Des réfrigérateurs des supermarchés aux services de transfusion sanguine en passant par le réseau de l’État de Berlin, les cyberattaques frappent de plus en plus les infrastructures critiques, comme le raconte un hacker éthique à L’Observatoire de l’Europe, exploitant souvent l’erreur humaine.
Après les réfrigérateurs des supermarchés, les services de don du sang sont désormais eux aussi attaqués par des hackers inconnus. Le refroidissement ayant été interrompu, les dons sont devenus inutilisables. Dans une interview accordée à L’Observatoire de l’Europe, un hacker éthique explique comment il tente de détecter les failles de sécurité avant que les criminels ne puissent les utiliser pour causer des dommages.
« Au cours des deux dernières semaines, nous avons assisté à une concentration exceptionnelle de cas spectaculaires, comme nous n’en aurions jamais connu auparavant, même au cours d’une année entière », explique Marco Di Filippo, expert en cybersécurité chez Whitelisthackers. C’est ce qu’on appelle un hacker éthique et il est engagé par des entreprises pour tester leur sécurité informatique.
Récemment, il a été occupé par de nombreux incidents, des fuites de l’AfD aux failles de sécurité chez Revolut et dans le langage de script PHP, utilisé pour construire de nombreux sites Web, en passant par les attaques contre les entrepôts frigorifiques. En 2025, selon le rapport sur la situation de la cybercriminalité 2025 de l’Office fédéral de la police judiciaire, des dommages économiques de 202,4 milliards d’euros ont été enregistrés.
Un simple clic a ouvert la porte aux pirates informatiques pour accéder au réseau de l’État de Berlin
Parlant de la cyberattaque contre le réseau public berlinois en août 2026, Di Filippo a déclaré qu’il s’agissait d’un cas particulièrement problématique. Cela aurait pu être évité. Les auteurs ont exigé une rançon de 30 bitcoins (environ 2 millions d’euros), mais le Sénat de Berlin a systématiquement refusé de payer. Au final, 1,4 million de fichiers confidentiels ont été publiés sur le darknet.
La raison en était une faiblesse du système numérique. Le groupe de ransomwares « Rhysida », à l’origine de l’attaque, a exploité le manque de connaissances d’une personne. « La victime a été attirée vers un site Web et on lui a demandé de confirmer qu’elle était un être humain. Cette méthode d’attaque s’appelle ClickFix. Les gens le savent, il faut saisir des chiffres, assembler des images ou résoudre un calcul pour confirmer que l’on n’est pas un robot », explique Di Filippo.
Sur le site Internet, il a été demandé à la victime d’effectuer une combinaison de touches spécifique, de coller une commande et d’appuyer sur Entrée. « Ce faisant, ils ont finalement ouvert la porte aux attaquants eux-mêmes », commente Di Filippo. Selon l’expert en sécurité informatique, c’est comme si vous écriviez un email avec le contenu suivant : « Je veux braquer une banque et je viendrai ce soir à dix heures. S’il vous plaît, laissez la porte entrouverte pour que je puisse aller directement au coffre-fort.
Pour Di Filippo, deux enseignements peuvent être tirés de cette affaire. D’une part, il y avait un manque d’attention : « D’abord, il y avait un utilisateur qui exécutait cette commande, le facteur humain. » De plus, l’utilisateur n’aurait jamais dû disposer des droits nécessaires pour mener une telle attaque. « Nous voyons tous les jours des cas comme celui-ci où tout ce que l’on peut parfois faire, c’est secouer la tête », explique Di Filippo.
L’humain comme point faible de la sécurité informatique
La probabilité d’être affecté par une attaque de pirate informatique est d’une sur deux. Pourtant, ce chiffre est encore sous-estimé aujourd’hui, selon l’expert en cybersécurité Marco Di Filippo de Whitelisthackers. Les gens ont plutôt peur des cambriolages ou des orages. « La probabilité d’être frappé par la foudre n’est que de 1 sur 200 000 », explique Di Filippo.
L’expert en cybersécurité déplore que la sécurité ne soit pas une priorité de nos jours. « De nombreux produits sont vendus où la convivialité est au centre de l’attention », explique-t-il. Il existe par exemple des maisons intelligentes, dans lesquelles l’éclairage et le chauffage peuvent être contrôlés de n’importe où. Les réfrigérateurs des supermarchés sont également connectés à Internet afin de pouvoir être gérés de manière centralisée. Tout devient plus facile, mais pas forcément plus sûr.
« Et c’est exactement là que nous avons aujourd’hui un déficit dans notre éducation. Par « nous », j’entends nous tous, c’est-à-dire tous ceux qui n’ont jamais appris à reconnaître les dangers », déclare Di Filippo. L’éducation est par là que nous devons commencer. Quiconque n’a jamais été exposé au risque d’une attaque de pirate informatique ne se considère pas comme une cible potentielle. Pourtant, les possibilités de se connecter, par exemple, aux appareils d’autres personnes ne cessent de croître.
Pourquoi la cybersécurité commence par l’éducation
Dans certains cas, il suffit de cliquer sur un lien dans un message SMS ou WhatsApp, après quoi il vous est demandé de confirmer votre identité, pour donner involontairement accès à des messages privés à des attaquants. Les attaquants se connectent à l’appareil et accèdent ainsi aux messages, aux médias et aux contacts. L’Office fédéral de la sécurité de l’information (BSI) a mis en garde au début de cette année contre cette méthode connue sous le nom de « ghost pairing ». Pour empêcher des étrangers de lire, les messages entrants devraient, selon le BSI, être « examinés de manière critique » et des mécanismes tels que l’authentification à deux facteurs devraient être mis en place.
D’autres pays comme l’Inde, par exemple, mènent de nombreuses actions de sensibilisation en plus du développement technologique. « Lorsque je voyage dans le métro en Inde, je vois partout des affiches, des cybercriminels ou des cyberattaques avec une hotline que je peux appeler », explique Di Filippo. En Allemagne, en revanche, les gens sont parfois refoulés par la police et doivent rechercher quelle autorité est responsable.
« Il y a chaque jour de nouveaux angles et idées d’attaques », prévient Di Filippo, faisant référence à l’évolution rapide. « Avec les réfrigérateurs, les pirates ont découvert une fois cette faille de sécurité et il ne leur reste plus qu’à voir qui exploite ce type de modèle. Les attaques se sont ensuite propagées en conséquence. » La découverte d’une faille de sécurité peut déclencher un effet boule de neige.
Cependant, dans environ 80 à 95 pour cent des attaques, des personnes sont toujours impliquées dans l’exploitation d’une faille, selon Di Filippo, comme dans l’attaque contre les réseaux publics de Berlin. « Nous devons donc nous concentrer très fortement sur l’éducation et la sensibilisation (ndlr : « awareness ») afin de devenir à terme résilients aux cyberattaques. Le facteur humain doit être inclus, nous ne pouvons pas le gérer uniquement avec la technologie. »
Piratage pour arrêter les pirates
Dans son travail, le but est de se mettre dans la peau de hackers criminels. « En fin de compte, nous essayons d’attaquer les infrastructures ou de trouver des failles dans les infrastructures dans les logiciels ou les appareils informatiques. En utilisant les mêmes outils que ceux utilisés par les vrais cybercriminels », explique Di Filippo. « La différence est que notre objectif est de trouver les failles avant les vrais attaquants et d’exploiter ces failles. »
La différence importante est que les pirates éthiques sont mandatés par des clients, par exemple de grandes entreprises, et que les pirates ne veulent pas causer de dommages à l’infrastructure de ces clients. Personne dans son entreprise n’a jamais eu de casier judiciaire, souligne Di Filippo. Les hackers éthiques doivent présenter un extrait de casier judiciaire pour révéler et prouver leur passé.
« Nous trouvons toujours une vulnérabilité en matière de sécurité », a-t-il déclaré à L’Observatoire de l’Europe en décrivant son travail. Au final, son équipe fournit aux entreprises un rapport allant jusqu’à 400 pages détaillant où se situent les lacunes de leur infrastructure numérique et comment elles ont été détectées.
Une fois qu’une vulnérabilité a été découverte, les fabricants d’appareils ou de systèmes sont informés et peuvent ensuite travailler avec l’entreprise pour combler l’écart. Dans certains cas, ces vulnérabilités, par exemple sur l’iPhone, valent plusieurs millions d’euros. « Nous attendons ensuite que l’écart soit comblé. Chaque vulnérabilité est ensuite publiée via ce qu’on appelle CVE », explique Di Filippo.
Un CVE signifie Common Vulnerabilities and Exposures. Il s’agit d’un catalogue de vulnérabilités de sécurité accessible au public. Le BSI lui-même fournit également des informations sur les vulnérabilités et, pour une collection plus large, fait officiellement référence à la base de données internationale sur les vulnérabilités nationales (NVD).
Quand le manque de chiffrement peut coûter des milliards
Les histoires que Di Filippo peut raconter ressemblent au scénario d’une série Netflix. Par exemple, il y a une dizaine d’années, des cybercriminels ont réussi à voler relativement facilement 1,2 milliard d’euros dans une banque. « Et cela parce qu’à l’époque, la banque ne disposait d’aucune mesure de sécurité pour la mise en réseau de ses sites », explique l’expert en cybersécurité.
Selon certaines informations, la banque possédait une succursale d’un côté d’une rue et un autre bureau associé juste en face. « Ils ont connecté cet emplacement avec une liaison radio directionnelle et cette liaison n’était pas cryptée. Les attaquants, sans aucune compétence en piratage, ont pu se connecter très facilement et se déplacer numériquement dans la banque, pour ainsi dire, et voler cet argent discrètement et secrètement. »
Dans certains cas, les réfrigérateurs des supermarchés manquaient également de protection sous forme de cryptage. Les experts recommandent au moins d’utiliser un VPN ou un pare-feu. Des normes de sécurité plus élevées s’appliquent désormais aux banques. Il y a un peu moins d’un an, le gouvernement fédéral a également adopté la directive NIS 2. Elle oblige beaucoup plus d’entreprises et de secteurs qu’auparavant à mettre en œuvre des mesures contraignantes de cybersécurité, notamment préventives.
L’entreprise Whitelisthackers mise également sur l’éducation aux médias et a donc lancé le concours « meilleur hacker d’Allemagne ». L’objectif est de trouver des talents et, avec l’aide de hackers éthiques, de rendre le monde numérique plus sûr. Les gagnants sont autorisés à participer à des hackathons internationaux, c’est-à-dire du hacking à la manière d’un marathon.
Le hacking en tant que service est en plein essor des deux côtés. Sur le darknet, le Cybercrime as a Service (CaaS) (en allemand : « Cyberkriminalität als Auftragsarbeit ») est désormais très répandu parmi les criminels, mais le marché légal des services de sécurité est également en croissance. Whitelisthackers gère les commandes d’environ 250 clients par an. Après des incidents spectaculaires, parfois mondiaux, les entreprises sont de plus en plus intéressées à améliorer leur propre infrastructure de sécurité.
