Que peuvent nous apprendre les cybercriminels sur la cybersécurité ?
En tant que négociateur en cybercriminalité reconnu internationalement, Geert Baudewijns, fondateur et PDG de Secutec, communique régulièrement avec des groupes de cybercriminels au nom d'organisations victimes d'attaques par ransomware. Lors d'un récent dossier, un groupe de rançon logiciel a livré un récit étonnamment détaillé de la façon dont il aurait compromis le réseau d'une organisation : obtention d'identifiants privilégiés, accès à des infrastructures critiques et exfiltration de données sensibles.
Ce cas illustre comment une simple vulnérabilité, combinée à des contrôles de sécurité insuffisants, peut potentiellement mener à la compromission totale d'un réseau.
Attention, l'histoire qui suit est basée sur des informations fournies par les attaquants au cours des négociations. Leurs affirmations n'ont pas été vérifiées de manière indépendante, et les détails identificatoires ont été retirés.
L'attaque, racontée par les attaquants
1. Le point d'entrée initial : l'exploitation d'une vulnérabilité exposée
L'attaque aurait commencé non pas par un courriel de phishing, mais par l'exploitation d'une vulnérabilité dans une infrastructure exposée sur Internet.
Les passerelles VPN, les pares-feux et les serveurs exposés sont des cibles de choix, car ils offrent des points d'entrée potentiels dans les environnements d'entreprise. Les attaquants recherchent activement les systèmes vulnérables, en particulier ceux qui restent non corrigés.
La leçon : les organisations doivent avoir une visibilité continue sur leur surface d'attaque externe. L'identification des actifs exposés, la détection des Internal vulnérabilités et la priorisation des correctifs sont essentielles pour réduire les opportunités offertes aux attaquants.
2. L'effet domino des identifiants compromis
Une fois à l'intérieur du réseau, les attaquants auraient découvert des identifiants d'administrateur du domaine sur un serveur.
Ces identifiants auraient donné accès à l'ensemble du domaine Windows. En testant des variantes de mots de passe, les attaquants ont ensuite pu compromettre des infrastructures critiques supplémentaires.
Ce qui avait commencé par l'accès à un seul système s'est mué en un contrôle sur de grandes parties de l'environnement TI de l'organisation.
La leçon : les comptes à privilèges exigent une protection particulièrement forte. L'authentification multifacteur (MFA), la gestion des accès à privilèges (PAM), des comptes administrateur dédiés et la segmentation du réseau peuvent considérablement limiter la capacité d'un attaquant à se déplacer latéralement.
Un seul identifiant compromis ne devrait jamais devenir la clé de tout un réseau.
3. Le vol de données précède la demande de rançon
L'un des détails les plus révélateurs concerne le moment du vol de données.
Pendant que les attaquants planifiaient encore leurs prochaines étapes, ils exfiltraient déjà des informations sensibles.
Cela illustre une réalité importante des opérations modernes de rançon logiciel : les dégâts peuvent commencer bien avant que le chiffrement ou une demande de rançon ne rende l'attaque visible.
Les attaquants peuvent passer un temps considérable à explorer les systèmes, à élever leurs privilèges et à collecter des données précieuses sans être détectés.
La leçon : la prévention seule est insuffisante. La surveillance continue, la détection et réponse sur les terminaux (EDR/XDR) et la détection comportementale des menaces sont essentielles pour identifier précocement les activités suspectes, en particulier les déplacements latéraux, les schémas d'accès inhabituels et les transferts de données anormaux.
4. Quand les cybercriminels prodiguent des conseils en sécurité
La partie la plus ironique de l'échange est venue à la fin.
Les attaquants eux-mêmes ont fourni une liste de recommandations en cybersécurité : protection moderne des terminaux, MFA systématique, correctifs réguliers, sauvegardes protégées et expertise en cybersécurité dédiée.
Les conseils des cybercriminels doivent toujours être considérés avec recul. Néanmoins, leurs recommandations confirment une vérité inconfortable : de nombreuses violations graves exploitent des faiblesses dans les contrôles de sécurité fondamentaux.
La leçon : une cybersécurité efficace ne consiste pas nécessairement à empiler des technologies. Elle consiste à s'assurer que les mesures de sécurité essentielles sont correctement mises en oeuvre, fonctionnent ensemble et sont surveillées en continu.
Que peuvent apprendre les organisations ?
Ce cas démontre comment plusieurs faiblesses de sécurité peuvent se combiner pour transformer une simple intrusion en incident majeur. Protéger une organisation exige plus que de corriger des vulnérabilités isolées. Cela demande une approche coordonnée sur cinq axes essentiels :
-
Gestion de la surface d'attaque :
identifier en continu les actifs exposés sur Internet, détecter les vulnérabilités exposées et prioriser les correctifs avant que les attaquants ne les exploitent.
-
Sécurité des identités :
protéger les comptes à privilèges grâce au PAM, à la MFA, à des contrôles d'accès rigoureux et à une segmentation appropriée du réseau.
-
Détection continue des menaces :
surveiller les comportements suspects sur les terminaux, les identités et l'infrastructure pour identifier les menaces avant qu'elles ne s'aggravent.
-
Opérations de sécurité 24/7 :
assurer la détection, l'investigation et la réponse en continu, même en dehors des heures ouvrables.
-
Préparation aux incidents :
maintenir des sauvegardes protégées et régulièrement testées, ainsi que des procédures établies de réponse aux incidents pour minimiser les perturbations et accélérer le rétablissement.
L'enseignement clé ? La cyber résilience ne dépend pas seulement de la capacité à empêcher les attaquants d'entrer dans un réseau, mais aussi de celle à détecter leur présence, à limiter leurs déplacements et à réagir avant que des dommages significatifs ne surviennent.
Transformer le renseignement de première main en cyberdéfense renforcée
Pour Secutec, cet échange va bien au-delà d'une étude de cas : notre contact direct avec les cybercriminels, la recherche continue en renseignement sur les menaces et la surveillance des écosystèmes criminels nous permettent d'anticiper les techniques d'attaque émergentes et d'adapter nos services aux menaces réelles.
Notre plateforme SecureSIGHT identifie les vulnérabilités avant qu'elles ne soient exploitées, tandis que notre détection et réponse gérées 24/7 assurent une surveillance continue et, en cas d'incident, un confinement et un rétablissement rapide.
L'objectif ?
Relier gestion de l'exposition, prévention, détection et réponse en une seule approche coordonnée, pas empiler des outils déconnectés.