Cybersécurité : qu’est-ce que le « bug bounty », ce système que l’État veut mettre en place afin d’éviter de nouveaux piratages ?

• Après le piratage du fisc, le gouvernement a annoncé des solutions d’urgence, dont le recours au système de « bug bounty ».
• Cette méthode consiste à faire appel à des hackers éthiques pour découvrir des vulnérabilités en échange du versement d’une somme d’argent.
• Pour en savoir plus, TF1info a interrogé Rodolphe Harand, directeur associé de Yes We Hack, une start-up française spécialisée dans la « prime à la faille ».

Le ministre de l’Action et des Comptes publics, David Amiel, a présenté, mardi 18 août, les « excuses » du gouvernement pour le piratage qu’a subi la Direction générale des finances publiques (DGFiP), qui a conduit au vol des données personnelles de près de 700.000 usagers (nouvelle fenêtre). Le ministre a évoqué lors de la conférence de presse des « mesures d’urgence » dont le recours à des opérations de « hacking éthique pour détecter nos vulnérabilités plus vite ». Connue sous le nom de « bug bounty » (prime à la faille), cette méthode consiste à rémunérer des hackers éthiques pour découvrir des failles au sein d’un système informatique avant que de vrais cybercriminels ne les exploitent. Comparable à un crash test, le « Bug Bounty » a fait ses preuves. 

« C’est ce qu’il y a de plus efficace pour protéger tout ce qui est accessible en ligne, que ce soit un site web ou une application. C’est comme si vous aviez des vrais hackers qui tenteraient de vous attaquer », explique à TF1info Rodolphe Harand, directeur associé de Yes We Hack, une start-up française spécialisée dans le « bug bounty ». Car les hackers éthiques, à la différence des cyber-escrocs, ne cherchent pas à exploiter leurs découvertes à mauvais escient ou pour leur propre compte. « Ce sont des personnes qui ont des compétences en hacking, mais qui les mettent au service du bien et non pas à des fins criminelles », reprend Rodolphe Harand.

Certains arrivent à en faire leur activité principale, mais la plupart font ça la nuit et le week-end à côté de leur métier.

Rodolphe Harand, directeur associé de Yes We Hack

Depuis dix ans, l’entreprise Yes We Hack organise des campagnes de recherche de vulnérabilités à la demande de clients privés ou publics. Elle compte parmi ses clients des gouvernements, des grandes banques ou encore des géants des télécoms. Les « hunters » (les chercheurs) touchent une prime en contrepartie dès qu’ils repèrent une vulnérabilité. « La prime moyenne sur la plateforme, c’est environ 500 euros. Mais, dans certains cas, le montant peut atteindre jusqu’à 150.000 euros », souligne le directeur de Yes We Hack. Actuellement, la plus grosse prime disponible sur la plateforme Yes We Hack concerne la sécurité de la plateforme de votation électronique de la Confédération helvétique. 

« Là, il s’agit de changer un vote. C’est très compliqué à réaliser techniquement. De plus, l’enjeu serait critique pour le pays. Et donc, la prime est beaucoup plus élevée », souligne le directeur de Yes We Hack. Au total, non moins de 150.000 hackers éthiques œuvrent pour le compte de Yes We Hack à travers le monde. « Certains arrivent à en faire leur activité principale, mais la plupart font ça la nuit et le week-end à côté de leur métier. Et on a aussi beaucoup d’étudiants qui font ça pour financer leurs études ou bien pour améliorer leurs compétences. Et donc, c’est ça aussi la force du modèle, la diversité des profils », explique Rodolphe Harand. 

Des « chasseurs de primes numériques »

Clément Domingo, alias SaXx, a fait de ce piratage légal sa spécialité. « C’est un peu comme au XIXᵉ siècle dans le Far West, à l’époque des shérifs et des saloons. À cette période, il y avait des avis de recherche de fugitifs, avec « Wanted » inscrit dessus et le prix alloué à celui qui le retrouvera. Le « bug bounty », c’est pareil : on est un peu des ‘chasseurs de primes numériques' », déclarait en 2023 (nouvelle fenêtre) cet ingénieur en cybersécurité devant une caméra de TF1. Selon ce spécialiste, le « hacking éthique » constitue un excellent moyen d’améliorer la sécurité informatique de nombreux acteurs sur le web.

« Chaque vulnérabilité qui est corrigée, c’est un risque d’attaque en moins », reprend Rodolphe Harand. « Si vous êtes par exemple une entreprise de service numérique, comme Uber ou Airbnb, que quelqu’un arrive à faire tomber votre site internet et qu’il n’est plus accessible pendant plusieurs minutes ou plusieurs heures, il y a un coût financier direct qui peut être énorme. Et puis, il y a des coûts supplémentaires, comme des amendes si des données personnelles ont été compromises. Il y a aussi un risque pour la réputation, une perte de confiance qui peut conduire à un dévissage du cours de bourse », décrit le directeur de Yes We Hack. 

Un système de « bug bounty » aurait-il pu permettre d’empêcher le piratage de la DGFiP ? Probablement pas. « Dans le cas du piratage de la DGFiP, les hackers ont volé les identifiants d’un employé pour s’introduire dans le système informatique. Cela ne protège pas des attaques indirectes, comme lorsqu’il y a un facteur humain qui entre en jeu », reconnaît le directeur de Yes We Hack. Parmi les autres « mesures d’urgence », l’exécutif a aussi évoqué la généralisation de la double authentification ou encore l’utilisation de l’intelligence artificielle afin de repérer plus rapidement les intrusions. La DGFiP avait déclaré le 14 août avoir fait l’objet de deux intrusions, survenues fin juin et fin juillet. Mardi 18 août, le fisc a confirmé une « troisième fuite ».