Yacine Sediki forme à l’hygiène numérique en entreprise
La cybersécurité est devenue un enjeu central dans un monde où la dépendance aux technologies numériques ne cesse de croître. Chaque jour, entreprises, administrations, et particuliers sont confrontés à des menaces qui évoluent constamment, allant des cyberattaques sophistiquées aux erreurs techniques qui peuvent paralyser des systèmes entiers.
« Il y a beaucoup d’attaques informatiques, ou d’autres types de soucis comme on l’a vu en juillet, avec une mise à jour défectueuse déployée par CrowdStrike. Elle a entraîné des interruptions massives de systèmes informatiques, affectant de nombreux secteurs critiques à travers le monde », observe Yacine Sediki qui a fondé à Blois la Certighost Academy, un organisme de formation spécialisé* dans la cybersécurité, offrant également des programmes en cyber enquête pour un public jeune. « La cybersécurité ne concerne pas seulement les entreprises, mais aussi les associations et les particuliers. »
C’est pourquoi il faut adopter de bonnes pratiques. A commencer par sa messagerie. « Je vous donne un exemple concret, explique Yacine Sediki. Imaginez que votre DRH vous envoie un e-mail avec en pièce jointe un nouveau planning, vous demandant de confirmer votre présence. Étant donné que l’e-mail semble provenir du DRH, les employés ont tendance à faire confiance automatiquement et à cliquer sur les liens ou à ouvrir les fichiers joints. Il faut vérifier que l’adresse e-mail est bien celle du DRH et qu’il ne s’agit pas d’une tentative de phishing. Si il est crucial de ne pas être paranoïaque, il faut rester vigilant. Le phishing fonctionne souvent en usurpant l’identité d’une personne de confiance, comme le DRH. Le pirate va récupérer l’entête et l’utiliser pour envoyer un faux message. Ce que je recommande, c’est de toujours vérifier auprès de l’expéditeur avant de cliquer sur un fichier ou un lien. Appelez la direction ou le DRH pour confirmer l’authenticité de l’e-mail. Si c’est bien eux, aucun problème. Sinon, il ne faut surtout pas cliquer et il vaut mieux attendre les instructions de la DSI. Il y a beaucoup de flux de mails dans une journée, donc il est compliqué de vérifier chacun d’eux. Cependant, il est important de porter une attention particulière aux mails provenant de la direction ou des collègues. Si vous recevez un e-mail d’une source extérieure, il faut redoubler de prudence. »
Les attaques de phishing peuvent mener à la compromission d’informations confidentielles, telles que des données personnelles des employés, des informations financières, ou des secrets commerciaux. Cela peut avoir des conséquences juridiques et financières importantes pour l’entreprise. « Cela peut potentiellement détruire tout un écosystème », ajoute Yacine Sediki.
Avoir une hygiène de vie numérique
« Il faut être vigilant et avoir une hygiène de vie numérique, poursuit l’expert. Les erreurs courantes incluent des mots de passe trop simples, ou mettre son nom et prénom dans une adresse e-mail, car ces informations peuvent être exploitées pour trouver un numéro de téléphone ou d’autres données personnelles, pouvant ensuite être utilisées pour des démarches commerciales agressives ou du phishing. » Lorsqu’il s’agit de falsifier le numéro de l’appelant pour qu’il apparaisse comme un autre numéro sur l’écran du destinataire, on parle de « caller ID spoofing ». Cette technique est souvent utilisée dans des attaques de phishing ou par des escrocs pour se faire passer pour une personne ou une organisation de confiance.
Cyber-enquêteurs
Le cyber-enquêteur est spécialisé dans la traque de la cybercriminalité sur divers fronts, incluant le web, les réseaux sociaux, et le darknet. Il participe à la collecte, l’analyse, et l’extraction de preuves numériques sur différents supports (téléphones, ordinateurs, disques durs, etc.). Dans ce domaine aussi Yacine Sediki se veut formateur. « C’est une formation qui n’existe pas encore en France, mais qui se développe surtout au Canada, notamment au Québec, que je veux proposer ici, réagit Yacine Sediki. Ce sont des investigateurs numériques, qui peuvent travailler en tant qu’enquêteurs privés dans des agences privées, ou même avec des services d’État, pour des recherches de personnes, de données, ou d’analyse de disques durs. Avec une certification d’enquêteur, on peut agir auprès du CNAPS (Conseil National des Activités Privées de Sécurité), disposer d’une carte professionnelle et travailler dans des agences privées. »
Le 5 septembre, Certighost Academy proposera une journée portes ouvertes virtuelle pour la formation de cyber-enquêteur. Cela se déroulera directement sur le site Internet de l’entreprise, de 14h à 15h. Durant cette session, il y aura une phase de questions-réponses. La formation est accessible à partir de 16 ans.
Ne jamais se connecter à un Wi-Fi gratuit
Puisqu’il est question de détective en herbe, on peut se demander si, par exemple, il est possible d’accéder à toutes les informations d’une personne dans l’espace public simplement via son portable ?
Accéder à toutes les informations d’une personne dans l’espace public via son portable n’est pas réellement possible, surtout en ce qui concerne des informations personnelles et sensibles. Cependant, certaines informations peuvent être collectées, en fonction de la configuration de l’appareil et des pratiques de l’utilisateur, ainsi que des outils utilisés pour tenter de les extraire. Avec des techniques avancées comme l’utilisation d’un IMSI catcher (une fausse antenne-relais), un attaquant pourrait intercepter certaines communications (appels, SMS). Cependant, cela nécessite des équipements spécialisés et est généralement illégal sans autorisation.
Se connecter à un réseau Wi-Fi public non sécurisé peut exposer l’utilisateur à des attaques de type « man-in-the-middle », où un attaquant pourrait intercepter les données échangées sur le réseau. Cela peut inclure des informations personnelles si elles ne sont pas correctement chiffrées. « Il ne faut jamais se connecter à un Wi-Fi gratuit. C’est l’une des règles de base en matière d’hygiène numérique », clame Yacine Sediki.
*On l’a compris, la cybersécurité n’est plus une option, mais une nécessité. Les menaces numériques sont en constante évolution, ciblant aussi bien les grandes entreprises que les PME. Pour répondre à ce besoin crucial, Certighost Academy propose une formation en huit modules, avec une vue d’ensemble des enjeux, les techniques pour créer et gérer des mots de passe robustes, identifier et se protéger contre les menaces courantes telles que le phishing, etc. « Vous avez la possibilité de former vos collaborateurs à coût zéro via l’OPCO », précise Yacine Sediki. Les OPCO (Opérateurs de Compétences) sont des organismes agréés par l’État pour accompagner les entreprises dans la gestion de la formation professionnelle de leurs salariés. En pratique, pour qu’une formation en cybersécurité soit financée par un OPCO, l’entreprise (60 employés minimum) doit soumettre une demande en précisant en quoi cette formation contribuera à la sécurité numérique de l’organisation et au développement des compétences des salariés concernés.
