Les Geek sont-ils plus à mêmes de détecter des cyber-attaques ? Sont-ils plus que les autres en capacité d’échapper au hameçonnage et plus largement aux cybermalveillances qui chaque jour prolifèrent au sein de nos univers numériques ? Petit voyage au pays des cordonniers du Web qui, comme souvent, ne sont pas toujours les mieux chaussés…
Depuis 15 ans, la date du 25 mai est celle de la journée mondiale des Geek, en référence à la première projection de Star Wars en 1977. Journée sans revendication ni message clairement affiché, cette date permet surtout de rappeler de quelle manière la culture Geek est parvenue à s’imposer dans nos sociétés, mais aussi de voir dans de quelle manière cette communauté est armée face au (cyber)monde qui vient…
Le Geek est-il mieux protégé que ses parents ?
J’ai récemment eu l’opportunité d’échanger avec Micode. Ce youtubeur âgé de 20 ans est un véritable génie de l’informatique. Son credo : vulgariser le code mais également se pencher sur les failles des systèmes, comme il n’a notamment montré en piratant amicalement la webcam d’un de ses collègues, Amixem. Avec ses quelque 660 000 abonnés et des vidéos qui font parfois 1 million de vues, Micode me semble assez représentatif de ce qui se passe actuellement du côté de la communauté des jeunes informaticiens qui, pour la plupart, sont des autodidactes. Qu’ils soient ou non gamers ou « rôlistes » (amateurs de jeux de rôles), fans de Tolkien ou d’Heroic Fantasy, ces Geek plus ou moins revendiqués (certains refusent cette étiquette) commencent à prendre conscience des cyber risques qui les guettent.
C’est particulièrement le cas de Micode… mais son approche est-elle si répandue que cela ? Dans la plupart des cas, j’observe la chose suivante : nos informaticiens en herbe, aussi géniaux qu’ils soient – et ils le sont la plupart du temps – ont l’impression d’être suffisamment smart pour éviter une grande partie des pièges tendus par les cyber-criminels. Est-ce parce qu’on a monté son ordinateur soi-même que l’on est protégé contre le phishing (hameçonnage) ? Est-ce parce que l’on connaît son système, sa machine, ses logiciels et que l’on est sous Linux que l’on est en capacité de réagir en un quart de seconde lorsque l’on est la cible de cybercriminels ? La réponse, vous l’aurez compris, est contenue dans la question…
Quelques idées reçues à combattre
En l’espèce, les idées reçues peuvent avoir la peau dure. En voici quelques-unes. « Si tu sais un peu ce que tu fais, si tu n’as pas installé de logiciels piratés alors tu ne prends pas de risques » : voici pour la première. Une autre consiste à s’imaginer qu’en matière de sécurité un simple firewall suffit. Une troisième consiste à ne pas se méfier ni de son smartphone, ni de ses propres objets connectés…
Une brique ne suffit jamais à construire un mur : voilà l’image qui peut être donnée à de jeunes informaticiens qui accorderaient toute leur confiance à leur comportement ou leur seul antivirus. Un système de sécurité digne de ce nom est en réalité une chaîne, pour ne pas dire une suite. Elle mobilise un antivirus, un firewall ainsi que tout un ensemble d’éléments qui viennent le compléter, à l’image d’un gestionnaire de mots de passe ainsi que d’une protection pour smartphone et objets connectés. En l’espèce, toute vigilance doit être majeure. Oubliez la dimension « il faut faire un peu attention ». Les cybercriminels ont ces derniers mois franchi un cap. Ils agissent en bande organisée. Ils ciblent les personnes les plus faibles ainsi que celles qui seront le plus solvables. Car leur objectif n’est ni plus ni moins que de vous hameçonner afin de vous rançonner, ne l’oubliez jamais.
C’est d’ailleurs pour cette raison que les propriétaires de Mac ne sont finalement pas plus à l’abri que les utilisateurs de PC. Un rempart, le Mac ? Encore une idée reçue ! Les rapports de tendance qui sortent depuis quelque temps démontrent que si les Mac sont en effet moins impactés, les attaques sont spécifiquement mises en place pour passer les obstacles de l’OS. Dit autrement, la menace existe sous Mac mais sous des formes différentes. Et surtout, ne croyez pas que les fabricants eux-mêmes ont prévu des réponses à ces attaques par anticipation : ce n’est pas le cas car c’est tout simplement impossible. Regardez ce qui s’est passé avec le modèle X d’une Tesla il y a quelques mois : un chercheur en sécurité a réussi à passer toutes les barrières (code, ouverture de porte, démarrage) en quelques minutes et sans effraction… Personne n’est à l’abri.
Au marketing de la peur il est peut-être plus opportun de répondre par de la pédagogie. Celle-ci passe par une forme d’humilité qui consiste à considérer la réalité du terrain. Que vous soyez un simple usager ou au contraire un ingénieur informaticien expérimenté, sachez que vous êtes logés à la même enseigne : 99% des utilisateurs que nous sommes sont en capacité de détecter entre 1 et 2% du hameçonnage dont nous sommes les cibles. Un cadenas vert et un bon URL peuvent aisément être concoctés en utilisant un alphabet cyrillique. Tout le monde ou presque s’y fera piéger… sauf si l’on a pris en amont des précautions.