Qu'il s'agisse de réfrigérateurs de supermarché, de services de don du sang ou du réseau régional de Berlin : les cyberattaques visent aussi des infrastructures critiques. Un hacker éthique explique à Euronews comment il détecte les failles et pourquoi l'humain est le principal risque.
Après les réfrigérateurs dans les supermarchés, ce sont désormais aussi les services de collecte de sang qui ont été attaqués par des hackers. À cause de l'interruption de la chaîne du froid, des poches de sang sont devenus inutilisables. Un hacker éthique explique, dans un entretien avec Euronews, comment il tente de trouver des failles de sécurité avant que des cybercriminels ne puissent s'en servir pour causer des dégâts.
PUBLICITÉ
PUBLICITÉ
"Au cours des deux dernières semaines, nous avons eu une accumulation exceptionnelle de cas spectaculaires, comme nous n'en avions jamais connus auparavant, même sur une année entière", explique Marco Di Filippo, expert en cybersécurité chez Whitelisthackers. Il est ce que l'on appelle un hacker éthique, et est mandaté par des entreprises pour tester leur sécurité informatique.
Ces derniers temps, de nombreux dossiers l'ont occupé. Des AfD-Leaks, aux failles de sécurité chez Revolut et dans le langage de script PHP, avec lequel de nombreux sites web sont programmés, jusqu'aux attaques contre les entrepôts frigorifiques. Pour l'année 2025, le Bundeslagebild Cybercrime 2025 du Bundeskriminalamt fait état de dommages économiques à hauteur de 202,4 milliards d'euros.
Un clic a ouvert aux hackers la porte du réseau du Land de Berlin
À propos de l'attaque informatique contre le réseau de Berlin en août 2026, Marco Di Filippo parle d'un cas particulièrement problématique. Il aurait pu être évité. Les auteurs ont exigé une rançon de 30 bitcoins (environ deux millions d'euros), mais le Sénat de Berlin a refusé de payer. Au final, 1,4 million de fichiers confidentiels ont été publiés sur le darknet.
La cause en était une vulnérabilité dans le système numérique. Le groupe de ransomware Rhysida, à l'origine de l'attaque, a profité de l'ignorance d'une personne. "La victime a été attirée sur un site web et devait y confirmer qu'il s'agissait bien d'un être humain. Cette méthode d'attaque s'appelle ClickFix. On connaît cela: il faut saisir des chiffres, assembler des images ou résoudre une opération pour prouver que l'on n'est pas un bot", explique Marco Di Filippo.
Sur ce site, la victime a été invitée à effectuer une certaine combinaison de touches, à copier une commande dans un champ puis à appuyer sur la touche Entrée. "Ce faisant, la personne a en fin de compte elle-même ouvert la porte aux attaquants", commente Marco Di Filippo. Pour l'expert en sécurité informatique, c'est comme si l'on écrivait un courriel avec le contenu suivant: "Je veux braquer une banque et je passerai ce soir à dix heures. Laissez la porte entrouverte pour que je puisse aller directement au coffre-fort".
Pour Marco Di Filippo, deux choses ressortent de ce cas. D'une part, le manque d'attention: "Premièrement, il y a un utilisateur qui a exécuté cette commande, le facteur humain". En outre, cet utilisateur n'aurait jamais dû disposer des droits lui permettant de lancer une telle attaque. "Nous voyons chaque jour des cas de ce type, qui nous laissent parfois pantois", affirme-t-il.
L'être humain, maillon faible de la sécurité informatique
La probabilité d'être touché par une attaque informatique est d'une sur deux. Mais cette réalité est encore aujourd'hui sous-estimée, selon Marco Di Filippo de Whitelisthackers. Les gens ont bien plus peur des cambriolages ou des orages. "Or la probabilité d'être frappé par la foudre n'est que de 1 sur 200 000", rappelle l'expert en cybersécurité.
L'expert en cybersécurité regrette que la sécurité ne soit pas aujourd'hui une priorité. « Beaucoup de produits sont vendus en mettant avant tout l'accent sur l'usabilité, la convivialité pour l'utilisateur », explique-t-il. Il existe par exemple des maisons connectées, qui permettent de contrôler l'éclairage et le chauffage depuis n'importe où. Les réfrigérateurs des supermarchés sont eux aussi connectés à Internet afin d'être gérés de manière centralisée. Tout devient plus simple, mais pas forcément plus sûr.
"Et c'est précisément là que nous avons aujourd'hui un déficit dans notre éducation. Par nous, j'entends nous tous, c'est-à-dire toute personne qui n'a jamais appris à reconnaître aussi les dangers", poursuit Marco Di Filippo. Il faut agir au niveau de l'éducation. Ceux qui n'ont encore jamais été exposés au risque d'une cyberattaque ne se considèrent pas comme une cible potentielle. Pourtant, les possibilités de se connecter par exemple sur des appareils étrangers se multiplient.
Pourquoi la cybersécurité commence dès la sensibilisation
Dans certains cas, il suffit de cliquer sur un lien dans un SMS ou un message WhatsApp puis de devoir confirmer son identité pour donner par inadvertance aux attaquants un accès aux messages privés. Les attaquants associent alors leur propre équipement à l'appareil et ont ainsi accès aux messages, aux médias et aux contacts. Le Bundesamt für Sicherheit in der Informationstechnik (BSI) a mis en garde au début de cette année contre cette méthode connue sous le nom de « Ghost Pairing ». Pour éviter que des tiers puissent lire les conversations, le BSI recommande de vérifier de manière critique les messages entrants et de mettre en place des mécanismes comme l'authentification à deux facteurs.
D'autres pays comme, par exemple, l'Inde mènent, en plus du développement technologique, un important travail de sensibilisation. "Quand je prends le métro en Inde, je vois des affiches partout: cybercriminels ou dommages liés à la cybercriminalité, avec un numéro de hotline où je peux appeler", raconte Marco Di Filippo. En Allemagne en revanche, les victimes sont parfois renvoyées d'un service de police à l'autre et doivent chercher elles-mêmes quelle autorité est compétente.
"Il existe chaque jour de nouveaux points d'attaque et de nouvelles idées", avertit Marco Di Filippo face à une évolution rapide. "Pour les réfrigérateurs, les hackers ont découvert une fois cette faille de sécurité et ils n'ont plus qu'à regarder qui exploite ce modèle. Les attaques se propagent en conséquence". La découverte d'une vulnérabilité peut entraîner un effet boule de neige.
Dans environ 80 à 95 % des attaques, l'être humain est toutefois impliqué dans l'exploitation d'une faille, selon Marco Di Filippo, comme lors de l'attaque contre les réseaux du Land de Berlin. "Nous devons donc accorder une grande importance à la formation et à l'awareness (note de la rédaction: Bewusstsein, c'est-à-dire « conscience »), afin de devenir au final résilients face aux cyberattaques. Le facteur humain doit être intégré, avec la seule technologie nous n'y arriverons pas", précise-t-il.
Pirater pour arrêter les hackers
Dans son travail, il s'agit pour lui de se mettre dans la peau de hackers criminels. "Au final, notre objectif est d'attaquer des infrastructures ou de trouver des erreurs dans des infrastructures, dans des logiciels ou des appareils basés sur l'informatique. Avec les mêmes moyens que ceux utilisés par de vrais cybercriminels", explique Marco Di Filippo. "Sauf que notre but est de trouver les erreurs avant que de véritables attaquants ne les découvrent et n'exploitent ces failles", ajoute-t-il.
La différence importante est que les ethical hackers sont mandatés par des clients, par exemple de grandes entreprises, et qu'ils ne cherchent pas à causer de dommages aux infrastructures de ces clients. Personne n'a jamais eu de passé criminel dans son entreprise, insiste Di Filippo. Les ethical hackers doivent présenter un extrait de casier judiciaire pour prouver leur passé irréprochable.
"Nous trouvons toujours une faille de sécurité", a-t-il expliqué à Euronews en parlant de son travail. Son équipe remet aux entreprises un rapport pouvant aller jusqu'à 400 pages, qui détaille les failles présentes dans l'infrastructure numérique et la manière dont elles ont été découvertes.
Une fois la faille identifiée, les fabricants de terminaux ou de systèmes sont informés et peuvent, avec l'entreprise concernée, travailler à la corriger. Dans certains cas individuels, ces failles de sécurité valent plusieurs millions d'euros, par exemple sur l'iPhone. "Nous attendons ensuite que la faille soit corrigée. Chaque faille de sécurité est ensuite publiée sous la forme d'un CVE", poursuit le hacker.
Un CVE signifie Common Vulnerabilities and Exposures, vulnérabilités et expositions communes. Il s'agit d'un catalogue de failles de sécurité accessible au public. Le BSI informe lui aussi des vulnérabilités et renvoie, pour une liste plus complète, à la base de données internationale National Vulnerability Database (NVD).
Quand l'absence de chiffrement peut coûter des milliards
Les histoires que peut raconter Marco Di Filippo ressemblent à un scénario de série Netflix. Il y a ainsi eu, il y a près d'une décennie, un cas dans lequel des cybercriminels ont pu dérober relativement facilement 1,2 milliard d'euros à une banque. "Et ce, parce que la banque n'avait à l'époque aucune mesure de sécurité pour l'interconnexion de ses sites", explique l'expert en cybersécurité.
La banque possédait ainsi un site d'un côté de la rue et, directement en face, un autre bureau qui lui appartenait. "Ils avaient relié ce site par une liaison faisceau hertzien, et cette liaison n'était pas chiffrée. Les attaquants ont donc pu, sans aucune compétence en hacking, s'y connecter très facilement et se déplacer virtuellement librement dans la banque, pour dérober discrètement cet argent", explique-t-il.
Dans certains cas, les réfrigérateurs des supermarchés n'étaient eux aussi protégés que de façon insuffisante par le chiffrement. Les experts recommandent au minimum l'utilisation d'un VPN ou d'un pare-feu. Les banques sont désormais soumises à des normes de sécurité plus strictes. Il y a un peu moins d'un an, le gouvernement fédéral a en outre adopté la directive NIS 2. Elle impose à nettement plus d'entreprises et de secteurs qu'auparavant de prendre des mesures obligatoires de cybersécurité, notamment à titre préventif.
L'entreprise Whitelisthackers mise également sur les compétences médiatiques et a donc lancé le concours « Deutschlands bester Hacker ». L'objectif est de repérer des talents et de rendre le monde numérique plus sûr avec l'aide d'ethical hackers. Les gagnants peuvent ensuite participer à des hackathons internationaux, des marathons de piratage.
Le hacking en tant que service connaît un boom, des deux côtés. Sur le darknet, le Cybercrime-as-a-Service (CaaS), en allemand cybercriminalité comme travail à la commande, est désormais largement répandu parmi les criminels, mais le marché légal des services de sécurité est lui aussi en croissance. Whitelisthackers traite chaque année les commandes d'environ 250 clients. Après les affaires spectaculaires, parfois mondiales, de plus en plus d'entreprises s'intéressent à l'amélioration de leur propre infrastructure de sécurité.