Il y a quelques années, un client m’appelle. Secteur du sport. Son site d’abonnements est tombé. En pleine promo, le jour où il devait faire son chiffre.
Je remonte le fil. Je trouve la faille. Elle venait de chez son prestataire IT. Une erreur bête, de celles qu’on corrige en une journée.
Mais ce n’est pas ce qui l’intéressait. Lui voulait un nom.
Un concurrent ? Un ancien salarié ? Un prestataire vexé ? Il a dépensé des milliers d’euros pour trouver le coupable. Je n’ai pas trouvé l’info dans les logs. Les traces ne menaient nulle part. Il imaginait quelqu’un qui lui en voulait personnellement.
Deux histoires qui font rêver
Ces derniers jours, deux affaires ont fait le tour des rédactions.
Chez OpenAI, un ingénieur a caché un micro dans la salle de réunion de la direction. Branché à l’arrière d’une télé, emballé dans du papier toilette. Le FBI l’a arrêté le 9 octobre. La famille saoudienne royale est accusée.
Chez des clients Ledger, c’est un implant glissé sous l’écran de leur portefeuille crypto. Un modem 4G, une carte SIM et une antenne. Les appareils avaient été piégés chez un revendeur en Asie du Sud-Est. Près de 90 millions de dollars envolés, selon les analystes.
Ça fait de bons titres. Je vois déjà certains décideurs se poser la question : est-ce qu’on devrait faire inspecter nos salles de réunion ?
Si vous dirigez une PME ou ETI, passez votre chemin. Ces scénarios ne vous concernent pas. Le risque est faible. Vous avez du risque à gérer plus important.
Ce que ces attaques ont en commun
Elles visent une cible précise. Pour une raison précise.
OpenAI, ce sont les secrets d’une boîte en pleine course à l’IA. Ledger, ce sont des portefeuilles remplis de crypto. Dans les deux cas, quelqu’un a pris le temps de choisir sa victime, de préparer, de s’approcher.
Détail amusant : le micro d’OpenAI coûtait une quinzaine de dollars. Le matériel n’avait rien de sophistiqué. Ce qui coûte cher, c’est tout le reste. Avoir quelqu’un à l’intérieur qui prend le risque de sacrifier sa vie (et quelques années derrière les barreaux). Connaître les salles, les agendas, les habitudes de la direction.
Ce genre d’opération demande du temps et des moyens. On ne les sort que pour des cibles qui rapportent gros.
Stuxnet ne viendra pas dans votre usine
Côté industrie, j’entends la même musique depuis des années. Dès qu’on parle de sécurité des automates, quelqu’un sort Stuxnet.
Stuxnet, c’est le virus qui a saboté les centrifugeuses du programme nucléaire iranien. Découvert en 2010, attribué aux États-Unis et à Israël. Des années de préparation, des moyens d’État, une seule cible au monde.
C’est un cas qu’on voit une fois dans une décennie. Jusqu’à preuve du contraire, votre usine qui fabrique du polystyrène n’intéresse pas les services de renseignement.
Ce qui risque de l’arrêter est beaucoup plus bête. Un accès de télémaintenance laissé ouvert. Un poste bureautique qui communique avec le réseau des machines alors qu’il ne devrait pas. Une mauvaise segmentation réseau.
Votre prochain attaquant ne connaît pas encore votre nom
Pour tous les autres, le risque principal a une autre tête. L’attaque opportuniste.
Des attaquants qui balaient Internet en continu. Ils cherchent un VPN pas patché, un accès bureau à distance ouvert sur Internet, un mot de passe qui traîne dans une vieille fuite. Ils envoient des phishings par milliers et attendent que ça morde.
Votre nom d’entreprise, pardonnez-moi, ils ne le connaissent même pas. Vous êtes une adresse IP dans un script. Si la porte est ouverte, ils rentrent. Ensuite seulement, ils regardent ce qu’il y a d’intéressant.
Ce que votre SOC doit regarder en priorité
Un SOC bien piloté ne commence pas par chercher l’attaquant sophistiqué étatique. Il commence par deux choses.
D’abord, ce que vous exposez sur Internet. VPN, accès distants, Shadow IT. Des tentatives sur ces portes-là, il y en a toute la journée.
Ensuite, les comptes et les postes. C’est là que l’attaquant laisse des traces une fois entré. Une connexion inhabituelle. Un compte qui devient administrateur sans raison. Un poste qui se met à parler à tout le réseau.
Ce matin, en arrivant au bureau
Avant de vérifier s’il y a un micro derrière la télé, assurez-vous que votre pare-feu et votre VPN sont à jour.
Mehdi Charki est SOC Manager avec 10 ans d’expérience. SOC Performance est sa newsletter indépendante sur la gouvernance, la stratégie et le pilotage SOC.