Réponses Quiz - Vrai ou Faux ? Teste tes connaissances en Cyber !

‍Le whale-phishing (ou chasse à la baleine) est une forme ciblée de phishing qui vise spécifiquement les hauts dirigeants - VRAI

Le whale-phishing (ou « whaling ») est une forme de phishing ultra-ciblée qui s’attaque aux « baleines » d’une organisation : PDG, CFO, CIO, directeurs financiers ou responsables IT, c’est-à-dire toute personne disposant de privilèges critiques ou d’un pouvoir de signature. La compromission d’un seul de ces comptes peut offrir à l’attaquant un accès très large à l'organisation !

Les grandes entreprises et les institutions publiques sont les principales victimes des cyberattaques - FAUX

Les attaques contre les grandes entreprises et les institutions publiques (hôpitaux, mairies etc) font très souvent la une des médias, faussant notre perception de la réalité. Car dans les faits, les structures les plus petites, en particulier les PME, sont les principales victimes des cybercriminels d’après les statistiques sur les cyberattaques.

Les cybercriminels profitent du fait que ces structures sont souvent moins bien protégées, moins formées et disposent de moins de ressources pour se défendre.

La triade "CIA" (Confidentialité, Intégrité, Disponibilité) est un concept fondamental pour construire une infrastructure sécurisée - VRAI

La triade CIA est la pierre angulaire de toute stratégie en cybersécurité : la confidentialité vise à empêcher l’accès non autorisé aux données ; l’intégrité garantit que les données ne sont pas modifiées de manière illicite ; la disponibilité assure que les informations et services restent accessibles aux utilisateurs autorisés.

Toute politique de sécurité, tout choix d’outil ou de procédure doit être pensé pour répondre à ces trois exigences, afin de limiter les risques d’attaque tout en permettant aux équipes de travailler dans les meilleures conditions.

Un expert en cybersécurité doit connaître aussi bien les différentes vulnérabilités que les réglementations et normes du marché (RGPD ou ISO 27001) - VRAI

Le travail d’un expert en cybersécurité ne se limite pas aux aspects techniques : il doit savoir identifier et corriger les vulnérabilités mais aussi maîtriser les cadres réglementaires comme le RGPD (protection des données personnelles) ou les normes ISO (gestion de la sécurité de l’information).

Cette double compétence est essentielle pour protéger efficacement une organisation tout en respectant le cadre légal, et contractuel (de nombreuses entreprises imposent des normes cyber très strictes à leurs prestataires).

Creeper, le premier virus de l'histoire, était complètement inoffensif et se contentait d'afficher le message "Catch me if you can!" - VRAI

Creeper, créé en 1971, est considéré comme le premier virus informatique. Il ne détruisait ni ne volait de données  mais il se contentait de se propager d’un ordinateur à l’autre sur ARPANET (l’ancêtre d’Internet) et d’afficher un message humoristique : “I’m the Creeper, catch me if you can !”.

Cela montre que les premiers virus étaient souvent des expérimentations, bien loin des menaces destructrices d’aujourd’hui comme les ransomwares.

Un pentest réalisé en « boîte noire » signifie que les pentesters ne disposent d’aucune information interne préalable sur la cible - VRAI

Un pentest ou test d’intrusion en français consiste à simule une attaque sur une infrastructure, pour identifier et corriger les vulnérabilités avant qu'un hacker ne le fasse. Lorsqu'il est réalisé en "boîte noire", les hackers éthiques n’ont aucune information privilégiée sur la cible : ni schéma réseau, ni identifiants, ni documentation interne.

Cela permet d’épouvrer la sécurité d’une infrastructure exactement comme le ferait un hacker extérieur, et d’identifier les failles accessibles depuis l’extérieur. Ce type de test complète les audits “boîte blanche” (où tout est connu) et “boîte grise” (accès partiel).

On peut travailler dans la cybersécurité sans mettre les mains dans le code et “bidouiller” sa machine - FAUX

Même si certains métiers de la cybersécurité (notamment en GRC :  gouvernance, gestion des risques et conformité) sont moins techniques, la majorité des postes requièrent une bonne maîtrise des systèmes informatiques et des réseaux.

Savoir “bidouiller” sa machine, faire des configs, lire du code ou analyser des logs sont des compétences essentielles. En résumé, pour travailler dans la cybersécurité en dehors de certains métiers très réglementaires, il faut aimer un minimum mettre les mains de la cambouis et avoir un petit côté geek.

En 1990, le hacker Kevin Poulsen a remporté une Porsche en piratant les lignes téléphoniques d’une radio - VRAI

Kevin Poulsen, alias “Dark Dante”, est l’un des premiers hackers à s’être fait connaître du grand public. Notamment pour l’un de ses faits d’armes : il a manipulé le système téléphonique d’une radio de Los Angeles pour s’assurer d’être l’appelant gagnant lors d’un concours dont le prix était une Porsche.

Cette attaque l’a rendu célèbre car elle illustre très bien la créativité et l’audace des hackers, mais aussi l’étendu des systèmes informatiques à la merci des hackers. Après son arrestation et sa condamnation, Poulsen est devenu journaliste spécialisé en cybersécurité.

L'OSINT est un protocole de chiffrement utilisé par de nombreux cybercriminels pour anonymiser leurs échanges - FAUX

L’OSINT n’a aucun lien avec le chiffrement : l’acronyme signifie Open Source Intelligence. Très prisée en cybersécurité, cette discipline est utilisée aussi bien par les pentesters pour cartographier la surface d’attaque d’une organisation, que par des cybercriminels pour préparer leurs attaques.

Concrètement, l’OSINT englobe l’ensemble des techniques de collecte, de corrélation et d’analyse d’informations librement accessibles : sites web, réseaux sociaux, registres publics, bases de données ouvertes, journaux officiels, fuites de données, etc. L’objectif est de transformer ce flot de données publiques en un renseignement facilement exploitable.

La maîtrise d’un seul système d’exploitation (comme Windows) suffit pour travailler dans la cybersécurité - FAUX

L’infrastructure informatique d’une entreprise est souvent très hétérogène : serveurs Linux, ordinateurs tournant sur Windows (et macOS pour certaines équipes), objets connectés sous divers systèmes d’exploitation.

Pour faire son travail, un professionnel de la cybersécurité doit donc absolument comprendre et savoir sécuriser plusieurs systèmes d’exploitation différents. Plus qu’un atout, la polyvalence technique est un vrai pré-requis dans ce secteur.