Les « Anonymous » ont dévoilé récemment une liste de comptes emails gouvernementaux de plusieurs pays arabes avec les mots de passes respectifs. Ces mots de passe circulent sur la toile via les réseaux sociaux et est largement commenté par la communauté numérique Marocaine.

L’attaque en soit n’est pas étonnante, le groupe anonymous étant connu pour ces cyber-attaques, ce qui n’est pas normal par contre, c’est la simplicité affligeante des mots de passes utilisés pour ces comptes (et aucun pays arabe n’y échappe).

Pour vous donner une idée, voici quelque exemples de mots de passes utilisés : azerty, querty, 01234, azazazaz, 1975 … bref tout ce qu’il ne FAUT PAS FAIRE en terme de sécurité.

La question que je me pose est : est-ce que le Maroc prend au sérieux la menace numérique au moment ou il mène une compagne nationale pour tout numériser ? (Dans le cadre du plan Maroc numéric 2013)

Si c’est le cas, ou sont les responsables de la sécurité numérique au Maroc ? il est pourtant simple d’imposer les bonnes pratiques de sécurité dans les mot de passe ! C’est un minimum vital.

Il ne faut pas faire confiance à l’humain dans la sécurité informatique car il choisira le moyen le plus simple pour ouvrir son compte !

Je me souviens d’une anecdote chez un client, ou on a du interdire de laisser tout support papier sur les bureaux en dehors des horaires de travail, et pour cause, certains employés ont eu l’idée brillante de noter leurs mots de passes dans un post’It collé sous le clavier …

De mon humble expérience j’ai pu résumer la sécurité informatique en deux points.

Première leçon de la sécurité informatique :

C’est celle qu’on apprend au début de toute formation dédiée à la sécurité informatique : La sécurité d’un système informatique aussi robuste soit-il est égale au maillon le plus faible de ce système !

En d’autres termes, vous avez beau sécuriser votre système et votre réseau par les technologies de dernière génération, suffit de pénétrer une seule machine du réseau pour faire tomber tout le système.

Deuxième (et dernière) leçon en sécurité informatique :

L’investissement et la sécurisation d’un système informatique ne sert à rien … jusqu’au jour ou l’on se fait pirater.

Explication : beaucoup de DSI dans les domaines privés et publiques rognent sur les budgets de sécurité et négligent l’utilité de former les utilisateurs du réseau croyant être à l’abri, pour cela ils raisonnent par absurde : on ne s’est pas fait piraté jusqu’aujourd’hui, donc il n y a pas de raison pour qu’on se fasse pirater demain.  Un raisonnement qui marche et qui permet d’économiser beaucoup, les budgets de la sécurité étant considérable … mais le jour ou le système est compromis (et ce jour vient tôt ou tard) bonjour les dégâts ! en général l’argent dépensé pour remettre le système en marche est largement supérieur à l’économie faite sur la protection en amont.

Ces deux leçons suffisent sont nécessaires (mais pas suffisantes) à un responsable de sécurité, car tant qu’on n’a pas subi d’avertissement/échec, on se croit protégé (par une force divine ? ) … le jours de la désillusion arrive, on finit par comprendre qu’il faut prendre toutes les mesures possibles et prier 🙂

Aussi, la sécurité n’est pas seulement d’installer un anti-virus qui coute un bras, ou de mettre en place un système de backup (dont on n’a jamais testé le restaure) … la sécurité c’est avant tout une veille permanente,  et une sensibilisation à tous les niveaux.

Espérons que les responsables de la sécurité informatique nationale tireront les leçons de cette attaque et vérifieront sans plus tarder les systèmes concernés en commençant par changer TOUS les mots de passes utilisateurs, car ce qui a été révélé par Anonymous peut n’être qu’un échantillon de leur récolte.