Dans cet article
Une cyberattaque contre une entreprise ne se produit pas la nuit où les fichiers apparaissent chiffrés. L'attaquant est entré des jours ou des semaines plus tôt, a parcouru le réseau, a trouvé et supprimé les sauvegardes, et seulement ensuite a appuyé sur le bouton. Il y a quatre phases (reconnaissance, intrusion, propagation et impact) et, pour chacune, une mesure qui fonctionne. Plus l'attaque s'arrête tôt, moins elle coûte. C'est ainsi que nous voyons les incidents dans les PME portugaises, et c'est ainsi que nous concevons la cybersécurité gérée.
Les quatre phases en résumé
| Phase | Ce que fait l'attaquant | Durée typique | Ce qui l'arrête |
|---|---|---|---|
| 1. Reconnaissance | Étudie l'entreprise à partir d'informations publiques | Heures à semaines | Mots de passe uniques, exposition réduite |
| 2. Intrusion | Hameçonnage, service exposé ou faille non corrigée | Minutes | MFA, filtrage, mises à jour, pare-feu géré |
| 3. Propagation | Cherche identifiants, serveurs et sauvegardes | Jours à semaines | VLAN, pas d'administrateurs locaux, sauvegardes immuables, supervision |
| 4. Impact | Chiffre, vole ou détourne des paiements | Heures | Confinement : plan de réponse et restauration |
1. Reconnaissance : l'entreprise vue de l'extérieur
Avant le premier contact, l'attaquant rassemble ce qui est public : noms et fonctions sur LinkedIn, adresses e-mail sur le site, fournisseurs cités dans la presse, logiciels mentionnés dans les offres d'emploi et mots de passe de collaborateurs exposés lors de fuites d'autres sites. Avec cela, il monte une attaque sur mesure : l'e-mail du fournisseur habituel, l'appel de la banque, la connexion avec le mot de passe réutilisé. L'entreprise ne voit rien de cette phase.
Comment l'arrêter : retirer leur valeur aux clés et réduire ce qui est exposé. Des mots de passe uniques conservés dans un gestionnaire de mots de passe d'entreprise neutralisent les fuites de tiers. Moins d'adresses génériques sur le site et une procédure pour les demandes faites au nom d'une autre personne réduisent la marge d'ingénierie sociale.
2. Intrusion : la première porte
Dans les PME, trois portes dominent :
- Hameçonnage Quelqu'un saisit son mot de passe sur un faux site ou ouvre une pièce jointe malveillante.
- Service exposé sans MFA Bureau à distance, VPN ou ancien portail avec un mot de passe faible.
- Faille non corrigée Pare-feu au firmware ancien, serveur non mis à jour, Windows 10 sans support.
Comment l'arrêter : une authentification multifacteur sur tout ce qui est accessible de l'extérieur, ce qui rend inutile un mot de passe volé. Un filtrage de la messagerie et une équipe formée à reconnaître et à signaler. Des mises à jour à jour et un pare-feu géré avec le minimum de services exposés. C'est ici que la plupart des attaques contre les PME doivent mourir.
3. Propagation : d'un poste au réseau entier
Une fois à l'intérieur, l'attaquant cherche trois choses : des identifiants administrateur, un chemin vers les serveurs et les sauvegardes. Sur un réseau à plat, avec des utilisateurs administrateurs de leurs postes et le même mot de passe d'administration sur toutes les machines, il y parvient en quelques heures. Il désactive l'antivirus, crée des comptes pour revenir et supprime ou chiffre les sauvegardes à sa portée.
Comment l'arrêter :
- Segmentation Des VLAN qui empêchent un poste compromis d'atteindre serveurs et sauvegardes (comment segmenter le réseau).
- Moindre privilège Des utilisateurs sans droits d'administrateur.
- Sauvegardes immuables Hors de portée du réseau.
- Détection Un NOC et une supervision (24/7 dans la formule Premium 365) qui repèrent les connexions hors heures, les nouveaux comptes et le trafic vers des destinations étranges tant qu'il ne s'agit encore que d'alertes.
C'est la logique des quatre étapes Zero Trust pour les PME.
Pourquoi cette phase est décisive
L'intrusion n'est jamais fermée à 100 % : les gens se trompent et de nouvelles vulnérabilités apparaissent chaque jour. À l'impact, il est déjà trop tard pour prévenir. Pendant la propagation, une entreprise dotée de segmentation, de supervision et de sauvegardes protégées transforme un incident grave en un poste à réinstaller. C'est pourtant la phase la plus oubliée : on investit dans la porte (pare-feu, antivirus) et dans la restauration (sauvegardes) et on laisse le milieu ouvert.
4. Impact : ce que l'on finit par voir
Fichiers chiffrés avec demande de rançon, données publiées ou vendues, virements frauduleux ou systèmes à l'arrêt. Le moment est choisi pour retarder la réaction, souvent le vendredi soir ou la veille d'un jour férié. Le coût se mesure alors en jours d'arrêt, honoraires de restauration, notifications à la CNPD et aux clients, et réputation.
Comment contenir : un plan de réponse écrit et connu (qui isole, qui communique, qui appelle qui) ; des sauvegardes testées et hors de portée de l'attaquant ; un plan de reprise après sinistre et de continuité d'activité avec des délais de restauration définis ; et des premières heures bien gérées, comme l'explique le guide de récupération de données dans les premières heures.
Une attaque typique, jour après jour
Scénario composé à partir de ce que nous observons dans les PME.
- Mardi — quelqu'un de la comptabilité reçoit une facture du « fournisseur » et saisit son mot de passe sur le faux portail.
- Mardi soir — l'attaquant entre dans la messagerie et la lit pendant une semaine. Il trouve l'accès au bureau à distance, sans MFA.
- Les jours suivants — il entre dans le réseau ; l'utilisateur est administrateur local ; il extrait des identifiants et atteint le serveur de fichiers et le NAS des sauvegardes, sur le même segment.
- Jeudi soir — il supprime les sauvegardes.
- Samedi à l'aube — il chiffre tout. Le lundi matin, l'entreprise découvre l'attaque.
Avec le MFA sur l'accès à distance, l'attaque s'arrêtait en phase 2. Avec des VLAN et des sauvegardes hors réseau, elle s'arrêtait en phase 3 avec un serveur à restaurer. Sans aucune de ces mesures, ce furent trois semaines d'arrêt partiel.
Questions fréquentes
Combien de temps s'écoule entre l'intrusion et l'impact ?
Dans les PME, généralement entre quelques jours et quelques semaines. Les attaques automatisées peuvent chiffrer en quelques heures ; les attaques ciblées prennent plus de temps car l'attaquant cherche d'abord les sauvegardes.
Un bon antivirus ne suffit-il pas ?
Il arrête une partie de l'intrusion (pièces jointes malveillantes) et une partie de la propagation (outils connus). Il n'arrête pas des identifiants volés utilisés de manière apparemment légitime, ce qui est la façon dont progressent la plupart des attaques. C'est pourquoi le MFA et la segmentation pèsent davantage.
Payer la rançon règle-t-il le problème ?
Cela ne garantit ni la restauration ni la non-publication des données, et finance la prochaine attaque. Ceux qui disposent de sauvegardes testées et hors de portée n'ont même pas à se poser la question.
Par où commencer quand on n'a rien de tout cela ?
Par le rapport coût-bénéfice : MFA sur tous les accès externes, sauvegardes hors réseau et testées, retrait des droits d'administrateur, segmentation du réseau. Les deux premières mesures se mettent en place en quelques jours.
Prochaine étape : à quelle phase une attaque contre votre entreprise s'arrêterait-elle aujourd'hui ?
Nous parcourons les quatre phases avec votre infrastructure et vous indiquons par écrit où l'attaque serait arrêtée aujourd'hui et ce qui manque pour l'arrêter plus tôt. Découvrez la cybersécurité gérée de DataRoad ; en 11 ans, DataRoad n'a jamais subi d'incident de sécurité.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone. Appelez le +351 211 459 950* ou écrivez à sales@dataroad.pt.
*Appel vers un fixe portugais.
