Spécial - Panel Bsides Montreal 2026
19 septembre 2026
Parce que... c'est l'épisode 0x351!
Vincetopia - Deux fois sur le métier remettez votre ouvrage
06 octobre 2026
Parce que... c'est l'épisode 0x350!
SéQCure - La sécurité appliquée pour les praticiens de l'IA
16 septembre 2026
Parce que... c'est l'épisode 0x34F!
Teknik - Série l'IA dans les CtF - BreizhCTF
11 septembre 2026
Parce que... c'est l'épisode 0x34E!
Actu - 04 octobre 2026
04 octobre 2026
Parce que... c'est l'épisode 0x34D!
Teknik - Série l'IA dans les CtF - FCSC
27 août 2026
Parce que... c'est l'épisode 0x34C!
SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs
11 avril 2026
Parce que... c'est l'épisode 0x34B!
Teknik - Sécurité de l'univers OT
11 juin 2026
Parce que... c'est l'épisode 0x34A!
Actu - 27 septembre 2027
27 septembre 2026
Parce que... c'est l'épisode 0x349!
Spécial - Sur l'équilibre à trouver en entreprise autour du "Do more with less" avec l'IA et l'enjeu de la taille des modèles de langage utilisés
19 août 2026
Parce que... c'est l'épisode 0x348!
SéQCure - Faut-il porter une toge pour vraiment protéger un secret ?
24 mars 2026
Parce que... c'est l'épisode 0x347!
Quand le pervers se cache dans les lunettes par Cyber Citoyen et PolySécure
15 septembre 2026
Parce que... c'est l'épisode 0x346!
Actu - 20 septembre 2026
20 septembre 2026
Parce que... c'est l'épisode 0x345!
Teknik - Série l'IA dans les CtF - Northsec
09 juillet 2026
Parce que... c'est l'épisode 0x344!
SéQCure - Quantique - Les opportunités d'un risque, les risques d'une opportunité
19 mars 2026
Parce que... c'est l'épisode 0x343!
Teknik - Finding the Needle in the Haystack with Dicozorus - A New Companion for Advanced Web Fuzzing (PTS)
02 juillet 2026
Parce que... c'est l'épisode 0x342!
Actu - 13 septembre 2026
13 septembre 2026
Parce que... c'est l'épisode 0x341!
SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant
09 mars 2026
Parce que... c'est l'épisode 0x340!
Vincetopia - First thing first!
07 septembre 2026
Parce que... c'est l'épisode 0x33F!
Teknik - Série l'IA dans les CtF - SSTIC
01 juillet 2026
Parce que... c'est l'épisode 0x33E!
Actu - 06 septembre 2026
06 septembre 2026
Parce que... c'est l'épisode 0x33D!
Teknik - CAIDO, le proxy offensif, ou la complexité de coder un proxy
24 août 2026
Parce que... c'est l'épisode 0x33C!
Teknik - CVE-2025-54068 - Deep dive into Livewire, from weak typing to pre-authenticated remote command execution (Pass the Salt)
01 juillet 2026
Parce que... c'est l'épisode 0x33B!
Teknik - L'IA en pratique ou comment ne pas se bruler dans nos expérimentations
09 juillet 2026
Parce que... c'est l'épisode 0x33A!
Actu - 30 août 2026
30 août 2026
Parce que... c'est l'épisode 0x339!
PME - CyberBBQ part 5 - La place de la gouvernance durant un incident
22 août 2026
Parce que... c'est l'épisode 0x338!
PME - CyberBBQ part 4 - La place du red teaming durant un incident
22 août 2026
Parce que... c'est l'épisode 0x337!
PME - CyberBBQ part 3 - La place de la protection des courriels durant un incident
22 août 2026
Parce que... c'est l'épisode 0x336!
Parce que… c’est l’épisode 0x336!
Shameless plug
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte
Description
Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.
Une fuite de recettes sur le Dark Web
Le troisième épisode du Cyber Barbecue poursuit l’histoire fictive d’une entreprise de barbecue victime d’une fuite de renseignements. Cette fois, le problème provient des courriels. Un client téléphone, furieux, parce que sa recette secrète, échangée par courriel, se retrouve sur le Dark Web. L’épisode explore les risques liés à l’envoi de courriels, la préparation, la gestion d’incident et les meilleures pratiques à adopter.
Le vrai parcours d’un courriel
Mickael Nadeau, qui participe pour la première fois au podcast, explique que plusieurs PME se protègent contre les menaces entrantes sans jamais se demander ce qui arrive quand on appuie sur « envoyer ». Les gens croient que le message se téléporte d’une personne à l’autre, alors qu’il traverse différents appareils, dont des filtres antispam, avant d’atterrir dans la boîte du destinataire, qui peut être un service public comme Gmail ou Hotmail. On perd donc le contrôle du courriel, et de nombreux points du parcours permettent une fuite d’information confidentielle. D’où l’importance de chiffrer les communications. Il souligne aussi qu’on utilise des outils gratuits comme WeTransfer sans se demander où résident les données, comment elles sont conservées et qui peut y accéder.
La valeur de l’information et la gouvernance
Cédric aborde la question sous l’angle de la gouvernance. Selon lui, les PME peinent à situer leur vraie valeur. Comme on manipule ces renseignements chaque jour, on oublie qu’ils ont de la valeur, et quand on ne la perçoit plus, on ignore s’il faut les protéger. Sous la pression du temps, le réflexe naturel est de prendre le raccourci et la valeur s’efface. Se demander où réside la vraie valeur de l’entreprise relève donc de la gouvernance.
Mickael précise que le problème n’est pas l’envoi par courriel en soi, mais l’usage des bonnes technologies. Des outils permettent d’envoyer des courriels chiffrés avec une traçabilité complète, indiquant où se trouve le document, s’il a été ouvert ou téléchargé, sans nuire à la rapidité des opérations. Pour être adoptée, la cybersécurité doit être simple à mettre en place.
La carte de crédit demandée par courriel
La discussion aborde ensuite une pratique risquée de l’entreprise fictive, qui demande à ses clients leur numéro de carte de crédit par courriel pour acheter des livres de recettes. Qui est en faute, le client qui envoie son numéro ou l’entreprise qui le demande? Cédric rappelle que dès qu’on touche des données sensibles, des cadres normatifs comme la norme PCI s’appliquent. L’animateur y voit un excellent terrain de sensibilisation, la gouvernance devant former les employés afin d’éviter leurs comportements dangereux et de ne pas pousser les clients à en adopter. Un participant ajoute qu’il faut expliquer au client, lui fournir un outil sécurisé comme Secure Exchange, puis lui laisser la responsabilité de ses choix, car on ne peut pas porter le fardeau des autres.
Mickael nuance en rappelant que la résilience de toute la société passe par la formation, car ce sont aussi ses propres données qui seront compromises par une PME avec une mauvaise hygiène numérique. Il recommande de demander à son fournisseur de services gérés de configurer rapidement les normes SPF, DKIM et DMARC, qui réduisent le phishing.
Signature électronique et confidentialité
L’épisode traite également de la signature électronique. Mickael explique que la plupart des fournisseurs de solutions de signature sont techniquement en mesure de lire le contenu des documents téléversés sur leurs serveurs. Même si les données sont chiffrées au repos avec de l’AES, cette possibilité crée un problème de confidentialité. Il faut donc choisir une solution offrant un chiffrement de bout en bout, où le serveur ne peut pas lire les documents. Il plaide pour une solution québécoise souveraine, hébergée dans des centres de données de niveau tier 3.
La simplicité comme condition de l’adoption
Interrogé sur les incitatifs à offrir aux clients et aux employés qui trouvent les outils compliqués et longs, Mickael répond qu’il faut choisir des solutions simples d’utilisation qui n’exigent pas un baccalauréat en informatique, sinon les gens reviennent à leurs vieilles habitudes. Mieux vaut viser un besoin d’affaires précis que d’imposer des produits trop complexes. Un participant rappelle que PGP, malgré son ancienneté, n’est resté l’apanage que de quelques passionnés. Il faut concevoir les outils pour l’usager, lui offrir une routine facile et le cadrer, car l’alternative qu’il trouvera seul sera toujours pire. Celui qui installe son propre OpenVPN parce qu’il n’arrive pas à se connecter ouvre une brèche énorme dans l’entreprise. Un autre observe que les solutions informatiques pensent rarement aux usagers avant le déploiement et que la solution magique trouvée par un employé est rarement la plus sécuritaire.
Mickael ajoute que quand c’est gratuit, c’est l’utilisateur le produit, puisqu’il existe toujours des coûts réels derrière les serveurs, les employés et les certifications.
Certifications, lois et engagements
Dominique Derrier propose une démarche en trois temps. Il faut d’abord respecter la loi, au Québec la loi 25. Viennent ensuite les contrats et les engagements signés avec les employés et les fournisseurs. Puis interviennent les exigences de sécurité internes, dictées par les pénalités à éviter, l’image de l’entreprise, la perte de clients et les risques financiers et juridiques. Ce n’est qu’ensuite qu’on peut décliner un plan d’action technologique.
Sur les fournisseurs, Mickael recommande de vérifier la certification SOC 2 type 2, ou l’ISO 27001, son équivalent très populaire en Europe. Même si ces certifications peuvent sembler exagérées pour une PME, elles restent accessibles avec le bon accompagnement.
Recommandations finales
En conclusion, Mickael conseille d’éviter les produits gratuits et de payer pour des outils qui offrent des communications chiffrées, une journalisation des échanges et des preuves légales sur ce qui a été transmis, à qui, quand et comment. Pour la signature électronique, il invite à bien examiner le fournisseur choisi et à privilégier des solutions canadiennes, idéalement, ou européennes.
Contributeurs
|
|
|
|
|
|
|
Nicolas-Loïc Fortin
|
Thomas Veynachter
|
Dominique Derrier
| Cédric Boivin |
Martin Dubé
|
Steve Lavoie
|
Mickael Nadeau
|
Crédits
- Montage par Intrasecure inc
- Locaux réels par Claude
Tags: email, incident
