PolySécure Podcast

Parce que… c’est l’épisode 0x662! Shameless plug 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Introduction et parcours professionnel Youna Chosse-Bentabed est ingénieure en sécurité réseau spécialisée en social engineering (ingénierie sociale). Son parcours illustre une transition intéressante du monde très technique des réseaux vers l’aspect humain de la cybersécurité. Cette évolution s’est amorcée par la création de contenu sur LinkedIn, où elle démystifiait les concepts de hacking pour un large public. Cette démarche l’a menée à une prise de conscience fondamentale : si le hacking technique et physique est important, c’est le hacking humain qui constitue la clé de voûte de la sécurité informatique. Pour approfondir ses compétences, elle s’est formée aux États-Unis auprès de Christopher Hadnagy, considéré comme une référence mondiale en social engineering. Son objectif est désormais de démocratiser cette expertise en France et en Europe, où le domaine accuse un retard par rapport aux États-Unis, similaire à celui qu’avait le pentesting il y a quinze ans. Qu’est-ce que le social engineering ? Le social engineering est défini comme l’art de manipuler les autres pour obtenir des informations ou atteindre un objectif précis. Cette pratique prend de multiples formes dans notre quotidien : phishing (courriels frauduleux), vishing (appels téléphoniques), smishing (SMS), et intrusion physique. La réalité est que nous sommes tous exposés à ces attaques de manière constante. Une statistique particulièrement révélatrice indique que 72 % des incidents de sécurité impliquent un facteur humain. Pourtant, lorsqu’on demande au public qui pense avoir déjà subi une attaque de social engineering, peu de mains se lèvent, témoignant d’un manque de conscience de la régularité de ces menaces. Les services offerts aux entreprises Youna propose deux approches principales pour accompagner les organisations. La première consiste en des masterclass d’une à deux journées, particulièrement adaptées aux TPE, PME et collectivités territoriales disposant de budgets limités. Ces formations combinent théorie et exercices pratiques pour que les participants deviennent acteurs de leur sécurité et apprennent à penser comme des hackers. La seconde approche implique des audits réels avec intrusion physique, cartographie des vulnérabilités et identification des failles humaines. La solution la plus efficace pour augmenter la vigilance consiste à attaquer régulièrement l’entreprise dans le cadre de contrats à long terme (de un à cinq ans), avec des campagnes de phishing, vishing et smishing adaptées aux besoins spécifiques. L’intrusion physique, bien que moins fréquente, représente l’aspect le plus excitant du métier, nécessitant reconnaissance, création d’une légende (pretexting) et planification minutieuse de la mission. La culture du “no blame” Un principe fondamental de l’approche de Youna est la culture du “no blame” (sans reproche). Cette philosophie est essentielle car tout le monde peut tomber dans les pièges du social engineering, et il est contre-productif de culpabiliser les employés. L’expérience montre qu’une personne piégée une fois a moins de chances de récidiver. L’approche consiste à gamifier le processus, à rendre la remontée d’informations gratifiante et à accompagner les personnes qui se font prendre de manière constructive. Cette culture doit être établie dès le départ avec le top management et clairement intégrée dans les contrats. Les biais cognitifs exploités Les attaquants exploitent de nombreux biais cognitifs, dont plusieurs sont particulièrement efficaces. Le biais d’urgence est probablement le plus puissant, souvent associé au phénomène d’amygdala hijacking. L’amygdale, cette petite zone du cerveau qui assure notre survie depuis des millions d’années, nous fait perdre 60 % de notre capacité de raisonnement face à une situation d’urgence. La bonne nouvelle est qu’il n’existe jamais de situation réelle nécessitant une réaction dans les 30 secondes. Prendre 20 à 30 secondes pour respirer et se questionner permet de réactiver le raisonnement. D’autres biais fréquemment exploités incluent le biais d’autorité (difficile de remettre en question un supérieur, un médecin ou un policier), le biais de réciprocité (notre désir naturel de rendre service) et le biais de conformité (si tout le monde le fait, je le fais aussi, et l’importance d’être cohérent avec l’image qu’on projette). Stratégies de défense et formation La défense la plus efficace commence par la prise de conscience de l’existence de ces biais. Toutefois, la formation purement théorique ne suffit pas, car les réactions exploitées sont émotionnelles et 90 % de nos actions quotidiennes relèvent de l’automatisme. D’où l’importance cruciale d’exercices pratiques et concrets qui permettent d’observer différemment les situations et soi-même. La formation doit être récurrente et non ponctuelle. L’idéal est d’établir un lien direct avec l’utilisateur lorsqu’il clique sur un lien malveillant, en lui expliquant immédiatement ce qui s’est passé et pourquoi, permettant une intégration directe dans la mémoire. L’aspect éthique et l’ocytocine Youna met l’accent sur l’éthique de son travail. Formée dans cette optique par Christopher Hadnagy, elle applique le principe de laisser les gens qu’elle croise dans un meilleur état qu’avant leur rencontre. Elle n’utilise jamais de chantage, de blackmail ou de techniques de coercition basées sur la peur. Un concept fascinant abordé est celui de l’ocytocine, l’hormone de la confiance. Cette hormone, connue comme “l’hormone de l’amour”, est ce qui permet aux humains de travailler ensemble à travers le monde avec des personnes qu’ils n’ont jamais rencontrées. Le pic d’ocytocine se produit particulièrement lorsque quelqu’un nous dit qu’il nous fait confiance, créant un rapport fort et une envie de rendre service. Paradoxalement, la coopération et la confiance s’avèrent être des leviers extrêmement efficaces en social engineering. L’écoute active fait des miracles, et les gens ont naturellement tendance à beaucoup parler lorsqu’ils se sentent écoutés et validés. Conclusion et perspective globale Le social engineering dépasse largement le cadre de la cybersécurité d’entreprise. Les techniques et biais exploités sont identiques à ceux utilisés dans la désinformation, la manipulation de l’information et l’influence des démocraties. Dans un contexte d’infobésité et de bulles de filtres, développer une culture de vigilance de l’information devient essentiel, tant pour protéger l’entreprise que pour mieux comprendre le monde dans lequel nous vivons. La clé réside dans deux éléments fondamentaux : le jeu et la connaissance de soi. Créer une responsabilité collective où chacun devient acteur de la sécurité, tout en développant sa capacité à se connaître et à identifier quand on est manipulé, constitue la meilleure défense. Cette approche transforme la vulnérabilité humaine en force, en mobilisant notre capacité d’apprentissage et d’adaptation. Youna poursuit cette réflexion dans son podcast “Human Ecos”, où elle explore les liens entre cybersécurité, sciences humaines, philosophie et psychologie, offrant une vision non cloisonnée de ces enjeux qui façonnent nos sociétés et démocraties contemporaines. Notes Human Echoes Collaborateurs Nicolas-Loïc Fortin Youna Chosse-Bentabed Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x661! Shameless plug 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Dans cet épisode spécial consacré aux petites et moyennes entreprises, Cyndie Feltz, Nicholas Milot et Dominique Derrier abordent l’un des sujets les plus redoutés par les entrepreneurs : les formulaires de sécurité informatique. Ces documents, souvent exigés par les grandes entreprises ou les assureurs pour établir des relations commerciales, représentent un véritable casse-tête pour les PME qui ne possèdent pas de certifications reconnues. Les invités partagent leur expérience et offrent des conseils pratiques pour naviguer dans cet univers complexe. Un cauchemar universel Dès le début de la conversation, le ton est donné avec humour mais réalisme : même pour des experts en sécurité informatique, la vue d’un de ces formulaires donne envie de changer de métier. Les participants tiennent à rassurer les entrepreneurs en leur confirmant qu’il est tout à fait normal de trouver ces documents épuisants et frustrants. La complexité de ces formulaires ne reflète pas l’incompétence de ceux qui doivent les remplir, mais plutôt un problème systémique dans la manière dont ils sont conçus. Le principal défi réside dans le fait que ces formulaires ne se ressemblent jamais et ne sont basés sur aucune référence standardisée. Chaque client ou assureur développe son propre questionnaire, ce qui oblige les PME à tout recommencer à zéro à chaque fois, sans pouvoir réutiliser le travail effectué précédemment. Deux grandes catégories de formulaires Les experts identifient deux grandes familles de questionnaires. Premièrement, il y a les formulaires orientés vers la vente, que les entreprises doivent remplir pour répondre aux exigences de sécurité de leurs clients potentiels. Dans ce contexte, la pression commerciale est forte et il devient tentant de répondre favorablement à toutes les questions pour ne pas perdre un contrat. Deuxièmement, il existe les formulaires d’assurance cyber, qui présentent des enjeux différents et encore plus critiques, car les réponses peuvent avoir des conséquences directes sur la couverture en cas d’incident. Des critères parfois absurdes L’un des aspects les plus frustrants de ces formulaires est que certains critères sont tout simplement irréalistes ou dénués de sens. Les invités partagent l’exemple mémorable d’un appel d’offres gouvernemental qui exigeait un outil de scan capable de détecter les vulnérabilités futures. Ce critère éliminatoire était techniquement impossible à satisfaire, démontrant que les personnes qui rédigent ces formulaires ne sont pas toujours des experts techniques. Un autre problème majeur est le manque d’adaptation aux différentes tailles d’entreprise. Les mêmes formulaires sont souvent envoyés à des multinationales et à des compagnies de cinq personnes, avec des questions comme “Avez-vous un centre d’opérations de sécurité ?” Une PME de cinq employés ne devrait logiquement pas avoir besoin d’un tel centre, mais si la réponse négative est éliminatoire, cela crée une situation impossible. La tentation et ses dangers Face à ces formulaires complexes et parfois irréalistes, la tentation de mentir ou d’embellir la réalité est forte, particulièrement dans un contexte de vente où refuser de répondre positivement peut signifier perdre un contrat. Les invités admettent honnêtement que personne dans l’industrie ne peut prétendre n’avoir jamais répondu “oui, mais…” à une exigence qu’ils ne remplissaient pas exactement. Cependant, les experts insistent sur une distinction cruciale entre les formulaires de vente et ceux d’assurance. Pour les formulaires de vente, il peut être acceptable de répondre positivement en s’engageant à mettre en place les mesures requises après avoir signé le contrat. En revanche, pour les formulaires d’assurance, mentir est extrêmement dangereux. L’exemple frappant d’une ville en Ontario dont l’assureur a refusé de payer suite à un incident parce que l’authentification multifacteur n’était pas déployée comme déclaré illustre les conséquences désastreuses de fausses déclarations. L’enjeu financier des incidents Les participants rappellent qu’un incident de sécurité peut coûter cent mille dollars par jour, ce qui représente une somme catastrophique pour une moyenne entreprise et peut même mener à la fermeture pour une petite structure. Dans ce contexte, avoir une assurance cyber est crucial, mais elle ne sera d’aucune utilité si l’assureur peut prouver que les déclarations étaient mensongères. Les experts comparent la situation à l’assurance habitation : personne ne fait de feu de camp dans son salon en se disant que l’assurance couvrira les dégâts. De la même manière, l’assurance cyber ne devrait pas servir d’excuse pour négliger les mesures de sécurité de base. Des réponses de bonne foi mais erronées Un autre problème soulevé est celui des personnes qui répondent aux formulaires de bonne foi mais qui donnent des informations inexactes par manque de connaissance technique. Quelqu’un peut sincèrement croire que l’authentification multifacteur est correctement déployée dans son entreprise alors que la configuration n’est pas complète ou que certains produits n’ont jamais été testés. De plus, la situation peut évoluer entre le moment où le formulaire est rempli et la survenue d’un incident, par exemple si une licence n’a pas été renouvelée. Solutions et recommandations Face à ces défis, les experts proposent plusieurs pistes de solution. La première est de poser des questions lorsque c’est possible, particulièrement quand une relation existe avec le client potentiel. En cherchant à comprendre le besoin réel derrière la question, on découvre parfois que des solutions moins coûteuses ou différentes de ce qui était initialement imaginé peuvent satisfaire l’exigence. Se faire accompagner par un expert est également fortement recommandé. Un spécialiste peut aider à vulgariser le jargon technique, comprendre l’intention derrière chaque question et identifier si l’entreprise possède déjà des mesures équivalentes sous une forme différente. Par exemple, la question pourrait porter sur des protocoles spécifiques comme DKIM et SPF, mais l’intention réelle est de savoir si l’entreprise a mis en place une protection contre l’hameçonnage, ce qui peut être accompli par d’autres moyens comme la formation des employés ou des outils anti-spam. Pour les entreprises qui font face régulièrement à ces questionnaires, obtenir une certification de sécurité peut s’avérer rentable à long terme. Bien que coûteuse, une certification permet souvent de court-circuiter les longs formulaires ou d’obtenir une version simplifiée. En calculant le temps humain nécessaire pour répondre à de multiples questionnaires détaillés sur deux ou trois ans, l’investissement dans une certification peut se justifier financièrement. Les invités encouragent également les entrepreneurs à consulter leur réseau professionnel. D’autres PME ont certainement dû affronter les mêmes formulaires et peuvent partager leur expérience, leurs stratégies et leurs apprentissages. Un appel à l’amélioration En conclusion, les experts reconnaissent que malgré tous les problèmes identifiés, ces formulaires partent d’une bonne intention. Les grandes entreprises cherchent légitimement à se protéger en s’assurant que leurs fournisseurs ne représentent pas une porte d’entrée pour des cyberattaques. Le problème réside dans l’exécution et le manque de standardisation. Les participants encouragent les PME à également challenger leurs propres fournisseurs sur la sécurité, tout en évitant de créer des formulaires interminables qui ne seront même pas analysés en profondeur. L’appel final est à la compréhension mutuelle de l’intention derrière les questions, autant pour celui qui pose les questions que pour celui qui y répond, afin d’avancer ensemble vers un écosystème numérique plus sécuritaire. Collaborateurs Nicolas-Loïc Fortin Dominique Derrier Cyndie Feltz Nicholas Milot Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x660! Shameless plug 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Parcours professionnel de Michel Gaudette Michel Gaudette possède plus de 25 ans d’expérience dans le secteur technologique montréalais. Son parcours a débuté dans les années 90 chez Discrete Logic, une entreprise spécialisée dans les effets visuels 2D, l’incrustation et la correction couleur, avant que celle-ci ne soit rachetée par Autodesk. Attiré par l’énergie des startups, il a quitté cette position stable pour rejoindre une jeune pousse en tant que VP technologie, une aventure qui s’est soldée par un échec lors de l’éclatement de la bulle technologique. Cette expérience l’a néanmoins “intoxiqué” à l’univers des startups et à l’innovation de pointe. Son parcours l’a ensuite mené chez Quebecor, où il a passé 10 ans à développer une plateforme numérique désormais utilisée par des millions d’élèves québécois. Après avoir quitté Quebecor en 2020 pour rejoindre une startup en agrotechnologie, la pandémie de COVID-19 a fait échouer ce projet avant même son premier jour de travail, les investisseurs ayant retiré leur financement. Il a par la suite dirigé une filiale nord-américaine d’une entreprise allemande de modélisation 3D avant de rejoindre FLIR il y a deux ans et demi, recommandé par un ancien collègue qui décrivait FLIR comme la meilleure entreprise montréalaise pour laquelle il avait travaillé. Le rôle fondamental du product manager Michel définit le rôle de directeur de produit comme celui d’un orchestrateur ou d’un coach. Le product manager ne réalise pas directement le travail technique, mais s’assure que chaque membre de l’équipe performe à son meilleur niveau. Son rôle consiste à équilibrer trois dimensions essentielles : les besoins des clients, les objectifs d’affaires de l’entreprise et les capacités de l’équipe d’ingénierie. Cette position requiert des compétences particulières et multidimensionnelles. Le product manager doit pouvoir communiquer efficacement avec les développeurs passionnés et parfois têtus, tout en comprenant les enjeux commerciaux et les attentes des clients. Michel souligne qu’il a rapidement pivoté de l’ingénierie vers ce rôle après avoir découvert son intérêt pour le contact client, réalisant qu’on ne peut pas simultanément être “dans la zone” de développement et gérer les interactions constantes qu’exige la gestion de produit. Un aspect crucial du rôle est la capacité à dire non. Le product manager doit constamment prendre des décisions qui optimisent la capacité de l’équipe d’ingénierie tout en restant aligné avec la stratégie globale. Quelqu’un qui cherche à rendre tout le monde heureux en permanence ne fait pas correctement son travail. Gestion des parties prenantes et priorisation L’un des défis majeurs pour un product manager réside dans la gestion des demandes anecdotiques provenant des vendeurs et de l’équipe de support client. Les vendeurs peuvent vouloir une fonctionnalité immédiate pour conclure une vente, tandis que le support peut signaler des problèmes urgents. Le product manager doit replacer ces demandes dans un contexte holistique : est-ce vraiment prioritaire pour l’ensemble des clients et pour l’entreprise? Michel insiste sur l’importance d’écouter les clients, une approche qui résout la moitié des problèmes. Chez FLIR, les clients ont l’opportunité de parler presque directement aux équipes, créant une relation de confiance. Plutôt que de promettre des changements massifs dans 12 mois, l’équipe privilégie des améliorations incrémentales constantes. Cette approche transforme certains clients en co-créateurs et ambassadeurs du produit. Méthodologie et évolution organisationnelle FLIR a adopté une méthodologie inspirée de Shape Up, développée par Basecamp, avec des cycles de travail de 8 semaines. Les product managers présentent des propositions de projets, et les dirigeants (CTO, CEO, CPO) votent sur les priorités. L’équipe de développement travaille ensuite sans interruption pendant ces 8 semaines. L’entreprise a récemment atteint un niveau de maturité où elle développe une vision stratégique et un plan à plus long terme. Avec un doublement de la clientèle chaque année, FLIR doit mettre en place des processus plus robustes de gestion et de communication. Michel précise qu’un processus n’est essentiellement qu’une “manière de communiquer ensemble” dans une organisation en croissance où les collègues peuvent se trouver à Toronto, aux États-Unis ou ailleurs. Culture d’équipe et valeurs humaines Michel critique fermement le mythe du “10x engineer” toxique popularisé par la Silicon Valley. Il compare la gestion d’une équipe technologique à celle d’un groupe musical : chaque membre doit jouer la bonne note au bon moment, en harmonie avec les autres. Quelqu’un qui arrive avec un ego surdimensionné ne fait pas corps avec l’ensemble et nuit à l’harmonie globale. Chez FLIR, l’équipe privilégie des personnes passionnées mais capables de collaborer. La diversité des talents et des contributions est essentielle. Michel souligne que même les développeurs les plus talentueux ne pourraient pas, à eux seuls, soutenir le rythme et la complexité du travail accompli collectivement. La prise de décision chez FLIR est remarquablement rapide. L’entreprise évite les débats interminables : si une décision est réversible, l’équipe avance rapidement. Cette culture du momentum attire des personnes à l’aise avec l’action et l’imperfection, sachant qu’ils pourront se réajuster au besoin. Bien que ce ne soit pas une démocratie, chaque voix compte et est entendue. Processus d’embauche et travail hybride Le processus d’embauche chez FLIR est personnalisé et orienté vers la collaboration. Les candidats rencontrent directement les personnes avec qui ils travailleront et participent à des sessions de résolution de problèmes au tableau pendant 2 à 3 heures. L’objectif n’est pas de piéger les candidats mais d’évaluer la chimie, la communication et la compatibilité culturelle. FLIR fonctionne comme une entreprise remote par défaut, mais favorise l’embauche locale à Montréal pour faciliter les interactions. Les employés viennent naturellement au bureau pour des raisons précises : brainstorming, kickoffs de projets ou événements sociaux. Michel est convaincu que l’idéation et le brainstorming fonctionnent mieux en personne, mais que la production individuelle se fait souvent mieux à domicile. Cette approche rejoint le meilleur des deux mondes. Conclusion Michel Gaudette incarne un product manager qui place l’humain au centre de son approche. Son expérience démontre l’importance de ce rôle souvent dans l’ombre, mais essentiel à la coordination entre les besoins techniques, commerciaux et clients. Chez FLIR, cette philosophie centrée sur la collaboration, l’agilité et le respect mutuel a permis à l’entreprise de doubler sa clientèle chaque année tout en maintenant une culture saine et dynamique dans le secteur exigeant de la cybersécurité. Collaborateurs Nicolas-Loïc Fortin Michel Gaudette Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x659! Shameless plug 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Notes IA AI Agents Are Going Rogue: Here’s How to Rein Them In AI Security Agents Get Persona Makeovers List of AI Tools Promoted by Threat Actors in Underground Forums and Their Capabilities Ransomware Attack on European Organizations Surge as Hackers Leveraging AI-Tools for Attacks UofT: Canada isn’t doing its part to stop AI surveillance MIT Retracts Controversial AI Ransomware Study Amid Expert Scrutiny Kevin Beaumont: “The whole report is like that …” - Cyberplace Microsoft: SesameOp malware abuses OpenAI Assistants API in attacks Blue MITRE ATT&CKcon - ATT&CKcon 6.0 Chrome Emergency Update to Patch Multiple Vulnerabilities that Enable Remote Code Execution Apple addresses more than 100 vulnerabilities in security updates for iPhones, Macs and iPads Microsoft removing Defender Application Guard from Office Microsoft Entra Credentials in the Authenticator App on Jail-Broken Devices to be Wiped Out Red Teams New BOF Tool Exploits Microsoft Teams’ Cookie Encryption allowing Attackers to Access User Chats Microsoft Teams’ New “Chat with Anyone” Feature Exposes Users to Phishing and Malware Attacks Hackers Can Exploit Microsoft Teams Vulnerabilities to Manipulate Messages and Alter Notifications Hackers Weaponize Windows Hyper-V to Hide Linux VM and Evade EDR Detection Danish authorities in rush to close security loophole in Chinese electric buses 2025 Insider Risk Report Finds Most Organizations Struggle to Detect and Predict Insider Risks Violent cybercrime surges in Europe amid big payouts Cybercriminals, OCGs team up on lucrative cargo thefts DOJ accuses US ransomware negotiators of launching their own ransomware attacks Legalize Legal Corner - Apple’s notarisation – blocking software freedom of developers and users Microsoft’s data sovereignty: Now with extra sovereignty! DHS wants more biometric data - even from citizens Divers Microsoft’s lack of quality control is out of control Cybersecurity Forecast 2026 - Google Warns Threat Actors Use AI to Enhance Speed and Effectiveness ISPs more likely to throttle CGNAT traffic: Cloudflare Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x658! Shameless plug 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Dans cet épisode spécial du Policure, l’animateur et Alexandre Fournier explorent un scénario à la fois inquiétant et réaliste : que se passerait-il si nous perdions l’électricité de façon prolongée ? À travers une discussion riche en exemples concrets et en recommandations pratiques, les deux interlocuteurs examinent notre vulnérabilité face à une panne électrique généralisée. L’exercice de mise en situation Le podcast débute par un exercice d’imagination : vous vous réveillez, votre alarme n’a pas sonné, tout est sombre. Vous vous cognez l’orteil, cherchez l’interrupteur qui ne fonctionne pas, constatez que votre téléphone n’a plus que 2 % de batterie. Pas de café, pas de télévision, pas d’ordinateur. Cette mise en situation, familière pour les Québécois habitués aux pannes hivernales, prend une dimension plus inquiétante lorsqu’on en explore toutes les ramifications. Une société hyperdépendante Alexandre Fournier souligne notre dépendance extrême à l’électricité et au numérique. Sans électricité, impossible d’utiliser sa carte de crédit pour faire le plein d’essence ou acheter de la nourriture. Les adolescents, constamment sur TikTok et Instagram, vivraient une véritable angoisse. L’exemple de la panne de Rogers en 2022 est particulièrement révélateur : même le 911 était inaccessible, passant par les systèmes de l’opérateur. Le télétravail, désormais omniprésent, deviendrait impossible. Les centres informatiques, malgré leurs génératrices, ne peuvent fonctionner indéfiniment sans entretien. C’est tout le tissu économique qui risquerait de s’effondrer, avec des conséquences en cascade sur les clients, partenaires et l’ensemble de l’activité. Les impacts sur la santé et la sécurité Les répercussions sur la santé seraient dramatiques. Les personnes dépendant d’appareils respiratoires risqueraient leur vie. En Espagne, lors d’une récente panne, plusieurs décès ont été attribués à cette cause. Les pharmacies ne pourraient renouveler les prescriptions, privant de nombreuses personnes de médicaments essentiels. L’espérance de vie, que la médecine moderne a réussi à doubler, dépend d’une infrastructure énergétique fiable. Les hôpitaux, fonctionnant sur groupes électrogènes, seraient rapidement saturés. Sans feux de circulation opérationnels, les déplacements deviendraient chaotiques, compliquant l’acheminement de carburant pour alimenter les génératrices. La vie quotidienne bouleversée En hiver québécois, l’absence de chauffage devient rapidement une question de survie. Le froid extrême peut causer engelures et gelures en quelques heures. L’eau courante disparaîtrait également, car elle dépend de pompes électriques. Alexandre conseille de savoir où trouver de l’eau d’urgence : réservoir des toilettes (8 litres), chauffe-eau (150-200 litres), et même les radiateurs. L’alimentation pose un autre défi majeur. Sans électricité, impossible d’acheter avec une carte de crédit. Les épiciers refuseraient de donner leur marchandise gratuitement. Une étude citée indique qu’à Londres, 48 heures sans électricité suffiraient à déclencher des émeutes généralisées. La formule est claire : “Chacun pour soi et Dieu pour tous.” Les leçons de l’histoire Le verglas de 1998 au Québec constitue un cas d’école. Certaines régions sont restées privées d’électricité pendant 32 jours. La solidarité s’est organisée, avec des familles hébergeant leurs voisins, des gymnases transformés en refuges. HydroQuébec fut débordée, l’armée déployée, mais impossible de tout couvrir. Des solutions créatives ont émergé, comme l’utilisation d’une locomotive sur remorque pour alimenter un hôtel en électricité. Au Texas, une vague de froid récente a révélé le manque de préparation : des gens ont brûlé des parties de leur maison pour se chauffer, causant de nombreux décès par intoxication. À Mayotte, après le cyclone Chido en décembre 2024, les infrastructures détruites ont laissé la population sans eau potable ni services de base, causant 1800 morts. L’ouragan Katrina a également démontré les limites de l’État dans ces situations critiques. La préparation individuelle : la clé de la résilience Face à ces constats, Alexandre insiste sur l’importance de la préparation personnelle. Le “sac 72 heures” recommandé par la sécurité civile devrait contenir eau, nourriture, lampes et alimentation électrique d’urgence. Mais 72 heures représentent le minimum légal d’intervention de l’État. Il conseille plutôt de viser 96 heures, voire une semaine complète d’autonomie. Il est crucial de comprendre que les secours ne viendront pas immédiatement. Ils prioriseront les services essentiels (hôpitaux, pharmacies) et les personnes vulnérables. De plus, les secouristes sont eux-mêmes des humains avec des familles à protéger, ce qui peut retarder leur intervention. La solidarité locale, premier filet de sécurité Au-delà de la préparation individuelle, la solidarité de quartier s’avère indispensable. Alexandre encourage à discuter avec ses voisins, même au risque de passer pour un “illuminé”, afin de coordonner les préparatifs. Un quartier préparé collectivement évite les tensions et les conflits pour les ressources, créant plutôt un réseau d’entraide. Exercices pratiques et défis Le podcast propose trois défis concrets : vérifier ses réserves alimentaires et d’eau, noter cinq numéros de téléphone importants sur papier, et identifier un lieu de repli hors de la ville. L’invitation à simuler une demi-journée sans électricité permet de prendre conscience de nos vulnérabilités réelles. Conclusion Cette discussion soulève une question fondamentale : sommes-nous prêts à tenir 72 heures seuls ? Dans un monde où les pannes peuvent survenir suite à des tempêtes, des cyberattaques ou même des éruptions solaires, la résilience commence chez soi. Notre société moderne, forte et développée, ne tient que si chaque citoyen peut assurer son autonomie de base. La préparation n’est pas du survivalisme extrême, mais du simple bon sens face à des risques bien réels et documentés. Collaborateurs Nicolas-Loïc Fortin Le Magnifique Alexandre Fournier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x657! Shameless plug 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Introduction Ce podcast explore la relation complexe entre les équipes Red Team et les solutions EDR (Endpoint Detection and Response), en mettant l’accent sur les dimensions business plutôt que purement techniques. Charles F. Hamilton partage son expertise terrain sur l’évasion des EDR et démystifie la confiance aveugle que beaucoup placent dans ces solutions présentées comme magiques. La réalité des EDR : au-delà du marketing Les EDR sont souvent vendus comme des solutions universelles de protection, mais cette perception cache une réalité plus nuancée. Il existe plusieurs types de solutions (EDR, XDR, NDR) avec des capacités différentes, notamment au niveau de la télémétrie réseau et de l’enrichissement des données. L’industrie de la cybersécurité reste avant tout un business, où les décisions sont guidées par des considérations financières, de croissance et de parts de marché plutôt que uniquement par la protection des utilisateurs. Un aspect troublant est la romanticisation des groupes d’attaquants par certaines compagnies de détection, qui créent des figurines géantes et des noms accrocheurs pour ces groupes criminels lors de conférences. Cette approche marketing peut paradoxalement valoriser le crime et encourager de nouveaux acteurs malveillants. Fonctionnement technique des EDR Les EDR fonctionnent sur plusieurs niveaux de détection. D’abord, l’aspect antivirus traditionnel effectue une analyse statique avant l’exécution d’un binaire. Ensuite, la détection en temps réel utilise diverses techniques : le user mode hooking (de moins en moins populaire), les callbacks dans le kernel, et ETW (Event Tracing for Windows) qui capture de la télémétrie partout dans Windows. Les EDR modernes privilégient les callbacks kernel plutôt que le user mode, car le kernel offre une meilleure protection. Cependant, le risque est qu’une erreur dans le code kernel peut causer un écran bleu, comme l’a démontré l’incident CrowdStrike. Microsoft a également implémenté les PPL (Protected Process Light) pour empêcher même les utilisateurs avec privilèges système de tuer certains processus critiques. Un point crucial : les Red Teams sont souvent plus sophistiquées que les attaquants réels, précisément parce qu’elles doivent contourner les EDR dans leurs mandats. Techniques d’évasion : simplicité et adaptation Contrairement à ce qu’on pourrait croire, l’évasion d’EDR ne nécessite pas toujours des techniques extrêmement sophistiquées. Plusieurs approches simples fonctionnent encore remarquablement bien. Par exemple, modifier légèrement un outil comme PinkCastle en changeant les requêtes LDAP et en désactivant certaines fonctionnalités détectables (comme les tentatives de zone transfer DNS ou les requêtes SPN) peut le rendre indétectable. Un cas particulier intéressant concerne un EDR qui, suite à son acquisition par Broadcom, a cessé d’être signé par Microsoft. Cette décision business a rendu leur DLL incapable de s’injecter dans les processus utilisant le flag de chargement de DLL signées uniquement par Microsoft, rendant effectivement l’EDR sans valeur de détection. Une stratégie efficace consiste à désactiver la connectivité réseau des processus EDR avant toute manipulation, en utilisant le firewall local. Même si des alertes sont générées, elles ne peuvent pas être transmises au serveur. L’agent apparaît simplement offline temporairement. Les vieilles techniques qui fonctionnent encore De nombreuses techniques d’attaque anciennes restent efficaces car elles ne sont pas assez utilisées par les attaquants standard pour justifier leur détection. Les EDR se concentrent sur le “commodity malware” - les attaques volumétriques - plutôt que sur les techniques de niche utilisées principalement par les Red Teams. Charles cite l’exemple d’une “nouvelle backdoor” découverte en 2024 qui était en fait son propre code archivé sur GitHub depuis 8 ans. Pour les compagnies de sécurité, c’était nouveau car jamais vu dans leur environnement, illustrant le décalage entre ce qui existe et ce qui est détecté. L’importance de la simplicité Un conseil crucial : ne pas suivre les tendances en matière de malware. Les techniques à la mode comme le stack spoofing deviennent rapidement détectées. Charles utilise depuis 6-7 ans un agent simple en C# sans share code ni techniques exotiques, qui passe encore inaperçu. La simplicité et une approche différente sont souvent plus efficaces que la complexité. L’utilisation de Beacon Object Files (BOF) avec Cobalt Strike évite l’injection de processus, réduisant considérablement les artefacts détectables. Recommandations pratiques Pour les organisations, avoir un EDR est essentiel en 2025 pour bloquer les attaques triviales. Mais ce n’est qu’un début. Il faut absolument avoir au moins une personne qui examine les logs quotidiennement, idéalement trois fois par jour. De nombreux incidents de réponse montrent que toute l’information était disponible dans la console EDR, mais personne ne l’a regardée. La segmentation réseau reste sous-développée depuis 15 ans, principalement pour des raisons de complexité opérationnelle. Sysmon devrait être déployé partout avec une configuration appropriée pour augmenter exponentiellement la visibilité, malgré la courbe d’apprentissage XML. La visibilité réseau est ce qui manque le plus aux clients en 2025. Sans elle, il est impossible de valider ce que les EDR prétendent avoir bloqué. Charles donne l’exemple de Microsoft Defender Identity qui dit avoir bloqué des attaques alors que l’attaquant a bel et bien obtenu les hash recherchés. Conclusion L’évasion d’EDR est une spécialisation à part entière, au même titre que le pentesting web ou Active Directory. Le secret est de comprendre profondément Windows, les outils et les EDR eux-mêmes avant de tenter de les contourner. Les entreprises doivent garder l’intelligence à l’interne plutôt que de dépendre entièrement des produits commerciaux. Finalement, la collaboration entre Blue Teams et Red Teams reste insuffisante. Plus de synergie permettrait aux deux côtés de mieux comprendre les perspectives de l’autre et d’améliorer globalement la sécurité. La curiosité et l’apprentissage continu sont les clés du succès dans ce domaine en constante évolution. Notes Training Training Collaborateurs Nicolas-Loïc Fortin Charles F. Hamilton Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x656! Shameless plug 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Ce podcast technique réunit Nicolas, l’animateur, avec Maxime Arquillière et Amaury-Jacques Garçon, deux analystes en cybermenace de sekoia., une société française spécialisée dans le renseignement sur les menaces informatiques (CTI - Cyber Threat Intelligence). Leur discussion porte sur une investigation approfondie d’une campagne de cyberespionnage sophistiquée baptisée “Double Tap”, probablement liée au groupe APT28 du renseignement militaire russe. Le contexte et la méthodologie Maxime et Amaury expliquent d’abord leur approche du travail de CTI, qui repose largement sur une veille continue des publications d’organismes spécialisés (CERT français, américains, canadiens) et de chercheurs en cybersécurité. Cette collecte systématique d’informations en source ouverte leur permet de modéliser les menaces et de créer des règles de détection, notamment des règles Yara pour identifier les fichiers malveillants. Leur équipe dispose de quatre spécialités : le tracking d’infrastructure, les règles de détection, le reverse engineering de malware, et l’analyse stratégique qui vise à comprendre les objectifs géopolitiques derrière les attaques étatiques. Cette approche multidimensionnelle permet une compréhension globale des cybermenaces. La découverte initiale L’investigation démarre à partir d’un article publié fin juillet 2024 par le CERT-UA (l’autorité ukrainienne de réponse aux incidents), qui documente des attaques ciblant régulièrement l’Ukraine. À partir de ces informations, l’équipe a créé des règles de détection, dont certaines volontairement plus souples pour capturer d’éventuelles variantes. Mi-octobre, une de ces règles Yara a détecté un document Word malveillant sur VirusTotal, une plateforme où sont analysés des millions de fichiers suspects. Ce document contenait une macro et semblait être issu du ministère des Affaires étrangères du Kazakhstan. Cette alerte a déclenché une investigation approfondie qui a permis de découvrir au total 18 documents similaires, dont une dizaine n’avaient jamais été publiés auparavant. L’analyse technique : la chaîne d’infection “Double Tap” Amaury détaille la sophistication technique de cette attaque. Les documents malveillants utilisent une technique de social engineering : ils apparaissent floutés ou déformés à l’ouverture, incitant la victime à cliquer sur “Activer les macros” pour les rendre lisibles. Cette action déclenche une chaîne d’infection particulièrement élaborée. La particularité qui a donné son nom à la campagne est l’utilisation d’un double mécanisme : le premier document Word crée un second document contenant des macros malveillantes dans un répertoire temporaire du système. Cette approche en plusieurs étapes vise à contourner les systèmes de détection. Une fois activé, le malware modifie les paramètres de sécurité du système pour permettre l’exécution automatique de macros futures, établit une persistance qui se réactive toutes les quatre minutes, et contacte un serveur de commande et contrôle (C2). Le code, largement obfusqué, construit progressivement une troisième macro qui communique avec un serveur externe pour transmettre des informations sur la machine compromise (nom d’utilisateur, nom du PC) et potentiellement déployer un backdoor Python appelé “Cherry Spy” pour l’exfiltration de données. La dimension géopolitique L’analyse de Maxime révèle que les dix documents découverts étaient tous rédigés en kazakh et concernaient des sujets diplomatiques : câbles d’ambassades kazakhes en Belgique et Afghanistan, comptes-rendus de visites présidentielles, et notamment une déclaration diplomatique conjointe entre l’Allemagne et le Kazakhstan datant de septembre 2024, lors d’une visite du chancelier Olaf Scholz visant à diversifier les approvisionnements énergétiques allemands. Ces documents, datés entre 2021 et 2024, semblent être des documents légitimes récupérés lors d’opérations antérieures et réutilisés comme appâts pour cibler des diplomates et officiels kazakhs. Le Kazakhstan, bien qu’allié traditionnel de la Russie, adopte une politique de plus en plus indépendante, ce qui expliquerait l’intérêt du renseignement russe. Le lien avec APT28 et Zebrocy L’équipe établit des connexions avec APT28 (également connu sous le nom de Fancy Bear), un groupe de cyberespionnage du renseignement militaire russe (GRU). Ils identifient également des similitudes avec Zebrocy, un mode opératoire actif entre 2015 et 2020 qui ciblait spécifiquement l’Asie centrale et utilisait des techniques similaires de “double tap”. L’importance du partage Les chercheurs soulignent l’importance de publier leurs découvertes en source ouverte. Bien que cela puisse alerter les attaquants et les pousser à modifier leur infrastructure, cette transparence contribue à l’amélioration de la cybersécurité globale, permettant à d’autres chercheurs de construire sur leurs travaux. De manière remarquable, quelques jours après la publication de leur rapport, un média kazakh a annoncé qu’une inspection imprévue du ministère des Affaires étrangères serait menée suite aux révélations sur cette cyberattaque. L’équipe avait d’ailleurs tenté de contacter le gouvernement kazakh avant publication, sans recevoir de réponse. Cette investigation illustre parfaitement la complexité du travail en CTI : combiner expertise technique, compréhension géopolitique et éthique du partage pour protéger efficacement contre les menaces étatiques sophistiquées qui peuvent s’étendre sur plusieurs années. Notes Double-Tap Campaign - Russia-nexus APT possibly related to APT28 conducts cyber espionage on Central Asia and Kazakhstan diplomatic relations Collaborateurs Nicolas-Loïc Fortin Maxime Arquillière Amaury-Jacques Garçon Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x655! Shameless plug 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Notes Résilience du cloud Microsoft: DNS outage impacts Azure and Microsoft 365 services Kevin Beaumont: “Yep, just did some testing - A…” - Cyberplace Kevin Beaumont: “If you’re wondering what prote…” - Cyberplace Microsoft Services Experience Global Outage Due to Faulty Cloud Configuration Microsoft Azure challenges AWS for downtime crown Kevin Beaumont: “If you’re wondering the AWS an…” - Cyberplace IA The glaring security risks with AI browser agents OpenAI’s Atlas browser — and others — can be tricked by manipulated web content New Agent-Aware Cloaking Leverages OpenAI ChatGPT Atlas Browser to Deliver Fake Content Ex-CISA chief says AI could mean the end of cybersecurity AI-Generated Code Poses Security, Bloat Challenges AI Trust Paradox: Overcome Fear Auto Cyber Remediation Anthropic’s Claude convinced to exfiltrate private data OpenAI unleashes Aardvark security agent in private beta Red New EDR-Redir Tool Breaks EDR Exploiting Bind Filter and Cloud Filter Driver New EDR-Redir V2 Blinds Windows Defender on Windows 11 With Fake Program Files Hackers Exploiting Microsoft WSUS Vulnerability In The Wild - 2800 Instances Exposed Online oss-sec: Questionable CVE’s reported against dnsmasq 81% Router Usres Have Not Changed Default Admin Passwords, Exposing Devices to Hackers Sweden’s power grid operator confirms data breach claimed by ransomware gang What Is Bring Your Own Vulnerable Driver (BYOVD)? High-Severity OpenVPN Flaw (CVE-2025-10680) Allows Script Injection on Linux/macOS via Malicious DNS Server Beware of Free Video Game Cheats That Delivers Infostealer Malwares New Atroposia malware comes with a local vulnerability scanner New Android Trojan ‘Herodotus’ Outsmarts Anti-Fraud Systems by Typing Like a Human Next-gen firewalls, VPNs can increase security risks: At-Bay Tata Motors Data Leak - 70+ TB of Sensitive Info and Test Drive Data Exposed via AWS Keys 9 in 10 Exchange servers in Germany are out of support Cyberpunks mess with Canada’s water, energy, farm systems Multiple Jenkins Vulnerability SAML Authentication Bypass And MCP Server Plugin Permissions Blue Mozilla to Require Data-Collection Disclosure in All New Firefox Extensions CISOs Finally Get a Seat at the Board’s Table Ransomware Profits Drop As Victims Stop Paying Hackers Making A Virtual Machine Look Like Real Hardware To Malware Open-Source Firewall IPFire 2.29 With New Reporting For Intrusion Prevention System Agent Fatigue Is Real and Your Security Stack Is to Blame ATT&CK v18: The Detection Overhaul You’ve Been Waiting For How Threat Intelligence Feeds Help Organizations Quickly Mitigate Malware Attacks Passkeys: they’re not perfect but they’re getting better Google Unveils Guide for Defenders to Monitor Privileged User Accounts Google Chrome Will Finally Default To Secure HTTPS Connections Starting in April CISA Releases Best Security Practices Guide for Hardening Microsoft Exchange Server Russia arrests three suspected Meduza infostealer devs Privacy What brain privacy will look like in the age of neurotech Proton 2025 autumn/winter roadmaps [New Release: Tor Browser 15.0 The Tor Project](https://blog.torproject.org/new-release-tor-browser-150/) Divers EU sovereignty plan accused of helping US cloud giants Red lights flashing at CISPE over Broadcom licensing antics France signs up to the Matrix.org Foundation US declines to join more than 70 countries in signing UN cybercrime treaty International Criminal Court To Ditch Microsoft Office For European Open Source Alternative Everyone Wants to Hack — No One Wants to Think Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x654! Shameless plug 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Introduction et contexte Dans cet épisode du podcast 0x654 Teknik, Nicolas Corin s’entretient avec Alex Tardif de Palo Alto Networks sur l’opération du centre de sécurité (SOC) lors du Hackfest, un événement majeur de cybersécurité au Québec. Depuis plusieurs années, même avant 2022, Palo Alto est responsable de monter l’infrastructure et de sécuriser le CTF (Capture The Flag) de l’événement. Cette présence unique offre à l’équipe une visibilité exceptionnelle sur des trafics hostiles dans un environnement volontairement vulnérable. La mission de sécurisation Contrairement à ce qu’on pourrait penser, sécuriser un CTF n’est pas contradictoire. L’objectif principal est de contrôler ce qui se passe pour s’assurer que les participants respectent le code de conduite et ne dépassent pas les limites établies. Il faut empêcher les attaques sur les infrastructures hors périmètre du CTF et surveiller l’adresse IP publique pour éviter que des activités malveillantes n’affectent le Centre des Congrès qui héberge l’événement. Cette diligence est essentielle pour maintenir la confiance de l’organisation et garantir l’accès internet. Une infrastructure complète de bout en bout Palo Alto déploie bien plus que des pare-feu. L’équipe utilise une suite complète de solutions de sécurité, incluant des pare-feu nouvelle génération, un SOC, et des produits de sécurité cloud. Cette architecture permet une traçabilité complète, de l’utilisateur jusqu’aux challenges dans le cloud, en passant par le réseau. Cette année, l’infrastructure comprenait plus de 260 serveurs pour le challenge Active Directory, avec 5 à 6 serveurs instantanés par équipe. Les outils déployés incluent Xsoar (leur outil SIEM automatisé), des solutions d’attack surface management, de la sécurité applicative pour analyser le code des challenges, et potentiellement pour l’année prochaine, des outils de sécurité pour les LLM (Large Language Models). Une préparation approfondie La préparation commence plusieurs mois à l’avance, dès avril-mai pour l’événement d’octobre. Cette planification extensive couvre la logistique, la nature des challenges, les connexions d’infrastructure et le déploiement des solutions. L’équipe connecte les challenges deux semaines avant l’événement pour effectuer des audits de sécurité, identifier les vulnérabilités présentes et confirmer avec les créateurs de challenges que tout est intentionnel. Cette approche “purple team” permet d’équilibrer la sécurité et l’intérêt des défis. L’équipe et son organisation Cette année, l’équipe a adopté un organigramme de SOC traditionnel avec 14 ressources sur place, incluant des SOC managers, des analystes de niveau 1, 2 et 3, et un analyste de sécurité réseau. L’événement se déroule sur 24 heures, du jeudi 19h30 au vendredi 19h30, ce qui représente un défi opérationnel considérable. L’équipe est principalement composée de ressources locales en prévente chez Palo Alto, avec des profils variés : red teaming, cloud, anciens directeurs de SOC, et spécialistes de l’implémentation de pare-feu. Le mode détection plutôt que blocage L’équipe opère entièrement en mode détection, avec seulement un événement bloqué cette année : une tentative d’injection sur la page de connexion WiFi. Ce mode nécessite plus d’intervention humaine mais offre une expérience d’apprentissage unique dans un environnement de production extrêmement bruyant, rempli de C2, malware et exploitations de vulnérabilités. Des statistiques impressionnantes Les chiffres de cette année témoignent de l’ampleur de l’événement : 486 Go de données analysées en 24 heures, 31,4 millions de menaces uniques détectées, 11 300 alertes générées et converties en 1 000 incidents. Grâce à l’automatisation, 663 incidents ont été traités automatiquement, soit plus de la moitié. L’équipe a atteint un temps moyen de détection et de réponse (MTTR/MTTD) de moins de 15 minutes, un exploit remarquable comparé à certaines grandes organisations. L’automatisation et l’intelligence artificielle L’automatisation joue un rôle crucial dans la gestion du volume d’alertes. Une fois qu’un type d’incident est résolu et compris, le système Xsoar recommande des playbooks pour automatiser la fermeture d’incidents similaires. Cette approche permet aux analystes de se concentrer sur les incidents vraiment intéressants plutôt que sur le triage répétitif, améliorant ainsi la rétention du personnel et la satisfaction au travail. Les incidents et anecdotes marquantes L’histoire justifie la vigilance : en 2022, un participant avait déployé des malwares via un faux captcha dans un PDF, ciblant la Russie et le Vietnam. En 2023, des machines infectées (notamment une VM Kali piratée) ont été détectées, et des tentatives de DDoS sur l’infrastructure du Hackfest ont été stoppées. Cette année a été relativement calme, avec quelques anecdotes amusantes : une équipe a uploadé des photos de Vladimir Poutine aux pectoraux surdimensionnés sur un challenge GCP, et un participant paranoïaque a effectué 929 tentatives de validation DNS avec des DGA (Dynamically Generated Addresses). L’utilisation de l’IA par les participants Une découverte intéressante : 242 utilisateurs uniques ont utilisé ChatGPT durant les challenges, soit environ un tiers des participants. Plus surprenant encore, 68 utilisateurs ont utilisé Bing AI, probablement faute d’abonnement à d’autres services. Cette tendance soulève des questions sur l’équité et l’apprentissage dans les CTF. Conclusion et perspectives Cette expérience unique bénéficie autant à Palo Alto qu’au Hackfest. Pour l’entreprise, c’est une opportunité exceptionnelle de tester leurs solutions dans un environnement de production hostile et d’acquérir une expertise concrète pour mieux conseiller leurs clients. Pour le Hackfest, c’est la garantie d’un événement sécuritaire et professionnel. L’équipe invite d’ailleurs les intéressés à venir observer le SOC en action l’année prochaine, une opportunité rare de voir ces outils professionnels déployés dans un contexte réel et d’apprendre aux côtés d’experts. Collaborateurs Nicolas-Loïc Fortin Alex Tardif Crédits Montage par Intrasecure inc Locaux réels par Bâton Rouge - Galeries de la Capitale

Parce que… c’est l’épisode 0x653! Shameless plug 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Introduction et contexte Dans cet épisode du podcast, l’équipe composée de Nicolas, Cyndie et Dominique explore l’histoire de NotPetya, une cyberattaque majeure qui, bien qu’elle ait principalement visé de grandes entreprises, offre des enseignements cruciaux pour les petites et moyennes entreprises. L’objectif est de démontrer que même les incidents qui semblent éloignés des PME peuvent les affecter directement ou indirectement, et qu’il existe des mesures préventives essentielles à mettre en place. Le témoignage de l’intérieur Dominique partage son expérience vécue du jour de l’attaque NotPetya. Travaillant pour un fournisseur de services gérés (MSP), il se trouvait en séminaire avec son équipe lorsque l’incident s’est produit. L’équipe de surveillance a commencé à remarquer des anomalies : des machines s’arrêtaient progressivement, puis des dizaines, puis des centaines de serveurs cessaient de fonctionner. Lorsque 200 à 300 machines sont tombées, il est devenu évident qu’il s’agissait d’un problème majeur nécessitant une intervention immédiate, malgré le contexte festif du séminaire. Le fonctionnement de NotPetya NotPetya est un malware qui s’est initialement propagé via un logiciel de comptabilité ukrainien compromis. Un client disposant de bureaux en Ukraine a effectué une mise à jour routinière et a involontairement téléchargé le virus. Le malware s’est ensuite comporté comme un ver informatique, se propageant à travers les réseaux de manière particulièrement vicieuse. Nicolas explique que NotPetya exploitait EternalBlue, une vulnérabilité découverte par la NSA et divulguée par le groupe Shadow Brokers. Cette faille affectait le protocole SMB, permettant une exécution de code à distance sans authentification, nécessitant simplement d’être sur le même réseau. La technique de propagation était sophistiquée : le virus se diffusait pendant environ vingt minutes, infectant d’autres machines, avant de redémarrer le serveur sur un écran de demande de rançon. Cette temporisation permettait une propagation massive avant que les dommages ne deviennent visibles. Le malware était capable de détecter les contrôleurs de domaine et d’abuser de leurs privilèges pour maximiser la destruction. Bien qu’une rançon de 300 dollars soit demandée, le paiement ne permettait pas de récupérer les données, révélant que l’objectif principal était la destruction pure et simple. Les failles de sécurité révélées L’incident a mis en lumière plusieurs problèmes de sécurité fondamentaux. Premièrement, malgré la taille et les ressources de l’entreprise touchée, la segmentation réseau était insuffisante. Le responsable de la sécurité (CISO) était convaincu que tout était correctement segmenté et que la propagation était impossible. La réalité a prouvé le contraire : environ 50 000 serveurs ont été affectés en raison de partages réseau non sécurisés et d’interconnexions excessives. Deuxièmement, le laxisme concernant les mises à jour de sécurité a joué un rôle crucial. EternalBlue était déjà connu au moment de l’attaque NotPetya, mais de nombreux serveurs n’avaient pas été corrigés. Troisièmement, une pratique dangereuse a été identifiée : certains clients avaient joint leurs systèmes de sauvegarde au domaine Active Directory. Nicolas insiste fortement sur ce point : il ne faut jamais joindre les serveurs de backup au domaine, un conseil tellement important que l’équipe envisage d’en faire des t-shirts promotionnels. Les conséquences économiques Les chiffres sont éloquents : NotPetya a causé environ 10 milliards de dollars de dommages économiques mondiaux. Des entreprises majeures ont été lourdement touchées, notamment Maersk, l’un des plus grands transporteurs maritimes au monde, avec 870 millions de dollars de coûts en 2017, et FedEx avec 300 millions de dollars. Ces entreprises n’ont pas été directement piratées mais ont été victimes collatérales via leur chaîne d’approvisionnement. L’arrêt de production s’est étendu sur plusieurs semaines, période pendant laquelle les employés ne pouvaient rien faire. Les leçons pour les PME Le podcast souligne plusieurs points essentiels pour les petites et moyennes entreprises. Premièrement, aucune organisation n’est à l’abri, quelle que soit sa taille. Des incidents récents comme les packages NPM compromis ou l’incident CrowdStrike démontrent que ces menaces persistent. Les PME peuvent devenir des points d’entrée pour attaquer de plus grandes entreprises, ce qui explique pourquoi les grandes organisations exigent de plus en plus de certifications de sécurité de leurs partenaires, même petits. L’exemple récent de Salesforce, attaqué via un petit fournisseur, illustre parfaitement ce risque. Les attaquants privilégient le maillon le plus faible, et un petit fournisseur ayant accès au réseau d’une grande entreprise devient une cible attractive. Les mesures de protection essentielles L’équipe recommande plusieurs mesures concrètes et accessibles. Il faut segmenter correctement les réseaux, s’assurer que les sauvegardes sont fonctionnelles et isolées du domaine, et maintenir les systèmes à jour. Les scans de vulnérabilité permettent d’identifier les problèmes invisibles. Des outils comme Shodan révèlent souvent des éléments inquiétants : caméras de surveillance, systèmes HVAC et autres équipements accessibles depuis Internet. Concernant les accès des fournisseurs, il faut se demander s’ils ont réellement besoin d’un accès administrateur permanent ou si un accès temporaire, limité au moment de l’intervention, suffirait. Le principe directeur doit être le besoin réel plutôt que la facilité. Fermer les accès extérieurs non essentiels et se protéger derrière un pare-feu constituent des bases fondamentales. Conclusion Les PME disposent d’un avantage par rapport aux grandes entreprises : leur périmètre est plus restreint et donc plus facile à sécuriser. Elles doivent éviter toute entreprise promettant une sécurité à 100%, car celle-ci n’existe pas. L’important est d’implémenter les mesures de base correctement. Les PME peuvent devenir des dommages collatéraux d’incidents qui ne les visent pas directement, mais elles devront néanmoins en assumer les coûts de nettoyage. NotPetya et d’autres incidents récents rappellent l’importance d’une vigilance constante et de pratiques de sécurité solides, accessibles à toutes les organisations. Collaborateurs Nicolas-Loïc Fortin Cyndie Feltz Nicholas Milot Dominique Derrier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x652! Shameless plug 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Description Ce neuvième épisode du balado collaboratif entre Cyber Citoyen et Polysécure, animé par Catherine Dupont-Gagnon et ses invités Sam Harper et Nicolas Louck, aborde plusieurs enjeux critiques de cybersécurité, de vie privée et de technologie qui marquent l’actualité récente. L’application Tea et les dangers du dating en ligne L’épisode débute avec une mise à jour sur l’application Tea, un sujet récurrent du podcast. Apple et Google ont finalement retiré cette application et son alternative Tea on Earth de leurs magasins, invoquant des problèmes de modération et de vie privée. Malgré ses 6,1 millions de téléchargements et 5 millions de dollars de revenus générés, l’application présentait de graves lacunes de sécurité. Ce qui inquiète particulièrement les experts, c’est l’apparition de copies tentant de combler le vide laissé par ce retrait, des applications tout aussi mal sécurisées. Les animateurs constatent un retour aux groupes Facebook « Are we dating the same guy », malgré les limites de la fonction d’anonymat de Facebook. Cette situation soulève des questions cruciales sur la protection des données sensibles, notamment celles de femmes en situation de vulnérabilité. La panne AWS : symptôme d’un monopole dangereux La panne d’Amazon Web Services du 22 octobre constitue le deuxième sujet majeur. Au-delà de l’incident technique lui-même, les animateurs s’interrogent sur la concentration monopolistique des infrastructures internet. Le fait qu’une partie importante du web dépende d’un seul point de défaillance représente un risque systémique considérable. Sam rappelle que cette situation n’est pas nouvelle, citant la panne Rogers qui avait paralysé le système d’urgence 911 et Interac. Nicolas mentionne un cas similaire en Australie où une mise à jour de pare-feu a rendu le service d’urgence inaccessible pendant des heures, causant des décès. Les intervenants soulignent que des entreprises comme Netflix ont conçu leurs systèmes pour tolérer les pannes grâce au « chaos engineering », testant régulièrement leur résilience. Cependant, la majorité des entreprises ne prennent pas ces précautions, préférant la solution la moins coûteuse. Cette négligence révèle un problème plus large : le marché ne punit pas suffisamment les mauvaises pratiques, et les entreprises continuent de dépendre d’une seule zone AWS parce que c’est moins cher, acceptant implicitement le risque de perte de revenus et de réputation. Les objets connectés : quand la technologie devient un fléau L’histoire du lit intelligent à 5 000 dollars illustre parfaitement les dangers de l’Internet des objets. Ce lit, qui nécessite un abonnement mensuel de 17 à 33 dollars pour fonctionner, est devenu complètement inutilisable lors de la panne AWS. Sans accès aux serveurs, les utilisateurs ne pouvaient même plus ajuster la position de leur lit, certains se retrouvant coincés en position assise. Cette situation absurde démontre comment la dépendance excessive aux serveurs cloud crée des vulnérabilités dans des objets du quotidien. Les animateurs élargissent la discussion aux voitures connectées, comme les Tesla qui peuvent être contrôlées à distance, voire désactivées. John Deere a ainsi désactivé des équipements agricoles volés par les Russes en Ukraine. Cette capacité de contrôle à distance soulève des questions fondamentales sur la propriété réelle des objets que nous achetons et sur les modèles d’abonnement pour des fonctionnalités déjà installées physiquement dans les produits. L’intelligence artificielle : une fiabilité très relative Une étude majeure coordonnée par l’European Broadcasting Union et la BBC révèle que 45 % des résumés d’actualité générés par l’IA contiennent au moins un problème significatif. Gemini se distingue particulièrement négativement avec 76 % de réponses problématiques. L’étude identifie des erreurs d’attribution, des informations trompeuses ou manquantes, et des hallucinations. Cette situation est d’autant plus préoccupante que 15 % des moins de 25 ans utilisent principalement l’IA pour s’informer sur l’actualité. Les animateurs soulignent que l’IA n’est pas un moteur de recherche et ne peut se fier à sa base de connaissances pour des informations récentes. Nicolas compare l’IA à quelqu’un qui lit en diagonale, mais sans la capacité humaine de repérer les mots clés pertinents, s’appuyant plutôt sur des modèles statistiques. Les citations fournies par les IA sont souvent incorrectes ou non pertinentes, obligeant à vérifier systématiquement les sources. OpenAI et la course aux données Le lancement du navigateur Atlas par OpenAI inquiète les experts en vie privée. Conçu pour rivaliser avec Google, ce navigateur semble destiné principalement à collecter des données pour entraîner les modèles d’IA. Perplexity a déjà lancé un navigateur similaire, criblé de vulnérabilités, et n’a jamais caché que toutes les données de navigation étaient renvoyées vers ses serveurs. Cette course aux données révèle un problème fondamental : l’IA générative ne peut survivre sans nouveau contenu, mais ne peut se nourrir de son propre contenu sous peine de dégradation progressive, comparable à la consanguinité génétique. La bulle de l’IA et ses conséquences Les animateurs anticipent l’explosion imminente de la bulle de l’IA, artificiellement gonflée par le battage médiatique autour de l’intelligence artificielle générale. Microsoft pousse agressivement Copilot en liant les indicateurs de performance des vendeurs au taux d’utilisation chez les clients, malgré des résultats mitigés. Seulement 5 % des projets d’IA donnent des résultats réels. Pendant ce temps, les coûts énergétiques explosent aux États-Unis, financés indirectement par les citoyens, tandis que des villages entiers perdent l’accès à l’eau potable pour refroidir les centres de données. L’épisode se conclut sur une note plus légère avec l’histoire d’un prisonnier en Roumanie qui a exploité les vulnérabilités d’un système de tablettes pénitentiaires, distribuant du matériel pour adultes et créditant 1,15 million de dollars sur le compte cantine d’un complice. Cette anecdote illustre l’importance de considérer la sécurité numérique avec la même rigueur que la sécurité physique, un continuum souvent négligé. Collaborateurs Nicolas-Loïc Fortin Catherine Dupont-Gagnon Samuel Harper Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x651! Shameless plug 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 14 au 17 avril 2026 - Botconf 2026 28 et 29 avril 2026 - Cybereco Cyberconférence 2026 9 au 17 mai 2026 - NorthSec 2026 3 au 5 juin 2025 - SSTIC 2026 Notes Incidents What the Huge AWS Outage Reveals About the Internet A single DNS race condition brought AWS to its knees Amazon brain drain finally caught up with AWS Louvre heist raises decades-old questions about museum security IA Critical Vulnerability in MCP Server Platform Exposes 3,000 Servers and Thousands of API Keys The security paradox of local LLMs OpenAI ChatGPT Atlas Browser Jailbroken to Disguise Malicious Prompt as URLs OpenAI’s New Browser Raises ‘Insurmountably High’ Security Concerns Perplexity’s Comet Browser Screenshot Feature Vulnerability Let Attackers Inject Malicious Prompts MCP attack uses predictable session IDs to hijack AI agents Zero Trust Has a Blind Spot—Your AI Agents Sneaky Mermaid attack in Microsoft 365 Copilot steals data AI-Powered Ransomware Is the Emerging Threat That Could Bring Down Your Organization One in five security breaches now thought to be caused by AI-written code Privacy Microsoft Teams to Auto-Set Work Location by Detecting the Wi-Fi Network Polish PM: former government used Pegasus spyware to surveil my wife and daughter The Internet’s Biggest Annoyance: Why Cookie Laws Should Target Browsers, Not Websites Blue 5 Deception Solutions that are Changing the Cybersecurity Game  You Still Shouldn’t Use a Browser Password Manager Microsoft admits File Explorer Preview pane won’t work in Windows 11 25H2 for internet files by default Myanmar military detains 2,000 people in raid at cybercrime center Shifting from reactive to proactive: Cyber resilience amid nation-state espionage Proofpoint releases innovative detections for threat hunting: PDF Object Hashing OpenBSD 7.8 out now and 9front’s ‘Release’ released OpenBSD 7.8 ChkTag: x86 Memory Safety Réserve européenne de cybersécurité : l’Union se dote d’un bouclier commun Red GlassWorm: First Self-Propagating Worm Using Invisible Code Hits OpenVSX Marketplace Self-Propagating GlassWorm Poisons VS Code Extensions Network security devices endanger orgs with ’90s era flaws 706,000+ BIND 9 Resolver Instances Vulnerable to Cache Poisoning Exposed Online - PoC Released Google Warns of Threat Actors Using Fake Job Posting to Deliver Malware and Steal Credentials The YouTube Ghost Network: How Check Point Research Helped Take Down 3,000 Malicious Videos Spreading Malware Threat Actors Attacking Azure Blob Storage to Compromise Organizational Repositories Inside the attack chain: Threat activity targeting Azure Blob Storage Hackers Can Access Microsoft Teams Chat and Emails by Retrieving Access Tokens Critical WSUS Flaw (CVE-2025-59287, CVSS 9.8) Allows Unauthenticated RCE via Unsafe Cookie Deserialization, PoC Available Hackers Weaponizing OAuth Applications for Persistent Cloud Access Even After Password Reset ‘PassiveNeuron’ Cyber Spies Attack With Custom Malware Airport PA System Hack: How Attackers Hijacked Announcements in the US and Canada - Cyberwarzone China finds “irrefutable evidence” of US NSA cyberattacks on time Authority Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x650! Shameless plug 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Notes GCP - Domain Wide Delegation Abuses blog post GCP Delegate Tool GCP ATTACK Matrix Description Introduction Dans cet épisode du podcast Police Secure, Clément Cruchet présente une analyse approfondie de la surface d’attaque de Google Cloud Platform (GCP), un sujet souvent négligé dans la communauté de la cybersécurité. Contrairement à Azure et AWS qui bénéficient d’une documentation abondante sur leurs vulnérabilités et vecteurs d’attaque, GCP reste le “petit frère oublié” du cloud computing. Cette présentation, donnée lors de la conférence Bide, vise à combler cette lacune en explorant les chemins qu’un attaquant pourrait emprunter dans un environnement GCP. Le contexte : pourquoi GCP est moins documenté Clément observe qu’il y a trois ou quatre ans, la documentation sur les vulnérabilités GCP était quasi inexistante. Cette absence de contenu a même conduit certains utilisateurs sur des forums comme Reddit à affirmer de manière erronée que GCP était plus sûr ou exempt de mauvaises configurations. En réalité, ces failles existent bel et bien, mais elles n’avaient simplement pas été explorées en profondeur. Bien que la situation se soit améliorée depuis trois ans avec l’apparition de formations et de certifications, GCP demeure significativement moins couvert que ses concurrents. L’importance de l’IAM (Identity and Access Management) Le cœur de la sécurité dans tous les environnements cloud réside dans la gestion des identités et des accès. Que ce soit Azure, AWS, GCP ou d’autres fournisseurs comme Oracle Cloud ou Alibaba Cloud, chacun possède son propre modèle IAM distinct. Ces modèles constituent la base de toute gestion des permissions, rôles et autorisations dans les environnements cloud. Le paradoxe est clair : sans permissions IAM, on ne peut rien faire, mais avec trop de permissions, on ouvre la porte à des abus et des défauts de configuration. La majorité des vulnérabilités dans les environnements cloud proviennent justement de ces mauvaises configurations au sein de l’IAM. La hiérarchie unique de GCP GCP se distingue par sa structure hiérarchique particulière. Contrairement à AWS qui fonctionne avec des comptes, ou à Azure qui utilise des tenants, des subscriptions et des groupes de ressources, GCP adopte une approche top-down très structurée. Au sommet se trouve l’organisation, généralement liée au nom de domaine de l’entreprise (par exemple company.com). Sous l’organisation, on trouve des folders, comparables aux unités organisationnelles (OU) d’Active Directory. Ces folders contiennent ensuite des projets, qui constituent l’unité administrative la plus importante. Les projets dans GCP peuvent être comparés aux comptes AWS et c’est principalement à ce niveau que se fait la facturation. Pour beaucoup d’utilisateurs, seule la vue du projet est accessible, sans nécessairement avoir besoin d’une organisation complète. Cette flexibilité permet de commencer à travailler directement avec un projet sans passer par la création d’une infrastructure organisationnelle complète. Les rôles et leurs dangers Un point crucial soulevé par Clément concerne les rôles primitifs dans GCP : éditeur, viewer, owner et browser. Ces rôles sont extrêmement dangereux car ils accordent des permissions bien trop larges. Par exemple, un rôle d’éditeur peut avoir accès à 800 permissions différentes, ce qui viole complètement le principe du moindre privilège. Le message clé est de ne jamais utiliser ces rôles primitifs dans une infrastructure GCP. Même les rôles prédéfinis, pourtant plus granulaires, peuvent présenter des risques. Un rôle comme “compute admin”, qui devrait théoriquement se limiter à l’administration des ressources compute, peut en réalité inclure 800 permissions, dont certaines touchent à des services non liés comme BigQuery. La recommandation fondamentale est de créer des rôles personnalisés aussi granulaires que possible et d’appliquer systématiquement le principe du moindre privilège. Domain wide delegation : un vecteur d’exfiltration méconnu L’une des contributions majeures de cette présentation concerne le domain wide delegation, une technique d’exfiltration peu documentée. Cette fonctionnalité permet à un compte de service dans GCP d’interagir avec Google Workspace : accéder à Drive, Gmail, envoyer des emails au nom d’utilisateurs, récupérer des pièces jointes, etc. Clément a développé un outil Python appelé “Delegate” pour démontrer et tester cette technique. Lorsqu’il a écrit son article de blog sur le sujet début 2023, il n’existait pratiquement aucune documentation sur cette vulnérabilité. Ironiquement, Palo Alto Networks a publié un article similaire plusieurs mois après, ce qui témoigne du caractère précurseur de ses recherches. Le scénario d’attaque typique implique un attaquant qui compromet une machine virtuelle possédant un compte de service capable d’effectuer du domain wide delegation. Cette technique peut également servir de mécanisme de persistance, permettant à un attaquant de configurer sa propre délégation pour exfiltrer des données de manière discrète. L’outil Delegate permet de lire des emails, télécharger et uploader des fichiers sur Drive, offrant ainsi une capacité d’exfiltration complète. La matrice d’attaque GCP Pour synthétiser ses recherches, Clément propose une kill chain communautaire spécifique à GCP, disponible sur GitHub (github.com/otendfreed/GCP-attack-matrix). Cette matrice d’attaque représente l’ensemble des tactiques, techniques et procédures (TTP) depuis la reconnaissance jusqu’à l’exfiltration et l’impact. L’objectif est de fournir un outil pour les équipes de sécurité souhaitant effectuer du purple teaming dans des environnements GCP, leur permettant d’évaluer leurs contrôles de sécurité et leur capacité de détection. Conclusion Ce podcast souligne l’importance de ne pas négliger GCP dans les stratégies de sécurité cloud. Bien que moins documenté, ce fournisseur présente des vecteurs d’attaque tout aussi critiques que ses concurrents. La recherche communautaire et le partage de connaissances sont essentiels pour identifier et corriger les vulnérabilités avant que des attaquants malveillants ne les exploitent. Comme le souligne Clément, pour attaquer un système, il faut d’abord le comprendre, et c’est précisément cette compréhension qu’il cherche à transmettre à la communauté de la cybersécurité. Notes À venir Collaborateurs Nicolas-Loïc Fortin Clément Cruchet Crédits Montage par Intrasecure inc Locaux réels par Bsides Montréal

Parce que… c’est l’épisode 0x649! Shameless plug 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Description Comprendre les différences et faire les bons choix Dans cet épisode du podcast Polysécure, l’animateur reçoit Cyndie Feltz, Nicolas Milot et Dominique Derrier pour démystifier deux concepts souvent confondus dans le domaine de la cybersécurité : les balayages de vulnérabilités et les tests d’intrusion. Cette discussion s’avère particulièrement pertinente pour les petites et moyennes entreprises qui doivent naviguer dans un environnement où les exigences de sécurité se multiplient, que ce soit pour obtenir une cyberassurance, répondre à des normes réglementaires ou rassurer des clients. La confusion sur le marché Le podcast débute en soulignant un problème majeur : les entreprises se font souvent imposer des tests de sécurité sans nécessairement comprendre ce qu’elles achètent réellement. Cette pression peut provenir d’une cyberassurance, d’un cadre normatif ou d’un client exigeant. Lorsque ces tests ne sont pas budgétés, les entreprises cherchent naturellement à minimiser les coûts, mais le marché offre toutes les saveurs possibles, et les écarts de prix peuvent atteindre un facteur de dix entre différentes offres. Cette variation crée naturellement de la confusion et des inquiétudes chez les clients. Deux outils complémentaires, mais distincts Les experts s’entendent d’abord sur un point fondamental : ni le balayage de vulnérabilités ni le test d’intrusion ne sont intrinsèquement mauvais. Ce sont simplement deux outils différents qui répondent à des besoins distincts. Le problème survient lorsqu’un vendeur présente l’un comme l’autre, ou inversement, créant ainsi des attentes qui ne seront pas comblées. Un balayage de vulnérabilités est essentiellement un processus automatique. Un outil informatique analyse une application web, un serveur interne ou une adresse IP pour identifier des failles potentielles. Sa mission consiste à générer le maximum de données possibles. L’entreprise paie littéralement pour obtenir une quantité importante d’informations, qu’elle devra ensuite filtrer et prioriser elle-même. Ces scans permettent de détecter des vulnérabilités connues, des CVE et des exploits déjà répertoriés. Le test d’intrusion, quant à lui, implique une intervention humaine. Un expert en sécurité effectue manuellement des tests sur les actifs de l’entreprise en utilisant son expertise et son cerveau pour comprendre le contexte spécifique de l’organisation. Contrairement au scanner automatique, le testeur d’intrusion peut évaluer la logique métier, comprendre où appuyer pour faire mal et exploiter réellement les vulnérabilités découvertes. L’analogie du gardiennage et du cambrioleur Dominique propose une excellente analogie pour illustrer cette différence : un balayage de vulnérabilités ressemble à quelqu’un qui fait le tour d’un bâtiment pour vérifier si les portes sont verrouillées et noter où se trouvent les caméras. Un test d’intrusion, en revanche, correspond à une personne qui tente activement de pénétrer dans le bâtiment en crochetant les serrures, en contournant les systèmes d’alarme et en testant toutes les entrées possibles. Cette dernière approche requiert des compétences beaucoup plus pointues et justifie naturellement des coûts plus élevés, tout en offrant un bénéfice supérieur puisqu’elle vérifie l’efficacité réelle des mesures de sécurité. Quand utiliser chaque approche La première question à se poser n’est pas de savoir s’il faut un scan ou un test d’intrusion, mais plutôt : quel est le besoin réel ? S’agit-il d’une exigence normative qui impose spécifiquement un test d’intrusion ? L’entreprise souhaite-t-elle simplement valider la sécurité de son application ou de son infrastructure ? Pour un produit SaaS exposé sur Internet, les balayages de vulnérabilités sont particulièrement appropriés et peuvent être effectués régulièrement, voire de manière automatisée. Ils permettent de détecter rapidement l’apparition de nouvelles vulnérabilités connues. Pour les entreprises de taille moyenne avec plus de 150 à 200 employés disposant d’une infrastructure interne complexe, incluant par exemple un Active Directory, les scans servent à détecter les CVE et les exploits connus. Cependant, un scan de vulnérabilités ne tentera jamais de compromettre un Active Directory pour devenir administrateur de domaine, contrairement à ce que devrait faire un véritable test d’intrusion interne. La question de la récurrence et de la valeur Les balayages de vulnérabilités présentent l’avantage de pouvoir être effectués fréquemment, mensuellement ou même hebdomadairement. Les entreprises peuvent acheter leur propre licence et administrer ces scans en interne. Si elles font appel à une firme externe, la vraie valeur ajoutée ne réside pas dans le rapport brut, mais dans l’aide apportée pour filtrer et prioriser les résultats. Un fournisseur de services de sécurité managés (MSSP) devrait intégrer ces analyses automatiques dans son offre globale et les mettre en adéquation avec les autres outils de sécurité déjà en place. Recommandations pour les PME Les experts insistent sur plusieurs points essentiels. Premièrement, toutes les entreprises n’ont pas besoin d’un test d’intrusion. Une société de quinze à vingt personnes utilisant Google Workspace et WordPress bénéficierait davantage d’investir dans des révisions de configuration que dans un coûteux test d’intrusion, qui avoisine souvent les cinq chiffres. Deuxièmement, il est crucial de maintenir une bonne gouvernance en s’assurant que l’entité qui gère la sécurité quotidienne ne soit pas celle qui effectue les tests d’intrusion. Cette séparation garantit l’objectivité de l’évaluation, tout comme on ne demanderait pas à son agence comptable de réaliser son propre audit financier. Troisièmement, réduire l’empreinte numérique résout souvent davantage de problèmes qu’un simple test de sécurité. Limiter le nombre d’outils et de services utilisés, bien configurer ceux qui restent, et former adéquatement les équipes constituent des mesures préventives plus rentables qu’un test d’intrusion coûteux qui viendrait simplement confirmer des failles évidentes. Enfin, les experts encouragent les entreprises à considérer leurs mesures de cybersécurité non pas uniquement comme une dépense, mais comme un investissement qui peut devenir un argument de vente. Former les équipes commerciales sur les pratiques de sécurité mises en place permet de transformer cette démarche en avantage concurrentiel, même en l’absence de certification formelle. Conclusion Ce podcast clarifie efficacement un sujet souvent source de confusion pour les PME. La distinction entre balayages de vulnérabilités et tests d’intrusion repose essentiellement sur l’automatisation versus l’intervention humaine, la quantité versus la qualité contextuelle, et la détection versus l’exploitation réelle. Le choix entre ces deux approches doit toujours découler d’une analyse rigoureuse des besoins spécifiques de l’entreprise, de son budget et de ses obligations réglementaires, tout en gardant à l’esprit que la meilleure sécurité commence par des pratiques de base solides et une empreinte numérique maîtrisée. Collaborateurs Nicolas-Loïc Fortin Cyndie Feltz Nicholas Milot Dominique Derrier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x648! Shameless plug 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Description Introduction Dans cet épisode spécial du podcast, Miguel De Bruycker, directeur général du Centre pour la cybersécurité belge (CCB), partage les approches innovantes et les réalisations de son organisation en matière de protection des citoyens contre les cybermenaces. L’entretien met en lumière une philosophie unique qui place la santé numérique des citoyens au cœur des priorités gouvernementales. Une approche belge distinctive Contrairement à de nombreux pays occidentaux, la Belgique a adopté une approche proactive de la cybersécurité qui se distingue par son intervention directe pour protéger la population. Miguel De Bruycker souligne que leur clientèle comprend la population générale, les entreprises, les services gouvernementaux et l’infrastructure critique. Cette vision globale reflète une conception de la cybersécurité comme une question de santé publique, où l’État a un rôle actif à jouer pour le bien-être collectif. Le système suspect@ccb.be : une initiative citoyenne massive L’une des initiatives phares du CCB est la création, il y a sept ans, de l’adresse email suspect@ccb.be. Disponible en quatre langues, ce service permet aux citoyens belges de signaler les courriels suspects. Les chiffres sont impressionnants : en 2024, le centre a reçu en moyenne 25 000 courriels par jour de la part de la population. Cette mobilisation citoyenne témoigne d’une prise de conscience collective des menaces numériques et d’une confiance dans les institutions pour traiter ces signalements. Le Belgian Anti-Phishing Shield : une protection par défaut Depuis cinq ans, le CCB a mis en place un système encore plus audacieux : le Belgian Anti-Phishing Shield (BPS). En partenariat avec les principaux fournisseurs d’accès Internet (FAI) du pays, le centre a développé un système de protection DNS avec une approche opt-out, c’est-à-dire que la protection est activée par défaut pour tous les citoyens. Le fonctionnement est le suivant : à partir des 25 000 courriels quotidiens reçus, l’équipe identifie les domaines et sites web malveillants. Ces informations sont ensuite transmises aux FAI qui affichent des pages d’avertissement aux utilisateurs tentant d’accéder à ces sites dangereux. En 2024, ces pages d’avertissement ont été affichées 240 millions de fois, démontrant l’ampleur de la protection offerte. Un équilibre délicat entre protection et liberté Miguel De Bruycker reconnaît le caractère intrusif de cette approche et la nécessité d’éviter toute accusation de censure gouvernementale. C’est pourquoi le système intègre plusieurs garde-fous essentiels. Premièrement, contrairement aux systèmes opt-in utilisés dans d’autres pays (qui sont peu utilisés), le système belge est opt-out : les citoyens peuvent facilement désactiver la protection s’ils le souhaitent, les instructions étant clairement affichées sur les pages d’avertissement. Deuxièmement, un mécanisme de contestation permet aux utilisateurs de signaler immédiatement si un site est incorrectement classé comme malveillant. Dans ce cas, le site est retiré de la liste et analysé rapidement. S’il s’avère qu’il n’est pas dangereux, il reste débloqué ; sinon, il est remis sur la liste. Après cinq ans de fonctionnement, aucune plainte officielle n’a été déposée contre ce système, ce qui témoigne de son acceptation par la population. Une efficacité mesurable Bien que Miguel De Bruycker admette qu’il est difficile de mesurer précisément l’impact de ces mesures (car on peut quantifier ce qui est bloqué, mais pas ce qui aurait pu se produire sans protection), les indicateurs internationaux sont encourageants. La Belgique se classe régulièrement dans le top 3 ou 4 des pays européens en matière de cybersécurité selon divers indices comme le Bitsite Index ou l’ITO Index. Ce positionnement avantageux suggère que l’approche belge porte ses fruits et pourrait inspirer d’autres nations. Une organisation efficiente L’aspect peut-être le plus remarquable de cette initiative est son efficacité organisationnelle. L’équipe qui traite les 25 000 courriels quotidiens et gère le système BPS ne compte que quatre personnes. Cette prouesse est rendue possible par une automatisation poussée des processus. Le centre travaille avec deux partenaires privés qui aident au traitement. L’information est anonymisée de façon automatisée, puis contrôlée par les partenaires privés avant d’être analysée automatiquement au centre. L’intervention humaine n’est nécessaire que lorsque des anomalies sont détectées. Coordination nationale et cadre fédéral Sur le plan organisationnel, la cybersécurité en Belgique relève du niveau fédéral, comme la défense et les services de renseignement. Le CCB est au cœur d’un écosystème de coordination complexe. Un comité de coordination réunit mensuellement tous les chefs des services de renseignement et de sécurité (police, renseignement militaire et civil, affaires étrangères, défense). Au-dessus se trouve un comité stratégique incluant les représentants ministériels, et au sommet, le Conseil national de sécurité avec les ministres eux-mêmes. Cette structure permet une circulation efficace de l’information et une prise de décision coordonnée. L’initiative Cyber Fundamentals et NIS 2 Au-delà de la protection des citoyens, le CCB joue un rôle majeur dans l’implémentation de la directive européenne NIS 2. Le centre a développé un framework appelé Cyber Fundamentals, qui établit une couche commune de mesures de cybersécurité pour tous les secteurs, tout en laissant la liberté aux autorités sectorielles et régionales d’ajouter des mesures spécifiques. Cette approche de simplification et de standardisation tout en respectant l’autonomie a été rapidement adoptée et inspire maintenant d’autres pays comme l’Irlande et la Roumanie. Une adoption au niveau européen est même envisagée. La patience comme stratégie Miguel De Bruycker conclut en soulignant que ces succès sont le fruit de dix années d’efforts soutenus. Le chemin n’a pas été simple : des accords n’ont pas toujours été respectés, des collaborations ont connu des difficultés. Mais la clé du succès a été la persévérance et la capacité à maintenir le dialogue plutôt que de rompre les collaborations. Le CCB a créé un Conseil de cybersécurité permettant de discuter des problèmes en dehors des grandes réunions officielles, favorisant ainsi la conciliation et la recherche de solutions communes. Cette approche de collaboration continue, même face aux obstacles, illustre une philosophie où le bénéfice collectif prime sur les frictions individuelles. C’est cette vision à long terme et cette capacité à transformer les conflits apparents en opportunités de solutions qui ont permis à la Belgique de devenir un modèle en matière de cybersécurité citoyenne. Notes CCB Une collaboration internationale pour renforcer notre cybersécurité! Collaborateurs Nicolas-Loïc Fortin Miguel De Bruycker Crédits Montage par Intrasecure inc Locaux réels par inCyber Montréal

Parce que… c’est l’épisode 0x647! Shameless plug 12 au 17 octobre 2025 - Objective by the sea v8 14 et 15 octobre 2025 - ATT&CKcon 6.0 14 et 15 octobre 2025 - Forum inCyber Canada Code rabais de 30% - CA25KDUX92 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Notes IA AI Agent Security: Whose Responsibility Is It? Hackers Can Bypass OpenAI Guardrails Framework Using a Simple Prompt Injection Technique AI makes phishing 4.5x more effective, Microsoft says How AI-powered ransomware could destroy your business Agentic AI’s OODA Loop Problem ‘Sovereign AI’ Has Become a New Front in the US-China Tech War Microsoft Microsoft warns of a 32% surge in identity hacks, mainly driven by stolen passwords Extortion and ransomware drive over half of cyberattacks Windows 11 And Server 2025 Will Start Caching Plaintext Credentials By Enabling WDigest Authentication Microsoft: Exchange 2016 and 2019 have reached end of support Microsoft frightful Patch Tuesday: 175+ CVEs, 3 under attack Two New Windows Zero-Days Exploited in the Wild — One Affects Every Version Ever Shipped Windows BitLocker Vulnerabilities Let Attackers Bypass Security Feature Edge - IE Microsoft restricts IE mode access in Edge after zero-day attacks Hackers Leveraging Microsoft Edge Internet Explorer Mode to Gain Access to Users’ Devices Défensif Identity Security: Your First and Last Line of Defense Banks need stricter controls to prevent romance fraud, says City regulator CVE, CVSS scores need overhauling, argues Codific CEO How to spot dark web threats on your network using NDR Ukraine takes steps to launch dedicated cyber force for offensive strikes How Microsoft is creating a security-first culture that lasts Root Cause Analysis? You’re Doing It Wrong Modern iOS Security Features – A Deep Dive into SPTM, TXM, and Exclaves EDR-Freeze Tool Technical Workings Along With Forensic Artifacts Revealed Wireshark 4.6.0 Supports macOS pktap Metadata (PID, Process Name, etc.) Offensif F5 Why the F5 Hack Created an ‘Imminent Threat’ for Thousands of Networks F5 says hackers stole undisclosed BIG-IP flaws, source code ‘Highly sophisticated’ government goons hacked F5 Oracle Google, Mandiant expose malware and zero-day behind Oracle EBS extortion Oracle issued an emergency security update to fix new E-Business Suite flaw CVE-2025-61884 Fortigate FortiOS CLI Command Bypass Vulnerability Let Attacker Execute System Commands FortiPAM and FortiSwitch Manager Vulnerability Let Attackers Bypass Authentication Process Satellite Unencrypted satellites expose global communications Researchers find a startlingly cheap way to steal your secrets from space Study reveals satellites comms spilling unencrypted data Axis Communications Vulnerability Exposes Azure Storage Account Credentials Android Pixnapping attack can capture app data like 2FA info Ivanti Patches 13 Vulnerabilities in Endpoint Manager Allowing Remote Code Execution Hackers Leverage Judicial Notifications to Deploy Info-Stealer Malware Cyberattackers Target LastPass, Top Password Managers Devs of VS Code extensions are leaking secrets en masse How Attackers Bypass Synced Passkeys RealBlindingEDR Tool That Permanently Turns Off AV/EDR Using Kernel Callbacks New PoC Exploit Released for Sudo Chroot Privilege Escalation Vulnerability Les Uropes Europe’s Digital Sovereignty Paradox - “Chat Control” update Britain issues first online safety fine to US website 4chan Cyber-attacks rise by 50% in past year, UK security agency says Netherlands invokes special powers against Chinese-owned semiconductor company Nexperia Divers GrapheneOS is finally ready to break free from Pixels, and it may never look back [ProtonVPN Lied About Logging Blog](https://vp.net/l/en-US/blog/ProtonVPN-Lied-About-Logging) Adam Shostack : “Yay, more age verification law…” California enacts age verification, chatbot laws The Guardian view on the online scam industry: authorities must not forget that perpetrators are often victims too Insolite TikTok Videos Promoting Malware Installation Kevin Beaumont: “This whole thing with TLP RED …” - Cyberplace Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc

Parce que… c’est l’épisode 0x646! Shameless plug 12 au 17 octobre 2025 - Objective by the sea v8 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Description Ce podcast explore les défis et les opportunités de l’expatriation dans le domaine de la cybersécurité à travers l’expérience unique de Dimitri Souleliac, qui a vécu deux migrations successives : de la France au Québec, puis du Canada à la Nouvelle-Zélande. Un parcours atypique en cybersécurité Dimitri a commencé sa carrière en cybersécurité en France avant de s’établir au Québec pendant dix ans, puis de poursuivre son parcours en Nouvelle-Zélande juste avant la pandémie. Ce qui devait être initialement un séjour de six mois au Québec s’est transformé en une décennie d’expérience nord-américaine. Son parcours illustre parfaitement la métaphore du canard : si tout semble fluide en surface, la réalité exige un travail considérable en coulisses. La complexité des démarches administratives L’un des messages centraux du podcast concerne l’importance de la préparation administrative. Dimitri insiste sur le fait que les démarches d’immigration sont devenues significativement plus complexes qu’il y a quinze ans. Aujourd’hui, les pays d’immigration comme le Canada, l’Australie et la Nouvelle-Zélande cherchent principalement de la main-d’œuvre temporaire plutôt que des résidents permanents. Cette approche opportuniste s’explique par les coûts associés à l’intégration des immigrants dans les systèmes de santé et administratifs. Dimitri met en garde contre les permis vacances-travail qui, bien qu’attrayants pour une expérience d’un ou deux ans, compliquent l’établissement à long terme. La transition vers un visa de travail permanent nécessite de remplir des critères stricts de salaire, de santé et autres exigences administratives. Il souligne que ces programmes changent constamment, rendant difficile la planification à long terme. La préparation stratégique Malgré l’apparente spontanéité de son arrivée au Québec, Dimitri révèle une préparation minutieuse. Avant son départ de France, il a obtenu sa certification CISSP à Paris, à une époque où cette certification était rare en Europe et ne pouvait se passer qu’en personne. Cette anticipation lui a permis de valoriser son expertise sur le marché nord-américain, où ces certifications sont reconnues. Son diplôme français était également reconnu par l’Ordre des ingénieurs du Québec, facilitant ainsi son intégration professionnelle. Son arrivée au Québec illustre l’importance du réseautage : en assistant à une conférence de cybersécurité sur les Plaines d’Abraham, il a multiplié les contacts, décroché des entrevues et obtenu un emploi en trois semaines. Cependant, il reconnaît que le contexte actuel rend ce type de parcours beaucoup plus difficile qu’il y a quinze ans. Les différences culturelles fondamentales Au-delà de la langue, Dimitri identifie des différences culturelles majeures qui surprennent souvent les expatriés. La principale concerne l’autonomie professionnelle. Contrairement à la culture française, très hiérarchique et directive, les cultures québécoise et néo-zélandaise valorisent l’initiative personnelle. Les employés doivent prendre leurs responsabilités en main plutôt que d’attendre qu’on leur dise quoi faire. Cette différence a causé des difficultés à certains collègues français de Dimitri, qui s’attendaient à être pris en charge par leur employeur pour les démarches administratives. Cette mécompréhension culturelle a même conduit certains à devoir retourner en France, leurs visas n’ayant pas été renouvelés faute de démarches personnelles effectuées. En Nouvelle-Zélande, Dimitri a découvert une perception unique du risque géopolitique. Le pays se considère comme un refuge, illustré par l’anecdote d’une application qui surveille l’arrivée de jets privés comme indicateur d’événements mondiaux majeurs. Cette position géographique influence la façon dont la cybersécurité est abordée. L’enrichissement professionnel en cybersécurité L’expatriation a permis à Dimitri de développer une vision à 360 degrés des cadres de référence en cybersécurité. De l’Europe avec l’ANSSI et le RGPD, il est passé aux cadres américains comme le NIST, puis a découvert les approches britanniques et australo-néo-zélandaises comme Cyber Essentials et le Critical 10. Il observe que les compétences techniques fondamentales (red team, blue team, pentest) restent largement identiques d’un pays à l’autre. C’est davantage au niveau de la gouvernance que les différences apparaissent, avec des approches variant selon la réglementation locale et la taille des entreprises. Cette transférabilité des compétences représente un avantage majeur pour les professionnels de la cybersécurité comparativement à d’autres professions comme le droit ou la médecine. Les conseils pour réussir son expatriation Dimitri propose trois conseils essentiels. Premièrement, bien préparer son projet administrativement en se questionnant sur ses intentions : expérience temporaire ou installation permanente ? Cette clarification influence toute la stratégie de préparation. Deuxièmement, ne jamais partir avec un état d’esprit négatif, en fuyant une situation. Changer de pays ne résout pas les problèmes personnels ou professionnels non résolus. L’expatriation doit être motivée par la curiosité et l’envie d’enrichissement plutôt que par le désir d’échapper à quelque chose. Troisièmement, cultiver l’ouverture d’esprit et la curiosité. Dimitri recommande d’éviter les communautés d’expatriés négatifs qui alimentent les déceptions. Il valorise plutôt le « syndrome du nouvel arrivant » : se présenter avec curiosité et intérêt ouvre les portes, les locaux étant généralement ravis de partager leur culture et leurs connaissances. Conclusion L’expérience de Dimitri démontre que l’expatriation, bien que source d’enrichissement personnel et professionnel considérable, exige une préparation rigoureuse et une attitude positive. Les choses ne sont pas nécessairement meilleures ailleurs, mais elles sont différentes, et c’est précisément cette différence qui constitue la richesse de l’expérience. Pour les professionnels de la cybersécurité, les opportunités sont réelles, mais le succès dépend davantage de la préparation, de l’adaptabilité culturelle et de l’état d’esprit que de la simple expertise technique. Collaborateurs Nicolas-Loïc Fortin Dimitri Souleliac Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x645! Shameless plug 12 au 17 octobre 2025 - Objective by the sea v8 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Description Introduction Dans cet épisode technique, Nicolas et Jordan Théodore abordent un changement de paradigme fondamental en cybersécurité d’entreprise. Le navigateur web est devenu l’élément principal du fonctionnement organisationnel, détrônant le desktop traditionnel. Cette évolution nécessite désormais de détecter et d’intervenir sur les navigateurs comme s’il s’agissait d’endpoints à part entière. Le navigateur, nouvelle cible privilégiée Depuis quelques années, les navigateurs web sont devenus une cible de choix pour les cyberattaquants. Cette concentration des attaques s’explique par plusieurs facteurs. La majorité des activités professionnelles transitent maintenant par le navigateur, que ce soit pour les emails, la suite bureautique ou les services en ligne. Cette migration s’est accélérée au cours des dix dernières années avec l’abandon progressif des clients lourds au profit d’applications web, popularisées notamment par Google avec sa suite bureautique entièrement en ligne. Microsoft suit également cette tendance avec la migration de sa propre suite vers le web. Les attaquants exploitent ce vecteur d’attaque pour diffuser des malwares via des sites piégés, mener des campagnes de phishing particulièrement efficaces, et exploiter les vulnérabilités des navigateurs ou des extensions malveillantes. Les navigateurs modernes sont devenus des environnements riches qui stockent des informations sensibles, des mots de passe, des données en cache et même des bases de données locales, constituant ainsi un tremplin très important pour les acteurs malveillants. Les vulnérabilités critiques Jordan illustre la gravité de ces menaces avec des exemples concrets de vulnérabilités récentes. En 2023, des failles critiques dans la librairie libwebp ont été notées 8.8 sur l’échelle CVSS V3, affectant tous les navigateurs basés sur Chromium, notamment Chrome, Edge et Brave, ainsi que parfois Firefox. Ces vulnérabilités exploitent souvent des techniques classiques comme le buffer overflow ou la corruption de stack. L’exemple le plus frappant concerne une faille permettant l’exécution de code arbitraire simplement par le chargement d’une image webp mal formée dans une page HTML. L’utilisateur n’a qu’à visiter une page contenant l’image malveillante pour que son navigateur vulnérable soit compromis, avec un minimum d’interaction. Cette simplicité d’exploitation est particulièrement préoccupante car ces images peuvent être hébergées sur des plateformes légitimes comme OneDrive, Dropbox ou Google Drive, contournant ainsi les filtres de proxy traditionnels qui autorisent généralement ces services d’entreprise. Les défis du déploiement en entreprise Dans les grandes organisations, comme l’exemple donné d’une entreprise du CAC 40 comptant 17 000 employés en France et 130 000 dans le monde, la mise à jour des navigateurs n’est pas aussi simple qu’il y paraît. Le taux de convergence du déploiement peut être considérablement long, particulièrement avec la généralisation du télétravail. Cette fenêtre d’exposition prolongée nécessite des solutions alternatives pour pallier le délai d’application des correctifs. Les solutions de sécurité Face à ces menaces, trois couches de défense principales ont émergé. Les EDR (Endpoint Detection and Response) jouent toujours un rôle crucial en suivant les activités côté poste client et en détectant les comportements suspects. Par exemple, CrowdStrike a récemment ajouté des capacités dédiées pour inventorier les extensions Chrome et Edge, vérifier leurs niveaux de permission et identifier les sources douteuses. Un EDR bien configuré peut détecter des comportements anormaux comme Chrome déclenchant une commande exécutable. Cependant, les EDR sont de plus en plus facilement contournés par des techniques avancées qui patchent les mécanismes de détection. Une nouvelle couche de défense s’est donc développée directement au sein des navigateurs avec les extensions de sécurité. Ces modules additionnels peuvent bloquer activement les contenus malveillants et surveiller les actions utilisateur. On trouve des solutions open source comme Privacy Badger ou NoScript, ainsi que des produits commerciaux comme Capsule Security et Square X offrant de l’isolement à distance. Ces extensions assurent plusieurs fonctions essentielles. Elles filtrent les URL en bloquant l’accès aux pages exploitant des CVE ou hébergeant des malwares. Elles analysent le contenu avant téléchargement en scannant les fichiers HTML, JavaScript et images avant leur exécution complète. Elles bloquent les scripts inconnus, réduisant la surface d’exploitation, et protègent contre les publicités malveillantes, l’injection de code via iframes et le fingerprinting. Elles intègrent également des fonctionnalités DLP pour éviter l’upload de fichiers corporates sur internet, notamment vers des services comme ChatGPT où les employés peuvent involontairement partager des informations sensibles. L’extension développée par Glims, par exemple, vérifie tout contenu téléchargé pour détecter les malwares et contrôle les données uploadées pour prévenir les fuites d’information, incluant le copier-coller vers des sites externes. Ces extensions envoient des signaux au SOC (Security Operations Center) pour une meilleure visibilité et permettent d’intervenir rapidement si nécessaire. Les navigateurs sécurisés Au-delà des extensions, des navigateurs pensés pour la sécurité ont émergé. Brave, lancé il y a six ans, force l’accès HTTPS, filtre le phishing et bloque contenus indésirables, publicités et trackers. Des solutions comme Island et Talon proposent des navigateurs basés sur Chromium avec des contrôles de sécurité et DLP intégrés, bloquant par exemple les impressions d’écran et le copier-coller sur certains sites. Limites et complémentarité Les extensions ne peuvent pas tout faire. Elles ne voient pas ce qui se passe en mémoire et ne détectent pas les exploits de type use-after-free ou corruption mémoire. Elles peuvent être désactivées via JavaScript par click-jacking et ne protègent pas l’OS. D’où l’importance d’une approche complémentaire combinant EDR et extensions de navigateur. Bonnes pratiques en entreprise Pour renforcer la sécurité, les organisations doivent forcer une liste blanche d’extensions via GPO, installer des extensions de sécurité managées pour remonter les informations au SOC, utiliser un bon EDR pour surveiller toutes les extensions, et corréler les logs du navigateur avec ceux des endpoints lors des investigations. Le navigateur doit être considéré comme un petit poste à l’intérieur du grand poste pour tracer efficacement les actions malveillantes. Cette approche représente une nouvelle réalité de la cybersécurité où les attaquants s’adaptent constamment, nécessitant une évolution parallèle des défenses. Collaborateurs Nicolas-Loïc Fortin Jordan Theodore Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x644! Préambule Ce n’est pas CMMI… mais CMMC!?! Shameless plug 12 au 17 octobre 2025 - Objective by the sea v8 14 et 15 octobre 2025 - ATT&CKcon 6.0 14 et 15 octobre 2025 - Forum inCyber Canada Code rabais de 30% - CA25KDUX92 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 Description Introduction Ce podcast de la série PME réunit Nicholas, Cyndie et Dominique pour aborder un enjeu crucial auquel font face les petites et moyennes entreprises : les certifications de sécurité. La discussion explore comment les PME doivent réagir lorsqu’un client majeur leur demande si elles possèdent une certification spécifique, une situation qui peut rapidement devenir problématique si l’entreprise n’y est pas préparée. L’évolution des certifications : d’un avantage à une obligation Les certifications de sécurité les plus courantes incluent l’ISO 27001, le SOC de type 2, et pour le secteur de la santé au Québec, la certification TGV. Historiquement, ces certifications étaient réservées aux grandes entreprises et représentaient un avantage concurrentiel permettant de se distinguer et de garantir un certain niveau de sécurité aux clients. Cependant, la réalité a considérablement changé. Aujourd’hui, ces certifications ne sont plus un simple atout commercial, mais bien une obligation pour maintenir des relations d’affaires avec les grandes compagnies. Les entreprises qui ne possèdent pas la certification requise risquent de perdre des clients existants, une situation nettement plus dommageable que de ne pas en acquérir de nouveaux. Le rôle des certifications et l’alternative des questionnaires Les certifications font appel à un tiers de confiance qui garantit que l’entreprise respecte certaines normes de sécurité. Comme l’explique Dominique, il s’agit de déléguer à un organisme externe la vérification de la sécurité, généralement des comptables, bien qu’il existe également un processus d’audit interne à l’entreprise. Le choix du cadre normatif doit être stratégique : l’ISO convient mieux au marché européen, tandis que le SOC 2 est privilégié pour les affaires aux États-Unis. L’une des principales raisons pour lesquelles les entreprises recherchent ces certifications est d’éviter de répondre à d’innombrables questionnaires de sécurité. Bien que le Cloud Security Alliance ait développé le Consensus Assessment Initiative Questionary pour standardiser ces évaluations, cette initiative demeure peu connue. En l’absence de certification, les entreprises doivent répondre à des questionnaires exhaustifs de 100 à 150 questions, une expérience que les participants qualifient de « violente ». Face à ces questionnaires, les répondants se divisent en deux catégories : ceux qui embellissent la vérité et ceux qui mentent. Cette situation découle du fait qu’avouer ne pas avoir certaines mesures en place pourrait entraîner la rupture d’un contrat, transformant ainsi un enjeu de sécurité en enjeu purement commercial. Le problème s’aggrave lorsque le même questionnaire est envoyé à toutes les entreprises, qu’elles comptent trois ou deux mille employés. De plus, les personnes qui envoient et évaluent ces questionnaires ne sont pas toujours des experts en sécurité, ce qui signifie qu’une réponse négative sera simplement enregistrée comme telle, même si l’entreprise a mis en place des mesures alternatives tout aussi efficaces. L’importance cruciale du périmètre Un aspect fondamental abordé dans le podcast concerne la définition du périmètre de certification. Contrairement à ce que l’on pourrait croire, même les grandes organisations ne certifient pas l’ensemble de leur structure. Elles fragmentent leurs environnements et ne certifient que les lignes d’affaires qui en ont réellement besoin. Pour les PME, la stratégie recommandée consiste à choisir le plus petit périmètre conforme qui répond aux exigences du client final. Il faut absolument éviter la mentalité du « tant qu’à y être » qui augmente inutilement le périmètre et les coûts associés. Les certifications touchent l’ensemble de l’organisation : les personnes, les lieux physiques, la technologie, la sécurité physique, la sécurité humaine et la conformité légale. Il ne s’agit pas simplement d’une question informatique. L’ISO 27001, par exemple, repose sur le pilotage de la sécurité par la gestion des risques business, tandis que le SOC 2 garantit que l’entreprise respectera ce qui est marqué dans les contrats clients grâce aux contrôles mis en place. Conformité versus sécurité : une distinction essentielle Un point crucial soulevé par les experts est que conformité et sécurité ne sont pas synonymes. Une entreprise peut être conforme sans être véritablement sécurisée. Par exemple, avoir réalisé un test d’intrusion sans corriger aucune vulnérabilité identifiée ne rend pas l’entreprise conforme, mais ne l’a pas rendue plus sécuritaire non plus. Cette distinction frustre souvent les professionnels de la cybersécurité, car des mesures de sécurité efficaces peuvent ne pas être reconnues du point de vue de la conformité, tandis que certaines exigences de conformité peuvent être inefficaces d’un point de vue sécuritaire. L’exemple de PCI illustre bien cette problématique, avec des exigences qui sont restées longtemps inefficaces avant d’évoluer. L’amélioration continue comme philosophie Les cadres de certification reposent sur le principe d’amélioration continue plutôt que sur la perfection immédiate. Ils n’exigent pas que l’entreprise soit parfaite le jour de la certification, mais qu’elle ait mis en place un système de contrôle permettant l’amélioration continue. Ces certifications engagent le management et la direction à maintenir cette démarche d’amélioration, ce qui constitue un principe philosophique bénéfique à long terme. Cependant, l’entreprise doit être réellement prête à s’engager dans cette démarche, car il ne s’agit pas simplement d’un argument commercial ou d’un logo attrayant à afficher. Conseils pratiques pour les PME Pour les PME qui démarrent ce processus, il est recommandé d’adopter ou de s’inspirer d’un cadre normatif pour faire les premiers essais à leur propre rythme, avant qu’un client ne les pousse à le faire dans l’urgence. Cela permet de mettre en place les revues et contrôles nécessaires sans dépenser des sommes faramineuses. Les participants encouragent les entrepreneurs à poser des questions à leur réseau professionnel, car ceux qui ont vécu l’expérience de la certification, bien que souvent « traumatisante », seront heureux de partager leurs apprentissages. L’important n’est pas d’être parfait, mais de démontrer un engagement sincère envers la sécurité, d’être proactif, de poser les bonnes questions et d’établir des échéanciers réalistes. Être en mouvement et éviter la fossilisation constituent la clé du succès dans cette démarche. Collaborateurs Nicolas-Loïc Fortin Cyndie Feltz Nicholas Milot Dominique Derrier Crédits Montage par Intrasecure inc Locaux virtuels par Riverside.fm

Parce que… c’est l’épisode 0x643! Shameless plug 12 au 17 octobre 2025 - Objective by the sea v8 14 et 15 octobre 2025 - ATT&CKcon 6.0 14 et 15 octobre 2025 - Forum inCyber Canada Code rabais de 30% - CA25KDUX92 4 et 5 novembre 2025 - FAIRCON 2025 8 et 9 novembre 2025 - DEATHcon 17 au 20 novembre 2025 - European Cyber Week 25 et 26 février 2026 - SéQCure 2026 CFP Notes Vidéos DEF CON 33 Videos NothSec 2025 SéQCure 2025 IA Google DeepMind minds the patch with AI flaw-fixing scheme SAIF Map v2 Agentic Google won’t fix new ASCII smuggling attack in Gemini Google declares AI bug hunting season open, sets a $30K max reward Severe Framelink Figma MCP Vulnerability Lets Hackers Execute Code Remotely Deepfake Awareness High at Orgs, But Cyber Defenses Badly Lag Rethinking AI Data Security: A Buyer’s Guide for CISOs Employees regularly paste company secrets into ChatGPT 1Password Addresses Critical AI Browser Agent Security Gap Offensif Supply Chain Attacks Are Spreading: NPM, PyPI, and Docker Hub All Hit in 2025 Nearly a third of bosses report increase in cyber-attacks on their supply chains Security leaders at Okta and Zscaler share lessons from Salesloft Drift attacks Hackers Exploit Zimbra Vulnerability as 0-Day with Weaponized iCalendar Files How Windows Command-line Utility PsExec Can Be Abused To Execute Malicious Code Thieves steal IDs and payment info after data leaks from Discord support vendor Scattered Lapsus$ Hunters offering $10 in Bitcoin to ‘endlessly harass’ execs Redis warns of critical flaw impacting thousands of instances Oracle zero-day defect amplifies panic over Clop’s data theft attack spree Hackers Attacking Remote Desktop Protocol Services from 100,000+ IP Addresses North Korean hackers stole over $2 billion in crypto this year Russia is at ‘hybrid war’ with Europe, warns EU chief, calling for members ‘to take it very seriously’ Poland says cyberattacks on critical infrastructure rising, blames Russia 3 more infamous cybercrime crews team up to ‘maximize income’ in ‘challenging’ ransomware biz Threat actors steal firewall configs, impacting all Sonicwall cloud backup users Hackers now use Velociraptor DFIR tool in ransomware attacks Polymorphic Python Malware Legalize L’Allemagne dit non à Chat Control - Une victoire pour la vie privée en Europe ! Internet Archive Ordered to Block Books in Belgium After Talks With Publishers Fail Défensif 5 Immediate Steps to be Followed After Clicking on a Malicious Link Wazuh and MISP integration Researchers Reversed Asgard Malware Protector to Uncover it’s Antivirus Bypass Techniques ClamAV 1.5.0 Released with New MS Office and PDF Verification Features Apple now offers $2 million for zero-click RCE vulnerabilities Insolite Un incendie et pas de backup - La Corée du Sud perd 858 To de données gouvernementales Apple turned the CrowdStrike BSOD issue into an anti-PC ad Collaborateurs Nicolas-Loïc Fortin Crédits Montage par Intrasecure inc Locaux réels par Intrasecure inc