Cyberattaques aux JO 2024 : bilan et enseignements 🎤

Revenir à la page

Mélanie Lebrun

31/1/2025

Bonjour ️🎉,

Je vous retrouve pour l'édition de janvier du Récap'IT. Je pense que tout le monde le voit venir, on va parler de Donald Trump qui à peine arrivé a déjà pris un certain nombre de mesures. Pas d'inquiétude, je ne vais pas parler politique mais bien cyber.

Le Clusif a tenu son panocrim 2024. Je vais vous présenter le débrief des JO.

📅 O n the program today:

Cybersécurité et JO
Suppression des instances de cybersécurité aux USA
L'IA en freestyle ?
Fuite de données, que dit la CNIL ?
The jumble column
Cyber attacks of the month
News from Youzer

👉 Go!!

Before we begin, I invite you to follow us 👉️

‍

🤺 Cybersécurité et Jeux Olympiques : un défi colossal relevé

Organiser les Jeux Olympiques, c'est gérer une ville éphémère ultra-connectée où chaque système informatique doit fonctionner sans accroc... tout en étant la cible de cyberattaques en continu. Une mission titanesque qui a demandé plus de 4 ans de préparation et une vigilance de chaque instant.

La menace était bien réelle : 55 milliards d’événements de cybersécurité détectés, 71 000 alertes traitées, et 2 200 incidents nécessitant une intervention humaine.

DDoS, tentatives d’intrusions physiques, phishing ciblé, attaques sur la chaîne d’approvisionnement... Les assaillants étaient bien préparés, mais l’équipe cyber l’était encore plus.

‍

Le SOC (Security Operations Center) a tourné 24/7 pendant huit semaines, avec une centaine d’experts en rotation permanente. Des équipes de terrain, surnommées la "running squad", ont sillonné les sites pour repérer et corriger les failles avant qu’elles ne deviennent des brèches exploitables.

‍

Des mots de passe sur des Post-it ? Des portes de data centers coincées ouvertes ? Corrigés en urgence, parce que chaque détail comptait.

Alors comment expliquer que, malgré ce tsunami de menaces, les JO se soient déroulés sans incident majeur ?

‍

Trois piliers ont fait la différence :
🔹 Anticipation : Une préparation entamée très tôt, avec des simulations et des entraînements répétés.
🔹 Expertise : Un écosystème réunissant les meilleurs experts, aussi bien chez les partenaires privés que du côté des autorités publiques.
🔹 Coopération : Un travail main dans la main avec l’ANSSI, les grands acteurs de la cybersécurité et toutes les parties prenantes des JO.

‍

Mais la clé, c’est avant tout l’humain. Sensibilisation massive, entraînement intensif, et une équipe cyber soudée et affûtée. Quelques mois avant les Jeux, une simulation de spear phishing ciblée a montré des résultats impressionnants : 0 clic sur les liens malveillants. Une preuve que la préparation paye.

‍

La cybersécurité des JO 2024 est une réussite car elle a été collective.

Un rappel que la sécurité, c’est avant tout une question de préparation, de rigueur… et d’humains qui font la différence.

Source : conférence du Clusif du 23 janvier 2025 - intervenant Franz Regul directeur cybersécurité du COJOP Paris 2024.

Get the best of the month's IT news.
Market developments, IT trends, cyberattacks in France... a digest of the latest news.

🤔 Suppression du DHS - Department of Homeland Security

L’administration Trump a récemment dissous des comités clés comme le Cyber Safety Review Board (CSRB), qui enquêtait sur des cyberattaques majeures telles que "Salt Typhoon", attribuée à des hackers soutenus par la Chine. Cette décision s’inscrit dans une logique de rationalisation des dépenses publiques et de centralisation des initiatives pour une gestion plus directe des priorités nationales. L’objectif semble être de limiter les coûts et d’éviter une dispersion des efforts, tout en privilégiant une approche plus centralisée des enjeux de cybersécurité. Cependant, elle soulève des inquiétudes quant à l’impact sur la cybersécurité.

Moins de transparence et d’analyse : Sans ces comités, les enquêtes sur les cybermenaces risquent de manquer de profondeur et de partage d’enseignements.
Perte de coordination internationale : La coopération avec les alliés pourrait s’affaiblir, isolant les États-Unis.
Encouragement des attaquants : Cette décision pourrait être perçue comme un signe de faiblesse, incitant les cybercriminels à intensifier leurs actions.
Sans ces structures publiques et indépendantes, les USA vont se tourner vers le secteur privé pour la cybersécurité. Elles sont certes plus réactives mais elles ont surtout des objectifs financiers.

J'ai poussé l'analyse avec cette réflexion : quel intérêt ? Les USA ne veulent peut-être pas froisser davantage la Chine avec qui les tensions sont déjà fortes. Des experts indépendants n'auront pas de difficulté à pointer du doigt des failles de sécurité dans le système Américain, ce que l'administration n'a pas envie de montrer. Un peu d'opacité est préférable.

Bien que cette décision reflète une volonté de simplifier les structures et de recentrer les efforts, elle pourrait également engendrer des vulnérabilités à moyen et long terme. La cybersécurité, domaine complexe et en constante évolution, nécessite un équilibre entre efficacité administrative, collaboration internationale et capacité d’adaptation face aux menaces émergentes.

Source : LeMagIT

‍

🤖 L'IA en freestyle ?

Le président Donald Trump a récemment abrogé le décret de Joe Biden encadrant les risques liés à l’intelligence artificielle. Cette décision vise à stimuler l’innovation technologique en supprimant des régulations jugées contraignantes, mais soulève des débats sur ses impacts à court et long terme.

‍

L’abrogation favorise une accélération du développement de l’IA en réduisant les contraintes bureaucratiques. Les entreprises américaines pourront mettre leurs produits sur le marché plus rapidement, renforçant ainsi leur compétitivité face à des puissances comme la Chine et l’Europe. Ce cadre plus flexible encourage les investissements et l’innovation, notamment dans les start-ups et les technologies émergentes. En parallèle, un nouveau groupe de travail devra proposer une stratégie nationale pour maintenir le leadership américain.

‍

Cependant, l’absence de régulation accroît les risques de dérives. Les technologies pourraient être déployées sans évaluation suffisante des impacts éthiques et sécuritaires, exposant le public à des biais algorithmiques ou des cybermenaces. De plus, cette approche pourrait fragiliser les initiatives d’IA responsable et compliquer les relations internationales, notamment avec l’Union européenne, qui prône des cadres réglementaires stricts.

‍

L’équilibre entre innovation et régulation sera crucial pour éviter que ces avancées ne deviennent des sources de nouveaux défis sociétaux.

Source : APNews, TheVerge, LeMagIT

‍

💧 Fuite de données, que dit la CNIL ?

En 2024, la CNIL a observé une augmentation significative des violations de données personnelles, avec une hausse de 20 % par rapport à l'année précédente, atteignant un total de 5 629 incidents signalés.

‍

Parmi ces violations, plusieurs ont concerné des bases de données de grande envergure, touchant des millions de Français. Face à cette situation préoccupante, la CNIL recommande aux organisations de renforcer leurs mesures de sécurité pour protéger les données personnelles qu'elles détiennent.

‍

Parallèlement, la réutilisation des données personnelles est devenue un sujet central. La CNIL rappelle que toute réutilisation doit respecter les principes fondamentaux du RGPD, notamment la compatibilité avec la finalité initiale de la collecte, l'obtention du consentement explicite des personnes concernées en cas de nouvelle finalité, la garantie de la qualité et de la sécurité des données, ainsi que l'information des individus sur leurs droits.

‍

Il est essentiel pour les organisations de rester vigilantes et de mettre en œuvre des mesures appropriées pour assurer la protection des données personnelles, tant lors de leur collecte que lors de leur réutilisation.

Source : CNIL

Would you like to receive our white paper on identity and access management?

Nous n'avons pas pu confirmer votre demande.

Votre demande de livre blanc est bien prise en compte.

Pell-mell

Une fuite de données massive impliquant Gravy Analytics, une entreprise spécialisée dans la collecte de données de géolocalisation, a été révélée récemment. Un échantillon de 30 millions d'identifiants sur un total de 7 milliards a été brièvement mis en ligne sur un forum de hackers russe avant d'être retiré.
L'entreprise collecte via des applications des données de géolocalisation et revend ensuite ces informations.
Bien que les identités des utilisateurs ne soient pas directement exposées, il est possible de les déduire en combinant ces données avec d'autres informations. Des agences gouvernementales comme le FBI figurent parmi les utilisateurs de ces données, ce qui soulève des questions sur la surveillance des citoyens.
Voici quelques applications concernées : Tinder, Grindr, Yahoo Mail, Candy Crush... plus de 3000 applications sont concernées dont les thèmes sont le jeu, la religion, la santé...
Source : Numerama
L'association européenne de protection des données a porté plainte contre plusieurs entreprises comme AliExpress, Shein, Tiktok et Xiaomi Technology qui confirment des transferts de données vers la Chine. L'association considère que la Chine en tant que pays autoritaire n'offre pas les mêmes niveaux de protection des données que l'UE.

Puisque je vous envoie cette news juste après l'annonce de Deepseek voici un petit état des lieux :
✅ Points positifs :
▪️Rapidité et fluidité : Réponses ultra-rapides, notamment pour l’analyse de documents.
▪️Capacités avancées : Bonne gestion des fichiers (jusqu'à 50 documents, 100 Mo par fichier).
▪️Performances open-source : Surpasse les autres modèles open-source en benchmarks.
▪️Coût ultra-compétitif : API bien moins chère que la concurrence.
▪️Architecture MoE optimisée : Permet une gestion plus efficace des ressources.
▪️Bonne prise en charge du chinois et des langues multilingues.

❌ Points négatifs :
▪️Fiabilité des réponses : Certaines erreurs factuelles, notamment en recherche web.
▪️Censure et biais : Blocage de sujets sensibles comme Tiananmen sans connexion internet.
▪️Moins performant que GPT-4o & Claude : Notamment pour les tâches complexes.
▪️Manque de fonctionnalités : Pas de génération d’images.
▪️Problèmes de sécurité et de confidentialité : Données stockées en Chine, non conforme RGPD et AI Act.
▪️Absence de mémoire personnalisée : Moins adapté aux usages longs et approfondis.
Source : Ludovic Salenne

‍

☠️ Cyberattacks of the month

Kiabi : des cybercriminels pénètrent 20 000 comptes clients des données personnelles sont consultées comme le nom, le prénom, l'adresse et 🥁 l'IBAN. Cette attaque est très probablement du type credential stuffing c’est-à-dire que vos données sont vendues et que des hackers tentent de nombreux sites avec l'email + mot de passe (qui est réutilisé tout le temps).

‍

Showroomprivé : une série de tentatives de connexions à des comptes clients a eu lieu. Nous sommes encore sur une attaque type crendial stuffing. Showroomprivé a identifié les comptes concernés et a fait un reset des mots de passe.

‍

E.Leclerc : tentatives d'accès à des comptes Primes énergies. L'enseigne recommande de changer les mots de passe. Les données exposées sont, nom, prénom, mail, identifiants, mot de passe, n° de dossier...

‍

Plusieurs fédérations sportives : 4.5 millions de données ont été exflitrées. Les fédérations concernées sont : la boxe, les sports automobiles, le motocyclisme, le roller & skate, le tir à l'arc, la montagne et l'escalade, la force, sportive et culturelle.

‍

ENGlobal : société américaine qui gère des services d'ingénierie et d'automatisation pour le gouvernement fédéral américain ainsi que pour des infrastructures critiques s'est fait hacké. Des données personnelles compromises et des accès cryptés.

‍

Deepseek : une vulnérabilité a été exploitée et 1 million de lignes de journaux a été exposé. Il comprenait des discussions en claires, des clés API et des détails de développement back-end.

‍

What's new at Youzer?

Les bons droits à la bonne personne

‍

Attribuer les bons droits à la bonne personne ça passe aussi par vérifier régulièrement que cette politique est toujours correctement appliquée.
Chez Youzer nous avons un module qui s'appelle 'alignement' et qui vous permet de vérifier que chaque utilisateur a des accès et des droits en adéquation avec son profil de base.

Les profils sont gérés par des packages applicatifs.

Vous paramétrez un ensemble d'applications et de droits spécifiques pour un service, un type de poste, de contrat, etc.
Vous attribuez un package spécifique pour un utilisateur.

‍

=> Youzer vous avertit s'il y a un écart entre le package qui a été appliqué pour un utilisateur et les accès et droits qui lui sont actuellement attribués.

Si l'écart est réel, une correction automatique vous est proposée, sinon vous pouvez ignorer la recommandation.

Je veux une démo

‍

‍

Thanks for reading this far!

Would you like to discuss a project?

That's what I'm here for 👋.

👉 Contactez-nous sur Youzer

‍

On vous a transféré la newsletter et vous la trouvez top ?? Inscrivez-vous ici 👇

I subscribe to the IT Recap

Partagez cette newsletter, c'est ce qui la fait vivre !

‍

‍

Every month, I send you my discoveries and analyses of IT news.
I do a lot of monitoring and I share it all!

I'm Mélanie and I'm Youzer's marketing manager.

About me? I have an unquenchable thirst for learning! I'd rather read a book 100 times than see a movie. I'm a fan of HP 🧙🏼.
I run and rollerblade as a team sport (don't look it up, it's dangerous).

Cybersécurité des JO 2024 : bilan et enseignements clés