Ce podcast réunit un panel d’experts en cybersécurité lors de l’événement NortSsec, avec comme animateur et participants : Olivier Arteau (recherche académique, créateur du prototype pollution), Joey Dubé (superviseur d’équipe d’analyse au Centre canadien de cybersécurité), Jean-Philippe Décarie-Mathieu (analyste principal chez Cyber Québec), Estelle Ruellan (chercheuse en cybersécurité chez Flair spécialisée en data science), et François Proulx (vice-président recherche chez Boost Security, expert en supply chain security).

La discussion s’ouvre sur la question troublante de la souveraineté numérique, particulièrement concernant les récents bouleversements autour du système CVE (Common Vulnerabilities and Exposures). L’administration américaine a menacé de couper le financement de MITRE, l’organisme gérant les CVE, créant une crise qui a révélé la dépendance occidentale aux infrastructures numériques américaines. En réaction, l’Europe a rapidement développé son propre système équivalent.

Les panélistes voient cette fragmentation comme potentiellement positive. Estelle note que dans la recherche sur le dark web, ce qui compte est l’adoption par les utilisateurs plutôt que l’uniformité des standards. Jean-Philippe souligne que beaucoup de vulnérabilités n’avaient déjà pas de CVE, et qu’avoir des doublons pourrait accélérer l’attribution de numéros. Il perçoit cette situation comme une opportunité de revoir un système CVE critiqué pour son manque de précision et sa gestion centralisée problématique.

Joey appuie cette vision, qualifiant ce bouleversement de “shakeup nécessaire” qui force à repenser une dépendance de quinze ans aux États-Unis. François y voit une contre-vérification bénéfique, rappelant que l’industrie s’adapte déjà aux nomenclatures multiples pour l’attribution d’acteurs malveillants.

Olivier partage son expérience de création de CVE, expliquant que MITRE préfère que les demandes passent par des intermédiaires (entreprises ou organisations) plutôt que directement par les chercheurs. Cette structure limite les soumissions de faible qualité mais oblige les chercheurs à “s’agenouiller” devant les entreprises pour obtenir des crédits. François confirme cette approche via GitHub Security Advisory, tandis que Joey mentionne son expérience chez Intel/McAfee comme autorité de numérotation CVE.

Les experts s’accordent sur le fait que la fragmentation ne pose pas de problème majeur tant que les informations essentielles (produits affectés, versions, standards) restent cohérentes. Joey souligne que le vrai problème était la dépendance à un point de défaillance unique. Cette diversification pourrait même être salutaire en évitant qu’une seule interruption paralyse l’industrie entière.

La discussion évoque la possibilité d’un système décentralisé de type fédératif, mais les panélistes restent prudents quant aux résistances des entreprises ayant des blocs CVE pré-alloués.

La conversation prend une tournure géopolitique avec l’analyse de la dépendance canadienne aux infrastructures américaines. François note que la Chine a développé son propre système de gestion des vulnérabilités avec contrôle étatique, gardant un accès prioritaire avant publication publique. Pour les autres pays (Iran, Russie, Corée du Nord), la distinction est faite entre espionnage d’État et cybercriminalité, cette dernière tendant à utiliser les outils existants par facilité.

Les panélistes soulignent l’ironie de l’administration Trump abandonnant volontairement une position de dominance stratégique dans le renseignement cyber, révélant la vulnérabilité occidentale. Jean-Philippe évoque la dépendance canadienne au renseignement des Five Eyes, particulièrement face à des États-Unis potentiellement hostiles.

La discussion se tourne vers les solutions concrètes pour réduire la dépendance technologique. Jean-Philippe identifie un problème historique de valorisation du talent technique au Canada, où la mentalité était d’aller travailler aux États-Unis pour du travail de pointe. Cette fuite des cerveaux a affaibli les capacités canadiennes.

François exprime sa fierté envers son équipe “world-class” chez Boost Security, soulignant que le talent canadien existe et peut rivaliser internationalement. Le défi est l’adoption de produits canadiens face au monopole des logiciels américains. Estelle note que même avec d’excellents produits locaux, l’adoption prend du temps face à la domination mainstream américaine.

L’exemple de CanCyber est évoqué comme modèle d’initiative gouvernementale réussie. Ce projet fédéral donnait accès gratuit à du renseignement de menaces et des services de cybersécurité aux PME, particulièrement précieux pour les entreprises ne pouvant s’offrir des solutions coûteuses. Malheureusement supprimé après un changement de ministre, il illustre le potentiel canadien mais aussi la fragilité politique de ces initiatives.

Joey confirme que des services similaires existent encore via le CCCS pour les secteurs critiques, mais sous une forme différente.

Jean-Philippe souligne l’importance du lobbying pour la pérennité des initiatives technologiques. Le milieu IT s’investit peu en politique, contrairement aux industries ayant des lobbyistes payés. La communauté cybersécurité doit s’organiser via des OBNL pour porter ses enjeux politiquement.

NordSec est identifié comme un véhicule potentiel, démocratisant la cybersécurité pour les PME et permettant l’échange entre secteurs public et privé. CyberEcho, partenaire principal financé par les banques canadiennes, représente aussi un bon véhicule d’influence avec une vision à long terme.

Un point crucial émerge sur la tendance de la communauté cybersécurité à “prêcher entre convertis”. Olivier insiste sur la nécessité de transcender leur écosystème pour influencer les décideurs et le grand public. Il encourage les experts à donner des entrevues médiatiques malgré les risques, ayant lui-même influencé des ministres via Radio-Canada.

Les obstacles identifiés incluent : la peur d’être mal cité (Jean-Philippe), les stéréotypes sur les “nerds” de la cyber (Estelle), et la difficulté de vulgariser des sujets techniques complexes. Historiquement, la communauté hacker était hostile aux médias et très élitiste, culture qui évolue heureusement vers plus de permissivité.

François mentionne l’initiative CyberScience qui coach les étudiants canadiens en CTF, avec l’équipe gagnante représentant le Canada internationalement. L’exemple danois est cité, où les médias mainstream ont couvert leur équipe CTF comme un sport, popularisant ainsi la cybersécurité.

Le panel conclut sur l’importance de déconstruire l’élitisme historique de la communauté pour permettre l’émergence de nouveaux talents et améliorer la communication externe. La période d’incertitude géopolitique, bien que déstabilisante, offre une opportunité de repenser la souveraineté numérique canadienne et de valoriser l’expertise locale.

Les experts s’accordent sur la nécessité d’actions concrètes : développer des alternatives canadiennes aux solutions américaines, renforcer le lobbying communautaire via des OBNL, améliorer la communication publique des enjeux cybersécuritaires, et surtout, surmonter la réticence à s’exposer médiatiquement pour influencer les politiques publiques.

Cette discussion révèle une communauté cybersécuritaire canadienne consciente de ses défis mais confiante en ses capacités, prête à saisir l’opportunité créée par l’instabilité géopolitique actuelle pour affirmer sa souveraineté numérique.

Ce podcast présente une collaboration spéciale entre Nicolas et Philippe Chevalier, cofondateur avec sa femme Bonnie de l’agence de cyberenquête Sarx, une agence canadienne de détective privé spécialisée dans les investigations en ligne. Philippe prend soin de distinguer son travail des clichés véhiculés par les films noirs et séries télévisées, où les détectives privés sont souvent dépeints comme des alcooliques dépressifs roulant dans de vieilles voitures. Au contraire, il se présente comme un “détective corporatif” ou “détective d’affaires” qui utilise principalement des méthodes de cyberenquête pour servir les entreprises, banques, avocats, notaires, assureurs et investisseurs ayant des motifs légitimes d’enquête.

L’agence travaille notamment sur les fraudes impliquant des cryptoactifs, mais leur spécialité reste la cyberenquête. Philippe explique que pour combattre efficacement les cyberattaquants, il faut les comprendre, s’intéresser à leur mentalité et leur culture. C’est pourquoi son équipe maintient une présence sous pseudonymes sur des forums spécialisés depuis plusieurs années, développant une crédibilité qui leur permet d’observer et comprendre ces milieux.

Philippe relate l’histoire fascinante de Darian, un jeune cybercriminel du Monténégro qui illustre parfaitement l’organisation moderne de la cybercriminalité. Ce jeune homme travaille dans ce qui était autrefois des cybercafés, transformés aujourd’hui en véritables bureaux de “hackers à loué” - des agences de cybercriminels mercenaires. Ces établissements affichent ouvertement leurs services avec des panneaux en bois, situés ironiquement à seulement 400 mètres du quartier général de la police locale, démontrant une tolérance inquiétante de ces activités dans certains pays.

Darian reçoit quotidiennement des listes de cibles à attaquer, incluant des PME québécoises qu’il ne saurait même pas localiser sur une carte. Sa méthode de travail est structurée : il dispose de 20 à 30 minutes maximum pour tenter une attaque par force brute contre chaque cible. S’il évalue que l’attaque peut réussir dans ce délai, il poursuit ; sinon, il passe à la cible suivante pour maintenir sa productivité. Si l’attaque technique montre des signes de succès, il peut alors déployer des techniques d’ingénierie sociale après un délai de 15 à 20 minutes.

L’outil principal utilisé par Darian est un logiciel de cyberespionnage appelé Vénus, relativement ancien et peu performant, mais désormais quasi-gratuit. Sa force réside dans sa capacité à faire croire à la victime que ses systèmes ont été complètement compromis et que toutes ses données sont en cours de décryptage. Vénus peut capturer des données cryptées et produire des captures d’écran que le pirate présente comme “preuve” de son intrusion réussie, créant un effet d’intimidation psychologique puissant.

L’aspect le plus pervers de cette histoire révèle une connaissance approfondie du marché local. Darian possédait des informations sur les contrats de cyberassurance des PME québécoises, notamment les deux principaux fournisseurs. Lorsqu’il a réussi à compromettre une ONG québécoise, il a proposé un marché particulièrement vicieux : sachant que l’organisation avait une assurance couvrant 50 000 dollars en cas de cyberattaque, il a offert de “collaborer” pour démontrer l’attaque en échange de seulement 8 000 dollars, permettant à la victime de récupérer la prime d’assurance.

Cette stratégie diabolique transforme la victime en complice d’une fraude aux assurances. Si l’organisation acceptait cette proposition, elle devenait automatiquement coupable de fraude et ne pouvait plus faire machine arrière, car le cybercriminel détenait des preuves matérielles de sa volonté de frauder sa compagnie d’assurance. Cette compromission garantissait le paiement des 8 000 dollars réclamés.

Philippe insiste sur un point crucial : contrairement à la perception populaire, 99% des cyberattaques réussissent grâce au facteur humain plutôt qu’à la technologie. Leurs tests de pénétration confirment cette réalité : tandis que les attaques par force brute échouent de plus en plus souvent grâce à l’amélioration des défenses techniques, le taux de réussite des attaques par ingénierie sociale continue d’augmenter.

Cette situation s’explique par les investissements considérables réalisés dans la sécurité technique au cours des dernières années, rendant les systèmes relativement robustes. Cependant, l’élément humain a été négligé dans cette course à la sécurisation. Philippe utilise une métaphore éclairante : même avec une porte blindée très résistante, si la clé reste cachée sous le paillasson, l’attaquant n’essaiera pas de forcer la serrure mais cherchera simplement la clé.

Les cybercriminels modernes ont abandonné l’approche “brute force” consistant à envoyer massivement des courriels malveillants en espérant qu’une victime mordra à l’hameçon. Ils privilégient désormais une approche plus sophistiquée basée sur l’établissement de confiance progressive. Philippe explique qu’ils envoient d’abord deux ou trois courriels légitimes sans contenu malveillant, engageant une conversation normale avec leur cible. Cette stratégie permet de contourner les systèmes de défense automatisés qui, reconnaissant l’expéditeur comme “familier” lors du quatrième courriel, baissent leur garde et laissent passer la pièce jointe piégée.

Philippe illustre cette évolution avec un test de pénétration réalisé pour un cabinet d’avocats. Après avoir analysé minutieusement le profil d’un avocat prestigieux - ses formations, ses professeurs à l’université, ses prises de position idéologiques publiques, ses domaines d’expertise - il a conçu un courriel de trois paragraphes seulement. Ce message ne contenait pas de flatterie grossière, mais utilisait le vocabulaire spécifique et les références intellectuelles de la cible, présentant un cas urgent mais plausible de harcèlement au travail dans une grande entreprise.

L’avocat, pourtant informé qu’un test de pénétration aurait lieu cette semaine-là, a ouvert la pièce jointe piégée sans même remarquer l’alerte de sécurité demandant d’autoriser les macros. Interrogé après coup, il n’avait aucun souvenir de ce message d’alerte, tellement le contenu du courriel l’intriguait et correspondait à ses préoccupations professionnelles.

LinkedIn représente un terrain de jeu particulièrement fertile pour les cybercriminels. Cette plateforme combine les aspects d’un réseau social traditionnel avec des informations professionnelles détaillées, permettant aux attaquants de collecter facilement les opinions idéologiques, les positions économiques et politiques des cibles. Ces informations permettent de créer une fausse complicité, une connivence artificielle qui facilite l’approche.

Les petits groupes de cybercriminels gèrent désormais entre 800 et 1000 faux profils simultanément. Pour rendre ces profils crédibles, ils utilisent une technique particulièrement efficace : si un faux profil prétend être ingénieur chez Hydro-Québec, ils sollicitent des connexions avec de vrais employés de l’entreprise travaillant dans d’autres départements. Par esprit d’entreprise ou simple politesse professionnelle, ces employés acceptent souvent ces demandes de connexion, donnant une crédibilité immédiate au faux profil.

L’utilisation de l’intelligence artificielle permet désormais de créer des commentaires sophistiqués et personnalisés sur les publications des cibles. Philippe observe avec inquiétude que LinkedIn devient parfois un théâtre où des IA dialoguent entre elles : publications générées par IA, commentaires automatisés, réponses robotisées, créant un écosystème artificiel difficile à distinguer de interactions humaines authentiques.

Une fois le contact établi, les criminels envoient des messages privés soigneusement conçus qui félicitent leurs cibles pour la pertinence de leurs publications. Ces messages flattent l’ego des victimes, particulièrement lorsqu’ils semblent provenir de profils séduisants et impressionnants - des diplômés brillants ayant travaillé en Allemagne dans la recherche, par exemple.

La messagerie LinkedIn présente une vulnérabilité particulière car les utilisateurs ont l’illusion d’être dans un environnement sécurisé. En réalité, cette messagerie ne dispose d’aucune protection contre les pièces jointes malveillantes ou les liens piégés vers de fausses vidéoconférences Zoom ou Teams. Les utilisateurs, croyant être “entre eux”, baissent leur garde de façon dramatique.

Philippe introduit l’acronyme MICE (Monnaie, Idéologie, Compromission, Ego) pour expliquer les différents leviers utilisés par les cybercriminels. La compromission représente un aspect particulièrement préoccupant, notamment le chantage de nature sexuelle visant les professeurs d’université et chercheurs. Lorsque ces derniers cliquent sur un lien vers une supposée vidéoconférence professionnelle, ils se retrouvent dans des situations compromettantes qui deviennent des outils de chantage particulièrement destructeurs dans le milieu académique.

Les données personnelles volées constituent une véritable monnaie parallèle dans l’économie criminelle. Un paquet de 300 données de citoyens canadiens ne vaut pratiquement rien individuellement, mais 3000 données peuvent atteindre 50 dollars. Plus important encore, ces données servent de “jetons de prestige” permettant d’accéder à des groupes de cybercriminels de niveau supérieur. Détenir 300 000 données personnelles européennes devient une preuve de compétence et de valeur dans cette hiérarchie criminelle.

Philippe révèle un aspect troublant de ces organisations : elles manipulent leurs propres employés en leur injectant l’idée que leurs cibles ne sont pas des victimes mais des “clients”. Cette propagande interne vise à réduire les barrières morales en convainquant ces jeunes qu’ils sont des champions intelligents qui s’occupent de clients plutôt que de commettre des délits. Cette déshumanisation des victimes facilite la perpétration des crimes.

Malgré ce tableau sombre, Philippe termine sur une note d’espoir en expliquant que cette mentalité criminelle reste réversible. Il raconte l’histoire de son meilleur cyberenquêteur, un ancien “white hat” qui a basculé du bon côté de la force au lycée lorsqu’une amie s’est fait harceler en ligne. En utilisant ses compétences techniques pour aider cette victime, tracer son harceleur et monter un dossier pour la police, ce jeune a découvert l’utilisation positive de ses talents.

Cette histoire illustre parfaitement comment l’orientation éthique de ces jeunes talents dépend largement du contexte social et des incitations qu’ils rencontrent. La société peut choisir de diaboliser le terme “hacker” et pousser ces esprits curieux vers la criminalité, ou au contraire reconnaître leur curiosité comme une qualité précieuse et les orienter vers des applications positives comme la cybersécurité éthique.

Philippe conclut en soulignant que la lutte contre la cybercriminalité ne se gagne pas seulement par la technologie, mais par la compréhension des facteurs humains et sociaux qui poussent certains individus vers le crime numérique. L’éducation, la sensibilisation et l’offre d’alternatives positives restent nos meilleures armes contre ces menaces en constante évolution.

Ce quatrième épisode de collaboration entre “Cyber Citoyen” et “PolySécure” réunit Catherine Dupot-Gagnon et Sam Harper, animé par Nicolas-Loïc Fortin. L’enregistrement fait suite à leur participation au NorthSec (NSec), une conférence de cybersécurité qui vient de se terminer.

Catherine exprime son enthousiasme pour NorthSec, qu’elle considère comme sa conférence préférée dans l’écosystème cybersécurité. Elle souligne l’aspect inclusif et accueillant de la communauté, même pour ceux qui ne correspondent pas au profil typique des participants. La diversité et la richesse des conférences, ainsi que l’authenticité des présentations (versus les conférences trop sponsorisées), contribuent à cette appréciation positive.

Sam partage cette vision positive, notant que malgré une fatigue initiale, il a apprécié la variété des présentations allant du très technique à la gouvernance. Il souligne particulièrement la présence d’académiques présentant leurs recherches pour la première fois, ce qui enrichit considérablement le contenu.

L’événement se distingue par son degré d’inclusion remarquable, comparable selon Nicolas au Blue Team Con de Chicago. Cette atmosphère inclusive est attribuée aux valeurs du comité organisateur qui se propagent naturellement à travers l’événement.

Sam présente en détail une conférence particulièrement marquante sur le phishing, adoptant une approche scientifique et non-jugeante. Cette présentation analysait les comportements face aux tentatives de phishing sans blâmer les individus, mais en se concentrant sur les données statistiques.

Les résultats révèlent des patterns fascinants : même 5 minutes après une formation sur le phishing, 0,3% des personnes cliquent encore sur les liens malveillants. L’étude montre qu’il est impossible d’atteindre un taux de réussite de 100%, certaines personnes continuant à cliquer indépendamment des formations reçues.

Un élément particulièrement intéressant concerne le timing : la plupart des clics se produisent le lundi matin, quand les employés arrivent au travail avec des boîtes de réception pleines. Cette découverte suggère des solutions organisationnelles plutôt que techniques, comme reporter les réunions du lundi matin ou gérer différemment les emails de fin de semaine.

Les participants évoquent également les activités de soudure (badge hacking) et les CTF (Capture The Flag). Cette année, le thème était celui d’un bateau de croisière avec un casino intégré, permettant aux participants d’interagir avec des machines de casino pour découvrir des “flags” cachés. Ces activités offrent des défis variés, incluant des éléments plus “puzzle” accessibles aux non-programmeurs.

Sam présente un rapport détaillé de Viginum, l’agence française de vigilance numérique, sur Storm-1516, une opération d’influence russe active depuis août 2023. Cette analyse de 77 opérations révèle une machine de désinformation sophistiquée.

Les campagnes visent principalement à discréditer le gouvernement ukrainien, particulièrement Zelensky, tout en s’attaquant à l’opposition russe et aux gouvernements occidentaux. Une vingtaine d’opérations ciblaient spécifiquement des élections (européennes, françaises, américaines, allemandes).

Le rapport détaille un processus en plusieurs étapes :

Catherine fait le parallèle avec le jeu éducatif “Get Bad News” qu’elle utilise dans ses cours sur la désinformation, qui reproduit exactement ces stratégies. La sophistication de ces opérations rend leur détection par les utilisateurs ordinaires quasi impossible, même pour des experts du domaine.

L’arrestation de Pavel Durov, fondateur de Telegram, a marqué un tournant dans la coopération de la plateforme avec les autorités. Environ 5000 requêtes gouvernementales ont abouti à la transmission de données sur 20000 utilisateurs, principalement suite à des demandes françaises et américaines.

Catherine souligne l’ironie de la situation : Telegram, qui se vantait d’être une plateforme de libre expression sans contrôle, a rapidement changé de position face aux pressions judiciaires. Elle évoque le scandale des “Nth rooms” en Corée du Sud, où 73 victimes (dont 26 mineures) avaient été exploitées via des salles de conversation Telegram, illustrant les dérives possibles de la liberté d’expression absolue.

La discussion révèle la tension fondamentale entre liberté d’expression et protection des droits humains. Sam note que l’anonymat combiné au “free speech” total crée un environnement sans conséquences, favorisant les comportements extrêmes. L’expérience historique montre qu’aucune plateforme de libre expression absolue n’a eu d’issue positive.

Catherine et Sam reconnaissent néanmoins l’importance de préserver des espaces de communication sécurisés pour les communautés persécutées (LGBTQ+, dissidents politiques). L’équilibre reste difficile à trouver entre protection des vulnérables et prévention des abus.

Nicolas introduit un nouveau volet du “SignalGate” concernant TeleMessage, un client Signal utilisé par des fonctionnaires américains pour la rétention légale des messages. Cette plateforme a été compromise facilement, soulevant des questions sur l’écosystème distribué de Signal.

Le modèle de sécurité de Signal repose sur la confiance accordée aux clients. Or, rien ne garantit que l’interlocuteur utilise un client légitime. TeleMessage enregistrait tous les messages, contredisant les promesses de confidentialité de Signal.

Catherine exprime sa déception face au silence de Signal sur cette problématique. Contrairement à leur habitude de communication proactive, l’organisation n’a émis aucun communiqué ni annoncé de solution pour détecter les clients non-officiels.

Les participants discutent de solutions potentielles : Signal pourrait alerter les utilisateurs quand leur correspondant utilise un client desktop ou non-officiel. Cette information existe déjà dans le protocole, rendant l’implémentation techniquement faisable.

Sam note que l’impact va au-delà : le groupe Distributed Denial of Secrets a publié 410 Go de données extraites de TeleMessage, incluant messages et métadonnées, compromettant potentiellement des lanceurs d’alerte.

La discussion révèle un déficit généralisé dans la compréhension et la gestion du risque numérique. Les participants soulignent que même des personnes éduquées (secrétaires d’État, universitaires) peinent à évaluer correctement les risques liés aux outils qu’ils utilisent.

Guillaume insiste sur la nécessité d’intégrer une forme de gestion de risque rapide dans l’usage quotidien des technologies, reconnaissant que l’humain résiste naturellement au changement d’habitudes, même face à des statistiques alarmantes.

L’ensemble des sujets abordés illustre une sophistication croissante des menaces, que ce soit dans la désinformation d’État ou l’exploitation des plateformes de communication. Les “gentils” se retrouvent systématiquement en position défensive, avec des moyens limités face à des adversaires qui exploitent efficacement les technologies conçues pour faciliter la communication.

En conclusion plus légère, Catherine présente le cas du Chicago Sun-Times qui a publié une liste de livres d’été générée par IA, incluant des titres complètement inventés (hallucinations). Cet incident illustre une paresse journalistique préoccupante où l’économie de temps permise par l’IA (réduire 5 jours de travail à 3) ne s’accompagne même pas d’une vérification minimale.

Catherine souligne que beaucoup de personnes, même éduquées, ne comprennent pas la différence fondamentale entre une recherche Google (qui indexe du contenu existant) et une requête ChatGPT (qui génère statistiquement des réponses plausibles). Cette confusion contribue à l’acceptation aveugle de contenus générés artificiellement.

L’exemple de l’étudiant ayant demandé à ChatGPT une citation de Catherine Dupot-Gagnon, aboutissant à une référence vers un livre inexistant, illustre parfaitement ces dérives. Les modèles IA peuvent également être manipulés, comme l’exemple de Bing temporairement convaincu que l’Australie n’existait pas après avoir été entraîné sur des blagues Reddit.

Ce podcast révèle un écosystème numérique en mutation profonde, où les technologies conçues pour faciliter la communication et l’accès à l’information sont systématiquement détournées par des acteurs malveillants. Que ce soit les opérations de désinformation d’État, l’exploitation des plateformes de communication, ou la génération de fausses informations par IA, les défis s’accumulent.

Les participants identifient plusieurs problèmes structurels : le déficit d’éducation à la gestion du risque numérique, la difficulté à maintenir un équilibre entre liberté d’expression et protection des droits humains, et l’asymétrie fondamentale entre la facilité de créer de fausses informations et la difficulté de les combattre.

Malgré ce tableau sombre, l’échange maintient une note d’espoir, rappelant que la sensibilisation et l’éducation restent nos meilleurs outils. L’exemple de NorthSec montre qu’il est possible de créer des espaces inclusifs et constructifs pour aborder ces défis collectivement.

La discussion se termine sur une note humoristique évoquant une retraite vers “une cabane dans le bois” avec élevage de brebis et poules pour échapper à la singularité technologique, illustrant avec ironie les sentiments d’impuissance face à l’ampleur des défis identifiés.

Ce podcast explore l’évolution de l’utilisation de l’intelligence artificielle dans les compétitions de type Capture The Flag (CTF) en cybersécurité, comparant la situation actuelle à celle d’il y a environ deux ans lorsque les outils d’IA étaient encore peu développés.

Mickael Nadeau constate que les outils d’IA se sont considérablement développés, particulièrement aux États-Unis, avec des intégrations de plus en plus sophistiquées. Ces nouveaux outils offrent:

Alors qu’auparavant, les modèles comme GPT-3.5/3.7 commençaient tout juste à comprendre le code de façon cohérente, l’évolution actuelle permet d’avoir des agents autonomes capables d’interagir avec un ensemble d’outils pour accomplir des tâches complexes. Cette évolution marque une différence majeure avec l’expérience précédente où l’impact de l’IA dans les CTF était marginal.

L’un des aspects les plus prometteurs est l’utilisation de l’IA pour faciliter le travail de décompilation et de reverse engineering, un domaine traditionnellement aride qui demande beaucoup de temps:

Les participants discutent comment cette évolution technologique pourrait transformer les CTF:

Mickael partage son expérience de conception de challenges CTF intégrant de l’IA:

Pour le prochain NSec CTF, Mickael prévoit:

Les intervenants concluent que les CTF devront évoluer face à ces nouvelles technologies:

Le podcast se termine sur la promesse d’un futur épisode pour discuter des résultats de cette expérimentation lors du prochain NSec CTF.

Le Dr. Benoit Desjardins est radiologiste à l’Université de Montréal depuis mai 2023, après avoir passé 35 ans aux États-Unis. Expert mondial dans trois domaines distincts - l’imagerie médicale, la cybersécurité et l’intelligence artificielle - il a notamment travaillé comme consultant pour le FBI et siège dans d’importants comités de cybersécurité aux États-Unis. Son parcours multidisciplinaire lui permet d’apporter une perspective unique sur les enjeux de sécurité informatique dans le milieu médical.

Aux États-Unis, les cyberattaques contre les établissements de santé augmentent de façon exponentielle depuis 2009. Plus de 6600 brèches de sécurité touchant au moins 500 dossiers médicaux ont été documentées. La plus importante, survenue l’an dernier contre Change Healthcare, a affecté 190 millions de dossiers médicaux et touché plus de 2000 hôpitaux et 400 000 professionnels de la santé.

Selon le Dr. Desjardins, environ 94% des hôpitaux américains ont été victimes de cyberattaques, et les 6% restants ignorent probablement qu’ils ont été compromis. En réalité, tous les établissements de santé sont constamment ciblés.

Le système de santé canadien, particulièrement au Québec, est moins ciblé pour plusieurs raisons:

À l’inverse, aux États-Unis:

Une attaque par rançongiciel peut entraîner trois niveaux de conséquences:

Face à ces risques, payer une rançon de quelques millions devient souvent l’option la plus économique.

Les cybercriminels sont passés du “single dipping” (simple demande de rançon) au “double dipping” et même au “triple dipping”:

La modification de données médicales est particulièrement dangereuse car elle peut affecter directement les soins aux patients et potentiellement mettre des vies en danger.

La protection des données médicales repose sur trois piliers:

Le Dr. Desjardins cite plusieurs recherches inquiétantes, notamment:

Ces atteintes à l’intégrité sont particulièrement sournoises car difficiles à détecter et potentiellement mortelles si elles mènent à des traitements inappropriés.

Les appareils médicaux connectés présentent des vulnérabilités spécifiques:

Face à ces menaces, plusieurs initiatives sont mises en place:

Le Dr. Desjardins souligne que le Québec est relativement bien protégé grâce à l’implication gouvernementale. Contrairement aux États-Unis, lorsqu’un hôpital québécois est attaqué, des équipes gouvernementales interviennent pour soutenir la défense.

Ce podcast porte sur une conférence intitulée “Histoire d’erreurs” présentée par Dominique Derrier et Pierre Le Calvez lors de l’événement SéQCure dans laquelle ils ont partagé des expériences d’erreurs en cybersécurité.

Les intervenants avaient plusieurs objectifs en préparant cette présentation :

Les intervenants soulignent plusieurs problèmes liés à la culture actuelle en cybersécurité :

Plusieurs facteurs contribuent aux erreurs en cybersécurité :

Les intervenants évoquent plusieurs conséquences des erreurs en cybersécurité :

Les intervenants proposent plusieurs pistes pour mieux gérer les erreurs :

La conférence a reçu un accueil très positif :

Les intervenants concluent en évoquant leur intention de préparer une deuxième partie à cette conférence, avec d’autres histoires d’erreurs, et invitent les auditeurs à partager anonymement leurs propres expériences afin que tous puissent en tirer des enseignements.

Ce second entretien avec Julien Levrard approfondit les aspects de la souveraineté numérique, en explorant la différence fondamentale entre le protectionnisme économique et la protection des données dans un contexte d’autonomie stratégique.

Julien clarifie que la souveraineté numérique ne doit pas être confondue avec le protectionnisme économique. Alors que le protectionnisme relève des politiques entre États, la souveraineté numérique concerne davantage l’agilité et l’autonomie des acteurs dans leur gestion technologique. Pour OVH Cloud, l’enjeu est d’assurer à leurs clients des services qui leur permettent d’évoluer sans risques juridiques ou opérationnels malgré les tensions internationales.

Julien identifie plusieurs formes de verrouillage client :

OVH Cloud valorise la réversibilité et s’engage à faciliter tant l’arrivée que le départ des clients. Cette approche se matérialise par l’adoption de standards ouverts (comme S3) et l’utilisation de technologies open source.

La protection contre les demandes extraterritoriales s’organise sur trois niveaux :

L’intégration verticale d’OVH Cloud (peu de dépendance à des tiers) leur confère une maîtrise plus complète de ces leviers d’indépendance.

Julien nuance l’importance du chiffrement dans la souveraineté numérique :

OVH a développé un service KMS (Key Management Service) conforme aux standards KMIP, contrairement aux implémentations propriétaires des hyperscalers américains. Cette approche standardisée facilite l’intégration pour les clients et préserve leur liberté de migration.

Julien explique la dualité dans leur approche :

Cette double approche crée une tension constructive : penser en termes de risques tout en justifiant la conformité. Parfois, une exigence de conformité peut diminuer la sécurité réelle, nécessitant un dialogue avec les auditeurs pour expliquer pourquoi certaines déviations sont justifiées.

La souveraineté numérique chez OVH se traduit paradoxalement par une ouverture (standards, interopérabilité) plutôt qu’une fermeture. Cette approche permet aux clients de rester maîtres de leurs données tout en bénéficiant d’une collaboration technologique internationale. La discussion se termine sur l’intérêt d’approfondir ultérieurement le référentiel SecNumCloud, qui représente un modèle potentiellement pertinent pour le Canada.

Gabriel St-Hilaire, enseignant au Cégep Seigneur de Sichel depuis une dizaine d’années et spécialiste en développement d’applications web, a mené une recherche dans le cadre de sa maîtrise en cybersécurité à l’Université de Sherbrooke. Sa recherche porte sur l’utilisation de ChatGPT pour aider au développement sécuritaire.

La problématique qui a motivé cette recherche est simple : pourquoi les programmeurs continuent-ils à faire des erreurs de sécurité dans leur code malgré l’enseignement des bonnes pratiques ? Pour répondre à cette question, Gabriel a exploré la littérature scientifique et identifié trois constats majeurs :

Gabriel a ensuite examiné l’efficacité des méthodes actuelles pour détecter les vulnérabilités :

Face à ces lacunes, Gabriel s’est intéressé au potentiel de l’intelligence artificielle pour améliorer la détection des vulnérabilités. Deux éléments sont ressortis de ses recherches :

Gabriel souligne que l’IA générative présente un double avantage : non seulement elle peut analyser le code, mais elle permet aussi d’entamer un dialogue pour comprendre les problèmes détectés, ce qui en fait un excellent outil pédagogique.

Pour tester l’efficacité de ChatGPT dans un contexte réaliste, Gabriel a :

Les résultats ont été analysés selon trois critères :

ChatGPT a atteint un taux de détection complète (avec le bon code CWE) d’environ 17-19%, ce qui est faible. Cependant, en incluant les détections partielles, le taux monte à environ 56%, ce qui est supérieur aux revues de code humaines et aux outils d’analyse statique actuels.

Gabriel a identifié plusieurs limites et pistes d’amélioration :

Pour améliorer ces résultats, Gabriel suggère :

Cette recherche ouvre la voie à une meilleure intégration de l’IA dans les processus de développement sécuritaire, non seulement pour détecter les vulnérabilités mais aussi pour aider les développeurs à les comprendre et les corriger.

Ce podcast présente un format ludique où différents invités viennent répondre à des questions tirées au hasard grâce à une “roue” qui détermine la nature des questions (sérieuses ou drôles). L’animation est décontractée et les participants, qualifiés de “cobails” (cobayes), sont sélectionnés successivement par le précédent participant.

L’émission adopte un format de jeu où les participants doivent tourner une roue qui détermine le type de question qu’ils recevront (sérieuse, drôle, à développement). Ils répondent puis choisissent la personne suivante qui viendra participer. L’animateur précise qu’il n’est “pas responsable des questions” qui semblent avoir été préparées par les organisateurs.

Politiques de l’ONU : Un participant a tenté de deviner l’année où l’ONU s’est engagée dans une réflexion sur les enjeux du numérique et de la cybersécurité (réponse : 2003)

Intelligence artificielle en entreprise : Discussion sur la façon dont les entreprises devraient aborder l’IA dans leurs outils de bureau. Un participant suggère de faire fonctionner l’IA en local plutôt que dans le cloud pour des raisons de sécurité des données.

Formation en cybersécurité : Débat sur la qualité de la formation des étudiants en cybersécurité dans les institutions d’enseignement. Les participants s’accordent à dire que l’apprentissage autodidacte, les CTF (Capture The Flag) et l’implication dans la communauté sont souvent plus formateurs que les cursus académiques.

Souveraineté numérique : Question sur la pertinence d’utiliser des services canadiens plutôt que ceux de géants américains comme Microsoft, Amazon et Google. Discussion sur les défis de la “monoculture” technologique et l’importance de la diversification des solutions.

Budget cybersécurité pour PME : Question sur les priorités d’investissement en cybersécurité pour les PME québécoises. Un participant conseille de ne pas surinvestir dans des outils DevOps au détriment de la sécurité du code lui-même.

Attrait de la cybersécurité : Réflexion sur les raisons pour lesquelles un jeune choisirait de travailler en cybersécurité en 2025, notamment la nécessité d’avoir une vision holistique et la résistance à l’automatisation par l’IA.

Plusieurs questions portaient sur l’année de lancement de diverses technologies et plateformes :

Un participant a partagé comme cas insolite de cybersécurité une situation où une personne chargée de la formation contre le phishing envoyait des liens de test qui étaient eux-mêmes des pièges de phishing, créant ainsi une méta-formation où même les messages de sensibilisation devaient être analysés avec prudence.

L’ambiance est décontractée et conviviale, avec des participants qui se montrent parfois surpris ou amusés par les questions. L’animateur maintient un ton léger tout en permettant des discussions plus approfondies sur certains sujets sérieux. La roue utilisée pour sélectionner les questions semble avoir été endommagée au cours de l’enregistrement, ce qui est devenu un running gag.

Le podcast mêle ainsi expertise technique, culture numérique et humour dans un format accessible et interactif qui permet d’aborder des sujets de cybersécurité variés sous un angle détendu.

Dans ce podcast, Omar Abdul-Wahab, professeur adjoint à Polytechnique Montréal spécialisé en cybersécurité et cyberdéfense, présente le concept crucial de la défense en profondeur dans un contexte technologique moderne et complexe.

Omar souligne que le concept de défense en profondeur n’est plus un luxe mais une nécessité absolue dans un environnement où les entreprises utilisent simultanément des infrastructures TI traditionnelles, des services cloud, des objets connectés (IoT) et l’intelligence artificielle. La complexité croissante de ces environnements multitechnologiques exige une approche de sécurité qui prend en compte les spécificités de chaque couche et leurs interactions.

Omar identifie trois défis majeurs :

Pour répondre à ces défis, Omar suggère :

Le cloud présente des défis spécifiques qui diffèrent de l’infrastructure TI traditionnelle :

Solutions proposées :

L’IoT présente des défis encore plus distincts :

Omar suggère de combiner des approches mathématiques et de machine learning pour développer des solutions plus généralisables et adaptables à l’hétérogénéité de l’IoT.

L’IA, tout en étant un outil de défense, présente elle-même des risques de sécurité, notamment :

Face à la difficulté de détecter ces attaques, Omar recommande de se concentrer sur la résilience : entraîner les modèles à résister aux attaques en injectant délibérément des backdoors simulés pendant l’entraînement pour renforcer leur robustesse.

Omar Abdul-Wahab conclut en insistant sur l’importance d’une véritable architecture de cyberdéfense en profondeur intégrant les spécificités de chaque couche technologique et leurs interactions. Dans un monde où les organisations utilisent nécessairement plusieurs de ces couches simultanément, comprendre leurs vulnérabilités particulières et développer des stratégies de défense adaptées est crucial pour une cybersécurité efficace.