Quand j'ai reconnu ce courriel frauduleux, ce n'était pas de la magie. C'était un réflexe. Un petit quelque chose qui clochait — l'adresse, le ton, l'urgence fabriquée. Mais ce réflexe, je ne l'ai pas eu à la naissance. Il s'est construit. Et plus j'y pense, plus je me dis qu'on peut le construire volontairement, comme on affûte n'importe quelle compétence.
Pour se défendre, il faut comprendre l'attaque
Il y a une vérité que le monde de la sécurité informatique répète sans arrêt : on ne défend bien que ce qu'on sait attaquer. Le « white hat » — le hacker éthique, chapeau blanc — n'est pas un saint qui ignore les méthodes des malfaiteurs. C'est exactement le contraire. Il les connaît mieux qu'eux. Il pense comme eux. La seule différence, c'est ce qu'il choisit d'en faire.
Ça m'a pris du temps à accepter cette idée. On grandit en pensant que le bien et le mal utilisent des outils différents. En cybersécurité, c'est le même marteau — c'est la main qui change.
Le dojo, pas le manuel
C'est là que l'analogie des arts martiaux devient utile. Personne n'apprend à se défendre en lisant un livre sur les coups de poing. On enfile un kimono, on entre dans un dojo, et on prend des coups — dans un cadre sûr, avec des règles, un professeur, une progression par ceintures.
La cybersécurité, c'est pareil. On ne devient pas prudent en lisant des articles alarmistes. On le devient en pratiquant. En se mettant, encadré et en sécurité, dans la peau de celui qui attaque — pour enfin comprendre de l'intérieur ce qu'on subissait de l'extérieur.
TryHackMe : mon tatami numérique
C'est précisément ce qu'offre une plateforme comme TryHackMe. Un environnement contrôlé, légal, isolé du vrai monde, où l'on progresse « salle » par salle (rooms), du débutant total jusqu'aux techniques avancées. Des machines virtuelles jetables qu'on peut casser sans conséquence. Une progression gamifiée qui ressemble, oui, à passer les ceintures.
On y apprend à reconnaître une faille, à comprendre comment un maliciel se propage, à décortiquer une attaque — et même, en Python, à démonter la mécanique d'un bout de code malveillant pour voir ce qui le fait tourner. Non pas pour le lâcher dans la nature, mais pour ne plus jamais se faire prendre. Manipuler le danger en laboratoire, comme un virologue étudie un pathogène derrière une vitre scellée. Le but n'est pas de relâcher le virus. C'est d'apprendre à le voir venir.
Et si TryHackMe reste mon dojo de prédilection, il existe aussi des salles d'entraînement ouvertes à tous, gratuites, où n'importe qui peut faire ses premières armes. La plus célèbre : OverTheWire et son wargame Bandit — on y apprend la ligne de commande Linux, niveau par niveau, en cherchant soi-même le mot de passe qui ouvre le suivant. Un tatami public, sans inscription payante, parfait pour commencer.
« On ne défend bien que ce qu'on sait attaquer. En cybersécurité, c'est le même marteau — c'est la main qui change. »
La confiance, pas la paranoïa
Et c'est ça, au fond, le vrai gain. Pas de devenir méfiant au point de ne plus rien oser. L'inverse. Le pratiquant d'arts martiaux ne marche pas dans la rue la peur au ventre — il marche calme, parce qu'il sait. La cybersécurité procure la même chose : à mesure qu'on comprend le terrain, la peur diffuse laisse place à une assurance tranquille.
Ceinture jaune, et ça ne me quitte plus
Je ne suis plus tout à fait débutant. Pendant six mois, j'y ai consacré mes journées — quarante heures par semaine, comme un métier. Et honnêtement, on n'a pas besoin d'en faire autant pour changer sa façon de voir : quelques salles suffisent déjà à aiguiser le regard. De mon côté, j'ai décroché mon certificat Introduction to Cyber Security, empilé les salles complétées. Disons une ceinture jaune : plus le premier jour au dojo, pas encore le maître.
Aujourd'hui je ne pratique plus activement. Mais c'est là tout l'intérêt : ça ne me quitte plus. Comme quelqu'un qui a fait des arts martiaux pendant des années et qui, même sans remettre les pieds au dojo, garde la posture, le réflexe, l'œil. Je ne « fais » plus de cybersécurité au quotidien — mais je pense désormais comme quelqu'un qui en a fait. Et ça, ça ne se désapprend pas.
C'est ce que chaque salle m'a laissé : un internet un peu moins hostile, un peu plus lisible. Le faux courriel de l'ARC, la prochaine fois, je le verrai encore plus vite.
Chapeau blanc, ceinture jaune. On commence tous quelque part — et certaines choses, une fois apprises, restent.