Exfiltration sans chiffrement : la menace que les politiques de sauvegarde ne couvrent pas
Les stratégies de reprise d’activité centrées sur la restauration de sauvegardes partent d’un postulat obsolète : que l’attaquant chiffre les données. Le panorama ANSSI 2025 confirme une hausse des incidents d’exfiltration pure entre 2024 et 2025, avec un recul simultané des compromissions par rançongiciel classique.
Un vol silencieux de fichiers clients ou de propriété intellectuelle ne déclenche ni alerte de disponibilité ni interruption de service. La détection repose sur l’analyse des flux sortants, pas sur la disponibilité des systèmes. Nous recommandons de surveiller les transferts inhabituels vers des destinations externes, y compris via des protocoles légitimes (HTTPS, DNS over HTTPS) détournés comme canaux d’exfiltration.
A voir aussi : Comment améliorer la cybersécurité ?
Concrètement, cela implique de déployer des règles DLP (Data Loss Prevention) granulaires et de corréler les journaux réseau avec les accès aux bases de données sensibles. Une alerte sur un volume anormalement élevé de requêtes SELECT sur une base de production, combinée à un flux sortant vers une IP non répertoriée, constitue un signal fort.
A voir aussi : Quels sont les trois piliers de la sécurité de l'information ?
Sécurité de la chaîne d’approvisionnement logicielle : auditer ses prestataires
La compromission d’un fournisseur de maintenance ou d’un éditeur d’accès distant peut toucher simultanément plusieurs organisations clientes. Ce vecteur reste insuffisamment traité dans les politiques de cybersécurité des PME et TPE, qui concentrent leurs efforts sur le périmètre interne.
Un prestataire disposant d’un VPN permanent vers votre réseau est une porte d’entrée permanente. Nous observons encore des accès fournisseurs sans restriction horaire, sans journalisation, et sans clause contractuelle de notification d’incident.
Pour réduire ce risque :
- Limiter les accès distants des prestataires à des plages horaires définies et à des segments réseau isolés, via une authentification multifacteur dédiée
- Exiger contractuellement un délai maximal de notification en cas d’incident de sécurité chez le fournisseur, avec description du périmètre potentiellement affecté
- Auditer annuellement les composants logiciels tiers intégrés à vos systèmes (bibliothèques open source, SDK, plugins) à l’aide d’un outil d’analyse de composition logicielle (SCA)
- Maintenir un inventaire à jour des accès accordés à chaque prestataire, avec revue trimestrielle par le responsable sécurité
IA offensive et usurpation d’identité : adapter la gestion des authentifications
ENISA signale une utilisation croissante de l’intelligence artificielle par les groupes malveillants pour automatiser la production de contenus crédibles, notamment des courriels de phishing ciblé et des deepfakes audio. Un appel téléphonique synthétique imitant la voix d’un dirigeant suffit désormais à déclencher un virement frauduleux.
Les protections anti-phishing classiques (filtrage par mots-clés, vérification SPF/DKIM) ne suffisent plus face à des messages générés par IA dont la syntaxe et le contexte sont irréprochables. La vérification hors bande de toute demande sensible devient une mesure de protection non négociable.
En pratique, cela signifie qu’un ordre de virement, une modification de RIB fournisseur ou une demande d’accès privilégié doit être confirmé par un canal distinct de celui par lequel la demande a été reçue. Un courriel suspect se vérifie par téléphone, un appel suspect se vérifie par messagerie interne sécurisée.
Côté authentification, le MFA résistant au phishing (FIDO2, clés physiques) remplace avantageusement les codes SMS ou les applications TOTP, vulnérables aux attaques par proxy en temps réel.
Segmenter les droits d’administration
L’authentification forte ne protège rien si un compte compromis dispose de privilèges excessifs. Le principe du moindre privilège s’applique aux comptes humains comme aux comptes de service. Nous recommandons de séparer les comptes d’administration des comptes utilisateurs quotidiens, même pour les équipes informatiques internes.
Un administrateur système qui consulte ses courriels et navigue sur le web depuis le même compte que celui qui gère l’Active Directory offre un chemin d’attaque direct.
NIS2 et conformité réglementaire : ce qui change pour les PME
La directive européenne NIS2 élargit le périmètre réglementaire à 18 secteurs. Des entreprises qui n’avaient aucune obligation formelle en matière de cybersécurité se retrouvent soumises à des exigences de notification d’incident, de gestion des risques et de gouvernance.
NIS2 impose une responsabilité de la direction, pas uniquement du service informatique. Les dirigeants peuvent être tenus personnellement responsables en cas de manquement aux obligations de sécurité. Ce transfert de responsabilité modifie la dynamique budgétaire : la cybersécurité sort du poste « informatique » pour devenir un sujet de gouvernance.
Pour les TPE et PME qui découvrent ces obligations, la mise en conformité commence par trois actions concrètes :
- Cartographier les actifs critiques (données clients, systèmes de production, interconnexions avec des tiers) et évaluer leur exposition
- Formaliser une politique de gestion des incidents avec des procédures de notification compatibles avec les délais réglementaires
- Désigner un responsable de la sécurité des systèmes d’information, même à temps partiel, capable de piloter la conformité et de dialoguer avec les autorités compétentes
Prioriser les investissements en matière de protection
La conformité ne signifie pas déployer toutes les mesures simultanément. Nous recommandons de hiérarchiser les risques par impact métier : une interruption de la chaîne logistique pèse davantage qu’une indisponibilité temporaire du site vitrine. Les budgets limités gagnent à être concentrés sur la détection et la réponse aux incidents plutôt que sur l’empilement de solutions préventives.
La sécurité informatique en entreprise ne se résume plus à un antivirus et une politique de mots de passe. Les attaques par exfiltration, les compromissions de la chaîne d’approvisionnement et l’exploitation de l’IA par les attaquants redéfinissent les priorités. Investir dans la détection des comportements anormaux et dans la gouvernance des accès produit aujourd’hui plus de résultats que l’accumulation de couches défensives périmétriques.
