Se protéger sur Internet : j’ai pris un cours avec la DCRI

Internet, c’est le mal : à Sciences-Po, un agent du contre-espionnage m’a expliqué pourquoi Facebook ou Copains d’avant étaient les meilleurs amis des espions.

Q (Ben Whishaw), geek des services de renseignement britanniques dans le dernier James Bond, « Skyfall » (Francois Duhamel/Danjaq, LLC, United Artists Corporation, Columbia Pictures Industries, Inc.)

En mai, l’Elysée a été piraté et les ordinateurs de plusieurs conseillers haut placés infiltrés, révèle L’Express de ce mercredi.

Hasard du calendrier : le jour de la sortie de l’hebdomadaire, j’ai assisté à un séminaire de formation en sécurité informatique dispensé par un policier de la Direction centrale du renseignement intérieur (DCRI, le service de contre-espionnage français, issu en 2008 de la fusion entre RG et DST).

Ce séminaire, qui se déroulait dans les locaux de Sciences-Po à Paris, n’était ouvert qu’à certains étudiants de l’école, pas aux journalistes (mais voilà, je suis l’un et l’autre).

Le but : sensibiliser les futurs fonctionnaires (ou cadres) aux enjeux de la protection de leurs données et celles de leur employeur. Comment ? En nourrissant la paranoïa vis-à-vis d’Internet, en faisant bien comprendre que le Web, c’est sale et plein de dangers.

« Je connais déjà certains d’entre vous »

Il commence, se présente :

« C’est la dernière fois que je vous dis mon nom. »

On se contentera donc du petit panonceau qu’il y a devant son bureau : « DCRI » (plus tard dans la matinée, son nom réapparaîtra dans un logiciel utilisé pour une démonstration). Monsieur DCRI est « spécialiste des réseaux sociaux » et, logiquement :

« Hier soir, j’ai fait vos réseaux sociaux. On verra plus tard ce que j’ai trouvé. Je connais déjà certains d’entre vous visuellement. »

Un léger froid s’installe parmi la trentaine de participants et je me crispe un peu à l’idée d’un espion fouinant sur ma page Facebook.

La DCRI aime Facebook (et Copains d’avant)

On le savait plus ou moins, mais là, ça se confirme : les services secrets adorent les réseaux sociaux.

« Avant les réseaux sociaux, on devait faire des planques. Avec Facebook, on gagne du temps et on n’a plus besoin de sortir. Sur vos pages Facebook et sur Twitter, vous donnez vos goûts et vos opinions. C’est grâce à ça qu’on se fait une idée de la psychologie de la personne. »

Situation professionnelle, goûts, désirs, habitudes : tout est bon dans les réseaux pour établir le profil d’un suspect ou d’une personne à approcher.

Parmi les réseaux sociaux, la DCRI a un petit faible : Copains d’avant, « le Facebook du vieux ».

Il faut dire que certains en ont une utilisation particulièrement légère : ils détaillent leurs compétences et leurs responsabilités dans leurs entreprises de manière bien trop précise, par exemple.

Mention spéciale à ce technicien qui a posté sur Copains d’avant une photo de lui... et de matériels spatiaux classés « confidentiel défense », son badge et ses autorisations de sécurité bien en évidence. La DCRI n’a pas trop aimé.

« C’est comme dans les films ! »

Le policier est là pour marquer les esprits, alors il se vante un peu :

« On a des pros qui peuvent ouvrir toutes les portes : c’est vraiment comme dans les films. »

On le savait depuis la parution de « L’Espion du Président » (le fameux livre sur la DCRI), mais cela fait son petit effet.

Et d’enchaîner sur les petites techniques des services, grandement facilitées par les réseaux sociaux et toutes les informations qu’on y trouve :

« Quelqu’un renverse son café sur vous. Très gentil, il vous rembourse les frais de teinturier. Quelques semaines plus tard, vous le croisez, par hasard évidemment, sur un tapis de course dans votre salle de sport. Il vous propose de vous offrir un verre. Etrangement, vous vous découvrez des tas de points communs, vous venez de la même région, vous êtes allés dans la même école. Vous vous dites : “C’est incroyable, le monde est petit !” »

Ces opérations, destinées à obtenir des informations en se rapprochant d’une cible, sont courantes. La plus longue a duré quinze ans : « Quinze ans de mise en place d’une amitié. Quinze ans de repas de couples ! »

« Un système développé pour nous coincer »

Paradoxalement, notre policier, s’il utilise beaucoup les réseaux sociaux, n’aime pas trop les géants américains du Web, quitte à verser dans un brin de paranoïa :

« Ce genre de jouet [les smartphones, ndlr] ont des applications de traduction. Gratuites. Pourquoi ? Pour généraliser l’installation de l’application. Pour récolter de grandes masses de données. Quand on utilise Google Traduction pour traduire une documentation technique, ça envoie les données sur un serveur américain. »

Et de voir la main de la CIA un peu partout :

« Gmail, Google traduction, Twitter, Facebook, LinkedIn : c’est vraiment un système qui a été développé pour nous coincer. Ces entreprises américaines ont toutes In-Q-Tel [le fonds d’investissement de la CIA, ndlr] dans leur capital. »

Et il a raison. De là à voir la CIA partout...

Les smartphones, c’est la plaie

Comme les réseaux sociaux, il veut nous convaincre des dangers des smartphones en termes de sécurité (là non plus, il n’a pas tort) :

« J’ai besoin de 30 secondes pour piéger votre téléphone Android. Le temps moyen pour casser le code de déverouillage à quatre chiffres d’un iPhone ? Trois minutes trente ! [Il nous a fait la démonstration en direct grâce à un petit logiciel, ndlr] Dupliquer l’intégralité du contenu de votre téléphone ? Vingt minutes maximum ! »

La petite astuce, avec la généralisation des smartphones et leur connexion 3G (qui permet d’accéder à l’Internet mobile) ? Très simple :

« On brouille la 3G pour que les téléphones descendent sur le réseau inférieur, le réseau Edge, qui est mal chiffré. »

Plus facile ensuite d’intercepter certaines informations : contrairement aux lignes fixes, il est possible d’écouter un téléphone mobile sans se brancher directement sur la ligne, lorsqu’on est à proximité.

Bercy piraté par un entretien d’embauche ?

Au fil de sa présentation, notre policier nous aide à mieux comprendre les quelques attaques informatiques qui ont touché la France :

« Il faut cibler l’ego [pour obtenir des informations, ndlr]. En organisant de faux entretiens d’embauche par exemple, où on pousse la personne à étaler ses compétences et ses infos. C’est arrivé à un responsable informatique d’un ministère. Quelques semaines plus tard, le ministère a été piraté. »

Ce genre de techniques permet de rassembler de précieuses informations : quel est le système de défense mis en place ? Quelles sont les marques et les logiciels utilisés ? On avait presque oublié cette histoire de ministère, quand soudain :

« Bercy, on sait que c’était la Chine [Ah bon ? Je pensais naïvement qu’on en était resté au stade des suspicions, ndlr], peut-être à travers un faux entretien d’embauche. »

Travailler dans les transports, c’est risqué

Le long de ce que la DCRI appelle « les lignes professionnelles », là où circulent de nombreux patrons (Paris-Toulouse pour l’aéronautique, mais aussi dans le Thalys ou l’Eurostar), il y a beaucoup de regards baladeurs. Et de caméras et appareils photo pour les seconder.

Notre agent explique ainsi qu’un patron a perdu un grand marché d’éoliennes off-shore, simplement parce qu’il avait potassé sa réponse commerciale dans les transports.

Selon le fonctionnaire de police, il y a encore du boulot à faire dans l’hygiène numérique de certains patrons. Et de nous raconter l’histoire de cet industriel, dans le train :

« Au bout de 30 minutes de trajet, il est parti pendant 40 minutes, en laissant tout ouvert : son ordinateur, sa messagerie, son téléphone. »

A son retour à sa place, il a eu droit à une gentille « sensibilisation » de la part de notre conférencier. Certains n’ont pas eu cette chance :

« Un jour, avec un collègue, on a dû “sensibiliser” des industriels de l’électronique de défense dans un avion. Ils manipulaient des “tampons rouges” [des documents classifiés, ndlr]. On les a “accueillis” chez nous. Et chez nous, c’est pas une sensibilisation. C’est une garde à vue, et il n’y a pas de café ou de jus de fruits. »

La France, un peu en retard

Ces deux larrons ne sont pas les seuls à faire n’importe quoi :

« Pendant longtemps, on n’a pas vendu notre fameux avion [probablement le Rafale, ndlr], car on ne savait pas sécuriser l’information. »

Autre exemple :

« Le pire, ce sont les hôtels à l’étranger. Une grande entreprise négociait en Asie pour une centrale nucléaire, ils ont attendu que tous les membres de l’équipe soient arrivés pour louer une salle dans un grand hôtel. Des services étatiques les ont écoutés, et bam ! Le contrat de centrale nucléaire a été perdu. »

Il nous parle aussi du micro placé dans les taxis chinois au moment des Jeux olympiques :

« Beaucoup d’industriels ont la fâcheuse habitude de faire une dernière réunion dans le taxi ou le soir à l’hôtel. »

« Le numérique, c’est quelque chose de dangereux »

En conclusion, le policier en rajoute une couche :

« On n’est pas dans un monde de Bisounours. En face, il y a de vrais méchants. Le numérique, c’est vraiment quelque chose de dangereux et c’est pour ça que les Etats se démènent et on rame. c’est une course à l’armement. »

Le patriotisme doit aussi être numérique :

« A l’étranger, si vous n’êtes pas prudents, vous dégradez le drapeau bleu-blanc-rouge et ça, vous avez tendance à l’oublier. C’est votre comportement qui va décider de notre sort économique. »

Ce que j’ai appris

• Ne pas trop donner d’informations personnelles et professionnelles sur les réseaux sociaux ;
• ne jamais (JAMAIS) se connecter sur un réseau WiFi public, ouvert et sans mot de passe, surtout dans les aéroports ;
• paramétrer la sécurité de son réseau wifi en « WPA AES », car des choses très embêtantes peuvent vous arriver si votre réseau est piraté (comme se faire squatter par un pédophile, dixit notre policier) ;
• lors d’un déplacement à l’étranger, ne rien stocker sur son ordinateur, préférer une clé USB chiffrée, plus discrète ;
• si vous vous faites approcher par un service étranger (chantage, par exemple), il faut aller en parler avec la DCRI (« Nous sommes vos alliés ») ;
• dans les transports, il faut toujours conserver son ordinateur sur soi ;
• protéger ce dernier avec un mot de passe long et unique.
• on peut être un agent de la DCRI spécialiste des réseaux sociaux, et ne pas se rendre compte qu’un journaliste assiste à sa conférence.