Free, Auchan, Norauto, Boulanger, Truffaut, Cultura, mais aussi France Travail et la Fédération française de football. Le point commun de toutes ces organisations ? Avoir été touchées, en 2024, par des fuites de données massives. En clair, les numéros de téléphone, adresses électroniques et parfois les informations bancaires (Iban) de leurs clients et utilisateurs ont été captés par des pirates informatiques à des fins de cybermalveillance, et parfois rendus publics. Plusieurs millions de personnes sont concernées.

La fuite de données est le « phénomène marquant de 2024 » de la plateforme gouvernementale Cybermalveillance.gouv.fr. Dans son rapport d’activité annuel, publié jeudi 27 mars, ce dispositif national d’assistance des victimes d’arnaques en ligne indique avoir enregistré un bond de 82 % de la demande d’assistance concernant ce type de fraude.

« Ce qui rajoute au stress, c’est que les victimes ne savent pas comment leurs données se sont retrouvées dans la nature, ni l’usage qui en sera fait », a expliqué lors d’une conférence de presse Jérôme Notin, directeur général du groupe d’intérêt public contre la cybermalveillance (qui développe la plateforme du même nom).

L’hameçonnage reste la « mère de toutes les attaques »

Une chose est sûre : ces violations de données nourrissent l’hameçonnage (phishing en anglais). Celui-ci se caractérisait initialement par des courriels et SMS frauduleux assez maladroits, mais se sophistique de plus en plus. On peut désormais être « hameçonné » par une fausse accusation d’infraction pédopornographique, par une fausse livraison de colis, par un faux renouvellement de carte Vitale…

« L’hameçonnage, c’est la mère de toutes les attaques, explique Jérôme Notin. Elle permet de collecter des informations qui ensuite vont être exploitées. »

Deux semaines après la publication du Panorama de la cybermenace 2024 par l’Agence nationale de la sécurité des systèmes d’information (Anssi), qui a dû traiter 15 % de cyberattaques supplémentaires par rapport à 2023, ce nouveau rapport, plus centré sur l’expérience des victimes que sur la stratégie des attaquants, enfonce le clou. « Aujourd’hui, la question n’est plus de savoir si l’on va être attaqué, mais quand, et de s’y préparer », a gravement déclaré la ministre déléguée à l’intelligence artificielle et au numérique, Clara Chappaz.

Cyberharcèlement et « sextorsion »

Outre l’hameçonnage et la violation de données, d’autres formes de cyberattaques se maintiennent à des niveaux élevés : le piratage de comptes et, dans une moindre mesure, les faux supports techniques, les virus et le cyberharcèlement.

Nouveauté : ce dernier semble s’être en partie déporté de la sphère privée vers la sphère professionnelle. « Aujourd’hui on va harceler son maire, son chef d’entreprise », explique Jérôme Notin.

Parmi les rares bonnes nouvelles de 2024 en matière de cybersécurité : le recul du rançongiciel, qui touche essentiellement les professionnels et avait atteint un niveau record l’année précédente. Ces attaques, qui consistent en un blocage de l’accès au système informatique d’un organisme contre le versement d’une rançon, atteignent leur niveau le plus bas en quatre ans, même si elles continuent de représenter plus du tiers des recherches d’assistance.

La « sextorsion », cette forme de chantage où l’auteur menace une victime de publier des images la montrant nue ou en train d’accomplir un acte sexuel, est en augmentation chez les jeunes, alors que les maîtres chanteurs ciblaient prioritairement des adultes jusque-là.

L’IA, pas encore massivement utilisée

La prolifération des arnaques en ligne s’explique en partie par la facilité d’accès aux outils malveillants par une cyberdélinquance sans compétence particulière. En revanche, les systèmes d’intelligence artificielle ne semblent pas encore massivement utilisés à des fins malveillantes. « C’est rassurant, mais nous restons vigilants », indique Jérôme Notin.

À terme, la plateforme Cybermalveillance.gouv.fr pourrait s’effacer devant le nouveau service 17Cyber, mis en ligne en décembre dernier. Permettant la mise en relation directe des victimes de cyberattaques avec les forces de l’ordre, il a vocation à devenir le « guichet naturel » de l’assistance aux victimes.