La compagnie aérienne britannique Easyjet a déposé un préavis de grève illimité qui débutera le lundi 16 septembre 2024. Le syndicat union des navigants de l’aviation civile (UNAC) conteste la fermeture de la base de Toulouse.
Un jour après l’annonce surprise par Easyjet de la fermeture de sa base de Toulouse et d’un plan de départs volontaires, le syndicat Union des navigants de l’aviation civile (UNAC) a déposé un préavis national de grève illimitée.
Les syndicats dénoncent la fermeture brutale et inattendue d’une base plutôt performantes ces dernières années et donc la mise en danger des postes des 125 salariés présents à Toulouse.
Selon le syndicat, la grève débutera le lundi 16 septembre. Le syndicat appelle tous les travailleurs basés en France à se mobiliser et à cesser le travail pour une durée illimitée afin de soutenir les salariés de Toulouse.
Le quotidien des employés en danger
La compagnie a annoncée mardi la fermeture de sa base à Toulouse d’ici mars 2025 à cause de nombreux facteurs comme la reprise post-covid et la pression due à l’inflation.
Easyjet va transférer les 2 avions présents sur la base vers d’autres bases françaises. La compagnie a proposé à ses salariés de poursuivre leur aventure au sein de la compagnie mais dans d’autres bases en France, une décision qui ne satisfait pas les syndicats. La majorité des salariés étant des couples ou des familles ayant acquis des biens à Toulouse.
Les dates clés pour « une action commune d’envergure » seront prochainement communiquées par le syndicat.
Renault et son usine de Cléon (Seine-Maritime) ont été condamnées à 300 000 euros d’amende pour la mort d’un technicien sur le site de l’usine, écrasé par le caisson d’une machine à laver industrielle en 2016.
L’entreprise automobile Renault et son usine de Cléon (Seine-Maritime) ont été condamnées le 31 mai à 300 000 euros d’amende par le tribunal correctionnel de Rouen pour l’homicide involontaire d’un technicien en 2016.
Jérôme Deschamps est décédé le 17 mars 2016 à la suite d’un accident survenu sur le site de Cléon. Il avait été écrasé par le caisson d’un compartiment de séchage d’une machine à laver industrielle.
« Un cumul de fautes de la part de l’employeur »
Renault et son usine ont été reconnues responsable de la mort de l’employé qui visiblement n’avait « pas été formé au fonctionnement de cette machine ». De plus, il n’y avait visiblement pas eu « d’évaluation préalable des risques » d’après la magistrate du parquet. La vice-procureure de la République avait quant à elle relevé « un cumul de fautes de la part de l’employeur » avec un lien de cause à effet sur la mort de l’employé.
« Il faut que Renault accepte le jugement et en tire des conséquences pour les salariés qui travaillent encore sur le site » Avocat de la famille de Jérôme Deschamps
« Nous sommes soulagés par ce jugement » a expliqué l’avocat de la famille de la victime, interrogé par l’AFP. « Renault est responsable de la mort de Jérôme Deschamps. Il faut que Renault accepte le jugement et en tire des conséquences pour les salariés qui travaillent encore sur le site », a-t-il ajouté.
« Une faute d’inattention » selon le directeur de l’usine
A la barre, l’ancien directeur de l’usine Paul Carvalho avait estimé que « l’entreprise et les procédures n’étaient pas en cause. C’est une faute d’inattention ». « C’est un accident dramatique, un traumatisme pour moi aujourd’hui encore », avait-il ajouté.
L’entreprise Renault a été condamnée à 200 000 euros d’amende – la somme requise par le tribunal de Rouen en 2019 – et son usine de Cléon devra payer les 100 000 euros supplémentaires. Renault et le parquet ont dix jours pour faire appel.
Peur des discriminations ou autocensure, plusieurs raisons poussent de nombreux employés LGBT à ne pas mentionner leur vie amoureuse en entreprise. Un tabou mis en lumière par l’Ifop dans un rapport publié ce jeudi, dont les conséquences elles, sont visibles.
Gay pride 2011 à Toulouse
Une personne LGBT sur trois refuse d’indiquer le nom de son conjoint sur sa mutuelle. Peur des remarques, ou des discriminations, ils sont nombreux à refuser de mêler leur vie privée à la vie de bureau. Un constat alarmant que dresse une étude de l’IFOP commandée par l’agence Tell Me The Truffe, qui analyse l’évolution du « coming out » dans le milieux familial, amical et pour finir professionnel. Et concernant la vie amoureuse en entreprise, les résultats sont symptomatiques d’un malaise qui persiste. Sur 1 000 personnes LGBT interrogées, 34% refusent de mentionner leur partenaire sur leur mutuelle, quand 38% ont déjà renoncé à participer à des évènements d’entreprises où les conjoints sont invités.
Porte-parole de l’Autre Cercle, une association qui milite pour l’inclusion et le respect des orientations sexuelles en entreprise, Catherine Tripon connaît bien cette problématique. « Beaucoup de personnes LGBT ne profitent pas des droits auxquels elles ont accès par peur de se dévoiler » explique-t-elle. Si le mariage pour tous a apporté de nouveaux droits aux couples LGBT, l’étape du coming out est nécessaire, mais sa difficulté souvent négligée. « Le coming out doit s’envisager dès le début en plus, au moment de signer le contrat et de remplir sa feuille de mutuelle » ajoute Catherine Tripon.
« Il y a énormément d’autocensure »
Pourtant, parmi la communauté LGBT, révéler son orientation sexuelle n’est pas forcément nécessaire. « Les personnes LGBT estiment qu’il y a une séparation claire entre vie privée et vie professionnelle » analyse Thomas Cusson, responsable des partenariats et intervenants pour l’association LGBT Talents. « Mais vouloir étanchéifier ces deux sphères est totalement illusoire » poursuit-il. Depuis deux ans, il organise un évènement annuel dédié aux sujets LGBT dans la sphère de l’entreprise. Et le question du couple revient régulièrement. « En France il y a énormément d’autocensure. Le reste est lié au fait que l’entreprise n’est pas toujours un milieu inclusif » conclut Thomas Cusson.
Une invisibilité qui n’est pas sans conséquences, analyse Catherine Tripon, pour qui il y a également une grande porosité entre vie professionnelle et vie privée. « Pot de départs, fêtes de fin d’année, vacances du comité d’entreprise… pour profiter de tous ces avantages qui font le charme d’une atmosphère conviviale au bureau il est nécessaire de faire son coming out », explique-t-elle. Un point de vue partagé par le défenseur des droits qui dans un rapport en 2015 dressait la liste des conséquences de cette invisibilité. « Ainsi en vient-on à s’exclure de certaines conversations avec les collègues, à fuir les manifestations d’entreprises pour éviter toutes questions intimes » relève notamment l’article.
Un état des lieux qui diffère selon les pays
Da manière générale, moins de six homosexuels sur dix affirment que leur orientation sexuelle est connue par leur supérieur hiérarchique, selon l’Ifop. Un phénomène « très français » affirme Thomas Cusson de LGBT Talents, qui lui oppose le modèle anglo-saxon, bien plus « gay friendly ». Un nuance que confirme une étude du Boston Consulting Group réalisée avec le magazine Têtu en septembre 2018, où l’on apprend notamment que l’Espagne et l’Italie font figure de pires élèves en matière d’inclusion en entreprise.
Au delà des pays, la taille des entreprises compte aussi. « Dans les petites entreprises, les gens osent peu prendre la parole » explique Thomas Cusson, avant de se contredire. « Mais dans certaines grandes entreprises, des membres LGBT du comité exécutifs sont parfois invités à venir accompagnés avec une personne de l’autre sexe, parce que selon ses collègues, ça le fait mieux » détaille-t-il.
Une charte pour tous
Premier interlocuteur avec les salariés dès leur entrée dans l’entreprise, le directeur des ressources humaines tient un rôle important dans le débat. « Les RH doivent être moteurs de l’intégration à la sortie de l’entreprise » explique Pierre-Emmanuel Bourguoin, DRH pour la Société des Auteurs et Compositeurs Dramatiques. Pour lui, « les RH ont un vrai rôle à jouer, surtout à l’embauche, en proposant si possible une clause de confidentialité pour ceux qui le désire ».
Mais comment faire comprendre aux postulants LGBT qu’ils seront accueillis avec bienveillance par leur futur employeur ? « Nous allons bientôt signer la Charte » assure Pierre-Emmanuel Bourguoin. Portée par l’association l’Autre Cercle, la Charte d’engagement LGBT permet depuis 2013 d’assurer un accord sur des valeurs d’inclusion et de respect de l’orientation sexuelle au sein de l’entreprise. BNP Paribas, TF1, l’Oréal, IBM ou encore le Ministère du Travail, ils sont plus de 100 entreprises et organismes privés et publics l’avoir signée.
De plus en plus d’adeptes des cyberattaques choisissent de mettre leurs compétences au service des entreprises, qui le leur rendent bien. En s’introduisant dans un but bienveillant dans leur infrastructure informatique pour en révéler les failles, ces hackers éthiques rendent Internet un peu plus sûr. Quitte à prendre leurs distances avec la loi.
Certains hackers scrutent les lignes de code des entreprises pour en dénicher les failles. Crédits : Christiaan Colen, CC BY-SA 2.0
“Quand j’accorde ma confiance à un site, j’estime que de mon côté, j’ai le droit de vérifier que mes données sont en sécurité en tentant de m’y introduire”. En s’intéressant de près à la cybersécurité de Numericable fin 2017, le hacker qui se fait appeler Kuromatae est tombé sur une faille qui aurait pu coûter cher aux clients du fournisseur d’accès à Internet. “Je me suis permis de tester leur service de messagerie. J’ai remarqué qu’en me débrouillant bien, je pouvais récupérer les mails de tous les clients”, explique le justicier 2.0. Il décide donc d’alerter le département de cybersécurité de l’opérateur, prenant ainsi le risque d’être poursuivi par l’entreprise. Mais la réaction de cette dernière est tout autre. Le soir même, elle contacte l’étudiant en sécurité informatique pour le remercier et l’informer que le webmail est mis en maintenance le temps que le problème soit résolu. “A l’époque j’avais été menacé par plusieurs entreprises, mais maintenant elles sont plus ouvertes”, assure le jeune homme, aujourd’hui employé dans une société de sécurité informatique.
“Je me suis permis de tester leur service de messagerie. J’ai remarqué qu’en me débrouillant bien, je pouvais récupérer les mails de tous les clients.” Kuromatae, hacker éthique.
Kuromatae n’est pas le seul à constater des affinités nouvelles entre les acteurs économiques et les hackers. Il faut dire que les entreprises ont compris que, plutôt qu’une menace, ces experts de l’intrusion pouvaient s’avérer être une aide bienvenue pour améliorer la sécurité de leur infrastructure informatique. Depuis quelques années, des plateformes en ligne leur permettent même de mettre leur cyberdéfense à l’épreuve d’une kyrielle de chasseurs de failles. Sur ces sites de « bug bounty », comme on les appelle, celui qui parvient à détecter une vulnérabilité se voit rétribuer d’une prime pouvant atteindre plusieurs milliers d’euros. ”L’intérêt pour les entreprises, c’est de se soumettre aux conditions réelles, analyse Guillaume Vassault-Houlière, PDG de Yes We Hack, la première plateforme européenne de bug bounty, qui revendique 200 nouveaux hackers inscrits chaque mois. Au lieu d’un test d’intrusion mené habituellement par un ou deux ingénieurs, c’est potentiellement 4 000 personnes qui peuvent chercher une faille de sécurité en même temps.”
Chasseurs de primes 2.0
Et l’enjeu est bien réel. Pour ces sociétés, combler les brèches avant qu’elles ne soient exploitées criminellement leur évite des fuites de données de leurs utilisateurs, mais aussi d’informations hautement stratégiques. Les responsables de Yahoo! peuvent en témoigner. En 2013, les données des trois milliards d’utilisateurs du géant américain du web sont tombées entre les mains de pirates informatiques, ce qui pourrait constituer la plus grande cyberattaque connue à ce jour. Autant dire que pour s’éviter de tels déboires, les entreprises sont prêtes à en payer le prix. En 2017, pas moins de 300 000 euros de primes ont ainsi été distribués aux hackers de Yes We Hack. Outre-Atlantique, le seul Google a dépensé 2,9 millions de dollars en bug bounty sur la même année. Mais au delà de la pure motivation financière, c’est aussi un combat d’égo que se livrent ces génies de l’informatique. Sur le site, un classement officiel distingue ainsi les hackers en fonction du nombre de failles qu’ils ont révélées depuis leur inscription. “Le score compte beaucoup dans notre communauté”, confie Mehmet Ince, un chasseur de faille turc figurant à la 12e place du palmarès. Et Guillaume Vassault-Houlière d’abonder : “Cela permet d’être reconnu par ses pairs, c’est hyper important dans le milieu. Il y a toujours cette histoire d’égo chez les hackers”.
Hacker, un métier comme un autre
Signe de la confiance croissante accordée par les entreprises à de telles plateformes en Europe, la startup de covoiturage Blablacar a ouvert en avril dernier son programme de bug bounty au public. Aux Etats-Unis, cette pratique est devenue quasiment systématique, des géants tels que Google, Spotify ou Airbnb y recourant régulièrement. La plateforme américaine HackerOne, leader mondial du marché, revendique une communauté de plus de 100 000 chasseurs de faille à travers le monde. Son équivalente européenne Yes We Hack, jeune et plus modeste, parvient aujourd’hui à attirer des acteurs comme le moteur de recherche Qwant ou l’opérateur Orange. Eric Dupuis, responsable de la sécurité des systèmes d’information (RSSI) de la filiale Orange Cyberdéfense, précise qu’il y a “deux façons de rechercher des failles. Nous faisons des tests d’intrusion en interne avec nos hackers éthiques salariés, mais Orange recourt aussi à du bug bounty. C’est quand même du test d’intrusion, mais d’une manière différente”. Du reste, certains revêtent les deux costumes. Adeptes du bug bounty sur leur temps libre, ils peuvent aussi être embauchés par des entreprises en tant qu’auditeurs en cybersécurité par exemple. Une dénomination moins vendeuse que “hacker éthique”, mais qui correspond peu ou prou au même métier.
L’Agence nationale de la sécurité des systèmes d’information (ANSSI), place forte de la cyberdéfense étatique française, préfère quant à elle parler d’expert des tests d’intrusion. Sur son site, elle en donne la définition suivante : “l’expert des tests d’intrusion, ou « hacker éthique », est en mesure de pénétrer le système d’information et d’identifier les divers chemins d’intrusions, les techniques utilisées, traçant ainsi le profil des attaquants, leurs habitudes et méthodes de travail.” Parmi la communauté des hackers, c’est plutôt sous le nom de “white hat” (chapeau blanc) que l’on désigne ces ingénieurs et ces chercheurs.
La cybersécurité comme “argument marketing”
De l’avis des professionnels du secteur, ces auditeurs demeurent le premier rempart contre les cybermenaces, malgré le succès de ces nouvelles plateformes. “Pour qu’un bug bounty soit efficace, il faut que l’entreprise ait fait un audit approfondi au préalable, de sorte que les potentielles failles qui persistent soient difficiles à trouver”, rappelle Eric Dupuis. De fait, les hackers étant rétribués pour chaque vulnérabilité décelée, une telle démarche peut se révéler coûteuse pour les structures les moins préparées. Mais selon certains observateurs, cet investissement est souvent mûrement réfléchi : “C’est utilisé par des entreprises comme un argument marketing pour montrer qu’elles ont une protection opérationnelle. La cybersécurité est devenue un enjeu commercial”, juge un ingénieur en sécurité informatique se présentant sous le pseudonyme de SwitHak. Comprendre : certaines entreprises se tournent parfois vers le bug bounty par souci de crédibilité plus que d’efficacité. L’initiative peut même se révéler contre-productive. Ouvrir les portes de ses serveurs informatiques à des milliers d’inconnus dans le cadre d’un bug bounty n’a rien d’anodin : grands groupes et administrations publiques s’exposent à des risques d’espionnage industriel ou étatique. “Il ne faut pas négliger ces questions de propriété intellectuelle et d’intelligence économique. L’an passé, des développeurs chinois ont réutilisé une partie du code informatique d’une entreprise sur leur propre site. Certains groupes qui s’étaient lancés dans le bug bounty ont dû faire marche arrière pour ces raisons”, souligne Eric Dupuis, rappelant qu’Orange passe toujours par sa filiale de cyberdéfense pour les questions les plus sensibles.
Entre éthique et légalité, “la limite est parfois difficile à définir”
Que ce soit en tant qu’auditeur ou en tant que chasseur de faille, on observe une professionnalisation croissante au sein des hackers éthiques. Peu à peu, ceux-ci se mettent en conformité avec la loi. Mais certains refusent toujours d’entrer dans les clous. Faut-il tout de même voir une démarche éthique dans leurs pratiques ? Le débat divise, car l’éthique est une notion subjective. Pour Gabrielle, une trentenaire qui se revendique du hacking responsable, il ne faut pas franchir la barrière de l’illégalité. “Beaucoup de personnes continuent de pénétrer dans des systèmes sans avoir l’autorisation préalable. C’est dangereux”, déplore-t-elle, tout en reconnaissant que cela dépend beaucoup de la manière dont c’est fait. “Il y aura toujours des problèmes moraux dans ce milieu, la limite est parfois difficile à définir.” SwitHak est lui aussi très critique envers ce type de pratiques. Selon ce dernier, c’est la méthode qui permet de distinguer le lanceur d’alerte du cybercriminel. Il en donne un exemple concret : “Imaginons qu’un hacker trouve une vulnérabilité dans le site d’une entreprise. Il entre en contact avec cette dernière et lui communique les détails de la vulnérabilité mais lui donne un ultimatum de 15 jours, de manière arbitraire, pour corriger la faille avant qu’il ne la divulgue en public. Sauf que parfois, ce délai n’est pas gérable”. Une façon de faire que ce professionnel de la cybersécurité dit ne pas approuver. “Pour moi, le hacker éthique doit agir sans but financier, avec une démarche responsable. Et il ne doit pas chercher à se mettre en avant”, conclut-il. Le modèle qui se rapproche finalement le plus d’une pratique éthique est celui de la divulgation responsable. Dans ce cas, le chercheur de faille doit laisser suffisamment de temps à l’entreprise pour qu’elle répare l’erreur découverte, et il ne doit pas attendre d’argent en retour, sous peine de se voir accuser de tentative d’extorsion.
Faire du web son terrain de jeu numérique
Parallèlement aux lanceurs d’alerte, certains hackers n’ont en effet pas nécessairement un objectif politique derrière la tête. C’est le cas de DIDIx13, un étudiant en informatique de 18 ans qui voit avant tout le cyberespace comme une immense aire de jeu et un terrain d’entraînement. “Pour moi le hacking c’est vraiment un passe temps, une passion. Il y a une barrière devant toi, tu dois trouver un moyen de la franchir. Le fait de réussir après tant d’effort, de puiser dans toutes les connaissances que tu as apprises jusqu’ici, c’est une sacrée satisfaction”, glisse-t-il.
“Nous les grey hats, on ne propose pas nos services à des entreprises. On les attaque directement sans leur permission. » DIDIx13, un chapeau gris.
A terme, le jeune homme envisage de travailler au service d’entreprises. Mais en attendant, il avoue ne pas se préoccuper des questionnements juridiques. Et pour cause : il fait partie des “grey hats” (chapeaux gris), cette catégorie de hackers qui agissent illégalement sans avoir pour autant la volonté de nuire. Au contraire des “black hats” (chapeaux noir), qui peuvent demander une rançon ou subtiliser des données sensibles. “Nous les grey hats, on ne propose pas nos services à des entreprises. On les attaque directement sans leur permission. C’est pour ça qu’on nous considère comme non éthique. Mais si on trouve des failles, on les contacte pour les aider à les fixer”, assure le surnommé DIDIx13.
Vers une reconnaissance institutionnelle du hack
Preuve que les pouvoirs publics reconnaissent un intérêt pour ce type de profil malgré les distances que ces hackers prennent avec la loi, la législation évolue. En France, dans le sillage de la Loi pour une République numérique votée en octobre 2016, un dispositif permet aux chapeaux gris de bonne foi de déclarer une faille de sécurité informatique à l’Anssi. L’agence étatique se charge ensuite de prévenir l’entreprise ou l’administration concernée, tout en garantissant au lanceur d’alerte son anonymat. Une évolution majeure : elle était jusqu’ici tenue de le dénoncer, en vertu de l’article 40 du Code de procédure pénale qui oblige tout employé de l’Etat ayant connaissance d’un délit à alerter la justice.
Rien que sur les trois derniers mois de 2016, une soixantaine de déclarations ont été adressées à l’Anssi. Pour autant, ce dispositif reste imparfait. D’une part, il peine à protéger entièrement les hackers ayant révélé des vulnérabilités. Rien n’empêche en effet les entreprises dans lesquelles ils se sont introduits de remonter jusqu’à eux afin de les poursuivre en justice. Un risque que plusieurs députés avaient pointé du doigt lors de l’examen du texte, appelant en vain à la création d’un véritable statut du chasseur de faille.
Par ailleurs, même si les relations qu’entretiennent les hackers avec le secteur privé tendent à se réchauffer, celles avec l’Etat demeurent délicates. Guillaume Vassault-Houlière, PDG de Yes We Hack, estime que “la communauté a encore un peu de mal à remonter des vulnérabilités à une entité étatique”. Même son de cloche du côté du hacker Kuromatae, qui avait préféré alerter directement Numericable après son intrusion : “Je pars du principe que l’entreprise préfère qu’on la prévienne directement. Surtout que l’Anssi risque de lui taper sur les doigts”.
“La communauté a encore un peu de mal à remonter des vulnérabilités à une entité étatique.” Guillaume Vassault-Houlière, PDG de Yes We Hack.
Nul doute qu’Internet continuera encore longtemps d’être le terrain de jeu privilégié d’esprits malintentionnés. Mais ces signes d’ouverture venus des entreprises, des pouvoirs publics et de l’enseignement supérieur laissent à penser qu’ils seront de plus en plus isolés. Nombre de hackers se rangent aujourd’hui du côté de la légalité, et cela n’a rien d’étonnant pour Mehmet Ince. “Plus jeunes, des gens comme moi agissaient comme des black hats sans même s’en rendre compte”, confie-t-il. Sans moyen légal de gagner de l’argent en testant la sécurité informatique des entreprises lorsqu’il a commencé à s’intéresser à ce domaine, il n’a eu d’autre choix que d’agir dans l’illégalité. “A l’époque, il n’y avait pas de plateformes de bug bounty par exemple. Mais aujourd’hui, on peut hacker des entreprises pour améliorer leur sécurité, tout en étant payé pour le faire. C’est une bonne opportunité pour les plus jeunes”, poursuit-il. À l’avenir, l’ingénieur turc pronostique même que de plus en plus de hackers troqueront leur chapeau gris pour un blanc. “C’est un processus que nous devons accompagner en encourageant le développement de ce type de plateformes”. Et le Stambouliote de mettre en garde : “Malheureusement, il y aura toujours des chapeaux noirs”.
