Manuel de CyberDéfense pour CTO économe

Un courriel ou un message trompeur pousse l’utilisateur à livrer ses identifiants ou à exécuter une pièce jointe piégée : c’est le premier point d’entrée des attaques.

Un attaquant se connecte avec les identifiants d’un utilisateur légitime (mot de passe volé ou rejoué) et accède au SI sous son identité, sans déclencher d’alerte.

Un maliciel chiffre les données et exige une rançon, souvent après avoir exfiltré des fichiers : l’activité s’arrête et la menace de publication s’ajoute à l’extorsion.

À partir d’une machine compromise, l’attaquant rebondit de proche en proche vers les systèmes sensibles, un réseau à plat transformant une intrusion isolée en compromission générale.

La prise de contrôle d’un compte administrateur donne un accès étendu au SI : c’est la cible ultime, qui permet de désactiver les défenses et d’atteindre toutes les données.

Des clés d’API, mots de passe ou certificats laissés en clair (code, configuration, messagerie) sont récupérés et réutilisés pour accéder à l’infrastructure.

Une faille publiée (CVE) et corrigeable depuis des mois reste ouverte faute de suivi : l’attaquant l’exploite avant que le correctif ne soit appliqué.

Un défaut dans le code de l’application (injection SQL, XSS, logique) permet de détourner son fonctionnement, de voler des données ou de prendre la main.

Un code malveillant s’exécute sur un terminal (pièce jointe, téléchargement) et sert de tête de pont pour la persistance et la propagation.

Une fois dans le réseau, l’attaquant collecte et fait sortir des données par des canaux discrets, sans inspection du trafic pour le repérer.

Des serveurs, services ou sous-domaines oubliés restent accessibles depuis Internet, hors de tout suivi : autant de portes d’entrée découvertes par l’attaquant.

Des accès distants trop ouverts ou jamais révoqués (postes nomades, prestataires) offrent un point d’entrée permanent vers le SI depuis l’extérieur.

Sur des flux non chiffrés ou mal certifiés, l’attaquant écoute ou altère les échanges (attaque de l’intercepteur) pour voler des identifiants ou injecter du contenu.

La perte ou le vol d’un ordinateur ou d’un support non chiffré donne un accès direct aux données qu’il contient, sans aucune barrière.

Sans collecte ni corrélation des journaux, l’attaquant reste présent des semaines : l’incident est découvert trop tard, souvent par un tiers.

Des comptes techniques non nominatifs, sur-dotés en droits et aux mots de passe immuables, servent de moyen de persistance et de rebond difficile à imputer.

Depuis le réseau interne, des connexions vers des sites piégés ou des serveurs de commande-et-contrôle permettent le téléchargement de maliciels et le pilotage à distance.

Des systèmes laissés en configuration d’usine (services inutiles, comptes par défaut) élargissent la surface d’attaque et échouent aux audits de conformité.

Sans cartographie des risques ni suivi des mesures, l’organisation ignore où elle en est et ne peut rien prouver : sanctions, perte de marchés et audits à répétition, alors que les efforts de sécurité restent mal priorisés.

Une panne, un incendie ou une cyberattaque rend indisponibles des services essentiels ; sans plan de reprise éprouvé, l’arrêt se prolonge et menace l’organisation.

Une réponse désorganisée, sans collecte de preuves ni suivi, aggrave l’impact de l’incident et laisse la porte ouverte à une récidive par le même chemin.