Accueil      En circonscription      Sénat      Bilan de mandat      Revue de Presse          Parcours      Contact     
    

Budget 2025 – Cybersécurité et ingérences étrangères (SGDSN, ANSSI et VIGINUM) – Le dôme cyber a tenu en 2024 ! Q/R Vidéo (15’45)

Le dôme cyber a tenu ! Je n’ai pas manqué l’occasion de féliciter nos services pour leur action émérite durant les Jeux Olympiques et les scrutins électoraux qui a résisté aux attaques cyber et informationnelles à grande échelle observées en 2024.

Ces services étaient représentés par MM. Stéphane Bouillon, secrétaire général du SGDSN, Vincent Strubel, directeur général de l’ANSSI et Marc-Antoine Brillant, chef du Service de vigilance et de protection contre les ingérences numériques étrangères (Viginum), lors de leur audition budgétaire annuelle devant notre commission des Affaires étrangères et de la Défense, le 6 novembre dernier.

Face aux contraintes budgétaires, j’ai interrogé nos responsables sur deux points majeurs :

Sur le Name & Shame :
Stéphane Bouillon (SGDSN) a distingué deux types de réponse : soit l’attribution, lorsqu’on est sûr que tel ou tel état est en cause, soit l’imputation, lorsque l’attaque utilise des « modes d’action habituels des services chinois, russes ou autres ». Quoi qu’il en soit, les dossiers remontent au sommet de l’État, car nommer l’agresseur demeure du ressort de l’autorité politique « dans un système où il y a le jeu des relations internationales ».
Pour sa part, Vincent Strubel (ANSSI) estime que dénoncer publiquement une manipulation de l’information est une réponse très naturelle pour rétablir la vérité, mais que dans le domaine cyber, le Name and Shame « n’est pas forcément très dissuasif ». En revanche, il met en avant la pratique du partage de l’information, associée à celle du « démantèlement d’infrastructures techniques de l’attaquant ». Une pratique « qui se développe de plus en plus, en lien avec nos principaux alliés ».

Sur les ajustements du périmètre de l’ANSSI pour tenir compte des contraintes budgétaires liées à NIS 2
M. Bouillon s’est loué du rôle de coordination interministérielle de l’ANSSI, qui est également une structure opérative. Il faut préserver cette possibilité de réunir tous les ministères, évaluer les cyber-précautions de chacun et, au final, « proposer des orientations et actions à mener au Premier ministre ». Une mission de « chef d’orchestre » également saluée par M. Strubel « qui permet d’intervenir dans tous les champs et qui est garant d’une forme de cohérence dans l’ensemble des réponses de toute nature à la cyber-menace ». Pour ce faire, le directeur de l’ANSSI a mentionné qu’il délègue « énormément au secteur privé le traitement des incidents », tout en gardant la main sur les opérations.

VERBATIM de mon intervention

Je tiens tout d’abord à m’associer aux propos du président pour saluer votre action et celle de vos services au cours de cette année 2024. Vous avez relevé le défi des Jeux olympiques dans un contexte géopolitique extrêmement tendu, rendu encore plus compliqué en politique intérieure par la succession des élections européennes et législatives.

Je veux donc saluer l’action de l’ANSSI, de Viginum et, évidemment, de tout l’écosystème qui vous entourait, ceux qui étaient en première ligne et qui ont répondu aux menaces cyber et informationnelles.

On pourrait dire que le dôme cyber a tenu.

Je disais l’an dernier qu’il n’y aurait pas de médaille d’argent en cas de défaillance de nos systèmes d’information ou de déstabilisation du bon déroulement des opérations électorales. Il n’en a rien été malgré des attaques bien réelles, vous l’avez rappelé. Il faut s’en féliciter et, comme vous M. Strubel, c’est effectivement une médaille d’or pour vos services et toutes vos équipes. Il est important de leur manifester toute notre reconnaissance d’avoir gagné cette bataille.

En qualité de sénateur de Français de l’étranger, je veux en profiter, comme Hélène, de vous exprimer notre gratitude pour le vote internet pour les Français de l’étranger qui a été très performant et qui montre aujourd’hui qu’il est devenu incontournable à l’étranger pour avoir une élection réussie.

Ce satisfecit ne doit pas nous empêcher de penser l’avenir. Ce budget pour 2025 ne répond manifestement pas aux besoins exprimés antérieurement par vos services :
– L’Anssi escomptait une croissance de ces effectifs et de son budget afin d’assumer les missions supplémentaires qui lui seront confiées après l’examen à venir du projet de loi relatif à la résilience des activités d’importance vitale, à la protection des infrastructures critiques, à la cybersécurité et à la résilience opérationnelle numérique du secteur financier. Au lieu de réguler l’activité d’environ 500 entités, cette agence devra changer d’échelle pour en gérer environ 15 000 ;
– Dans le même ordre d’idée, Viginum devait poursuivre sa croissance pour atteindre 65 ETP en 2025. Ce ne sera pas le cas et ses effectifs resteront identiques.

Ces deux cas de figure posent la question des priorités et des ajustements que vous devrez assumer. Cela pose également la question du périmètre des missions de l’ANSSI. Est-ce que l’agence pourra continuer à mener de front ses activités de régulateur, mais aussi d’acteur et parfois de prestataire de sécurité ?
On pourrait parler pour 2025, mais on ne peut pas regarder 2025 sans se projeter dans la suite et c’est ce qui est important.

J’ai une deuxième question sur la procédure. Lorsqu’on a discuté sur les attaquants, on avait dit que s’il y avait un podium, le premier pays des attaquants ce serait la Chine, ensuite la Russie et, en troisième position, l’Iran. Viginum agit aujourd’hui comme une force de réaction rapide pour contrer la désinformation et, on l’a vu, avec efficacité pour anticiper. Vous avez dénoncé, vous avez fait du “Name and Shame”, comme on dit en bon français. Effectivement, il faut nommer qui nous attaque, mais cela n’est pas toujours le cas. J’aimerais donc savoir quelle est la procédure qui détermine le fait que nous allons pouvoir nommer l’attaquant, puisqu’on voit bien que certaines attaques nous arrivent d’un certain endroit, mais elles ne sont pas dénoncées.

Voir l’intégralité de l’audition Budget 2025 : Agence française de développement, du 6 novembre 2024 sur le site du Sénat

CyberSécurité – Le « 17 Cyber » sur la rampe de lancement

En cas d’incendie, vous appelez immédiatement les pompiers. En cas de cyberattaque… personne n’a pas encore de réflexe conditionné.

En notre qualité de co-rapporteur du programme 129 du budget, nous nous sommes rendus avec mon collègue Mickaël Vallet au GIP ACYMA (Groupement d’intérêt public Action contre la Cybermalveillance), où nous avons été accueillis par son directeur, Jérôme Notin.

Après avoir travaillé sur la synthèse budgétaire du GIP, nous avons bénéficié d’une présentation en détail du dispositif « 17Cyber » qui viendra en complément des dispositifs existants pour constituer une réponse aux victimes de cyberattaques qu’il s’agisse d’entreprises, d’organisation ou de tout citoyen.

Ce dispositif 24h/24 permettra successivement de qualifier la menace, poser un constat, donner des conseils, faire la mise en relation avec des prestataires et, enfin, accompagner les victimes dans l’étape de judiciarisation, par le biais d’un policier/gendarme, dans les cas les plus graves (rançongiciel, violation de données, virus, piratage de système informatique…).

Lorsque j’ai accueilli une réunion organisée par le CyberCercle au Sénat, le mois dernier, Jérôme Notin m’avait fait l’honneur de rappeler que j’ai cherché à mettre en place ce concept depuis janvier 2019, cette « très belle idée d’un équivalent numérique du 17 police secours », reprise par le président de la République, début 2022 (compte-rendu).

Cette année, le GIP a mis en place ce dispositif 17Cyber en collaboration avec le ministère de l’Intérieur.

Nous avons pu constater que
. le développement a été achevé en mai ;
. la communication est prête (nous avons vu le spot info) ;
. les délais ont été tenus ;
. le budget a été respecté ;

On attend seulement le feu vert du ministre de l’Intérieur pour effectuer le lancement officiel… depuis mai dernier.

Nos remerciements et nos félicitations à Jérôme Notin et à son équipe qui démontrent une fois encore leur capacité d’innovation et leur efficacité.

Médias – “Russie, Chine : comment ils attaquent nos démocraties” (Public Sénat – 22 oct. 2024)

Ce 22 octobre, Thomas Hugues m’a invité dans son émission Sens Commun pour évoquer les ingérences étrangères qui ciblent nos démocraties. Il s’est appuyé sur le reportage de son collègue, Jonathan Dupriez, intitulé « Ingérences étrangères, des élus pris pour cibles », diffusé quelques jours plus tôt (voir la vidéo).

Sophie de Ravinel, Nicolas Quenel, journalistes, et Anthony Bellanger, éditorialiste à France Info TV sont venus enrichir le débat qui m’a permis de pointer que la Chine constituait le danger majeur, puisque la Russie ou l’Iran sont devenus ses proxys.

Quelque 250.000 personnes travaillent pour les services secrets chinois. Depuis 2017, une loi oblige les Chinois à collaborer avec ces services, ce qui concerne 60 millions de ressortissants résidant à l’étranger. Tous, loin de là, ne sont pas en faveur du Parti communiste chinois. Comment les aider à ne pas être instrumentalisés contre leur gré ?

En matière d’Ingérences étrangères, si la Russie est la tempête, le changement climatique est la Chine.

En guise de solutions, j’ai rappelé sur le plateau que nous avons besoin d’une « force de dissuasion cyber » : face à chaque attaque, il doit y avoir une réaction.

Public Sénat :
« Zoom sur les ingérences étrangères qu’il convient de réaliser après la cyberattaque subie par deux élus français… Russie, Chine, Iran ou Qatar, ces pays ciblent la France et plus particulièrement nos personnalités politiques. Des parlementaires espionnés par la Chine, des élus locaux accusés d’avoir cédé à la corruption de la Russie, des manipulations médiatiques pour peser sur le résultat des élections, la recrudescence d’infox propagées sur les réseaux sociaux… Les exemples se multiplient et permettent de dessiner les contours d’une nouvelle forme d’influence. »

Médias – « Ingérences étrangères, des élus pris pour cibles » (Public Sénat – 19 oct. 2024)

Chaque mois, les journalistes de l’émission “Sénat en action” s’immergent dans les coulisses du Sénat pour montrer le travail des 348 élus de la chambre haute.

Mes plus vives félicitations à Jonathan Dupriez pour son excellent travail d’investigation.

Bande annonce du reportage (vidéo 1m) :

Public Sénat : « Espionnage, hacking, tentative de recrutement, des puissances comme la Russie ou la Chine mènent une guerre feutrée agressive aux intérêts Français avec comme cibles : les élus. Olivier Cadic a été espionné pendant plusieurs années par la Chine, lui et six autres parlementaires français au cœur d’un hacking mondial… ».

Voir le reportage « Ingérences étrangères, des élus pris pour cibles » sur le site Public Sénat (vidéo 27m).

Public Sénat : « L’ingérence politique a pour objet de peser sur la décision d’un état, l’infléchir et éventuellement l’affaiblir. Toujours par des moyens dissimulés. Les élus sont des personnages publics. (…) Leur statut d’élus ne les protège aucunement des actions menées par des services de renseignement étrangers qui ne se priveront d’aucun moyen pour essayer d’entrer en contact avec eux et les influencer si possible

Médias – “CyberTaskForce : face aux cybermenaces pour la sécurité nationale, un projet de loi NIS 2 jugé brouillon” (The Epoch Times – 20 oct. 2024)

Merci à Etienne Fauchaire (The Epoch Times) d’avoir donné écho à mon intervention lors la conférence intitulée “Comment réussir la transposition NIS2 ?” organisée Sébastien Garnault, directeur du CyberTaskForce (compte-rendu).

Extraits :

Olivier Cadic, sénateur représentant les Français établis hors de France, a rappelé qu’il milite depuis 2019 afin que soit enfin mis en place un numéro d’appel, un « 17 cyber », et déploré lui aussi un « problème de gouvernance » : « Napoléon disait qu’un mauvais général vaut mieux que deux bons. Nous, décideurs politiques, avons besoin d’un interlocuteur unique, à l’image de ce qui a été instauré aux États-Unis ».
[…]
Autre problème soulevé : le flou définitionnel du texte, aussi bien concernant la notion d’incident (« Est-on tous d’accord en Europe sur la définition d’incident ? » – Olivier Cadic), celle de vulnérabilité, ou encore de dirigeant (« Dans une collectivité, qui est le dirigeant : le Directeur Général des Services (DGS) ou le maire ? » – Constance Nebbula).
[…]
Le texte ne répond pas non plus efficacement aux objectifs de sécurité nationale, a également relevé Olivier Cadic, puisqu’aucune sanction n’est prévue si le responsable d’une cyberattaque est un État étranger : « En cas de défaillance, une entreprise peut recevoir une amende. Mais qu’en est-il si un État nous attaque ? De quelle mesure de rétorsion le menaçons-nous réellement?»

Lire l’article d’Epoch Times CyberTaskForce : face aux cybermenaces pour la sécurité nationale, un projet de loi NIS 2 jugé brouillon

Euro-Atlantic Resilience Forum 2024 – Il n’y a pas de canon pour détruire un mensonge

Je remercie Romain Le Quiniou, directeur d’Euro Créativ, et les organisateurs de m’avoir invité à ouvrir en anglais, ce 17 septembre, une conférence intitulée « Forward Resilience – The EU and NATO Neighborhood Fighting Malign Foreign Influences », dans les locaux de l’ambassade de Roumanie à Paris, en présence de Ioana Bivolaru, ambassadrice de Roumanie en France et de Dana Gruia-Dufaut, conseillère des Français de l’étranger en Roumanie.

La conférence se tenait simultanément à Paris et Bucarest, dans le cadre du forum « Euro-Atlantic Resilience Forum 2024 ».

J’ai partagé mes alarmes et mes recommandations au sujet des influences étrangères, tout en exposant les récents développements pour renforcer notre lutte contre ces pratiques, en France comme au niveau européen.

Comme Taiwan est le laboratoire de la désinformation chinoise, j’ai suggéré que pour optimiser notre action, nous invitions Taïwan à rejoindre le Centre d’excellence coopératif de cyberdéfense de l’OTAN à Tallin et le Centre d’excellence de communication stratégique de l’OTAN à Riga.

Cette rencontre avait pour objectif d’explorer les stratégies de l’OTAN et de l’Union européenne pour renforcer la résilience des pays voisins des Balkans occidentaux et d’Europe de l’Est (Géorgie, Moldavie, Ukraine en particulier) face aux influences étrangères malveillantes, notamment celles émanant de la Russie. La discussion portait sur des enjeux multiples, tels que la résilience démocratique, la lutte contre les pratiques de guerre hybride et les ingérences étrangères, la réduction des dépendances économiques et énergétiques, ainsi que le renforcement de la sécurité régionale.

VERBATIM

There is no cannon to destroy a lie.

Large-scale information manipulation campaigns constitute the new, hybrid form of foreign interference.

This is a challenge for democracies in the information and reputation war waged by certain authoritarian regimes.

Information manipulation campaigns are not new.

There is a Russian signature when it comes to disinformation that includes the spread of rumors and fake news.

The revisionist strategy dates from the Soviet era.

The Soviets became famous by attributing to the Nazis the execution of Polish officers at Katyn or the assassination of JFK at the CIA

In 2016, living in the UK, I observed the wave of misinformation during the Brexit campaign.

This intensified with the 2016 US presidential election.

Also in preparation for the French military programming law in 2018, I went to the Pentagon. Their hybrid warfare doctrine inspired me to integrate the fight against “Fake news” into the military programming law (LPM) 2019-2025.

But if we have a Russian storm, Climate Change is China… Lire la suite

Cyber Task Force : “Comment réussir la transposition NIS2 ?”

La CyberTaskForce, initiée par Sébastien Garnault, vise à accompagner la transformation numérique de la société en créant un dialogue opérationnel entre les acteurs publics et privés, afin que leurs décideurs aboutissent à des positions communes.

Ce 16 octobre 2024, à l’espace Hamelin à Paris, j’ai participé à une réunion intitulée “Comment réussir la transposition NIS2 ?” organisée à l’occasion du Mois européen de la Cyber.

Le projet de loi sur la transposition des dispositions cyber de la Commission européenne avait été présenté la veille au conseil des ministres. A propos de la « date butoir du 17 octobre », j’ai rappelé que tant qu’un texte n’était pas voté par le Parlement, il ne s’appliquait pas.

NIS 2 se présente comme une opportunité pour les entreprises et les organisations de se mettre à niveau en matière de cybersécurité, mais le texte soulève des questions de fond, sinon de bon sens, comme je l’ai évoqué.

Je souhaite une transposition de NIS2 intelligente. Et pour être intelligente, elle doit être faite avec les professionnels pour les professionnels.

Après mon discours d’ouverture, j’ai participé à une table ronde intitulée “Comprendre et délimiter le périmètre de la directive NIS2”, dans le cadre des “Rendez-vous Cyber Task Force”.

Voici quelques citations fortes d’intervenants :

▶️ “80% des attaques réussies le sont par le facteur humain, complètement absent du projet de loi […] Comment infléchir la courbe en laissant 80% des vulnérabilités de coté dans ce texte” – Philippe Luc, CEO d’Anozr Way

▶️ “NIS2 ne régule pas les systèmes d’information, mais les organisations” – Raphael Marichez, CSO chez Palo Alto Networks

▶️ “Les sanctions sont importantes, mais les collectivités n’accepteront pas ces sanctions si l’État ne prévoit pas l’accompagnement financier” – Constance Nebbula, vice-présidente de la Région Pays de la Loire

▶️ “Nous avons un intérêt collectif à ce que ce texte soit réussi et nous devons aider le Parlement et la ministre” – Sébastien Garnault, fondateur de la CyberTaskForce

En circonscription en Pologne (2/2) – Karpacz (3-5 sept. 2024)

(à l’image) Joanna Jaroch-Pszeniczna, directrice de la CCIFP et Tareck Ouaibi, président.

Le Forum économique de Karpacz, souvent baptisé le Davos des pays d’Europe centrale et orientale, se déroule dans les montagnes polonaises à quelques kilomètres de la frontière avec la République tchèque.

Lors de mon passage à Varsovie, l’an dernier, j’avais promis aux membres de la Chambre de commerce et d’Industrie France Pologne (CCIFP) que je viendrais cette année pour soutenir leur action à l’occasion de cet événement international d’envergure.

Diplomatie économique

33ème Forum économique

Invité au Forum par les organisateurs afin de participer à une table ronde sur la désinformation, j’étais accompagné par une équipe de Public Sénat dans le cadre d’un reportage sur les opérations d’influences étrangères.

Durant 3 jours, l’Hotel Gołębiewski à Karpacz a accueilli plus de 6000 participants et près d’un millier de journalistes et de représentants des médias.

Ce séjour m’a permis de retrouver Frédéric Petit, député de la circonscription et habitué de la conférence, mais aussi de faire de nombreuses rencontres et d’assister à plusieurs tables rondes où intervenaient des compatriotes.

Ainsi la conférence “Power of women in Politics”, modérée par Benedicte Mezeix-Rytwinski, directrice et rédactrice en chef du média Lepetitjournal.com, m’a permis de mesurer la différence de perception du rôle des femmes en politique entre la France et la Pologne.

Je suis reconnaissant envers Benedicte d’avoir pris le temps de m’expliquer les nombreuses différences culturelles entre nos deux pays, de m’avoir aidé à m’orienter durant ce forum et pour ses multiples attentions afin de favoriser la réussite de ma mission.

La conférence sur les relations franco-polonaises animée par Tareck Ouaibi, président de la CCIFP, à laquelle participait Etienne de Poncins, ambassadeur de France en Pologne, a mis en valeur l’apport de la France, second investisseur étranger en Pologne, et la loyauté des entreprises hexagonales qui ont poursuivi leur développement dans le pays, même lorsque ce dernier avait des relations difficiles avec l’Union européenne.

Merci à Karolina Zawitaj, du comité d’organisation du Forum de Karpacz, de m’avoir offert l’opportunité d’intervenir à la faveur de cet événement International prestigieux et de rencontrer Władysław Kosiniak-Kamysz, vice-Premier ministre, ministre de la Défense et Krzysztof Gawkowski, vice-Premier ministre, ministre de la Numérisation, à la faveur des conférences sur la cybersécurité.

+d’images

Forum – Discours / Guerre informationnelle et de réputation

Les organisateurs du forum de Karpacz m’ont invité à participer à une conférence relative aux relations internationales et à la sécurité. J’ai eu l’opportunité de partager mes réflexions lors d’un discours et de participer ensuite à une table ronde.

Mon discours d’une dizaine de minutes avait pour titre : La Russie est la tempête, la Chine est le changement climatique.

J’y ai développé que les régimes autoritaires adeptes de la désinformation sont à l’oeuvre pour bouleverser l’ordre mondial. Face aux démocraties et leur soft power destiné à promouvoir un modèle et des valeurs, ces régimes ont développé un « sharp power » en utilisant des techniques renouvelées pour affaiblir et décrédibiliser leurs adversaires de l’intérieur. +d’images

Lire le DISCOURS

Forum – Table ronde / Lutte contre la désinformation

La table ronde qui a suivi posait la question : La lutte contre la désinformation est-elle aussi importante que les affrontements militaires ?

L’agression de la Russie contre l’Ukraine est allée bien au-delà de la forme traditionnelle d’un affrontement de deux armées. Un conflit tout aussi féroce se déroule dans le cyberespace.

Les armées de l’Ukraine, mais aussi des pays de l’OTAN, doivent faire face chaque jour à l’activité russe créant de faux messages concernant divers aspects de l’agression. Les fausses nouvelles, la manipulation, le trolling ne sont que quelques-unes des techniques de guerre en ligne utilisées à grande échelle.

Chaque participant a donné des pistes pour imaginer la manière dont nous pouvons nous défendre. +d’images

Forum : Chambre de commerce et d’industrie France-Pologne (CCIFP)

À l’invitation de Tareck Ouaibi, président de la CCIFP, et de Joanna Jaroch-Pszeniczna, directrice, j’ai été accueilli au Café France, le pavillon de la CCIFP qui célébrait sa 30ème participation consécutive au Forum économique de Karpacz.

Plus de 400 entreprises sont membres de la CCIFP. La France est le 3ème employeur étranger en Pologne et le deuxième investisseur.

Le Café France est assurément un des pavillons les plus courus pour sa convivialité et la qualité des produits qui y sont consommés.

Afin de marquer sa considération pour les entreprises françaises, Krzysztof Gawkowski, vice-Premier ministre, ministre de la Numérisation, est venu échanger au Café français.

Il a abordé le niveau d’investissement de la Pologne pour la numérisation des entreprises et répondu à de nombreuses questions sur la tech, l’Intelligence artificielle ou le handicap.

Ayant assisté à sa conférence de presse tenue la veille sur le pavillon de la cyber sécurité, j’ai souhaité rebondir sur la politique de son pays dans la lutte informationnelle. Le ministre observe une progression de 100% des attaques chaque année. 400 000 cyber attaques ont été enregistrées en 2023, certaines visant des infrastructures critiques.

Chaque semaine, son ministère consacre une réunion à la cybersécurité. +d’images

Forum : Club VIE

Présidé par Nicolas Pubellier, ce club a pour but de dynamiser la communauté d’expatriés issue du programme Volontaire International qui vit en Pologne.

Le Forum m’a permis de rencontrer Nicolas en compagnie de deux autres VIE, Naomi Tshibuabua et Soufiane Benlamine. J’avais eu l’opportunité de discuter, la veille à Varsovie, avec Paul Bourgeat, un autre membre du club qui réunit 86 VIE.

Beaucoup de fraicheur dans leurs analyses et leurs interrogations, tant sur l’environnement économique que sur la situation politique.

Leur énergie était telle que je n’ai pas eu besoin de Red Bull pour aller suivre la table ronde à laquelle participait Nicolas au sujet de l’irruption des nouvelles technologies dans le monde des affaires. Celle-ci se déroulait de 22h30 à 23h00…

Merci à eux pour leurs idées et leur enthousiasme. +d’images

Matinale du CyberCercle : “17 Cyber” et Cybermoi/s autour de Jérôme Notin

Belle Matinale de rentrée, organisée par le CyberCercle au Sénat, ce 12 septembre, en présence de Jérôme Notin, directeur général du GIP ACYMA (*) (Cybermalveillance.gouv.fr).

Au coeur des discussions le futur “17 Cyber” qui viendra compléter les dispositifs déjà mis en place pour répondre aux victimes (citoyens et organisations) de cyberattaques. Un dispositif d’appel 24h/24 qui, rappelons-le, permettra de qualifier la menace, poser un constat, donner des conseils, faire la mise en relation avec des prestataires et, enfin, accompagner les victimes dans l’étape de judiciarisation.

Je remercie Jérôme Notin d’avoir rappelé que je porte publiquement, depuis janvier 2019, cette « très belle idée d’un équivalent numérique du 17 police secours », reprise par le président de la République, début 2022, qu’il met cette année en place avec le ministère de l’Intérieur.

Ce fut également l’occasion pour les participants d’échanger sur la dynamique du Cybermoi/s. 1200 structures se sont engagées cette année, au mois d’octobre, pour relayer la campagne de sensibilisation auprès de leur réseau (#CyberEngagés).

L’accent a été mis en direction des entreprises, avec des vidéos à relayer, des messages-visuels sur les réseaux sociaux, et un mémento présentant des cas d’attaques et des recommandations issues des résultats d’une étude sur la maturité cyber des TPE-PME. +d’infos sur le site Cybermalveillance

Enfin, les discussions se sont orientées sur l’incontournable sujet de la transposition de NIS 2 qui mobilise toujours toutes les attentions (et passions !). A lire à ce propos Paroles de CyberCercle

Merci à Bénédicte Pilliet, présidente du CyberCercle, et à ses membres pour leur contribution à ma mission de contrôle de l’action du gouvernement.

(*) Créé en 2017, le groupement d’intérêt public Actions contre la Cybermalveillance (GIP ACYMA) a trois grandes missions : assister les victimes d’actes de cybermalveillance / prévenir les risques et sensibiliser les populations sur la cybersécurité / observer et anticiper le risque numérique par la création d’un observatoire.

Cyber-attaques APT 31 : Quand la Chine se lance dans la guerre de la Toile

Une vingtaine d’experts mondiaux de la cybersécurité m’ont fait l’honneur d’accepter d’être auditionnés au Sénat, le 3 juin dernier.

Cette rencontre d’exception a été possible grâce à Sébastien Garnault, fondateur de la Cyber Task Force et du Paris Cyber Summit, colloque auquel participaient tous ces experts à Paris.

Je remercie chaleureusement Philip Stupak, directeur adjoint au bureau du directeur national de la cybersécurité à la Maison Blanche, d’être revenu au sénat, un an après son audition pour la LPM et André Gattolin, ancien sénateur et co-président, comme moi, de la branche française de l’IPAC, l’Alliance interparlementaire sur la Chine, pour avoir brillamment co-animé les débats.

Cette audition grand format avait pour thème : « Menaces du groupe chinois APT : focus sur APT 31 et Storm 0558 ».

En effet, trois mois plus tôt, le ministère américain de la Justice avait dévoilé un acte d’accusation contre 7 ressortissants chinois appartenant au groupe de hackers APT31 qui dépend directement du ministère chinois de la Sécurité d’État. 116 parlementaires, issus de 15 pays, dont 7 Français, ont reçu en janvier 2021 des courriels de la part du groupe APT31 qui contenaient des images piégées (pixel attack), afin de collecter leurs informations. Les parlementaires ciblés, dont je fais partie avec André Gattolin, sont tous membres de l’IPAC.

Nous partageons une même volonté de s’opposer aux cyber-attaques lancées depuis Pékin, Moscou ou bien Téhéran, parce que nous défendons une vision commune de la démocratie et des droits de l’Homme.

Aussi, les responsables de l’administration américaine, canadienne et des plus grandes entreprises américaines ou européennes présentes ont partagé leurs propositions pour élever notre niveau de résilience face aux attaques.

Cyber-solidarité entre états

Il est ressorti des diverses prises de parole que, face à l’ampleur grandissante des cyber-menaces, aucun état, pas même les Etats-Unis, n’avait la « taille critique » pour se protéger seul.

(g à d) Phil Stupak (Maison Blanche) ; André Gattolin ; Olivier Cadic et Marc Schor (Sénat)

Tous les avis ont convergé pour prôner une cyber-solidarité entre les états démocratiques. Je partage naturellement cette vision nouvelle et pertinente pour contrer la Chine qui agit sur nos réseaux et prépare visiblement une guerre sur la toile.

La cyber-solidarité est une relation de confiance à construire entre les démocraties. Le temps presse cependant et il faut trouver des voies de partage sans tarder. En pareil cas, il est toujours judicieux de s’inspirer de l’existant. Ainsi, un intervenant a fait mention du secteur nucléaire parce que ses acteurs ont pris l’habitude de partager leurs nouvelles expertises, comme leurs points de vulnérabilité.

Partenariat public-privé

Une autre réponse a été développée lors de cette rencontre au Sénat, comme une extension logique au principe de cyber-solidarité entre les états : approfondir la collaboration public-privé. Puisqu’on parle de « taille critique » des états pour défendre leur souveraineté, force est de constater qu’une entreprise des GAFAM est plus numériquement plus « puissante » qu’un état comme la Russie.

Justement, l’agression de la Russie contre l’Ukraine a opéré comme un déclencheur pour de nombreux pays et entreprises les conduisant à hausser leur niveau de protection.

Trois jours avant l’invasion russe, les députés ukrainiens avaient voté une loi pour autoriser la localisation des données nationales hors de leur pays, afin de garantir la continuité du fonctionnement de leur administration.

Du reste, Amazon Web Services, va proposer un « European safety cloud » aux entreprises, comme aux administrations, pour faire valoir une vision de la souveraineté numérique qui n’est pas fondée sur l’achat d’une solution nationale, mais sur celui d’un produit qui assure un maximum de sécurité (notamment via le cryptage qui rend les données inaccessibles même au prestataire), de contrôle de la part de l’utilisateur et de garantie juridique.

Dans ce domaine, nous avons récemment progressé au niveau européen avec le règlement européen sur les services numériques (DSA) qui a permis pour la première fois, de confier aux plateformes, en particulier celles des GAFAM, des responsabilités importantes dans la lutte contre la désinformation. Aussi, pour la première fois, des sanctions ont été prises à l’encontre des médias manipulés par le pouvoir russe à des fins de propagande, ce qui a conduit à l’interdiction de Russia Today.

La cyber-solidarité entre états, associée aux partenariats public-privé, doit fonctionner à large échelle dans une guerre d’ordre planétaire. « La désinformation est devenue une véritable arme de guerre », rappelait, quelques jours plus tôt, le ministre de l’Europe, Jean-Noël Barrot, devant une commission du Sénat.

Un point d’alerte soulevé est que chacun doit prendre conscience de son empreinte numérique car les proches des personnes ciblées par une sont également ciblées.

Il faut urgemment rassembler les pièces d’un puzzle géant et multiplier les relais de confiance. Face à l’évolution technologique ou la corruption des individus, rien ne sera jamais acquis, même avec la meilleure volonté du monde ou les meilleurs outils. Une nouvelle page de l’histoire de l’humanité s’est ouverte. On se préparait à la guerre des Etoiles, avec les attaques des services chinois, nous sommes confrontés à la guerre de la Toile.

PARTICIPANTS
Mr Barnaby Page, Vice President, IR & Cyber Risk at SentinelOne
Mr Brett DeWitt, Vice President, Global Cyber & Technology Policy at Mastercard
Ms Christine Bejerasco, CISO at WithSecure
Mr Dan Cimpean, Director of the National Directorate for Cyber Security – DNSC
Mr Daniel Le Coguic, President of the Alliance for Digital Trust
Mr Dara Murphy, Vice President of Rasmussen Global, Former Minister for Europe and Digital Affairs of Ireland
Mr David Lashway, Co-chair at Sidley Austin
Ms Eva Benn, Senior Security Program Manager (Offensive Security, AppSec) at Microsoft
Mr François Deruty, Chief Intelligence Officer at Sekoia
Mr Fred Géraud, Government Affairs & Public Policy at Google Cloud
Ms Heli Tiirmaa-Klaar, former Ambassador, Director of Digital Society Institute of ESMT, Chair of the Ukraine IT Coalition Steering Group
Mr Jonathan Luff, Chief of staff at Recorded Future
Ms Katherine Sutton, Chief Technology Advisor to the Commander and Director of Pentagon Operations at the U.S. Department of Defense
Mr Lionel Benatia, Director Government Affairs Senior at Microsoft France
Mr Marc Raimondi, Chief of Staff to the Executive Chairman at Silverado Policy Accelerator
Mr Max Peterson, Vice President, Sovereign Cloud at AWS
Mr Michael Lashlee, Chief Security Officer at Mastercard
Mr Nils Hansma, Principal Security Assurance Lead – France/Switzerland at AWS
Mr Olivier Esper, Government Affairs Manager at Google
Mr Phil Stupak, Assistant National Cyber Director, Office of the National Cyber Director, Executive Office of the President – The White House
Mr Philippe Luc, CEO of ANOZRWAY
Mr Sami Khoury, Head of the Canadian Centre for Cyber Security
Ms Sandra Joyce, Vice-President, Google Threat Intelligence at Google Cloud
Mr Sean Newell, Chief of the National Security Cyber Section at the U.S. Department of Justice
Mr Vincent Richir, Director of Public Policy for Western Europe at Mastercard
Ms Zoey Stambolliu, Director Global Cybersecurity & Technology Policy at Mastercard

Sénat – Cyber – Table ronde sur la transposition de la directive NIS 2

Dans la perspective de l’examen du projet de loi relatif « à la résilience des activités d’importance vitale, à la protection des infrastructures critiques, à la cybersécurité et à la résilience opérationnelle numérique du secteur financier », le Sénat avait envisagé la création d’une commission spéciale.

Compte tenu de la dissolution de l’Assemblée nationale, les travaux législatifs au Parlement ont été suspendus et le texte n’a toujours pas été adopté en Conseil des ministres.

En qualité de co-rapporteur, avec mon collègue Mickaël Vallet, pour avis sur le volet « Cyber » du programme 129 « Coordination du travail gouvernemental » du projet de loi de finances, j’ai néanmoins souhaité organiser, ce 20 juin, au Sénat, une table ronde réunissant les grands acteurs de la cybersécurité autour de l’Alliance pour la confiance numérique (ACN), du Cybercercle et de la Cyber task force, pour un échange de vues sur les problématiques de la transposition de la directive NIS 2 pour la filière de cybersécurité.

Il y a urgence. Chaque État membre de l’UE dispose d’un délai pour transposer NIS2 dans son droit national qui doit être respecté avant le 17 octobre 2024.

J’ai présidé les débats divisés en deux séquences :
. Démarche et agenda de transposition de la directive NIS 2
. Impact pour les entreprises et pour la filière de cybersécurité

Nos échanges ont permis de croiser les points de vue en donnant la parole aux représentants de l’écosystème des entités essentielles et des entités importantes (BITD, étatiques, collectivités et PME … ) sur la transposition de la directive NIS2 dans le droit français (*).

Cette directive vise à renforcer le principe de responsabilité (accountability) des acteurs économiques, avec des sanctions financières substantielles à la clé.

Aussi, l’intelligence collective, le dialogue et la concertation seront des socles essentiels pour ceux qui auront la responsabilité de mettre oeuvre ces nouveaux dispositifs et pour ceux qui devront les accompagner. « Et, au-delà, la question centrale de la place de la sécurité numérique dans les politiques publiques », a conclu Bénédicte Pilliet.

Je remercie chacun des participants pour avoir contribué à la réussite de cette réunion que j’ai eu le plaisir de co-animer avec Bénédicte Pilliet, présidente du CyberCercle, Yoann Kassianides, délégué général de l’ACN et Sébastien Garnault, fondateur du CyberTaskForce et du Paris Cyber Summit.

(à l’image) Plus tôt dans la matinée, toujours au Sénat, j’avais eu l’honneur de présider la 130ème Matinale mensuelle du CyberCercle, aux côtés de sa présidente Bénédicte Pilliet, sur la stratégie d’intelligence économique et de sécurité numérique développée par la DGA – Direction générale de l’armement – au service de la BITD. A ce titre, nous avons reçu Jean-Baptiste Kerveillant et Camille Lanet de la DGA. +d’images

– – – – –
(*) Julien Lopizzo de Semkel, Muriel de Marcos de MGM Solutions, Marc Bothorel de la CPME nationale, David Dany et Christophe Curtelin de La Preuve Numérique©, Mylene Jarossay du Cesin, Quentin Nicaud d’Elysium Security, Eric Hohbauer de Stormshield, Pierre Kirchner d’Equans Digital, et des représentants de Poste Groupe, le CEA, le ministère des Armées… sans oublier les senior advisors du CyberCercle : Stéphane Meynet, Christian Daviot et Yann Magnan.

Quelle est la date officielle d’entrée en vigueur de NIS 2 ?
La directive NIS 2 a été publiée le 27 décembre 2022 au Journal Officiel de l’Union européenne et elle prévoit un délai de 21 mois pour que chaque Etat membre transpose en droit national les différentes exigences réglementaires. NIS 2 rentrera donc en vigueur en France au plus tard en octobre 2024. Il est utile de préciser que la date d’entrée en vigueur ne correspond pas à la date d’application de l’ensemble des exigences réglementaires qui seront imposées aux entités régulées : certaines exigences seront d’application directe et d’autres seront soumises à un délai de mise en conformité. (Source ANSSI)

Paris cyber week : Discours d’ouverture

Les pays démocratiques doivent reprendre l’initiative.

Une force de dissuasion cyber internationale doit être créée pour détruire la cyber muraille de Chine sur commande.

Pour bâtir cette force, il faut du courage politique, de la solidarité et retrouver l’inspiration d’Alan Turing et de Bobby Fisher.

 

DISCOURS – traduit de l’anglais  (english version)

Madame, Monsieur,

Merci Sébastien pour cette invitation.

Je siège au Sénat depuis 10 ans pour représenter les Français de l’étranger.
60 % de mon temps à l’étranger. 537 déplacements dans 114 pays.
Je suis Vice-Président de la Commission Affaires Étrangères et de la Défense
J’ai intégré la lutte contre les « Fake news » dans la loi de programmation militaire de 2018.

Dans la dernière loi de programmation militaire de 2023, j’ai intégré la garantie de liberté de circulation maritime par notre marine militaire en mer de Chine méridionale et dans le détroit de Taiwan.

Je suis en charge de la cyber depuis 7 ans au Sénat.

Je suis un cyber paranoiaque.

En 1999, j’ai lancé ma market place sur internet, un vendredi à 15h00.
Le lundi, mon marketing manager se vantait des chiffres de trafic sur notre serveur étaient exceptionnels.
Mon IT Manager a demandé à me parler discrètement peu après : « Samedi à 3 heures du matin, quelqu’un est entré sur nos serveurs et a downloadé des films pour adultes.
Le monde entier les a téléchargés tout le week-end. »

Mon marketing manager m’a alors suggéré d’évoluer vers l’industrie pornographique.
J’ai préféré m’équiper de Firewall.
Vous comprenez maintenant pourquoi j’ai développé une cyber paranoia.

Demain, sera le 80ème anniversaire du jour J.

Il y a 80 ans, des milliers de soldats vivaient, aujourd’hui, la dernière journée de leur vie.
Je serai demain à Omaha Beach pour saluer leur mémoire et exprimer la gratitude éternelle de notre pays envers leur sacrifice.
La réussite du D.day doit beaucoup à Alan Turing qui a réussi à déchiffrer le code Enigma utilisé par l’armée allemande pour transmettre des informations militaires.
Ce code, qui changeait toutes les 24 heures et possédait des milliards de combinaisons, était réputé inviolable.
Turing a sauvé un nombre considérable de vies.
C’est encore Alan Turing qui a préfiguré l’intelligence artificielle en 1950.

Hier, nous discutions de ce que pourrait être la sécurité du Cyberspace dans 80 ans.

Quelque chose me dit que nos successeurs continueront à parler de sécurité, que des pays chercheront à décrypter les données cryptées comme il y a 80 ans et aujourd’hui.

L’informatique quantique les aura fait entrer dans une nouvelle dimension.

Il y a 80 ans, grâce à des héros, l’Europe a recouvré sa liberté.

Il y a tout juste 35 ans, le pouvoir chinois massacrait la liberté et ses étudiants sur la place Tiananmen, parce qu’ils réclamaient l’instauration de la démocratie.

Sa maîtrise de la technologie lui a permis de créer un cyber-mur pour imposer un contrôle social de sa population en combinant réseaux sociaux, caméras à reconnaissance faciale et intelligence artificielle.

Le Parti communiste chinois a fixé 2049, année de son centenaire, pour que la Chine impose son leadership au monde.

La question qui se pose à nous : Dans quel monde voulons-nous vivre en 2049 ?

Voulons-nous vivre dans un monde où la démocratie, les libertés individuelles seront respectées ou dans un monde où chacun doit se conformer à un ordre déterminé par le parti ou un autocrate ?

Nous sommes confrontés à une guerre hybride.

La dimension cyber qui comprend le secteur criminel, l’espionnage et l’action militaire qui nous préoccupe à la Paris cyber week, n’est pas le seul.

Il faudrait aussi évoquer la traite des êtres humains et de migrants envoyés par vagues pour submerger nos frontières… ou encore les crimes portant atteinte à l’environnement que sont l’exploitation minière illégale et le trafic de métaux et de minéraux.

Notre commission d’enquête sur le narcotrafic vient de rendre son rapport.
Les précurseurs chimiques chinois composent 70% de la cocaïne.
J’ai pu constater leur présence dans ces laboratoires au plus profond de la jungle, il y a deux semaines.
Ces produits chimiques de l’empire du Milieu sont la source des drogues synthétiques comme le fentanyl à l’origine d’environ 120 000 morts aux USA en 2023.

Avec Hong-Kong, devenu le trou noir du blanchiment, Pékin est aux deux extrémités de la “supply-chain” du Narcotrafic, une des composantes de la guerre hybride à laquelle les démocraties sont livrées.

Le blanchiment pour laver l’argent du crime organisé, éviter les taxes ou contourner les sanctions économiques.

Nous pourrions également développer tous les aspects de la désinformation.
Il n’y a pas de canon pour détruire un mensonge.

Des états totalitaires ou autoritaires s’en prennent quotidiennement aux démocraties et relativisent l’intérêt de respecter les droits de l’Homme. Dans cette bataille des opinions, les démocraties ne doivent pas se montrer naïves.

Au début de la crise du Covid en mars 2020, l’ambassade de Chine à Paris, a fait un communiqué indiquant que la France laissait mourir ses personnes âgées dans les EPADH.

J’avais produit un rapport, et réclamé la mise en place d’une “force de réaction cyber”, seule capable de réagir et de lutter offensivement contre les ennemis de nos valeurs républicaines.

15 mois plus tard, l’agence nationale Viginum voyait le jour en France pour détecter les attaques informationnelles.

Viginum traque désormais les ingérences étrangères sur internet.

Il se révèle précieux pour affronter les modes opératoires de plus en plus sophistiqués observés à la veille des Jeux Olympiques.

Le 25 mars dernier, le département de la Justice américain a dévoilé un acte d’accusation, contre 7 ressortissants chinois appartenant au groupe de hackers APT31 qui rapporte directement au ministère chinois de la Sécurité d’État.

116 parlementaires, issus de 15 pays, dont je fais partie, ont été attaqués par un groupe de hackers APT31 qui rapporte directement au ministère chinois de la Sécurité d’État.

Je remercie les services du FBI et du département de la Justice pour leur action et de nous avoir informé.

Il s’agit clairement d’un acte de cyber-guerre, commis par une dictature 2.0.

À partir de cette semaine, dans le cadre de mes prérogatives en matière cyber, nous avons commencé le travail du sénat français afin d’évaluer ce qu’il convient désormais de faire lorsque notre pays est victime d’un acte de cyber-guerre.

Je remercie à nouveau Sébastien de m’avoir permis de réunir au sénat ce lundi, certains des participants pour partager leur regard et ouvrir la séquence des auditions suite à l’attaque APT31.

Allons-nous rester sans réagir ?

J’ai créé mon entreprise à 20 ans.
Mon entreprise a collaboré à la création de plusieurs systèmes d’armes et j’ai travaillé avec Roland Moreno, l’inventeur de la carte à puce.
Je disais alors autour de moi : votre présent est mon passé.

Depuis que je suis au Sénat, j’ai l’impression que je vis dans le passé de quelqu’un d’autre. Nous sommes toujours en réaction.

Nous subissons tellement d’attaques cyber que j’ai l’impression que nous sommes des punchings balls.
Nous sommes dépassés.
Les Chinois font des choses sur nos réseaux que nous observons, mais que nous ne comprenons pas.
Ils préparent une guerre. Ils sont déjà chez nous.

Chacun d’entre nous a des vulnérabilités.
Les pays démocratiques doivent reprendre l’initiative.

Mon oncle m’a appris à jouer aux échecs.
Lorsque j’avais 10 ans, chaque jour, nous allions acheter le journal pour analyser les parties du championnat du monde qui opposait Bobby Fisher à Boris Spassky.
Seul, face aux grands maîtres soviétiques, qui dominaient le monde des échecs depuis plusieurs décennies, Bobby a été imprévisible.
Il a trouvé les failles et l’a emporté.

Face à la Chine, nous devons suivre son inspiration et agir de même.

Depuis trop longtemps, nous ne répondons pas aux cyber attaques.

On nous argumente que ce serait l’escalade.

Le PCC n’a plus peur de nous.

Il voit les démocraties comme des systèmes faibles et prévisibles.

Nous devons les surprendre.

Une force de dissuasion cyber internationale doit être créée pour détruire la cyber muraille de Chine sur commande.

Pour bâtir cette force, il faut du courage politique, de la solidarité et retrouver l’inspiration d’Alan Turing et de Bobby Fisher.

Il faut comprendre qu’aucun pays démocratique, même les Etats-Unis n’ont la taille critique pour rivaliser seul face aux menaces de la Chine à présent.

Face à une Chine hyper centralisée, les démocraties apparaissent divisées.
La fragilité de notre édifice, vient d’une fragmentation des Etats, et d’une séparation entre les acteurs publics et privés.

L’UE a fait de grands pas vers l’unité en faisant émerger une Europe de la cyber souveraineté.
Même unie sur le sujet, l’UE n’aura pas la taille critique.

Les Etats-Unis prônent une cyber solidarité. Ils ont raison.

Et je veux remercier Phil Stupak, de la Maison Blanche pour tout le temps qu’il m’a consacré et la confiance qu’il m’a accordée.

Un partenariat fort entre les États-Unis et l’UE, mais également avec les entreprises privées doit s’opérer.

A Washington, les gens de Google m’ont confié. La Russie est plus grande que l’Ukraine. Sur internet, Google est plus puissant que la Russie.

AWS a fait ses preuves pour permettre à l’Ukraine d’être résiliente au début de l’invasion russe.

La collaboration US-UE, Public-privé, doit pouvoir s’opérer comme nous le faisons dans le nucléaire et commencer par exemple en partageant nos vulnérabilités réciproques en toute transparence.

Je remercie Daniel Le Coguic, président de l’ACN, d’avoir promu cette idée.

Pourquoi les membres de l’IPAC (Inter-Parliamentary Alliance on China) ont été attaqués ? Parce que Pékin nous craint.

Je pense que nous devons construire une alliance interparlementaire internationale du cyber pour accompagner et soutenir une politique de cyber solidarité.

Il n’y a pas de système qui n’a pas de vulnérabilité.

Il existe des moyens de détruire la cyber muraille de Chine… de l’intérieur… et de libérer les Chinois de cette dictature 2.0.

Le Parti communiste chinois annonce fièrement leur plan à long terme pour diriger le monde d’ici à 2049.

Les démocraties ont également un plan à long terme.

C’est d’empêcher les communistes chinois d’accomplir leur plan.

Je vous remercie.

VERSION originale en anglais

LPM : Sanctuarisation des moyens cyber et cyber-combattants – Vidéo Q/R (2m)

Je suis intervenu lors du débat sur le « Bilan de l’application des lois » au nom du groupe UC sur deux thèmes en lien avec la Loi de programmation militaire (LPM), le premier concernant les enjeux financiers et RH de la cyberdéfense.

Marie Lebec, ministre chargée des Relations avec le Parlement, m’a apporté des précisions.

Verbatim

Deux sujets concernant l’application de la LPM.

L’enveloppe de la LPM 2024-2030 prévoyait 4 milliards d’euros de besoins programmés pour le cyber, contre 1,6 milliard d’euros pour la LPM précédente.

Allez-vous clarifier l’échelonnement annuel de cette enveloppe de 4 milliards d’euros avant l’examen du projet de loi pour 2025 pour nous permettre de mesurer l’impact des réductions budgétaires sur le volet cyberdéfense de la LPM ?

Ces moyens seront-ils sanctuarisés du fait de la menace accrue des attaques cyber ?

Par ailleurs, la LPM a pour objectif d’atteindre 5000 cyber-combattants en 2025.

Nous avons remarqué que sur un total de 4 600 postes en 2023, seuls 3 502 postes étaient comptabilisés comme « armés », ce qui représentait en 2023 un déficit de près de 1100 emplois non pourvus.

Ces postes vont-ils être pourvus en 2024 ?

Revue de presse / Cyber-attaque contre les parlementaires par des hackers chinois

Alors que le président chinois Xi Jinping était reçu en France pour une visite d’État, j’ai initié une conférence de presse au Sénat, ce 6 mai, aux côtés de mes collègues parlementaires André Gattolin et Constance le Grip.

RAPPEL DES FAITS
. Le Département de la Justice américain a dévoilé un acte d’accusation, le 25 mars, contre 7 ressortissants chinois appartenant au groupe de hackers APT31 qui rapporte directement au ministère chinois de la Sécurité d’État.
. 116 parlementaires, issus de 15 pays, dont 7 Français, ont reçu en janvier 2021 des courriels de la part du groupe APT31 qui contenaient des images piégées (pixel attack), afin de collecter des informations concernant la victime.
. Les parlementaires ciblés, dont je fais partie, sont tous membres de l’Alliance interparlementaire sur la Chine (IPAC).
. Les parlementaires français n’ont été contactés ni par l’Anssi, ni par Viginum, ni par la DGSI, ni par la DGSE, alors que les renseignements américains disent avoir transmis des informations sur ce piratage aux autorités françaises dès 2022.

Voir la Conférence de presse du 6 mai 2024, au Sénat (Vidéo 1h15). LIEN
À l’occasion de la visite du Président XI Jinping en France, une conférence de presse a été organisée au Sénat, en direct sur les réseaux, en présence de
. Olivier Cadic, sénateur représentant les Français établis hors de France
. Constance Le Grip, députée des Hauts de Seine
. André Gattolin, ancien sénateur des Hauts de Seine

Lire la Déclaration commune des 7 parlementaires français. LIEN
À l’issue de la conférence de presse, sept parlementaires français visés par la cyber-attaque du groupe APT31 ont diffusé une déclaration commune, en interpellant le gouvernement sur 5 points.

. Olivier Cadic, sénateur représentant les Français établis hors de France
. Isabelle Florennes, sénatrice des Hauts-de-Seine
. André Gattolin, ancien sénateur des Hauts de Seine
. Anne Genetet, députée de la 11e circonscription des Français établis hors de France
. Bernard Jomier, sénateur de Paris
. Constance Le Grip, députée des Hauts de Seine
. André Vallini, ancien sénateur de l’Isère

Voir ma Question d’actualité au gouvernement, le 30 avril 2024 (Vidéo Q/R 3’40). LIEN
Face à “un acte de cyber-guerre, commis par une dictature 2.0”, j’ai voulu connaitre les mesures mises en place par le gouvernement pour contrer les attaques du groupe chinois APT31. A ce jour, seuls trois états, les États-Unis, le Royaume-Uni et la Nouvelle-Zélande ont attribué ces attaques à APT31.

REVUE DE PRESSE

Le Monde (12 mai 2024) : “Des parlementaires français ciblés par des espions chinois”. Lien

France Info (07 mai 2024) : “Ce que l’on sait de la cyberattaque qui a visé plusieurs élus français, attribuée au groupe de pirates chinois APT31”. Lien

BFM (07 mai 2024) : “Il y a eu une négligence : visé par une cyberattaque, un sénateur dénonce l’inaction des instances”. Lien

The Epoch Times (07 mai 2024) : “Les 7 parlementaires français hackés par la Chine réclament enquêtes et sanctions « pour ingérences étrangères »”. Lien

NTD (07 mai 2024) : “We Need to Make China’s Cyberwall Collapse: French Senator Calls for Global Cyber Defense”. Lien

The Sun (07 mai 2024) : “China has Britain under a cybersiege – so why are we so soft on them?”. Lien

Lesfrancais.press (07 mai 2024) : “Xi en France : les droits humains sacrifiés sur l’autel des autres enjeux ?”. Lien

01Net (07 mai 2024) : “Manque de moyens, d’informations… Les parlementaires français démunis face aux cyberattaques de la Chine”. Lien

Politico (06 mai 2024) : “French lawmakers targeted by Chinese cyberattack demand sanctions, amid Xi visit”. Lien

LCI (06 mai 2024) : “Xi Jinping en France : Une visite loin du faste de 2014 ?”. Vidéo

Le Point (07 mai 2024) : “Visite de Xi Jinping : colère des sept élus hackés par les Chinois”. Lien

Blick (07 mai 2024) : “La Chine est-elle invulnérable ? Non, si on sait lui résister”. Lien

France5 (06 mai 2024) : “Xi Jinping / Poutine… Les liaisons dangereuses”. Lien

Public Sénat (06 mai 2024) : “Cyberattaques : Les parlementaires victimes appellent à « ouvrir une enquête judiciaire pour ingérences étrangères » à l’encontre de la Chine”. Lien

Europe1 (06 mai 2024) : “François-Xavier Bellamy va déposer plainte après une tentative de cyberattaque chinoise”. Lien

France24 (06 mai 2024) : “Débat sur la visite de Xi Jinping à Paris”. Podcast

Le Monde (05 mai 2024) : “L’Ukraine et le commerce au cœur de la visite de Xi en Europe”. Lien

The Epoch Times (05 mai 2024) : “Le sénateur Olivier Cadic sur le rapatriement forcé de dissidents chinois : Ces activités du PCC en France tombent sous le coup de la loi française”. Lien

Libération (03 mai 2024) : “Espionnage : Ciblés par des cyberattaques chinoises, des parlementaires français prennent le sujet hackeur”. Lien

Le Monde (03 mai 2024) : “Avant la visite de Xi Jinping en France, l’épineuse question des droits humains”. Lien

L’Orient (03 mai 2024) : “Victimes de cyberattaques attribuées à la Chine, des parlementaires français s’inquiètent”. Lien

Politico (27 mars 2024) : “La Chine a ciblé les parlementaires européens avec des cyberattaques, selon Washington”. Lien

Médias – « Manque de moyens, d’informations… Les parlementaires français démunis face aux cyberattaques de la Chine » (01Net – 07/05/2024)

01Net relaie les informations publiées par Challenges et Politico qui rapportent que sept parlementaires français, dont je fais partie, et un parlementaire européen, candidat aux Européennes, ont été victimes de hackers liés au gouvernement chinois, selon le FBI.

Des élus qui souhaitent être davantage protégés contre les hackeurs, déplorant un manque d’informations et de moyens, résume la journaliste Stéphanie Bascou.

Lire l’article sur le site de 01Net : Manque de moyens, d’informations… Les parlementaires français démunis face aux cyberattaques de la Chine

EXTRAITS :

Pour André Gattolin, l’ancien sénateur de l’Isère, « les moyens dont nous disposons sont insuffisants au regard des attaques, avec la France qui est le premier pays en Europe le plus touché par les cyberattaques, et le quatrième pays au monde. Nous sommes en dessous du seuil minimal critique pour répondre aux attaques ».

Un point de vue partagé par Olivier Cadic pendant la conférence. « Avons-nous les moyens de combattre face à un tel niveau d’attaques ? Les organismes publics seuls n’ont pas les moyens d’y faire face. Il va falloir travailler autrement, penser différemment, en incluant le privé ». Car les hackeurs « ont des forces supérieures aux nôtres », a-t-il ajouté, appelant à davantage de coopération au niveau européen et international. […]

« Nous n’acceptons pas d’être attaqués depuis Pékin parce que nous exprimons une opinion et nous défendons une vision de la démocratie et des droits humains », a insisté Olivier Cadic, sénateur qui représente les Français à l’étranger.

Lire l’article sur le site de 01Net : Manque de moyens, d’informations… Les parlementaires français démunis face aux cyberattaques de la Chine

Médias – « Visite de Xi Jinping : colère des sept élus hackés par les Chinois » (Le Point – 07/05/2024)

Merci à Jérémy André (Le Point) d’avoir fait écho, dans son article, à l’opération d’espionnage informatique révélée fin mars par le FBI à l’encontre des parlementaires de l’IPAC, Alliance interparlementaire sur la Chine. Il contribue à lever cette « loi du silence » dont parle mon collègue André Gattolin, également victime des hackers chinois.

EXTRAITS :

« Nous ne pouvons pas permettre qu’une telle campagne de cyberattaques contre des représentants élus par le peuple français reste sans réponse solide et proportionnée », a tapé du poing sur la table Olivier Cadic, qui préside la section française de l’IPAC. Et de lister ensuite les exigences des représentants de la nation : « imposer des sanctions », toujours informer les parlementaires en cas d’attaque, ouvrir une enquête parlementaire et « une enquête judiciaire pour ingérences étrangères ». À quelques heures du dîner d’État où Emmanuel Macron recevait en grande pompe le secrétaire général du Parti communiste chinois, la déclaration sonnait comme un ultimatum. […]

De fait, dans le cas de la France, en ciblant les membres de l’IPAC, les hackers chinois ont visé précisément les parlementaires les plus en pointe sur la Chine. Olivier Cadic est un fer de lance des voyages à Taïwan et des dossiers de cybersécurité

Lire l’article sur le site du Point Visite de Xi Jinping : colère des sept élus hackés par les Chinois

Médias – « Cyberattaques : Les parlementaires victimes appellent à « ouvrir une enquête judiciaire pour ingérences étrangères » à l’encontre de la Chine » (Public Sénat – 06/05/2024)

Le 25 mars dernier, le ministère de la justice américain a dévoilé un acte d’accusation contre 7 hackers chinois appartenant au groupe APT31, une entité liée au puissant ministère de la Sécurité chinois.

Merci à Alexis Graillot de Public Sénat d’avoir rendu compte de la conférence de presse organisée le 6 mai au Sénat (compte-rendu)

EXTRAITS :

Tançant un « acte de cyberguerre, excessivement grave, à grande échelle », Olivier Cadic précise que « cela ne restera pas sans suite ». « Nous devons développer une nouvelle doctrine. Je ne crois pas qu’un pays seul ait la taille critique pour lutter contre la Chine, ni l’Europe seule, ni les Etats-Unis seuls. Je crois qu’il faut une cyber-solidarité », lance le sénateur […]

Visant à « comprendre les raisons de cette action et savoir si le gouvernement était au courant ». A cet égard, Olivier Cadic annonce la création d’une mission d’information au Sénat sur le sujet à partir du mois de juin. […]

« Tout ce que nous faisons ce n’est pas téléguidé contre le peuple chinois. Notre action est de défendre l’esprit des lumières et les droits humains », rappelle Olivier Cadic

Lire l’article sur le site de Public Sénat : Cyberattaques : Les parlementaires victimes appellent à « ouvrir une enquête judiciaire pour ingérences étrangères » à l’encontre de la Chine

Médias – « François-Xavier Bellamy va déposer plainte après une tentative de cyberattaque chinoise » (Europe1– 06/05/2024)

L’eurodéputé François-Xavier Bellamy, tête de liste LR pour les élections européennes, a annoncé lundi à l’AFP le dépôt d’une plainte après qu’il a fait l’objet d’une tentative de cyberattaque d’un groupe de hackeurs baptisé APT31, que plusieurs pays, considèrent lié au gouvernement chinois.

D’autres parlementaires, dont je fais partie, ont été visés. Tous sont membres de l’alliance interparlementaire sur la Chine (IPAC).

Lire l’article sur le site Europe1 François-Xavier Bellamy va déposer plainte après une tentative de cyberattaque chinoise

EXTRAIT :

Le sénateur centriste Olivier Cadic et six autres parlementaires français ont ainsi affirmé avoir fait l’objet en janvier 2021 de mails toxiques. La plupart, comme François-Xavier Bellamy, n’ont découvert l’existence de cette attaque qu’à la fin du mois de mars 2024, lorsque le ministère américain de la Justice a publié un acte d’accusation inculpant sept Chinois pour une “prolifique opération de piratage informatique à l’échelle mondiale”. Seraient concernés, notamment, plusieurs centaines de comptes liés à l’IPAC, attaqués en janvier 2021.

Lire l’article sur le site Europe1 François-Xavier Bellamy va déposer plainte après une tentative de cyberattaque chinoise

Médias – « Espionnage : Ciblés par des cyberattaques chinoises, des parlementaires français prennent le sujet hackeur » (Libération – 03/05/2024)

Entretien par Arnaud Vaulerin (Libération) au sujet des sept parlementaires français, dont je fais partie, qui ont été la cible d’une cyber-attaque commanditée par l’État chinois.

Au total, cette attaque a visé 116 parlementaires issus de 15 pays, tous membres de l’IPAC, l’Alliance interparlementaire sur la Chine.

Lire l’article sur le site Libération : Espionnage : Ciblés par des cyberattaques chinoises, des parlementaires français prennent le sujet hackeur

EXTRAIT :

«Dictature 2.0»

Olivier Cadic a «mal pris» d’avoir été laissé dans l’ignorance de l’attaque. Sénateur représentant les Français établis hors de France (groupe union centriste), il a lui aussi été victime d’APT31, même s’il reconnaît n’avoir que des informations parcellaires. «Le Parlement est attaqué, il doit se défendre, réagit Cadic, qui n’envisage pas une action en justice. Il appartient aux parlementaires de se saisir, de lancer leur investigation. Vu que le gouvernement ne m’a pas averti, j’entends aller au bout pour comprendre ce qui s’est passé, pourquoi l’information a-t-elle été tue et répondre à ceux qui nous attaquent, qui sont prêts à tout pour nous intimider

Lundi, lors des questions au gouvernement, le sénateur Cadic, également membre de l’Ipac, a posé une série de questions au ministre des Armées. «Face à un acte de cyberguerre commis par une dictature 2.0, […] quelles sont les mesures mises en place pour contrer les attaques d’APT31 ? Allez-vous demander l’ouverture d’une enquête et que prévoyez-vous pour renforcer l’assistance aux parlementaires ?» La porte-parole du gouvernement, Prisca Thevenot, n’a pas épilogué au-delà du «suivi particulier d’APT31 par l’Anssi et les investigations sur le plan national». Bernard Jomier : «Cette réponse n’est pas du tout au niveau de l’importance de l’attaque. Est-ce parce qu’il ne faut pas faire de vague avant la venue de Xi Jinping en France ?»

Lire l’article sur le site Libération : Espionnage : Ciblés par des cyberattaques chinoises, des parlementaires français prennent le sujet hackeur

Conférence de Presse : Cyber-attaque contre les parlementaires par des hackers chinois

Conférence de presse, 6 mai 2024, au Sénat.

Olivier Cadic, sénateur représentant les Français établis hors de France
Constance Le Grip, députée des Hauts de Seine
André Gattolin, ancien sénateur des Hauts de Seine

Voir la conférence (1h15) :

À l’occasion de la visite du Président XI Jinping en France, les sept parlementaires français visés par la cyber-attaque du groupe APT31, ont fait cette déclaration commune :

DÉCLARATION COMMUNE

Cyber-attaque contre les parlementaires par le groupe de hackers chinois APT31

Comme pour nos collègues internationaux de l’IPAC, il est désormais confirmé que nous sommes 7 parlementaires français à avoir été la cible d’une cyber attaque commanditée par l’État chinois au début de l’année 2021.

Il ne s’agissait pas d’une attaque contre un parti politique ou un pays en particulier.

Cette attaque visait 116 parlementaires issus de 15 pays, tous membres de l’IPAC, l’Alliance interparlementaire sur la Chine, appartenant à différents horizons politiques, qui suivent attentivement sans complaisance les actions du régime de Pékin et du parti communiste chinois.

Nous tenons donc à condamner d’une seule voix ces actions qui touchent au cœur des valeurs démocratiques qui nous unissent au-delà de nos couleurs partisanes.

Au cours de la dernière décennie, la Chine s’est montrée de plus en plus disposée à s’ingérer dans les systèmes politiques d’autres pays, y compris le nôtre.

Trop souvent, ses actes malveillants sont restés sans réponse.

Nous ne pouvons pas permettre qu’une telle campagne de cyberattaques contre des représentants élus par le peuple français reste sans réponse solide et proportionnée.

Nous demandons donc au gouvernement ce qui suit :

1. Attribuer formellement ces attaques à APT31, comme l’ont déjà fait les États-Unis, le Royaume-Uni et la Nouvelle-Zélande.

2. Imposer des sanctions (gel de fonds et interdictions de territoire) aux hackers d’APT31 nommés dans l’acte d’inculpation dévoilé par la Justice aux États-Unis le 25 mars dernier.

3. Donner l’assurance aux parlementaires français qu’ils seront informés en temps utile en cas d’attaque parrainée par un État.

4. Renforcer rapidement l’assistance aux parlementaires en matière de cybersécurité.

5. Ouvrir une enquête judiciaire pour ingérences étrangères.

Les services de renseignements chinois pensaient nous intimider, mais ils ne nous feront jamais taire : nous resterons déterminés à défendre les valeurs démocratiques et les droits humains en France et dans le monde.

Signataires :

Olivier Cadic, sénateur représentant les Français établis hors de France
Isabelle Florennes, sénatrice des Hauts-de-Seine
André Gattolin, ancien sénateur des Hauts de Seine
Anne Genetet, députée de la 11e circonscription des Français établis hors de France
Bernard Jomier, sénateur de Paris
Constance Le Grip, députée des Hauts de Seine
André Vallini, ancien sénateur de l’Isère