Où entrent vraiment les attaquants — et pourquoi ce n'est pas là que vous dépensez
TW Micronics
Auteur
Il existe un écart persistant entre ce qui fait entrer un attaquant et ce sur quoi une organisation dépense pour l'en empêcher. L'agence européenne de cybersécurité a analysé environ 4 900 incidents entre juillet 2024 et juin 2025 : le résultat tient en deux chiffres, et ils désignent deux portes que presque personne ne considère comme des projets de sécurité.
Deux portes, et rien d'exotique
L'hameçonnage représente 60 % des accès initiaux observés. Pas 60 % des tentatives : 60 % des entrées réussies. Le message n'est plus la caricature mal traduite d'il y a dix ans — il est désormais produit industriellement, et plus de 80 % de l'ingénierie sociale observée dans le monde début 2025 s'appuyait sur des outils génératifs. La faute d'orthographe, qui servait de garde-fou gratuit, a disparu.
L'exploitation de vulnérabilités connues représente 21,3 % des intrusions. Le mot important est connues : il s'agit très majoritairement de failles publiées, documentées, avec un correctif disponible — et non appliqué. Ce n'est pas un problème de détection, c'est un problème d'inventaire et de calendrier.
Ensemble, ces deux vecteurs expliquent plus de huit intrusions sur dix. Et une fois dedans, la suite est monotone : 81,1 % des incidents de cybercriminalité recensés sur les organisations européennes impliquent un rançongiciel.
Une précision d'honnêteté : ces mesures portent sur l'Union européenne. Nous ne les transposons pas telles quelles à l'Afrique centrale — les proportions locales peuvent différer. Mais les vecteurs, eux, ne connaissent pas de frontière : un courriel piégé et un service non corrigé fonctionnent exactement de la même façon à Yaoundé qu'à Bruxelles.
Pourquoi le budget part ailleurs
Les deux portes qui comptent ont un point commun désagréable : les fermer ne ressemble pas à un projet. Corriger des serveurs et former des équipes ne produit ni démonstration impressionnante, ni tableau de bord à montrer au conseil d'administration. Un équipement de périmètre, si.
Il y a aussi une raison structurelle. La correction de failles traverse toutes les équipes : elle exige de savoir ce qu'on possède, d'accepter des fenêtres d'interruption, et d'arbitrer entre disponibilité et sécurité. C'est un travail de coordination, pas d'achat. Il n'a donc pas de propriétaire naturel — et ce qui n'a pas de propriétaire n'avance pas.
Ce que nous regardons en premier dans un audit
Nous commençons rarement par les outils. Quatre questions suffisent à situer une organisation, et elles ne coûtent rien à poser :
- Que possédez-vous, exactement ? Un inventaire à jour des serveurs, services exposés et comptes à privilèges. Sans lui, « appliquer les correctifs » n'a pas de sens : on ne corrige pas ce qu'on ignore. C'est le point qui manque le plus souvent, et de loin.
- En combien de temps un correctif critique est-il appliqué ? Pas la politique écrite : le délai réellement mesuré sur les trois derniers. Si personne ne sait répondre, le délai est infini.
- Que se passe-t-il si un compte administrateur est compromis ce soir ? L'authentification à double facteur est-elle réellement active sur les accès distants et les messageries — ou seulement prévue ?
- Vos sauvegardes ont-elles été restaurées ? Une sauvegarde jamais restaurée est une hypothèse, pas une garantie. Le rançongiciel transforme cette hypothèse en pari, et le pari se joue le pire jour.
Le rapport coût-effet est brutal
Sur ces quatre points, l'essentiel du gain ne s'achète pas. Il se décide : une personne responsable de l'inventaire, un créneau mensuel de correction accepté par la direction, l'authentification forte activée partout, une restauration éprouvée chaque trimestre. Cela ne remplace pas la détection — mais cela retire la majorité des attaquants du jeu avant qu'il n'y ait quoi que ce soit à détecter.
La sensibilisation, elle, mérite d'être reprise honnêtement. Former les équipes à repérer les fautes d'orthographe n'a plus d'objet. Ce qui protège encore, c'est un réflexe de procédure : un virement ou un changement de coordonnées bancaires se confirme par un canal différent de celui qui l'a demandé, toujours, y compris quand le message vient du directeur général et surtout quand il est urgent. C'est une règle d'organisation, pas une compétence technique — et c'est pour cela qu'elle tient.
Ce que nous dirions à une direction générale
La question à poser n'est pas « sommes-nous protégés ? », à laquelle personne ne peut répondre honnêtement par oui. C'est : « combien de temps entre la publication d'une faille critique et sa correction chez nous, et qui en est responsable ? » La réponse à cette seule question en dit plus sur le niveau réel de sécurité d'une organisation que l'inventaire de ses équipements.
Et lorsqu'un incident survient — ce qui finit par arriver — la différence entre une interruption de deux jours et une interruption de trois semaines ne tient presque jamais à l'outil de détection. Elle tient à la question de savoir si quelqu'un, un jour, a vraiment essayé de restaurer une sauvegarde.
Sources