Joseph Shenouda (Cyber Consult) "Depuis l'élection du nouveau Pape, la cybersécurité n'est plus une priorité du Vatican"

Joseph Shenouda, fondateur des Vatican Cyber Volunteers, qui rassemble une centaine d'experts en cybersécurité du monde entier, confie au JDN avoir été contraint de dissoudre l'organisation, faute de volonté du Vatican de renforcer sa cybersécurité.

JDN. Le Vatican a décidé de prendre ses distances avec les Vatican Cyber Volunteers. Pouvez-vous nous en dire plus ?

Joseph Shenouda. Avec les Vatican Cyber Volunteers, nous produisions bénévolement des rapports sur les menaces cyber qui visaient le Saint-Siège. Au début, je les envoyais directement à Paolo Benanti, le célèbre prêtre qui conseille le Pape en matière d'IA. Il les transférait ensuite à la direction de la communication, qui possède un service IT, représenté par le CTO, Francesco Masci. Ensuite, un lien direct s'est établi entre le CTO et moi-même. Il me remerciait souvent de les alerter sur ces menaces et, parfois, corrigeait les vulnérabilités que nous détections. Puis, quand le nouveau Pape, Léon XIV, a été élu, il a cessé de nous écouter. En août 2025, il nous a néanmoins proposé de le rencontrer. Mais ce rendez-vous n'a jamais eu lieu…

Avez-vous quand même continué à envoyer vos rapports au Vatican ?

Oui, mais nous n'étions plus écoutés et les vulnérabilités signalées n'étaient plus corrigées. Comme si c'était lié à un problème politique ou que la cybersécurité du Vatican n'était plus une priorité depuis l'élection du nouveau Pape. Nous nous sommes ensuite réunis au Vatican, avec d'autres bénévoles, pour tenter de rencontrer Paolo Benanti et Francesco Masci, mais ils ont refusé. Nous avons également essayé d'alerter la police du Vatican sur ces vulnérabilités, mais elle a été menaçante à notre égard. Certains d'entre nous ont envoyé des rapports à la gendarmerie du Vatican… mais sans succès. Bref, quatre années de travail sont parties aux oubliettes…

Pourquoi dites-vous que la sécurité du Vatican a été menaçante ?

L'un des bénévoles est diplomate et disposait d'un laisser-passer pour le Vatican. Il nous avait rejoints afin de relayer les rapports à un niveau plus haut que celui auquel on avait accès, notamment au chef de la gendarmerie du Vatican, Gianluca Gauzzi. En juillet 2026, il est directement allé à la rencontre des forces de l'ordre du Vatican pour leur transmettre un de nos rapports. Mais elles n'ont pas compris son contenu… Elles ont pris ce bénévole pour un cybercriminel ! Elles lui ont notifié un avertissement officiel et lui ont retiré son badge d'accès au Vatican. Depuis, il ne peut plus y entrer. Suite à cela, j'ai décidé de cesser les activités de l'association pour ne pas mettre en danger les autres bénévoles, qui sont surtout des RSSI.

Quelles sont les vulnérabilités que vous détectiez ?

Grâce à nos outils de scan du dark web, nous détections de multiples menaces dans les fuites de données du Vatican. Des connexions Wi-Fi qui étaient compromises, des proxys de rebond qui étaient utilisés par des cybercriminels pour contourner les pare-feu du Vatican, des identifiants et des données de la Banque du Vatican dans la nature, etc. Nous avons même observé que des identifiants du Vatican étaient utilisés sur des sites pornographiques. Quand le Pape, qui est augustinien, a été élu, des adresses URL de sites web augustiniens ont été modifiées pour rediriger les utilisateurs vers des sites pornographiques. C'est d'ailleurs nous qui avions alerté le Vatican de cette attaque. De nombreux groupes cybercriminels visent le Vatican pour des raisons géopolitiques, pour des raisons financières ou quand le Pape s'exprime sur des guerres, comme celles entre la Russie et l'Ukraine. Ces groupes sont par exemple de LockBit, Lazarus Group, DragonForce, Conti, Scattered LAPSUS$ Hunters, Play, Interlock, Akira, Killnet, etc. Tous voulaient pirater le Vatican ! Il faut savoir que si j'ai apporté mon aide, en 2022, c'est que le Vatican faisait partie des Etats les moins sécurisés de la planète en matière cyber…

Mais le Vatican ne dispose pas de RSSI ?

Non, le Vatican n'emploie aucun expert en cybersécurité. Nous avions alerté sur la nécessité de doter le Vatican d'un RSSI, mais cela ne semble pas être non plus leur priorité.