Les environnements cloud concentrent désormais une part massive des données et des applications des organisations publiques et privées. Cette centralisation attire des attaquants aux profils variés, depuis les groupes à finalité lucrative jusqu’aux acteurs étatiques spécialisés en espionnage. L’ANSSI observe une augmentation des attaques ciblant spécifiquement les infrastructures cloud, avec des modes opératoires de plus en plus adaptés aux architectures distribuées.
Latéralisation depuis l’infrastructure on-premise vers le cloud
Un angle rarement détaillé par les guides de sécurité classiques concerne la latéralisation entre environnements on-premise et cloud. L’ANSSI signale que des attaquants compromettent d’abord un réseau interne traditionnel, puis exploitent les liens d’authentification entre ce réseau et les services cloud pour pivoter vers des ressources hébergées chez un fournisseur.
A lire également : Que résout l’informatique quantique ?
Ce vecteur tire parti de l’hybridation croissante des systèmes d’information. Quand une entreprise synchronise son annuaire Active Directory local avec un service d’identité cloud, un compte compromis en interne donne potentiellement accès aux ressources hébergées. La frontière entre périmètre local et périmètre cloud s’efface, et les équipes de sécurité doivent surveiller les deux en parallèle.
Les attaquants qui maîtrisent cette technique ne se contentent pas d’exploiter une vulnérabilité isolée. Ils enchaînent plusieurs étapes, de l’accès initial sur un poste de travail à l’élévation de privilèges dans la console cloud, en passant par l’extraction de jetons d’authentification stockés localement.
A découvrir également : Quelle est la dernière technologie SSD ?
Menaces cloud liées aux erreurs de configuration et aux API
Les mauvaises configurations restent le facteur de risque le plus fréquemment cité dans les incidents cloud. Un bucket de stockage laissé accessible publiquement, une politique IAM trop permissive ou un port d’administration exposé sans restriction suffisent à ouvrir une brèche.
Ce qui rend ces erreurs particulièrement tenaces, c’est la vitesse à laquelle les ressources cloud sont provisionnées. Un développeur peut créer un environnement complet en quelques minutes, sans passer par une revue de sécurité. Les outils de détection de mauvaises configurations (CSPM) existent, mais leur déploiement reste inégal selon la maturité des organisations.
Interfaces de programmation non sécurisées
Les API constituent le tissu conjonctif du cloud. Chaque service, chaque interaction entre composants transite par une interface programmable. Une API mal protégée expose directement les données qu’elle manipule, sans qu’un attaquant ait besoin de contourner un pare-feu traditionnel.
Les faiblesses classiques incluent l’absence de limitation du débit de requêtes, des mécanismes d’authentification insuffisants ou des réponses d’erreur trop verbeuses qui révèlent la structure interne du système. L’ANSSI souligne que les attaquants ont développé des compétences spécifiques au ciblage de ces interfaces.
Risque de concentration des fournisseurs cloud et règlement DORA
La menace ne se limite pas aux attaques techniques. Le risque de concentration sur un nombre restreint d’hyperscalers constitue une vulnérabilité systémique. Si un fournisseur majeur subit une panne prolongée ou une compromission, l’impact se propage à des milliers d’organisations simultanément.
Le règlement européen DORA (Digital Operational Resilience Act), dans ses articles 28 et 29, traite cette question de front. Il impose aux entités financières d’évaluer leur dépendance envers les prestataires de services cloud et d’intégrer le risque de concentration dans leur cartographie des menaces.
Supervision européenne directe des prestataires critiques
Depuis novembre 2025, une première liste de prestataires cloud jugés critiques a été publiée dans le cadre de DORA. Ces prestataires peuvent désormais faire l’objet de demandes d’information, d’enquêtes et d’inspections coordonnées au niveau européen. C’est un changement de paradigme : les grands fournisseurs cloud sont désormais supervisés comme des acteurs systémiques.
Cette supervision ne concerne pas uniquement le fournisseur principal. DORA exige que l’évaluation des risques couvre toute la chaîne de sous-traitance, y compris la localisation des données et les dépendances entre prestataires liés. Une entreprise peut donc être exposée à un risque qu’elle ne soupçonne pas, simplement parce que son fournisseur direct sous-traite une fonction à un tiers vulnérable.
- L’évaluation des risques doit inclure les sous-traitants du fournisseur cloud, pas uniquement le contrat direct
- La localisation géographique des données et des traitements doit être documentée et surveillée
- Les dépendances croisées entre prestataires liés doivent être cartographiées pour identifier les points de défaillance uniques
Réversibilité cloud : une menace sous-estimée par les entreprises
La capacité à quitter un fournisseur cloud sans interruption de service, la réversibilité, reste une menace discrète mais structurante. Beaucoup d’organisations signent des contrats incluant une clause de réversibilité sans jamais la tester concrètement.
DORA change la donne sur ce point. Pour les fonctions critiques ou importantes, les entités doivent disposer d’un plan de sortie documenté et testé. L’objectif est de vérifier que la migration vers un autre prestataire ou un retour en interne peut se faire dans des délais acceptables, sans perte de données ni dégradation du service.
Verrouillage technique et dépendance aux formats propriétaires
Le verrouillage fournisseur (vendor lock-in) ne relève pas seulement du contrat. Il s’enracine dans les choix techniques : formats de données propriétaires, services managés sans équivalent chez un concurrent, intégrations profondes avec un écosystème spécifique. Plus une architecture s’appuie sur des composants exclusifs à un fournisseur, plus la sortie devient coûteuse et risquée.
Les retours terrain divergent sur la facilité réelle de migration. Certaines organisations ayant investi dans des architectures conteneurisées et des standards ouverts rapportent des transitions maîtrisées. D’autres, fortement liées à des services natifs d’un hyperscaler, estiment le coût de sortie prohibitif.
- Les conteneurs et les standards ouverts (Kubernetes, Terraform) facilitent la portabilité entre fournisseurs
- Les services managés propriétaires (bases de données, outils d’intelligence artificielle natifs) créent une dépendance technique difficile à défaire
- Un plan de réversibilité non testé n’offre aucune garantie opérationnelle en cas de crise
La menace dans le cloud computing ne se réduit pas à une liste de vulnérabilités techniques. Elle englobe des risques systémiques liés à la concentration des fournisseurs, des contraintes réglementaires nouvelles qui redéfinissent les responsabilités, et des dépendances techniques dont les organisations mesurent mal l’ampleur. Le cadre posé par DORA oblige à formaliser ce qui relevait jusqu’ici de bonnes intentions contractuelles, mais la mise en conformité réelle reste un chantier ouvert pour la majorité des entreprises concernées.
