Menaces & attaques

Les cybercriminels ne sont pas tous des génies isolés derrière un écran. Beaucoup travaillent en filières organisées, avec des spécialistes de la collecte d’informations, des vendeurs d’accès, des développeurs d’outils et même des négociateurs. Cette division du travail explique pourquoi les attaques sont aujourd’hui plus rapides, plus répétables et moins coûteuses à lancer qu’il y a quelques années. Une petite structure n’est donc pas à l’abri parce qu’elle serait « trop modeste » : les campagnes sont souvent automatisées et visent des milliers d’organisations en parallèle, en retenant celles qui répondent. Le mobile est presque toujours financier, qu’il s’agisse de rançon, de fraude au virement ou de revente de données, même si l’espionnage et la déstabilisation existent aussi. Pour un dirigeant, l’enjeu consiste moins à deviner qui attaque qu’à comprendre ce qui rend une organisation facile à attaquer : un accès exposé, un mot de passe réutilisé, un correctif en retard, un collaborateur pressé. Ces faiblesses ordinaires ouvrent la plupart des intrusions, bien avant les prouesses techniques que racontent les gros titres.

La représentation la plus utile pour s’y retrouver est la chaîne d’attaque, souvent appelée kill chain. Elle décompose une intrusion en étapes successives : repérage de la cible, intrusion initiale, installation d’un point d’appui, élévation des droits, déplacement vers les systèmes sensibles, puis action finale, qu’il s’agisse de chiffrer, de voler ou de frauder. L’intérêt pour un défenseur est considérable : il n’a pas besoin de tout arrêter, il lui suffit d’interrompre la chaîne à un endroit. Plus l’interruption est précoce, moins l’impact est lourd. Or la première étape tangible reste très souvent un message trompeur adressé à une personne précise, comme le montre l’analyse d’une attaque d’hameçonnage ciblé, où la qualité du faux message dépend directement des informations publiques glanées en amont. Réduire ce que l’on expose et apprendre à douter d’un message inhabituel agissent donc sur plusieurs étapes à la fois.

Cette lecture en étapes change aussi la manière de mesurer sa protection. Au lieu de se demander « suis-je protégé contre le rançongiciel ? », on se demande « à quelle étape ai-je une chance de voir et de bloquer l’attaquant ? ». Une organisation qui ne journalise rien n’a aucune chance de repérer un déplacement latéral. Une autre qui n’a pas de sauvegardes hors ligne testées perd toute marge de manœuvre au moment de l’impact. Une troisième qui n’a jamais défini qui décide en cas d’incident perd des heures précieuses à chercher un responsable. Ces trous ne dépendent pas du type de menace : ils sont communs à presque toutes les attaques. C’est pourquoi cette rubrique gagne à être lue en croisant les articles, en cherchant les mesures qui reviennent d’un sujet à l’autre, plutôt qu’en traitant chaque menace comme un monde à part, avec ses outils et ses experts dédiés.

Quelles familles de menaces faut-il distinguer pour s’organiser ?

Les quinze sujets de cette rubrique se regroupent en quelques familles, ce qui évite de se perdre dans le vocabulaire. Chaque famille répond à une logique différente, appelle des parades différentes et mobilise des interlocuteurs différents dans l’organisation. Distinguer la famille avant de choisir la mesure est un réflexe simple, qui évite d’acheter un outil sophistiqué pour un problème qui relève d’abord de l’organisation, de la formation ou de la gestion des accès. Trois familles structurent l’essentiel : les attaques qui exploitent la confiance humaine, celles qui visent les systèmes et les comptes, et celles qui passent par un tiers ou un environnement de confiance. Les sous-titres suivants les présentent tour à tour, avec les questions à se poser dans chaque cas et les premiers leviers à actionner, sans prétendre remplacer une analyse de risques propre à votre activité.

Les attaques qui exploitent la confiance

Cette famille regroupe les attaques où l’humain est la porte d’entrée : hameçonnage, fraude au virement, faux sites aux noms trompeurs, publicités piégées. La technique est parfois rudimentaire, mais la mise en scène est psychologiquement très travaillée : urgence, autorité, curiosité, peur de mal faire. L’attaquant ne cherche pas à casser une protection, il cherche à ce qu’on la lui ouvre. Les parades les plus efficaces sont donc d’abord organisationnelles : une procédure de double validation pour tout changement de coordonnées bancaires, un canal de rappel indépendant, le droit explicite de refuser une demande pressante, et un filtrage de la messagerie qui réduit le volume de messages douteux. La technique complète ensuite le dispositif, par exemple avec l’authentification renforcée, qui limite les dégâts quand un mot de passe a été donné. Le point clé : un collaborateur qui signale un doute doit être remercié, jamais sanctionné, car un signalement encouragé reste votre meilleure détection.

Les attaques qui visent les systèmes et les comptes

Ici, l’attaquant s’en prend directement à la technique : essais massifs de mots de passe, exploitation d’une faille connue ou inconnue, code malveillant exécuté en mémoire pour échapper aux antivirus, saturation d’un service pour le rendre indisponible, puis chiffrement ou vol des données. Ces attaques se préviennent par l’hygiène technique : correctifs appliqués selon une priorité claire, comptes à privilèges réduits au strict nécessaire, authentification multifacteur sur tous les accès exposés, segmentation du réseau pour que l’intrusion d’un poste ne donne pas accès à tout. La détection compte autant que la prévention : un outil de type EDR et une journalisation exploitable permettent de repérer un comportement anormal même quand le code malveillant est inconnu. Enfin, la sauvegarde hors ligne testée reste le filet de sécurité qui permet de redémarrer sans négocier avec quiconque. Aucune de ces mesures n’est spectaculaire, mais leur combinaison ferme la majorité des chemins.

Les attaques qui passent par un tiers

Quand l’attaquant ne peut pas entrer par la grande porte, il passe par un voisin que vous croyez fiable : un éditeur dont la mise à jour est piégée, un prestataire disposant d’un accès distant, un site professionnel que vos équipes consultent chaque jour et qui a été compromis. Cette famille est redoutable parce qu’elle détourne la confiance que vous accordez légitimement à un partenaire, et parce que la victime finale n’a souvent aucun contrôle direct sur la faille d’origine. Les intrusions longues et discrètes, menées par des groupes patients, empruntent volontiers ce chemin. La réponse tient en trois idées : limiter les droits des tiers à ce qui est nécessaire, inscrire des exigences de sécurité et de notification d’incident dans les contrats, et surveiller les comportements anormaux, car un accès légitime utilisé à une heure ou depuis un lieu inhabituel doit toujours alerter. Un inventaire à jour des fournisseurs critiques est le préalable à tout le reste.

Ce qui rend le paysage actuel particulièrement difficile à suivre, c’est l’industrialisation de la cybercriminalité. Des groupes louent leurs outils à des affiliés, selon le modèle dit ransomware-as-a-service, des courtiers vendent des accès déjà obtenus, des hébergeurs complaisants abritent l’infrastructure. Résultat : un attaquant peu compétent techniquement peut aujourd’hui mener une attaque sérieuse en achetant chaque maillon. Pour la défense, cela signifie deux choses. D’abord, les techniques se diffusent vite : ce qui était réservé à quelques groupes se retrouve en quelques mois dans des campagnes de masse. Ensuite, la frontière entre grandes et petites cibles s’efface, puisque le coût d’une victime supplémentaire est très faible pour l’attaquant. Vous n’avez pas à rivaliser avec lui, mais à rendre l’opération moins rentable que chez le voisin, en ajoutant assez de frictions pour qu’il passe à une cible plus facile.

Par où les attaquants entrent-ils réellement dans une organisation ?

Une fois les familles identifiées, reste la question pratique : où se trouvent les portes ? Les attaquants privilégient les chemins les moins coûteux, ce qui les amène à tester cinq grands vecteurs d’entrée, quelle que soit la taille de la cible : la messagerie, les accès distants, les fournisseurs, les failles logicielles et le facteur humain au sens large. L’infographie ci-dessous les place sur un radar, comme le ferait un exercice de cartographie de la surface d’attaque. Ce qui compte n’est pas le rang exact de chaque vecteur, qui varie d’une organisation à l’autre, mais le fait d’en avoir une vision partagée : une porte oubliée devient vite la porte utilisée. Un bon point de départ consiste à lister, sans jugement, tout ce qui est joignable depuis l’extérieur et tout ce qui reçoit des données de l’extérieur.

Contrôler la messagerie et les accès distants

La messagerie et les accès à distance forment un binôme à traiter en priorité. Côté messagerie, la protection contre l’usurpation de votre domaine (SPF, DKIM, DMARC), le filtrage des pièces jointes et des liens, et le marquage visible des expéditeurs externes réduisent fortement le volume de messages piégés. Côté accès distants, la règle de base consiste à ne laisser aucun service d’administration ouvert directement sur Internet, à imposer l’authentification multifacteur et à journaliser les connexions. Les mots de passe réutilisés ou faibles restent une cause majeure de compromission : un gestionnaire de mots de passe d’entreprise et la détection des tentatives répétées de connexion font partie des réponses les plus rentables. Une règle utile pour les décideurs : si un accès permet de tout faire depuis n’importe où avec un simple mot de passe, il est déjà en train d’être testé par des outils automatisés, même si personne ne s’en est aperçu.

Gérer les failles et les tiers

Les failles logicielles et les fournisseurs complètent le tableau. Pour les failles, la discipline compte plus que l’outil : un inventaire des actifs exposés, un rythme de correctifs défini selon la criticité, et un plan de contournement pour les vulnérabilités sans correctif disponible, comme l’isolement temporaire du service ou la désactivation d’une fonction. Pour les tiers, la logique est la même : savoir qui a accès à quoi, avec quels droits et jusqu’à quand. L’analyse d’une attaque par la chaîne d’approvisionnement logicielle illustre bien pourquoi un composant de confiance mis à jour automatiquement peut devenir le meilleur cheval de Troie. Là encore, il n’est pas question de tout contrôler, mais de hiérarchiser : les fournisseurs qui touchent vos données les plus sensibles, ou qui disposent d’un accès administrateur, méritent une revue annuelle et des clauses précises, alors qu’un prestataire secondaire demande un suivi plus léger.

Dernier point sur les vecteurs : leur combinaison. Rares sont les attaques réussies qui n’utilisent qu’un seul chemin. Un message d’hameçonnage fournit un identifiant, une faille non corrigée permet de passer des droits d’utilisateur aux droits d’administrateur, un accès distant mal protégé offre la discrétion nécessaire pour rester plusieurs semaines. C’est pourquoi corriger un seul vecteur donne une fausse impression de sécurité, et pourquoi un audit ou un test d’intrusion est le meilleur moyen de vérifier la solidité de l’ensemble plutôt que celle de chaque pièce. L’idée n’est pas d’atteindre la perfection, mais de s’assurer qu’aucun chemin n’est vraiment gratuit : chaque marche franchie doit coûter du temps à l’attaquant et laisser une trace, ce qui multiplie les chances de détection précoce et laisse à vos équipes le temps de réagir.

Comment bâtir une défense proportionnée à la taille de votre organisation ?

Il n’existe pas de défense universelle, mais il existe une défense proportionnée : celle qui couvre les risques réels de votre activité avec des moyens que vous pouvez effectivement maintenir. L’erreur classique consiste à copier le dispositif d’une grande entreprise sans les équipes pour l’exploiter, ou, à l’inverse, à se contenter d’un antivirus en espérant que cela suffira. Trois critères permettent de calibrer l’effort : la sensibilité de vos données, la dépendance de votre activité à vos systèmes, et votre capacité à réagir quand quelque chose se produit. Les trois profils ci-dessous donnent des points de départ réalistes, à affiner ensuite par une analyse de risques adaptée à votre contexte, à vos prestataires et à vos obligations réglementaires. Dans tous les cas, mieux vaut commencer petit et tenir dans la durée que viser un dispositif idéal qui ne sera jamais déployé.

TPE : les fondamentaux d’abord

Dans une TPE, personne n’a le temps de gérer des outils complexes, donc il faut viser des mesures simples à fort effet. Quatre actions couvrent une grande partie du risque : l’authentification multifacteur sur la messagerie et les accès distants, des sauvegardes hors ligne testées, des mises à jour automatiques sur tous les postes, et une consigne claire de double vérification pour tout virement inhabituel. S’y ajoute une courte sensibilisation régulière, qui vaut mieux qu’une longue formation annuelle oubliée au bout d’un mois. Externaliser la supervision à un prestataire est souvent plus réaliste que de recruter. L’essentiel est de savoir qui contacter en cas de problème avant que le problème n’arrive : un interlocuteur identifié, une procédure d’une page, des sauvegardes accessibles et une liste des comptes critiques à jour.

PME et ETI : structurer et détecter

À partir de quelques dizaines de postes, l’enjeu change : il faut structurer la gouvernance et se donner les moyens de détecter. Cela passe par un inventaire des actifs et des accès, une gestion des droits revue régulièrement, la segmentation du réseau, un EDR sur les postes et les serveurs, et une supervision capable de remonter des alertes qualifiées. Un plan de réponse à incident écrit, avec les rôles, les contacts, les décisions à prendre et les messages de crise, évite de découvrir ses lacunes au pire moment. Des exercices de crise simulés, même d’une demi-journée, révèlent ce que les procédures ne disent pas. Enfin, la gestion des fournisseurs critiques doit être formalisée, avec des exigences contractuelles et un point annuel. La conformité, par exemple à NIS 2 pour les entités concernées, devient alors un sous-produit de la démarche plutôt qu’une contrainte subie.

Collectivités : concilier service public et contraintes

Les collectivités cumulent des contraintes spécifiques : des services publics à maintenir, des données de citoyens sensibles, des budgets serrés, des applications anciennes, de nombreux agents aux profils variés et des élus à convaincre. La priorité est de protéger la continuité des services essentiels : état civil, paie, facturation, accueil des usagers. Cela implique une cartographie des applications vitales, des sauvegardes hors ligne, des procédures dégradées pour fonctionner sans informatique pendant quelques jours, et une sensibilisation adaptée à chaque métier. Les mutualisations entre communes ou intercommunalités permettent d’accéder à une expertise qu’une petite commune ne peut pas financer seule. Les démarches de cartographie des risques et de conformité au RGPD offrent un cadre commun, et les dispositifs d’accompagnement existants méritent d’être étudiés avant de bâtir le budget de l’année.

Quelques erreurs reviennent presque systématiquement. La première est de confondre conformité et sécurité : cocher des cases ne protège pas si les mesures ne sont ni appliquées ni testées. La deuxième est de négliger le plan B : sauvegardes jamais restaurées, procédure de crise jamais lue, contacts introuvables un dimanche soir. La troisième est de croire qu’une protection technique dispense de former, alors que la plupart des intrusions commencent par une action humaine. La quatrième est de gérer la cybersécurité comme un projet ponctuel plutôt que comme un processus d’amélioration continue. Chaque incident, même mineur, doit nourrir un retour d’expérience simple : qu’avons-nous vu, qu’avons-nous manqué, qu’allons-nous changer. Les organisations qui progressent le plus vite sont rarement celles qui dépensent le plus, mais celles qui transforment chaque alerte en apprentissage partagé.