Vol de données : « C’est de la pêche au chalut » pour cibler profs et élèves ?

Après une récente cyberattaque ayant ciblé la direction générale des finances publiques (DGFIP), le groupe de hackers français connu sous le nom de ZeroBytes a déclaré avoir accédé à des données personnelles de millions d’élèves et de milliers d’enseignants. Dans un message posté sur un forum, ces cybercriminels ont affirmé avoir réussi à « absorber 346 millions de lignes » d’informations, comprenant numéros de téléphone, adresses électroniques et domiciles. Cette intrusion dans le secteur de l’Éducation nationale soulève des interrogations quant aux motivations des hackers. Alors que le vol de données fiscales semble motivé par un potentiel profit financier, la question se pose : quel intérêt peuvent-ils avoir à s’emparer de listes de classes ou de parcours scolaires ? Pour éclaircir ces enjeux, nous avons interrogé Thibaut Hénin, expert en cybersécurité.

Il est crucial de ne pas présumer que les hackers ont spécifiquement ciblé l’Éducation nationale pour ses données. En réalité, leur approche ressemble davantage à une pêche au chalut : ils étendent leurs filets et récupèrent tout ce qui leur tombe sous la main, avant de trier et revendre les informations collectées. Certaines données peuvent sembler sans valeur et se vendre à bas prix, tandis que d’autres, une fois croisées avec des bases de données telles que celles des impôts, peuvent révéler des informations précieuses. Par exemple, en combinant ces données, un criminel pourrait localiser l’école fréquentée par les enfants de familles fortunées, ouvrant ainsi la voie à des actes criminels tels que le kidnapping. De plus, la possession de données variées permet de perfectionner des attaques de phishing, car des courriels plus personnalisés augmentent les chances de succès.

La revendication de telles attaques n’est pas uniquement une question de profit, mais aussi d’image. Dans le milieu du hacking, souvent peuplé de jeunes, la notoriété est primordiale. Revendiquer le piratage d’un ministère est une manière de prouver sa valeur à ses pairs, un peu comme afficher un trophée. Cependant, cette stratégie peut s’avérer risquée, car la règle d’or en cybersécurité est de ne pas s’en prendre à son propre pays et de rester discret. Malheureusement, ces jeunes hackers manquent souvent de maturité.

Quant à leurs compétences, elles sont réelles, mais il est important de noter qu’ils utilisent fréquemment des outils déjà disponibles. En matière de défense, il existe une asymétrie : un hacker doit seulement exploiter une faille, tandis qu’un administrateur système doit sécuriser l’ensemble des infrastructures en permanence. En France, la culture privilégie souvent la créativité au détriment de la rigueur, alors que la sécurité informatique exige une précision extrême. Les infrastructures critiques, comme les centrales nucléaires, bénéficient de protocoles de sécurité rigoureux, mais pour le reste, la gestion des risques est une question d’arbitrage.

Pour les enseignants, les élèves et leurs familles, le risque immédiat lié à la fuite de données classiques, comme les noms et adresses, reste relativement faible. Ces informations étaient autrefois accessibles dans les annuaires téléphoniques. En revanche, si des bases de données sensibles, telles que les annuaires LDAP, sont compromises, le danger augmente, notamment en ce qui concerne les mots de passe. Les systèmes stockent des versions condensées de ces mots de passe, et un mot de passe faible pourrait être rapidement deviné par un hacker.

Face à ces menaces, il est essentiel pour les usagers d’adopter des comportements préventifs. En cas de doute, il est conseillé de modifier immédiatement son mot de passe. Pour renforcer la sécurité, l’utilisation de « phrases de passe » composées de cinq à six mots aléatoires est recommandée, car elles sont à la fois robustes et faciles à mémoriser. En cas de préoccupations concernant des données bancaires ou des tentatives d’escroquerie, il est prudent de contacter son conseiller bancaire pour renforcer la sécurité du compte.

Enfin, il est à noter que les agents publics, en particulier ceux de l’Éducation nationale, semblent être des cibles privilégiées pour le phishing. Cela s’explique par le simple fait que cette institution emploie plus d’un million de personnes. Si une tentative d’hameçonnage a une chance sur 10 000 de réussir, cela se traduira nécessairement par plusieurs succès dans un tel volume. Ce phénomène n’est pas dû à une incompétence, mais plutôt à des moments de fatigue ou de distraction qui peuvent altérer la vigilance d’un agent.