l’ont signalée, et les faits la corroborent. Il y a quelques semaines, le Citizens Lab a publié une étude recensant plus de 1 700 attaques SS7 — il s’agit de la technologie de transfert d’appel au sein du réseau — provenant d’une seule source sur une période de 18 mois, dont plus de 92 % étaient des opérations réelles de localisation visant des cibles concrètes. Cette technologie SS7 est littéralement le maillon de transfert de ce réseau archaïque sur lequel reposent toutes nos communications mobiles. À qui appartient-elle ? Nos opérateurs télécoms actuels ne sont pas nécessairement responsables, car cette technologie est répandue dans le monde entier. On ne peut pas vraiment pointer du doigt un élément en particulier et dire : « Allez réparer cette technologie des années 1970 sur laquelle repose le monde », car c’est comme un jeu de Jenga : si l’on retire une pièce, tout s’écroule.

Cela dit, le vent tourne et les choses bougent. Nous ne manquons pas de détermination. La loi britannique sur la sécurité des télécommunications (Telecom Security Act) en est le modèle le plus récent. Elle oblige les opérateurs à mettre en œuvre des mesures de sécurité et à signaler les menaces qu’ils détectent à l’Autorité nationale de cybersécurité. Il s’agit là d’un minimum, pas d’un maximum. Et j’étais ravi de voir cela se concrétiser, car l’une des choses que j’aimerais voir davantage, c’est que ces opérateurs partagent leurs renseignements — ils en voient beaucoup. Partagent-ils ces informations avec les autorités chargées de la cybersécurité, qui peuvent rassembler ces données et les transmettre à des acteurs comme nous, qui essayons de résoudre le problème ? Ce que la réglementation ne peut à elle seule résoudre, c’est ce problème de visibilité. L’accès au niveau des opérateurs est en effet invisible pour la plupart des programmes de sécurité des entreprises et des administrations. Le trafic s’effectue entièrement au niveau de la couche réseau et nous savons que ces opérateurs sont compromis. Oui, il y a des mesures qu’ils doivent prendre. Mais nous devons également comprendre que même si nous obligeons les opérateurs à assumer une partie de ce travail de sécurité, ils ont les mains liées — cela devient impossible à un certain stade au niveau de la couche réseau.

Cela dit, le débat réglementaire doit absolument, à tout le moins, permettre d’extraire ces renseignements sur les menaces. Il faut que les opérateurs les partagent entre eux et avec les pouvoirs publics, car cela favorisera le renforcement des infrastructures. C’est par là qu’il faut commencer, et nous constatons que les opérateurs de télécommunications adoptent cette démarche à des degrés divers, soit de manière volontaire, soit, comme au Royaume-Uni, en vertu de leur loi sur la sécurité. Je salue ces efforts.

KB : Si tu dis que c'est le seuil minimal, alors quel serait, dans l'idéal, le seuil maximal ?

CG : Tout d’abord, s’ils partagent des renseignements permettant d’agir — car du point de vue du défenseur, nous ne voyons que le crime, nous en voyons les conséquences. Nous ne voyons pas ce que voient les opérateurs télécoms. S’ils partagent ces renseignements, l’étape suivante consiste à les coordonner, et cette coordination débouchera sur des mesures politiques. Car si un nombre suffisant de ces opérateurs se regroupent et commencent à partager leurs renseignements, et que les gouvernements se mettent à les collecter, cela leur permettra d’identifier les priorités absolues, puis d’entamer la mise en œuvre de mesures visant à modifier les comportements.

La cerise sur le gâteau ne consiste pas seulement à imposer ce changement de comportement, mais aussi à envisager à plus long terme la manière dont nous abordons les maillons du réseau qui défient la gravité : comment abordons-nous la technologie SS7 et quel est le plan ? Et comment abordons-nous les régions du monde qui utilisent encore des connexions 2G ? C’est une réalité : certaines régions du Sud n’ont pas bénéficié d’une mise à niveau technologique leur permettant de se prémunir contre tout cela. Nous devons intervenir et les aider à combler ce déficit technologique fondamental.

KB : Les opérateurs télécoms vont-ils se concerter pour trouver une meilleure solution à l'avenir ? Quelle est leur position actuelle ?

CG : Parmi les quelques opérateurs télécoms avec lesquels j'ai discuté — la plupart se trouvaient aux États-Unis —, on constate un intérêt certain. Lors du Mobile World Congress de l’année dernière, on en a beaucoup parlé. C’était la première fois de ma carrière — et je travaille pour des opérateurs depuis très longtemps, près de 20 ans — que je voyais les PDG de ces opérateurs se présenter à un congrès mondial et reconnaître qu’il existait un vide réglementaire et un problème de réglementation, et que nous devions nous asseoir autour d’une table pour réfléchir à la manière d’élaborer des politiques que nous pourrions adopter et soutenir ensemble. J’étais ravi de constater cela, car ils doivent être sur la même longueur d’onde. Ils changent leur façon d’agir. Au cours des derniers mois, j’ai été contacté personnellement pour contribuer à définir certains éléments qui devraient figurer dans ces politiques. Nous avançons dans la bonne direction — mais lentement.

KB : Qu'est-ce qui empêche les entreprises d'appliquer ces politiques, notamment lorsque les employés utilisent des applications de messagerie grand public pour traiter des informations professionnelles sensibles ?

CG : La question de l'application de la règle pose un problème à trois, voire quatre niveaux. Il y a des frictions, car les gens le font sans cesse. Il y a la crainte de ces frictions et le côté familier : c'est facile, tout le monde connaît l'application, tout le monde l'utilise. Il y a une réunion financière à 16 heures et je dois envoyer un message à tout le monde. C'est le moyen le plus rapide de le faire.

Il y a ensuite les comportements implicites dictés par le leadership : si vous savez que votre responsable agit ainsi, vous faites de même. C'est là que l'absence de politique entre en jeu. Cela doit venir d'en haut et il faut y apporter une solution. Les applications grand public ne sont pas gratuites : elles sont instantanées et universelles, mais elles ne sont pas adaptées à un usage professionnel et n’ont jamais été conçues pour l’être. Elles jouent un rôle essentiel dans nos vies et relient les gens partout dans le monde, mais il s’agit là d’un véritable enjeu de leadership en matière de sécurité, et c’est là que réside la plus grande lacune.

Les pirates ne cherchent pas à contourner le chiffrement, et ils n'en ont pas besoin.

Lorsque des hauts fonctionnaires utilisent des applications grand public pour traiter des dossiers gouvernementaux sensibles — et que cela se passe au grand jour, sous les yeux du monde entier —, cela soulève inévitablement des questions. C’est précisément ce qui freine les gens. Tout commence en réalité par une politique : savoir où l’on veut aller et susciter un changement de comportement.

KB : En parlant de lacunes, 41 % des personnes interrogées pensent que le chiffrement protège déjà les appareils piratés. Quelle est la lacune qui leur échappe ici ?

CG : Le problème, c'est l'appareil lui-même. Le chiffrement protège le canal de transmission, pas le terminal. Si un appareil est compromis par un logiciel espion, une faille « zero-click » ou une application malveillante s'exécutant sur celui-ci, le pirate lit le message avant qu'il ne soit chiffré côté expéditeur et après qu'il ait été déchiffré côté destinataire. Le chiffrement est contourné sans pour autant être piraté.

Les attaquants ne cherchent pas à contourner le chiffrement et n’en ont d’ailleurs pas besoin. Ils sont bien au-delà de cela. Ils veulent compromettre l’appareil, le compte, l’utilisateur. Ils veulent les métadonnées. CrowdStrike l’a clairement démontré du point de vue des attaquants. C’est le modèle mental qui doit changer ici. Ce qu’il faut changer, c’est la compréhension du fait que le chiffrement n’est qu’un contrôle parmi d’autres dans une chaîne de mesures de sécurité : sans l’intégrité des appareils, la vérification de l’identité et la souveraineté du réseau qui le sous-tendent, le chiffrement n’est qu’un contrôle parmi d’autres, et non une stratégie de sécurité à part entière.

KB : La souveraineté figure également en bonne place dans la liste : 55 % des personnes interrogées affirment que le contrôle souverain des communications est une priorité. Comment les organisations abordent-elles cette question ?

CG : À l’échelle mondiale, on constate une prise de conscience généralisée : sans contrôle souverain des infrastructures de communication, il est impossible d’assurer la sécurité. Qu’il s’agisse de la juridiction légale, des clés de chiffrement détenues par un fournisseur plutôt que par vous-même, ou encore de la traçabilité des itinéraires des données — certains grands acteurs ont été mis au pied du mur cette année sur ce sujet. Certains ont déclaré : « Vos données ne quitteront pas ce pays », mais n’ont ensuite pas pu le prouver. Cela a constitué un sérieux revers et a fait la une de l’actualité nationale. Puis, on a vu des pays commencer à rapatrier leurs données, car au moment de passer à l’action, il ne s’agissait que de discours marketing.

Mais certains gouvernements passent à l’action. Les déploiements de systèmes de communication souverains en Europe s’accélèrent. En tant qu’entreprise, nous constatons de plus en plus ce phénomène. L’Australie a officiellement conclu en mars 2025 qu’elle respectait ses normes en matière de conservation des données, en définissant la souveraineté comme une question de gouvernance, et non pas uniquement de sécurité. Il ne s’agissait pas seulement de vouloir la souveraineté : ils affirmaient que « si ce n’est pas souverain, cela ne passe pas nos contrôles de sécurité ».

Les organisations, y compris les entreprises non gouvernementales, passent à l'action. Elles envisagent de mettre en place un « air gap » pour isoler leurs environnements sensibles et de déployer des plateformes de communication spécialement conçues à cet effet.

Les messages peuvent transiter par des applications grand public — ça ne pose pas de problème —, mais il faut créer délibérément une plateforme de communication pour les cas où ce n'est pas souhaitable. Si je devais qualifier cette période d'une « phase », je dirais qu'il s'agit de la phase de passage de la hiérarchisation des priorités à l'action. Certaines régions du monde évoluent très rapidement et s'y tiennent avec détermination. Ceux qui n'en sont pas encore tout à fait là en parlent au moins, ce qui signifie qu'ils se trouvent à un certain stade du processus.

KB : Mais 98 % des utilisateurs se servent de plateformes qui ne permettent pas d'exercer un contrôle souverain. Que se passe-t-il ? Pourquoi ces plateformes sont-elles encore utilisées, alors que 55 % des gens s'en inquiètent ?

CG : C'est un aspect pédagogique. C'est dans le fossé entre les aspirations et les actions que se situent les budgets, les marchés publics et les prises de décision organisationnelles — et c'est vraiment là que le bât blesse. On en parle beaucoup, mais c'est à nous de faire avancer les choses.

Les discussions vont bon train sur des plateformes telles que Signal — qui s'appuie largement sur AWS, un fournisseur d'infrastructures dont le siège social est situé aux États-Unis — et WhatsApp, détenue par Meta. Aucune de ces deux plateformes n'offre le moindre niveau de souveraineté et elles ont toutes deux été conçues pour un usage grand public. Les organisations qui les utilisent commencent à s'en rendre compte.

Ce chiffre de 98 % est la donnée la plus alarmante de notre rapport. Cela signifie que le contrôle souverain — que 55 % des personnes interrogées considèrent comme une priorité — est un élément que la moitié des personnes jugent important, alors que 98 % d’entre elles utilisent des plateformes qui ne sont pas en mesure de le garantir. Pour combler cet écart, il faut à la fois un engagement de la direction, une planification des déploiements futurs et le recours à des politiques et à des mécanismes de gouvernance pour le faire respecter. Le monde change, et nous sommes simplement lents à nous adapter. C'est frustrant, mais les choses évoluent.

KB : Lorsqu'une crise survient, la première réaction des gens est de contacter quelqu'un, généralement via leur téléphone portable. 51 % reconnaissent ne pas disposer d'une plateforme de communication unifiée. Quelles en seront les conséquences ?

CG : C'est le scénario d'attaque dont on ne parle pas assez, mais que je considère comme un problème pour l'avenir. Les pirates sont intelligents — vraiment intelligents. Ils savent que la coordination des événements de sécurité constitue une surface d'attaque idéale, car elle engendre de la fatigue.

Si vous pensez à certaines des situations les plus difficiles qui se produisent chaque jour dans le monde, pouvez-vous imaginer que les personnes concernées ne disposent pas d’une plateforme unifiée de gestion des crises ? Elles utilisent des tableurs, passent des coups de fil, envoient des e-mails… et les attaquants savent bien que cela les épuise. C’est précisément pendant ces moments de fatigue qu’ils profitent le mieux d’une faille pour frapper.

C'est dans l'écart entre la préparation telle qu'elle est auto-évaluée et les capacités réelles que les résultats divergent.

Lorsque survient un incident, le réflexe humain est de se tourner vers cet outil familier, ce qui se traduit par une réponse fragmentée, désorganisée et dépourvue de toute responsabilité. Ces applications de messagerie ne sont pas conçues pour assurer la sécurité des personnes, ni pour garantir la responsabilité — c'est-à-dire pour savoir où se trouvent vos collaborateurs. Vous avez 528 employés, et tout le monde utilise WhatsApp. Qui est en sécurité et qui ne l'est pas ? Comment le déterminer ? Ce n'est pas quelque chose dont ces plateformes sont capables.

Nos propres recherches le démontrent : dans un scénario d’attaque simultanée sur plusieurs fronts, le délai de 30 minutes disponible pour atténuer les risques n’est pas perdu à cause de l’exploitation de la faille, mais parce que la coordination des interventions s’effondre entre les organisations et les juridictions. D'autres chiffres du rapport viennent étayer ce constat : 90 % des organisations se disent prêtes à faire face à une crise, mais seules 49 % disposent d'une plateforme unifiée de communication de crise. Et ce qu'elles appellent une plateforme unifiée de communication de crise comporte de nombreux éléments qui ne fonctionneront pas. Il s'agit là d'auto-évaluations.

C'est dans l'écart entre l'état de préparation auto-évalué et les capacités réelles que les résultats divergent. Cela nécessite notamment ce dont nous avons parlé : l'indépendance vis-à-vis des réseaux commerciaux qui pourraient eux-mêmes faire partie de la surface d'attaque. Si vous utilisez ces réseaux en cas de cybercrise et que votre réseau tombe en panne, ou s’il s’agit d’une crise géographique et que le réseau de téléphonie mobile est hors service, vous ne pouvez plus du tout vous en servir. Il est difficile de faire en sorte que cette prise de conscience soit partagée par l’ensemble de l’organisation, mais c’est là un autre sujet dont nous discutons actuellement.

KB : Il m’arrive parfois d’être en pleine conversation avec quelqu’un sur Instagram, puis de passer sur LinkedIn, puis sur Signal, Telegram et WhatsApp. J’imagine bien ce que ce serait d’essayer de diffuser un message à des milliers de personnes alors que tout va de travers : comment savoir où chercher ?

CG : Une partie du défi consiste à amener les dirigeants à examiner ces plans d’intervention en cas de crise et à analyser dans quelle mesure ils reposent sur des chaînes d’appel, des applications de messagerie gratuites ou des e-mails. Je mène depuis peu des missions de conseil sur ce sujet : comment élaborer un véritable plan d’intervention en cas de crise qui nous permette de protéger nos collaborateurs quelle que soit la situation, qu’il s’agisse d’une panne informatique, d’une tornade ou d’une inondation ? Je n’en ai encore jamais vu un qui ne repose pas sur l’une de ces technologies, voire, pire encore, sur plusieurs technologies dont le fonctionnement n’est pas garanti. Et qu’en est-il de votre devoir de diligence envers vos collaborateurs : comment signalez-vous qui est en sécurité et qui ne l’est pas ? Ces informations finissent également dans des tableurs. Que se passe-t-il lorsque le tableur n’est pas disponible ? Il ne s’agit en réalité que d’un assemblage d’ critical event management s obsolètes, rafistolées à la va-vite. Surtout aujourd’hui, alors que nous sommes confrontés à la menace de l’IA et à ses répercussions sur le monde cyber en général — c’est là la crise dont on ne parle pas assez, et elle ne pourra pas être gérée en rafistolant des tableurs et des outils grand public.

KB : Perspectives d'avenir : l'informatique quantique. C'est un sujet d'actualité qui commence à faire son chemin dans les médias. 61 % des personnes interrogées s'attendent à des menaces liées à l'informatique quantique d'ici cinq ans, mais 78 % n'ont pas encore mis en place de mesures de protection. Expliquez-moi un peu ces chiffres.

CG : Cela m'a moi aussi surpris. C'est le même schéma que l'on observe pour toutes les menaces à long terme en matière de sécurité : nous croyons qu'elles sont réelles et supposons que le délai avant leur concrétisation est plus long qu'il ne l'est en réalité. Le risque concret dont nous parlons actuellement, à l'instar du problème des applications de messagerie, n'est pas qu'un ordinateur quantique parvienne dès aujourd'hui à briser votre chiffrement. Il s'agit plutôt du défi consistant à « collecter maintenant, déchiffrer plus tard ». Les cybercriminels — et nous savons que cela se produit car nous en sommes témoins — collectent et stockent des communications cryptées provenant des pouvoirs publics et des entreprises, qui transitent peut-être par l’écosystème d’applications compromis, avec l’intention explicite de les décrypter dès que la technologie quantique sera disponible. Réfléchissez-y un instant. Les criminels anticipent et se disent : « À terme, ce système sera piratable, alors je vais constituer des réserves dès maintenant pour disposer d’un trésor de guerre le jour venu. »

La Réserve fédérale a publié en 2025 une étude consacrée spécifiquement à ce sujet. Le G7 a déclaré que la sécurité quantique était une priorité pour 2026 et le NIST a finalisé les premières normes de cryptographie post-quantique. Ceux qui en parlent en sont conscients et les normes réglementaires évoluent. Malheureusement, ce n’est pas le cas de la plupart des organisations — il existe donc un écart assez important à cet égard.

Selon le consensus des experts, les capacités quantiques pertinentes devraient voir le jour vers 2030, à deux ans près. Cela peut sembler lointain, jusqu’à ce que l’on se rende compte à quel point les efforts de migration avancent lentement. Réfléchissez-y : 2030, à deux ans près, cela signifie potentiellement 2028 — soit dans deux ans. Ce n’est vraiment pas beaucoup de temps.

Toutes les discussions que nous venons d'avoir vont dans ce sens. Toutes ces conversations où l'on se dit : « Le message est chiffré, donc il est en sécurité »… Or, ces métadonnées sont la cible d'attaques et ces messages sont bel et bien stockés. La question n'est pas de savoir si l'informatique quantique va faire son apparition et tout bouleverser. La question est de savoir si vous aurez effectué la migration avant qu'elle n'arrive.

KB : Comment allons-nous résoudre ce problème alors que nous sommes toujours équipés d'une infrastructure de télécommunications datant des années 1970 ?

CG : Il faut y aller petit à petit. Aucun d'entre nous, dans le domaine de la sécurité, ne dispose d'une baguette magique pour résoudre tous ces problèmes. Il faut y aller petit à petit.

Quelques réflexions.

Premièrement : en matière de sécurité quantique, la première étape consiste à dresser un état des lieux. De nombreuses entreprises, et même certains acteurs du secteur public, ne savent pas ce qui est chiffré et ce qui ne l’est pas, ni comment le déterminer au sein de leur propre infrastructure de données. Première étape : identifiez les domaines où vous devez vous assurer que des changements soient mis en œuvre. Deuxièmement : demandez des comptes à vos fournisseurs. Si le chiffrement doit être mis en œuvre chez vos fournisseurs, demandez-leur quel est leur plan pour se préparer à l’ère quantique. S’ils n’en ont pas, cela devrait vous mettre la puce à l’oreille : incitez-les à en élaborer un.

Deuxièmement : dans l’écosystème des applications de messagerie, la priorité absolue est de s’assurer que les métadonnées sont stockées et contrôlées de manière administrative. Où se trouvent-elles ? Si elles transitent actuellement par des applications de messagerie gratuites, c’est là votre premier défi. Cela implique de ne plus considérer le chiffrement comme notre principal filet de sécurité. Les attaquants ne ciblent plus le chiffrement comme avant — ils ont changé de stratégie, préférant collecter les données maintenant pour les déchiffrer plus tard. Ce qu’ils attaquent réellement, ce sont les métadonnées et l’appareil dans son ensemble. Concentrez-vous plutôt sur la manière dont vous protégez les métadonnées de vos collaborateurs dans leurs communications mobiles.

Troisièmement : définir une politique. En définissant une politique, vous signalez à l’écosystème et au secteur que vous allez mettre en œuvre des mesures de sécurité plus strictes pour protéger vos collaborateurs. Vous envoyez également un message important aux opérateurs télécoms, qui évoluent dans la bonne direction. Encouragez les opérateurs télécoms à partager leurs renseignements sur les menaces avec leurs gouvernements, afin que ces informations puissent être coordonnées et utilisées pour susciter de véritables obligations de changement — comme nous l’avons vu au Royaume-Uni.

Voici les trois axes sur lesquels nous pouvons, en tant que secteur, commencer à agir pour faire avancer les choses.