La SARL Marchand, bureau d'études thermiques du Havre, sept personnes, a perdu quatre jours et 18 400 € sur un virement qui n'aurait jamais dû partir. Personne n'a été piraté au sens que le mot suggère. Quelqu'un a lu un fil de discussion réel au sujet d'une facture, a attendu, puis a écrit depuis un domaine sosie à l'instant exact où le paiement était attendu, en demandant que le règlement aille sur un autre compte. La fraude au changement de RIB arrive au moment exact où une facture est attendue. Aucune pièce jointe, aucun logiciel malveillant, aucune alerte à lever.
C'est pourquoi ce sujet commence par les attaques. Une défense choisie sans savoir ce qui arrive réellement est un achat, et ce qui arrive réellement a une forme remarquablement stable et remarquablement peu spectaculaire : des identifiants, un logiciel qu'on n'a pas mis à jour, et une personne à qui l'on demande poliment quelque chose qu'elle avait de toute façon prévu de faire.
Ce que chaque couche arrête, et ce à quoi elle est transparente
Toute protection est transparente à quelque chose, et une page qui n'énumère que la moitié qui arrête est une publicité. Le second facteur en est le cas le plus net. Le second facteur arrête le bourrage d'identifiants, pas un cookie de session volé. Une fois la connexion faite, le navigateur détient un jeton qui l'atteste, et qui l'obtient est à l'intérieur sans avoir jamais rencontré le second facteur. Ce n'est pas un argument contre lui, qui reste la protection au meilleur rapport disponible ; c'est un argument pour en connaître le bord, parce que le bord est exactement l'endroit par où l'on entre.
La même honnêteté vaut vers le bas. Un gestionnaire de mots de passe supprime la réutilisation, qui est l'attaque qui se produit vraiment à cette taille, et ne fait rien contre une personne qui décide d'autoriser un paiement. Les sauvegardes survivent à un rançongiciel et ne survivent pas à un virement frauduleux, puisque rien n'a été chiffré et que rien n'a été perdu sauf l'argent. Au Havre, la seule protection qui aurait tenu ne s'achète pas : rappeler le fournisseur au numéro déjà connu, celui de la fiche et non celui du courriel, avant de modifier une coordonnée bancaire. C'est une procédure, elle coûte deux minutes, et elle ne figure sur aucune facture.
Deux faits qui décident de la gravité, et non de la probabilité
Le premier porte sur les droits et il est presque toujours expliqué à l'envers. Le moindre privilège limite l'étendue des dégâts, pas la probabilité. Réserver la validation des paiements à une personne ne rend pas l'attaque moins probable, cela décide de ce qui est atteignable une fois un compte pris. Au Havre l'objection était que sept personnes qui travaillent ensemble depuis dix ans n'ont pas besoin de se contrôler, ce qui est une chose légitime à ressentir et la réponse à une autre question. Les droits ne jugeaient pas un collègue, ils bornaient ce qu'un inconnu tenant sa session pouvait atteindre.
Le second porte sur le retour à la normale et personne ne l'éprouve. Une sauvegarde jamais restaurée n'est pas une sauvegarde. Le bureau du Havre sauvegardait chaque nuit depuis trois ans sans avoir jamais restauré une seule fois. À l'essai, les plans sont revenus et la base des dossiers clients non, parce qu'elle avait été ajoutée au serveur après l'écriture de la tâche et que la tâche nommait des répertoires un par un. Rien n'avait échoué. Rien n'avait été vérifié non plus.
Trois horloges françaises, et elles partent le même jour
Ce qui suit un incident en France n'est pas une seule démarche mais trois, chacune avec son propre délai, et toutes déclenchées par le moment où l'on apprend la chose plutôt que par celui où elle s'est produite.
- La banque, sans délai : une demande de rappel du virement part le jour même et n'aboutit que si les fonds n'ont pas déjà été dispersés
- La plainte, sous 72 heures : elle conditionne une partie de ce qui suit et elle date officiellement les faits
- La CNIL, sous 72 heures : seulement si des données à caractère personnel sont concernées, ce qui est le cas dès qu'une messagerie professionnelle a été ouverte
Une violation de données personnelles se notifie à la CNIL sous 72 heures, au titre de l'article 33 du RGPD, à moins qu'elle ne soit peu susceptible d'engendrer un risque pour les personnes. Le point que les responsables manquent est le déclencheur : le compte à rebours part de la prise de connaissance, pas de la fin de l'enquête interne, et une notification incomplète envoyée dans les temps se complète ensuite. Une boîte aux lettres professionnelle ouverte par un tiers contient des noms, des adresses et des échanges ; la question n'est donc pas théorique dans un bureau de sept personnes.
La troisième horloge est plus récente et elle est mal connue. Depuis le 24 avril 2023, l'indemnisation d'une rançon suppose une plainte déposée dans les 72 heures suivant la connaissance de l'atteinte, condition posée par la loi d'orientation et de programmation du ministère de l'intérieur et inscrite au code des assurances. Elle vise la rançon et non la fraude au virement, donc elle ne s'appliquait pas au Havre, et c'est précisément pour cela qu'il faut la connaître avant : le jour venu, personne ne lit un contrat d'assurance en cherchant un délai. L'endroit où l'on trouve quoi faire, et un prestataire près de chez soi, est cybermalveillance.gouv.fr, service public depuis 2017.
L'ordre, et l'endroit où l'on décroche
L'ordre qui marche est le vocabulaire, puis les attaques, puis les défenses, puis les outils, et presque tout le monde le prend à l'envers en arrivant par un outil, parce qu'un outil est une chose qui se télécharge. Les fondamentaux de la sécurité viennent réellement en premier, parce que les mots servent ici avec précision et qu'une réunion où risque, menace et vulnérabilité s'échangent ne décide rien. Viennent ensuite les surfaces d'attaque, qui réordonnent les priorités des gens, puis la défense, qui ne se lit comme une suite de choix qu'après, et enfin les outils de sécurité, qui restent un menu tant que les trois précédents manquent.
Le blocage a deux moitiés et la seconde est française. La première est de croire que la sécurité est un produit qui s'ajoute : elle survit parce que le marché est organisé pour l'encourager et parce qu'acheter est une décision qui se termine, alors que corriger, supprimer les comptes inutilisés et répéter une restauration ne se terminent jamais. La seconde est de ne pas savoir à qui s'adresser, si bien qu'un incident dans une petite structure française n'est souvent déclaré nulle part : ni à la banque assez tôt, ni au commissariat, ni à la CNIL. Le troisième décrochage est la cryptographie, où les gens s'attendent aux mathématiques et s'arrêtent en les rencontrant, alors que ce qui sert est ce que chaque primitive garantit et ce qu'elle ne garantit pas.
Ce qu'il faut ouvrir en 2026
Bitwarden est l'achat au meilleur rendement à cette taille, avec un palier gratuit réellement utilisable et un client libre ; il a remplacé le tableur de mots de passe partagé, et il supprime la réutilisation, qui est ce qui transforme une fuite ailleurs en incident ici. Les clés matérielles sont le second facteur le plus solide et résistent au domaine sosie, parce que la clé vérifie le domaine là où une personne ne le fait pas : elles ont remplacé les codes d'une application, et elles sont payantes, ce qu'il vaut mieux dire que taire.
cybermalveillance.gouv.fr est le dispositif public français, ouvert en 2017, et il a remplacé le fait de chercher autour de soi quelqu'un qui connaîtrait quelqu'un. Il porte des fiches réflexes par type d'incident, un parcours de dépôt de plainte, et un annuaire de prestataires labellisés ExpertCyber que l'on peut appeler le jour même. Le tout est gratuit. Ce qui reste payant est le temps passé, et c'est le poste que les sept personnes du Havre ont réellement dépensé.
Qui regarde à trois heures du matin
Éprouver tout cela sur un système qui ne vous appartient pas n'est jamais implicite, et la limite est juridique avant d'être morale : en France, l'accès et le maintien frauduleux dans un système de traitement automatisé de données sont réprimés par le code pénal, et l'activité technique est identique des deux côtés de la ligne. Le mandat écrit qui nomme les adresses testées, les heures autorisées et la personne à prévenir sépare le test d'intrusion d'un délit. Les certifications se lisent avec la même honnêteté : elles ouvrent des entretiens plutôt qu'elles n'enseignent le métier.
Ce que rien de tout cela ne règle est la question de savoir qui regarde pendant que tout le monde dort, et c'est une question d'effectif avant d'être une question technique. Elle se pose chez les serveurs, qui produisent les journaux, et dans le cloud, où le partage des responsabilités décide de qui regarde quoi. En dessous, les réseaux informatiques fournissent la moitié des chemins dont il est question ici, et l'ensemble est rangé sous les systèmes et les réseaux.