Hackeur éthique : «Tout système possède une faille»

Quand on pense aux hackeurs, l’image associée reste souvent celle du geek solitaire, prêt à pirater le Pentagone, caché derrière son écran. Pourtant, une autre facette existe : celle du hackeur éthique. Son rôle n’est pas de nuire, mais d’attaquer dans un cadre réglementé pour permettre de mieux se défendre.

Depuis 2012, Maxime Clementz occupe ce poste chez PwC Luxembourg. Un métier de consultant qui oscille entre curiosité scientifique et stratégie de défense. Pour ses clients que sont les banques, entreprises ou organisations même gouvernementales, l’objectif n’est pas de promettre une sécurité absolue…

Au contraire, les hackeurs éthiques sont lucides sur le fait que «tout système possède une faille», résume le spécialiste. Leur mission consiste donc à identifier les failles avant que d’autres ne les exploitent. Concrètement, l’équipe reproduit les méthodes de différents profils de menace.

Il peut s’agir de groupes cybercriminels organisés, d’espions industriels, d’acteurs politiques ou même de salariés mécontents, ces insiders qui connaissent déjà l’entreprise de l’intérieur. Chacun de ces scénarios demande une approche différente. Le hackeur éthique doit comprendre les techniques des attaquants, les adapter, puis les tester.

Et il ne s’agit pas seulement de lancer des outils ou d’appliquer des protocoles déjà établis : «Notre métier, c’est de garder une connaissance très précise de la technologie, mais aussi de la remettre en question». C’est cette capacité à regarder derrière l’interface et entre les lignes de code, qui permet de révéler les faiblesses concrètes d’un système.

Deux grandes types de missions

Leurs missions peuvent se diviser en deux familles. La première est le test d’intrusion. L’équipe cible une application, un réseau ou parfois même les locaux physiques d’une entreprise et le but est de vérifier si l’on peut entrer, progresser dans le système, puis obtenir des privilèges plus élevés.

À la fin, les consultants rédigent un rapport détaillé comprenant les chemins d’attaque, les vulnérabilités exploitées et enfin leurs recommandations. Ils ne sont pas là pour réparer eux-mêmes, mais pour expliquer où sont les brèches et comment les corriger.

La seconde famille, plus longue et plus sophistiquée, sont les attaques en «Red Team». Ici, l’enjeu n’est pas seulement de voir si l’attaque fonctionne. Il faut aussi savoir si l’entreprise est capable de la détecter. Car face à cette offensive Red Team se trouve en défense, la Blue Team.

Une attaque réussie n’est pas forcément celle qui détruit tout. Elle peut aussi consister à rester discret pendant longtemps, espionner des données sensibles ou détourner des flux financiers. Dans certains secteurs très régulés, notamment la banque, ce type d’exercice peut d’ailleurs être imposé par les autorités.

Cette dimension plus subtile explique pourquoi les missions Red Team «peuvent durer neuf mois, douze mois», tandis qu’un test d’intrusion peut lui se concentrer au minimum sur «trois jours» d’après le spécialiste.

«Tout dépend du niveau de maturité de l’entreprise et des moyens qu’elle accepte d’engager», explique Maxime Clementz, également chargé de mener les projets à bien.

Justement, comment fait-il? Si l’ordinateur reste l’outil central du hackeur éthique, il n’est pas le seul. Les équipes peuvent aussi s’appuyer sur un kit d’acquisition de données. Cette opération leur permet de créer une image de travail d’un système compromis, afin de l’analyser sans le modifier.

Enfin, les hackeurs éthiques mobilisent aussi plusieurs outils et logiciels sur leur ordinateur comme Nmap, un scanner réseau qui permet de repérer les portes ouvertes d’une machine.

Avoir «un côté savant fou»

«Le côté passion est super important.» Aux côtés de Maxime Clementz, Antoine Goichot est lui aussi senior manager chez PwC depuis onze ans. Pour exprimer cette passion, il évoque «des soirées de Saint-Valentin passées ici, avec des collègues, à démonter des ordinateurs». Cependant, il garantit que ces heures supplémentaires en valaient la peine, car au final : «On a réussi!».

Son collègue Maxime tient toutefois à rassurer les jeunes générations qu’un bon équilibre entre vie professionnelle et privée est aujourd’hui «possible et encouragé» dans leur métier, loin du cliché du 996 (NDLR : un rythme de travail de 9 h à 21 h, six jours par semaine popularisé dans le secteur de la tech chinoise).

Le parcours de ces deux hackeurs est similaire et commence par une curiosité qui existe «depuis tout petit», avant de se structurer par un passage en classe préparatoire puis à Télécom Nancy, une école d’ingénieurs en informatique.

Car il y a 15 ans, les formations spécialisées en cybersécurité existaient beaucoup moins qu’aujourd’hui : leurs connaissances étaient davantage tournées vers les réseaux que le hacking.

Cette formation leur a néanmoins enseigné une méthode : «Il y avait une base technique utile certes, mais elle nous a appris à apprendre», plaisante Simon Petitjean, associé en charge de la cybersécurité chez PwC.

C’est au cours de leurs différentes missions une fois en poste qu’une grande partie de leurs compétences s’est construite. Maxime Clementz estime qu’«il faut à la fois avoir une certaine rigueur scientifique mais aussi un côté savant fou».

Une IA peut «se faire pirater»

En 15 ans, il en aura fallu de la passion pour rester à jour. En effet, le métier a bien évolué, tout autant que les menaces. À leurs débuts, les attaques visaient davantage les réseaux et les machines.

Puis les entreprises ont renforcé leurs pare-feux et leurs antivirus. Les attaquants se sont alors déplacés vers une cible souvent plus fragile : l’humain.

Entre mots de passe réutilisés ou phishing, ces dernières années, beaucoup d’attaques ne consistaient plus à viser des machines, mais à se faire passer pour quelqu’un. Une fois connecté avec les bons accès, un attaquant peut lire des courriels, voler des données ou rebondir vers d’autres systèmes.

Ajoutez à cela l’intelligence artificielle qui ouvre une nouvelle phase, même si elle n’est pas totalement nouvelle en cybersécurité. Avant l’explosion des IA génératives fin 2022, certains outils défensifs utilisaient déjà le «machine learning» (NDLR : l’apprentissage automatique) pour repérer des anomalies «depuis une dizaine d’années», rappelle Maxime Clementz.

Mais cette popularisation récente change tout de même l’échelle du problème. Côté attaque, l’IA peut permettre d’aller plus vite et de frapper plus large. Elle peut aider à écrire du code, produire des messages de phishing plus crédibles ou automatiser certaines étapes d’une attaque.

Le danger, c’est qu’elle abaisse la barrière technique : des attaquants moins expérimentés peuvent gagner en efficacité, tandis que les groupes organisés peuvent multiplier les tentatives.

Côté défense, elle peut aussi devenir un avantage, avec l’apprentissage automatique pour repérer ce qui sort du comportement habituel d’un réseau. L’IA peut donc aider à détecter plus vite des signaux faibles ou des comportements suspects.

Mais l’outil n’est pas sans faille. Maxime Clementz rappelle que son équipe a déjà «montré qu’une IA pouvait se faire pirater et manipuler». Pour les hackeurs éthiques, elle n’est donc ni seulement une menace ni seulement un outil : c’est un nouveau terrain d’expérimentation.