Pourquoi le Breizh CTF est-il devenu l’une des principales compétitions de hacking du monde ? 

Reflet d’un écosystème cyber breton florissant, la compétition Breizh CTF a réuni de nombreux acteurs de la cybersécurité au Couvent des Jacobins de Rennes vendredi 17 mai. Des entreprises et des entités de l’État, sur lesquelles repose un écosystème particulièrement vivant, misent tout pour attirer les compétences et tenir un rang international. 

Devant des collégiens intrigués, Gaël Musquet prend possession d’une voiture via un smartphone. “Il ne peut pas gérer la boîte de vitesses ?”, questionne alors un adolescent. “Si, c’est une boîte automatique”, lui répond le hacker éthique et spécialiste des gestions de crise, face à une assemblée étonnée de la simplicité avec laquelle ce SUV dernier cri est tombé dans les mains d’un smartphone. Cette démonstration est l’attraction phare ce vendredi 17 mai, au couvent des Jacobins de Rennes, en marge du Breizh CTF (Capture the flag). 

Cet évènement fondé en 2013 est désormais bien plus qu’une compétition entre hackers amateurs. Elle réunit tous les acteurs bretons de la cybersécurité, alors que la péninsule est devenue au fil des années un écosystème florissant. “Ça aurait été compliqué de faire cet événement ailleurs”, confie SaxX, l’un des cofondateurs du Breizh CTF, dont la séquence compétition a réuni près de 600 personnes pendant 12 heures. “Nous sommes devenus un lieu totem de la cybersécurité”, poursuit-il, imitant le vocabulaire officiel utilisé par le Campus Cyber à Paris, avant de lancer : “Le Breizh CTF est l’une des dix plus importantes compétitions cyber du monde.”

Pour les participants, tout est gratuit. Le financement provient de l’écosystème rennais. “Tous les acteurs sponsorisent”, indique SaxX. Parmi eux, Orange Cyberdéfense, la DGA (Direction générale de l’Armement) ou encore l’Anssi (Agence nationale de sécurité des systèmes d’information). Tous contribuent fortement à cette dynamique bretonne autour de la cybersécurité, grâce à des sites locaux autour de cinq villes régionales : Brest (Finistère), Lannion (Côtes-d’Armor), Vannes (Morbihan), Lorient (Morbihan) et enfin Rennes (Ille-et-Vilaine). “La capitale bretonne est le barycentre de la cyber en Bretagne”, indique Typhaine Leduc, manager de la filière cybersécurité au sein de Bretagne Développement Innovation (BDI). 

Un écosystème vivant autour du militaire. 

Près de 170 entreprises de la cyber sont basées à Rennes. Mais celles-ci s’inscrivent dans un collectif au sein duquel cohabitent des universités, des écoles, des pépinières ou des instituts de recherche. “Nous avons des capacités à développer de l’innovation avec près de 200 chercheurs en équivalent temps plein”, explique Typhaine Leduc, en ajoutant : “Cette stratégie cyber s’inscrit dans une stratégie européenne et nationale déclinée au niveau régional.” Et dans cet environnement rennais, l’État prend une part très importante. 

C’est en 2014 que Jean-Yves Le Drian, alors ministre de la Défense, lance le Pacte Défense Cyber, dans lequel apparaît la volonté de l’exécutif de développer un pôle d’excellence en cyberdéfense sur les terres bretonnes. L’ancien président de région et ancien maire de Lorient (Morbihan) pose alors l’acte fondateur de la filière sur son territoire d’origine. “Aujourd’hui, Rennes est une plaque tournante de la cyberdéfense du ministère des armées”, souligne Paul-André Pincemin, détaché du ministère à la Métropole. En effet, aux côtés de l’antenne locale du ministère des armées, où se trouve le Commandement de la cyberdéfense (ComCyber), se trouve également le service Maîtrise de l’Information de la Direction générale de l’Armement

(DGAMI) et l’Anssi. 

Ces grands acteurs étatiques, tous représentés au Couvent des Jacobins de Rennes à l’occasion du Breizh CTF, vendredi 17 mai, ont un fort impact sur le reste de l’écosystème. “Nous avons près de 4 milliards de budget pour s’équiper en cybersécurité”, indique Dominique Chauveau, adjoint technique à la sous-direction cyber de la DGAMI. “Cela nous permet d’attirer des grands groupes”, ajoute-t-il. “Ce pôle d’excellence cyber permet de développer des synergies entre le ministère des armées et l’écosystème”, poursuit le Colonel Nicolas Pierson, commandant du Groupement de la Cyberdéfense des Armées du ComCyber, basé à Rennes, dont l’effectif doit passer de 800 à 1500 à l’été 2025. 

De nombreuses passerelles entre les acteurs 

La présence de l’armée et de ses émanations dans le bassin rennais n’est pas le seul vecteur qui a permis la création d’un écosystème puissant. La dynamique lancée en 2014 s’appuie sur un passé breton. “Nous héritons de l’activité historique des télécoms à Lannion et d’anciennes entreprises autour de l’électronique de la défense”, précise Paul-André Pincemin, de la Métropole. “J’étais dans les télécoms et je suis allé vers la cyber au sein du ministère des armées (Minarm)”, raconte Cédric Gibert, désormais directeur produit chez Glimps, start-up rennaise spécialisée dans la détection de logiciels malveillants dans les flux de fichiers. 

Cette jeune entreprise a été fondée par deux anciens du Minarm qui ont même incubé le projet à travers la Cyberdéfense Factory. “Sur la plaque rennaise, le militaire est un gros moteur permettant des mouvements de projet en création de start-ups », répond Paul-André Pincemin. Il assure que le cas de Glimps n’est pas un effet d’aubaine mais un vrai mouvement dans l’écosystème. “Il faut qu’on aille tous dans le même sens”, indique le Colonel Nicolas Pierson. “On développe des parcours avec l’Anssi ou des groupes privés. Ces flux dynamisent et créent des synergies”, poursuit-il. 

Thomas Maréchal, aujourd’hui cofondateur et CEO de la start-up Defants, qui investigue et retrace les méthodes d’attaques cyber, a su bénéficier de ces synergies. Avant d’intégrer l’antenne rennaise d’Orange Cyberdéfense, ce dernier était poissonnier. “Je cherchais un métier qui recrutait facilement et qui payait bien”, confie-t-il en marge du Breizh CTF. Ainsi, Thomas Maréchal a pu bénéficier de cet écosystème mais également d’aides de la Région sur le plan opérationnel. “L’écosystème permet de tous se tirer vers le haut avec bienveillance. On a énormément de chance”, reconnaît-il. 

Des infrastructures disponibles mais un manque de main-d’œuvre 

“Aujourd’hui, avec Glimps, nous sommes des voisins de palier”, indique le CEO de Defants. Mais d’autres entreprises françaises florissantes, en pointe sur la cyber ont également ouvert une antenne à Rennes. C’est le cas de Sekoia.io, Gatewatcher ou encore Wallix. Elles y trouvent de nombreuses initiatives mises en place comme l’incubateur de la DGAMI, la Cyberdéfense Factory ou encore le site local de Cyber Booster. L’initiative Bretagne Cyber Alliance avec la création d’un Campus Cyber Breton, labellisé par l’établissement national situé à Paris, devrait encore faciliter les synergies et la montée en puissance des start-ups. 

“Nous voulons vraiment que le campus breton permette de contribuer à la stratégie cyber et que cela se traduise par une culture cyber régionale”, souhaite Tiphaine Leduc, coordinatrice de la filière cybersécurité à la BDI. “L’écosystème doit s’emparer d’un outil puissant pour rayonner”, juge Jérome Tré-Hardy, conseiller régional délégué au numérique, à la cybersécurité et aux données. C’est l’un des objectifs de Bretagne Cyber Alliance qui doit accompagner la croissance des acteurs économiques, conforter la recherche, diffuser la cyber en Bretagne et répondre aux besoins en compétences. “Ce dernier point, on en fait une priorité”, jure le conseiller régional. 

“Si nous n’avons pas les femmes et les hommes, nous ne pouvons pas mettre en œuvre grand-chose”, estime Jérôme Tré-Hardy. Et des compétences, toute la filière cyber bretonne en recherche. La Métropole répertorie annuellement les besoins des employeurs dans la filière. “À Rennes, le besoin augmente de 400 équivalents temps plein chaque année”, assure Paul-André Pincemin. Dans ce contexte, les pouvoirs publics attirent des écoles pour permettre de former sur place les candidats qui viendront par la suite garnir l’écosystème. 

Convaincus de la nécessité de former les talents sur place, une quinzaine d’acteurs académiques et des laboratoires basés dans le bassin rennais, comme Centrale Supélec, l’Inria ou encore le CNRS, ont lancé conjointement la Cyberschool, en 2020. Selon Jérôme Tré-Hardy, ce sont près de 35 % des formations dispensées en France qui se trouvent en Bretagne. Mais certains acteurs tentent par leurs propres moyens d’attirer les compétences. Pour répondre au doublement des effectifs rennais du ComCyber, une académie va monter en puissance jusqu’en 2030. “Elle va devenir une entité à part du ComCyber”, indique le Colonel Nicolas Pierson, autour de la formation de cyber-combattants et des formations pratiques et théoriques.

Pour l’écosystème, le Breizh CTF est un des leviers permettant l’acculturation à la cybersécurité. “On a un vrai sujet de ressources humaines ici à Rennes”, reconnaît SaxX. Selon lui, il y a urgence à intéresser les jeunes à ces sujets, et ce type d’événement en fait partie. “Il faut poursuivre les salons, les forums, les événements ‘hack & job’”, ajoute-t-il. Un sujet majeur pour répondre aux besoins grandissants de compétences sur le bassin rennais afin qu’il conserve sa deuxième place au niveau national, après Paris, en tant que pôle de cybersécurité aux capacités mondiales.