Hackers éthiques : reportage dans l’école des chevaliers blancs de la cybersécurité

Entrés dans des services sensibles de l’Etat, certains étudiants restent discrets. «Quand je suis au travail, je protège mon pays», se réjouit Morad, 29 ans. Pour décrocher une place à 2600, ce dernier disposait d’un bon argument : une lettre de félicitations de l’agence spatiale américaine. «J’ai trouvé des vulnérabilités à la Nasa en autodidacte», explique-t-il. Il fallait bien ça, car 2600 se montre aussi sélective que les grandes écoles : seulement 8% des candidats, titulaires d’un bac + 2 minimum, sont retenus au terme d’entretiens de motivation et de tests techniques. L’établissement regroupe 350 étudiants, dont 15% de femmes, et délivre un diplôme bac + 5, reconnu par l’Etat. Dès la rentrée 2025, une formation post-bac sera offerte. «Dans trois ans, nous devrions compter 700 à 800 élèves», projette Axel Dreyfus. Des chevaliers blancs bienvenus sur le marché du travail car, en face, les menaces liées à la cybercriminalité ne faiblissent pas.

«Il y a beaucoup plus d’argent dans la cybercriminalité que dans le trafic de drogue», assure Axel Dreyfus. Capable de rendre paranoïaque n’importe qui, le directeur de l'Ecole 2600 dresse la liste interminable des cyberattaques que devront déjouer ses élèves. Cela va du pique-assiette qui mange à l'œil chez Burger King en piratant une borne de commande aux campagnes de désinformation sur les réseaux sociaux, pilotées par des puissances étrangères. Devant cette multitude de dangers, Axel Dreyfus est convaincu de la nécessité d’une école entièrement dédiée à la cybersécurité. «Pendant longtemps, c’était une matière optionnelle dans les écoles d’informatique», déplore-t-il.

A ses élèves, il apprend que cette discipline va bien au-delà des lignes de code. Les techniques psychologiques, par exemple, font également partie de l’arsenal des cyberattaquants. «Mes futurs diplômés doivent penser de la même manière que les attaquants. Certains font des tests d’intrusion physique pour réaliser des audits de sécurité dans les entreprises», indique Axel Dreyfus. Si ces simulations d’attaque font fantasmer les élèves, elles ne représentent qu’environ 20% des postes en cybersécurité, à l’en croire. Les autres missions consistent à prévenir les risques, conseiller les organisations ou enquêter quand le mal est fait. «La cybersécurité, ce n’est pas que le hacking», appuie Axel Dreyfus.

A l'Ecole 2600, l'année débute dans la boue et l'eau glacée

Dans beaucoup d’écoles, l’année commence avec des soirées alcoolisées. Pour les étudiants de 2600, elle démarre par un bain dans une eau glaciale. A chaque rentrée, David Corona, ex-négociateur en chef du GIGN, l’unité d’élite de la gendarmerie, leur concocte un parcours du combattant inspiré des entraînements des forces spéciales. Loin des ordinateurs, les geeks rampent dans la boue, transportent un faux blessé et font des pompes dans le froid. «Cela permet de se faire une idée de la résilience de quelqu’un dans une situation extrême», affirme Ilies, 24 ans.

Pour Axel Dreyfus, cette longue nuit d’efforts apprend aussi aux futurs diplômés à gérer, ensemble, des situations de crise, ce qu’ils seront amenés à faire face à des cyberattaques. «Nous sommes un peu des pompiers», estime-t-il. Tandis que certaines écoles réputées restent de tristes modèles d’entre-soi, lui milite en faveur de la diversité des profils. Au nom de l’égalité des chances, bien sûr, mais aussi pour rivaliser de créativité avec les cybercriminels. La gratuité de la formation et le salaire promis grâce à l’alternance permettent d’intégrer des jeunes issus de milieux modestes.

Les profils en reconversion professionnelle sont nombreux. Tel Erwan, 25 ans, qui a enterré son bac professionnel en boulangerie pour devenir spécialiste de la cybersécurité industrielle. «Il a trouvé des vulnérabilités chez Siemens !», pointe le directeur de 2600. Mathilde, 26 ans, vient quant à elle de la gendarmerie : «Je me suis rendu compte qu’il y avait de plus en plus de menaces dans le monde physique, mais aussi dans le monde virtuel.»

L'Ecole 2600 se méfie des individus mal intentionnés. Un risque réel pour ce type d’établissement : Sébastien Raoult, un ex-étudiant d’Epitech Nancy, vient de purger une peine de près de deux ans aux États-Unis pour des actes de cybercriminalité. Axel Dreyfus veille scrupuleusement à la probité des postulants. «On suspecte des tentatives d’infiltration par des services de renseignement étrangers », glisse-t-il. Il ne plaisante qu’à moitié lorsqu’il dit que la délation est fortement encouragée. «Un candidat a tenté de recruter d’autres élèves pour une organisation criminelle. Les personnes approchées nous ont tout de suite prévenus et l’intrus s’est volatilisé», raconte le directeur. La mission de l'Ecole 2600, c’est d’abord de maintenir ses élèves dans le droit chemin. Du côté des hackers éthiques plutôt que des cybercriminels.