À l’occasion du Mois européen de la cybersécurité, Epitech vous propose d’explorer l’un métier essentiel de ce secteur : celui de pentester. Et pour cela, Hassan Zabatt, diplômé de la promotion 2024 du Programme Grande École d’Epitech, est le profil idéal puisqu’il incarne cette nouvelle génération d’experts dont la mission consiste à identifier les failles avant qu’elles ne soient exploitées. Un métier passionnant, mais aussi un formidable observatoire des menaces qui pèsent sur les organisations.
Pentester : un métier clé pour la cybersécurité
Lorsqu’on évoque la cybersécurité, l’imaginaire collectif renvoie souvent à la figure du hacker, maintes fois incarnée au cinéma ou dans des séries (avec plus ou moins de réalisme – on rajoute un malus s’il porte un hoodie noir au moment de ses méfaits), mais rarement aux professionnels qui utilisent les mêmes méthodes dans un but diamétralement opposé : protéger. C’est précisément le rôle du pentester (prononcer « peine testeur »), aussi appelé « auditeur en cybersécurité offensive ».
« Un pentester, c’est quelqu’un qui va faire des simulations d’attaque sur des parcs informatiques, des applications et des infrastructures en général », explique simplement Hassan Zabatt dont le quotidien consiste à reproduire les conditions d’une attaque afin de révéler les vulnérabilités que les équipes de sécurité devront ensuite corriger, tant sur des applications web et mobiles que sur des réseaux et environnements techniques complexes. Une mission essentielle pour une vocation de longue date. « C’est quelque chose que j’ai toujours voulu faire, même avant Epitech », raconte d’ailleurs l’alumni. Ce n’est pas pour rien s’il s’est tourné vers l’école de l’excellence informatique pour arriver à ses fins puisqu’incarner un hacker éthique requiert un certain niveau d’expertise. « C’est un métier globalement très technique, qui nécessite de maîtriser de nombreuses compétences, y compris dans de multiples sous-domaines. » Sans ce bagage, impossible de prétendre à porter symboliquement le fameux « white hat ».
Quand une simple erreur peut devenir critique
Même si chaque jour dans la vie d’un pentester concerne la réalisation d’audits et de tests de pénétration d’applications et réseaux, certaines missions vous marquent que d’autres. Tout en gardant certains éléments secrets comme tout bon professionnel de la cybersécurité, Hassan accepte tout de même de confier celle qui occupe une place privilégiée dans sa mémoire. On est alors dans un rouage important de l’économie : le secteur bancaire. « C’était un audit réalisé pour un client doté d’une infrastructure assez large… »
À première vue, rien d’alarmant pour l’alumni. Pourtant, en analysant plusieurs milliers de règles réseau réparties sur différents sites, il fait une découverte cruciale. « 10 ou 15 % de ces règles étaient, en fait, trop permissives ou obsolètes, donnant ainsi à l’utilisateur le droit de faire des choses qu’il n’était normalement pas en mesure de pouvoir faire. Au final, j’ai surtout trouvé un enchaînement de ces règles dans le réseau qui, depuis un site géographique particulier dont je tairai évidemment le nom, permettait de prendre le contrôle des infrastructures de deux sites sur les cinq que comptait l’entité pour les compromettre. »
Cette situation n’aurait pas permis d’impacter les comptes des clients, mais aurait tout de même pu perturber le fonctionnement des outils internes de l’entreprise concernée sans le travail du pentester. Un exemple somme toute révélateur d’une réalité parfois méconnue : même les organisations les plus importantes ne sont pas exemptes d’erreurs. « Tout le monde fait des erreurs et c’est normal d’en faire, surtout quand on doit maintenir près de 2 000 règles réseau par exemple, rappelle-t-il. C’est justement pour cela que l’on pratique des audits ! Les grandes entreprises, comme cette banque d’ailleurs, en ont bien conscience et embauchent des personnes comme moi à raison. Je pense d’ailleurs que les structures les plus problématiques sont avant tout celles qui ne font pas l’effort de faire appel à un pentester pour s’auditer et vouloir s’améliorer alors qu’elles sont probablement loin d’être infaillibles. Et il y en a plus qu’on ne le pense ! »
La première ligne de défense est humaine
Au-delà de la technique pure, la leçon la plus importante qu’un pentester peut vous apprendre porte sur la place de l’humain dans la cybersécurité. « Tout le monde dans les entreprises fait partie de la défense », affirme Hassan. Derrière les pares-feux, les outils de détection et les solutions de protection les plus avancées, il reste un facteur décisif : les comportements des utilisateurs.
Cette conviction explique pourquoi les exercices de phishing font désormais partie des pratiques courantes dans les organisations. Leur objectif n’est pas de sanctionner les collaborateurs, mais de développer leurs réflexes face aux tentatives de manipulation. « Je suis la personne derrière ce genre de scénario qui va t’envoyer des mails pour s’assurer que tu ne cliques pas dessus », explique-t-il avec humour.
Pour illustrer cette réalité, il raconte une campagne menée dans une entreprise où « un QR code promettant un café gratuit avait été placé dans un ascenseur ». Résultat : de nombreux collaborateurs ont scanné le code et communiqué leurs informations professionnelles. Une démonstration simple mais redoutablement efficace, sachant qu’il est « très facile de reconstituer un profil avec très peu d’informations, un nom, un prénom, une adresse mail… » Cette anecdote rappelle que les attaques modernes exploitent souvent davantage la psychologie humaine que la complexité technique.
Face à un incident : alerter, analyser, apprendre
Reste alors une question : que faire lorsqu’une personne pense avoir été victime d’une tentative d’attaque ? La réponse du pentester est immédiate : il faut signaler l’incident sans attendre. « Le premier réflexe doit être l’alerte », insiste-t-il. Même lorsqu’aucun téléchargement n’a eu lieu ou qu’aucun comportement suspect ne semble visible, les équipes de sécurité doivent pouvoir analyser la situation et vérifier ce qui s’est réellement produit.
Selon lui, l’une des erreurs les plus fréquentes consiste à garder le silence par peur d’avoir commis une faute. « Il ne faut pas avoir honte d’alerter parce qu’on pense avoir fait une erreur », rappelle le professionnel. Au contraire, signaler rapidement un événement suspect permet aux spécialistes d’intervenir plus efficacement et de limiter les risques pour l’organisation.
Cette culture du partage et de la remontée d’informations est d’autant plus essentielle que les équipes cyber se préparent en permanence à ce type de situations. « Il y a des gestions de crise qui sont faites, il y a des tests, il y a des simulations d’attaque, souligne-t-il. Le but, c’est de communiquer. La sécurité par l’obscurité, ça ne marche pas. »
L’intelligence artificielle ne remplacera pas l’expertise humaine
Autre sujet incontournable quand il s’agit de cybersécurité et plus généralement d’informatique : l’Intelligence artificielle. Loin des discours alarmistes annonçant la disparition des métiers de la tech, Hassan Zabatt adopte une position pragmatique : « Je suis content d’avoir de l’IA dans mon métier parce qu’il y a beaucoup de choses répétitives que je n’aime pas nécessairement faire et du coup je les fais plus vite. »
Pour autant, il refuse de voir l’IA comme un substitut à l’expertise humaine. Son expérience l’amène au contraire à considérer l’IA comme un outil qu’il faut comprendre, encadrer et superviser. « Il faut pouvoir l’encadrer, il faut pouvoir la comprendre ». Une vision qui, le hasard fait bien les choses, est également portée par Epitech, école dont l’ADN s’est construit depuis bientôt 28 ans sur l’anticipation des nouvelles tendances tech pour mieux se les accaparer, voire même les repenser. Face aux avancées technologiques, Hassan préfère ainsi rappeller la valeur irremplaçable des interactions humaines : « On apporte quelque chose en se regardant dans les yeux et en se parlant. C’est quelque chose d’important. »
Une cybersécurité accessible à tous
Enfin, loin des représentations parfois anxiogènes de la cybercriminalité, le jeune diplômé se veut rassurant. Pour un utilisateur lambda, les protections intégrées à nos appareils offrent aujourd’hui un premier niveau de défense efficace. « Tes plus gros risques vont vraiment être ton exposition sur Internet et le phishing », explique-t-il. Les menaces existent toujours, mais elles passent le plus souvent par un clic imprudent, un faux message ou une tentative de manipulation plutôt que par des attaques dignes d’un film hollywoodien.
Un message qui résonne parfaitement avec les objectifs du Mois européen de la cybersécurité : développer une culture numérique responsable, fondée sur la vigilance, la curiosité et le partage des bonnes pratiques.
