Le gouvernement français a fait appel à des hackers «éthiques» pour tester la sécurité du site MaProcuration.gouv.fr, qui permet de pré-remplir une demande de procuration électorale, a indiqué la start-up choisie.
Des failles ont été détectées mais «ni nombreuses ni critiques», selon le ministère de l’Intérieur cité par la start-up française Yogosha sur LinkedIn. Sollicité, le ministère n’était pas disponible pour commenter cette information. Le site Maprocuration, crée en 2021, permet d’effectuer en ligne de premières démarches après une authentification sur le site FranceConnect. Il faut ensuite se rendre dans une gendarmerie, un commissariat ou un consulat pour prouver son identité.MaProcuration.gouv.fr traite donc des données personnelles très recherchées par les pirates, d’où la décision du ministère de tester sa résistance à des tentatives de vol des données.
Le ministère a organisé avec Yogosha pendant deux mois un «bug bounty», une chasse aux failles de sécurité. Le principe est de faire appel à des hackers éthiques sélectionnés pour identifier les risques. Si un hacker découvre une vulnérabilité, il reçoit une prime. Sinon, les organisations n’ont rien à débourser, a expliqué Yogosha. Yogosha, plateforme spécialisée dans ces «bug bounty», s’appuie sur une communauté de hackers éthiques indépendants. Les entreprises et organisations font de plus en plus appel à ces services dit de «hacking éthique» ou «redteam», où des experts prennent le rôle de cyberattaquants.
«Pour nous, le bug bounty a vraiment été complémentaire des autres tests de sécurité et nous a permis de découvrir plusieurs failles, qui n’avaient pas été vues auparavant dans l’application. Cela dit, les failles n’étaient ni nombreuses, ni critiques, ce qui démontre que nous avions travaillé sérieusement», a précisé un responsable du ministère, cité par Yogosha. «L’audace dont ont fait preuve les équipes MaProcuration à faire confiance à des hackers éthiques marque un vrai changement de paradigme dans l’approche de la sécurisation des systèmes d’information, même les plus sensibles.
L’expérience de cette campagne m’a permis de découvrir un nouveau champ des risques cyber liés à des problématiques régaliennes», a commenté Mathieu Bouvet, l’un des responsables de Yogosha. La société a précisé travailler régulièrement avec l’administration française.
