Invité à l’émission Sur le vif d’ICI Première, le Dr Mario Malouin, professeur à l’UQO et codirecteur du Centre interdisciplinaire de recherche et d’innovation en cybersécurité et société (CIRICS), a fait le point sur les réalités concrètes des cybermenaces. Tout juste de retour de Rabat où il a animé le panel ministériel du Forum africain de la cybersécurité, le chercheur responsable du volet « Organisation » a rappelé la mission fondamentale du CIRICS : la cybersécurité ne relève pas uniquement de l’ingénierie et de l’informatique, mais constitue avant tout un enjeu humain, organisationnel et sociétal soutenu par les Fonds de recherche du Québec.

Loin de l’image dépassée du pirate solitaire œuvrant dans un sous-sol, la cybercriminalité s’impose aujourd’hui comme une véritable économie de marché organisée et accessible. Comme l’illustre la récente cyberattaque ayant visé la Commission de la construction du Québec (CCQ) et touché près de 350 000 personnes, ces opérations reposent sur une offre de services criminels en plein essor. Avec des coûts mondiaux atteignant 10 500 milliards $ US — soit l’équivalent de la troisième puissance économique mondiale —, des outils d’attaque louables pour à peine 50 $ par mois et une quasi-impunité juridique, l’écart béant entre le faible coût d’entrée pour les attaquants et les dépenses subies par les victimes finance toute cette industrie.

Face à cette menace, le facteur humain demeure le point de rupture prédominant. Thèse centrale de son livre à paraître, La Faille, Mario Malouin rappelle que « l’on ne pirate pas les systèmes, on pirate les gens », les attaquants exploitant nos réflexes cognitifs, la confiance ou le sentiment d’urgence. D’ailleurs, selon Verizon, les comportements humains interviennent dans 62 % des violations, et une part importante du danger provient de l’intérieur de l’organisation — par maladresse ou malveillance, à l’instar de la fuite historique chez Desjardins — ainsi que de fournisseurs tiers vulnérables.

Pourtant, un sous-investissement chronique persiste, particulièrement au sein des petites et moyennes entreprises. Alors que les petites organisations représentent 96 % des cibles d’attaques par rançongiciel selon Verizon, seulement 48 % des PME canadiennes se considèrent vulnérables en raison du biais d’optimisme et du paradoxe de la prévention. Beaucoup de dirigeants voient la sécurité comme une dépense sans retour sur investissement direct et relèguent ces budgets au second plan, sans gouvernance ni imputabilité claire.

Pour y remédier, le chercheur recommande de développer une rigoureuse hygiène numérique partagée par tous les employés et de miser sur le concept de résilience opérationnelle, notamment en définissant sa « Minimum Viable Company » pour sécuriser en priorité les activités vitales au lendemain d’une crise. En conclusion, Mario Malouin a résumé l’impératif qui guide les travaux du CIRICS : puisque le crime s’est organisé comme une industrie, les organisations doivent impérativement s’organiser pour apprendre plus vite que lui.

Pour réécouter l’entrevue intégrale, consultez le segment Nouvelles technologies avec Mario Malouin : Démystifier la cybercriminalité sur la plateforme Radio-Canada OHdio.