Un pentesteur raconte à quoi ressemblent les attaques réelles, les tests d’intrusion et la manipulation en ligne. Une campagne bien préparée piège aussi les utilisateurs avertis : la cybersécurité n’est plus seulement l’affaire de la DSI.
Nous n’y sommes pas allés en spectateurs : notre équipe était sur scène et animait des ateliers. Notre compte rendu revient sur les missions Red Team, la sécurité des applications mobiles et ce que nous y avons montré.
Devant les étudiants de la STU FEI, j’ai montré des vulnérabilités PHP et expliqué comment les éviter par un développement sécurisé. Nous avons analysé des exploits réels et rejoué des attaques en direct, pour que le risque reste concret. Une application se sécurise pendant l’écriture du code, pas après la mise en production.
Dans le podcast Buzzworld, nous avons parlé de sécurité offensive, de CVE et de failles dans les systèmes bancaires – avec l’humour qu’il faut. Il a aussi été question de la façon dont raisonne un attaquant et des raisons pour lesquelles la défense doit suivre les menaces. La cybersécurité gagne à être racontée simplement.
Dans cet épisode, j’explique où s’arrête la curiosité et où commence l’atteinte à un système de traitement automatisé de données (articles 323-1 et suivants du code pénal) : sans mandat écrit, il n’y a pas de test. Nous parlons aussi de ce que valent les certifications et de la bonne manière de signaler une vulnérabilité. La sécurité offensive sert à défendre, pas à exploiter les erreurs des autres.
Retours clients
