Invisible pour les scanners. Plus difficile à attaquer.
Comment les cybercriminels repèrent des cibles potentielles et comment le renseignement sur les cybermenaces aide à garder votre infrastructure hors de leur radar.
Avant de lancer une attaque, les cybercriminels cherchent souvent à savoir quels systèmes et services sont accessibles depuis Internet. Ce processus, appelé reconnaissance, les aide à repérer des points d’entrée potentiels.
Des outils comme Shodan analysent en permanence les systèmes accessibles au public et recueillent des informations sur les appareils connectés, les services exposés et les logiciels. Ces technologies servent aussi à des fins légitimes de sécurité. Les professionnels de la cybersécurité et les équipes CERT les utilisent pour repérer les infrastructures exposées et les vulnérabilités potentielles.
Malheureusement, les attaquants peuvent exploiter ces mêmes informations. Au lieu de chercher au hasard des organisations vulnérables, les cybercriminels peuvent repérer les systèmes qui utilisent des technologies précises et vérifier si des vulnérabilités connues sont exploitables.
Plus votre infrastructure est facile à découvrir et à examiner, plus les attaquants potentiels peuvent recueillir d’informations à son sujet.
Connectés pour plus de simplicité. Exposés aux risques.
Les récentes cyberattaques contre les systèmes de réfrigération de supermarchés ont transformé un accès numérique à distance en stocks avariés et en rayons vides. Elles mettent aussi en lumière un enjeu majeur de cybersécurité : les systèmes repérables en ligne peuvent devenir des cibles potentielles.
Dans son reportage du 3 novembre 2026, VRT NWS s’est penché sur les raisons pour lesquelles tant d’équipements opérationnels sont connectés à Internet. Geert Baudewijns, CEO de Secutec, a avancé une explication simple : la facilité d’utilisation.
L’accès à distance permet aux fournisseurs de mettre à jour les équipements sans envoyer un technicien sur chaque site. Les systèmes connectés peuvent également alerter les responsables lorsqu’un problème survient. Une alerte immédiate signalant une hausse de température dans un congélateur peut aider le personnel à intervenir avant que les dégâts ne deviennent visibles.
Ces avantages dépendent de la manière dont l’accès est sécurisé. Une interface de maintenance directement accessible depuis Internet offre aussi aux personnes extérieures un point de connexion. Un fournisseur qui utilise un logiciel obsolète ou un compte mal protégé peut créer une autre voie d’accès aux systèmes qui assurent le fonctionnement de l’entreprise.
Comment les cybercriminels utilisent les données de scan pour trouver des cibles.
Dans l’article, Baudewijns a cité Shodan pour illustrer la manière dont les équipements connectés peuvent être repérés. Les scanners Internet interrogent les services accessibles au public et enregistrent les informations contenues dans leurs réponses, comme les noms des produits, les versions logicielles et les interfaces d’administration. Les moteurs de recherche peuvent ensuite rendre ces informations consultables, de la même manière que les moteurs de recherche classiques indexent les contenus web.
Pour les cybercriminels, ces informations peuvent considérablement affiner la recherche de cibles potentielles. Lorsqu’une nouvelle vulnérabilité est révélée, les attaquants peuvent rechercher la technologie concernée plutôt que d’examiner chaque organisation individuellement. La situation est particulièrement urgente lorsqu’une vulnérabilité zero-day est rendue publique avant qu’un correctif soit disponible.
Un résultat de recherche ne prouve pas qu’un système est vulnérable, mais fournit un point de départ pour approfondir les recherches. L’IA peut en outre accélérer les scans et la recherche de faiblesses potentielles. Pour les équipes de sécurité, cela renforce l’intérêt de limiter toute exposition inutile avant qu’un attaquant ne commence à sonder les systèmes.
Stopper la reconnaissance grâce au renseignement sur les cybermenaces
Un système qui nécessite une maintenance à distance n’a pas forcément besoin d’une interface d’administration publique. Dans son alerte de sécurité sur les systèmes de réfrigération, le CERT-FR recommande de supprimer l’exposition directe à Internet et de rétablir l’accès à distance via un VPN sécurisé ou un réseau protégé.
Mais qu’en est-il des systèmes et des services qui doivent rester accessibles ? C’est là que le renseignement sur les cybermenaces, ou Cyber Threat Intelligence (CTI), peut apporter une couche de protection supplémentaire.
En identifiant les adresses IP associées à des scanners Internet connus et à des infrastructures malveillantes, les CTI Feeds permettent aux pare-feu compatibles de bloquer les connexions provenant de ces sources avant qu’elles ne puissent examiner les systèmes protégés. Le renseignement identifie les menaces ; le pare-feu applique les règles de blocage.
La solution Secutec CTI Feeds applique ce principe pour rendre les infrastructures protégées pratiquement invisibles aux scanners connus couverts par ces règles. En empêchant ces scanners de recueillir de nouvelles informations, les organisations peuvent réduire le risque que leurs systèmes soient indexés, puis examinés comme des cibles potentielles.
La solution Secutec CTI Feeds s’appuie sur SIAM, le cadre de renseignement sur les menaces développé par Secutec. Il combine les renseignements de fournisseurs internationaux, les recherches propres à Secutec et des sources CERT belges. Les renseignements sont publiés toutes les quatre heures.
Dans la pratique, cette approche présente trois avantages importants:
-
Réduire votre visibilité externe
Empêchez les scanners Internet identifiés de recueillir des informations sur les systèmes protégés et réduisez ainsi leur visibilité auprès des infrastructures de scan connues.
-
Perturber la reconnaissance avant une attaque
Bloquez les connexions provenant d’infrastructures de scan connues et d’infrastructures malveillantes avant qu’elles ne puissent examiner votre environnement. Vous contribuez ainsi à perturber les premières étapes de la préparation d’une attaque.
-
Renforcer la protection de votre pare-feu existant
Exploitez, via des plateformes de pare-feu compatibles, des renseignements sur les menaces continuellement mis à jour et renouvelés toutes les quatre heures, sans remplacer votre architecture de sécurité existante ni tenir manuellement à jour de longues listes de blocage.
L’intérêt de cette approche est d’agir à un stade plus précoce du processus d’attaque. Si de nombreuses mesures de sécurité visent à détecter ou à stopper les activités malveillantes, le blocage des scanners aide à réduire, dès le départ, les possibilités de collecte d’informations dont disposent les attaquants.
Le blocage des scanners constitue une couche de protection supplémentaire qui complète de solides bases en cybersécurité. Des mesures essentielles comme une authentification forte, y compris l’authentification multifacteur, un accès sécurisé pour les fournisseurs, des mises à jour de sécurité régulières et la segmentation du réseau restent cruciales pour réduire les vulnérabilités et limiter l’impact d’une éventuelle compromission.
La sécurité commence avant la première tentative d’attaque
Les attaques contre les systèmes de réfrigération montrent pourquoi les équipements opérationnels méritent la même attention en matière de sécurité que les autres systèmes de l’entreprise.
L’enseignement dépasse largement les systèmes de réfrigération. Des équipements industriels aux interfaces d’administration à distance, en passant par les services cloud, toute infrastructure accessible depuis Internet peut attirer une attention indésirable.
La cybersécurité ne consiste pas seulement à empêcher les attaquants d’exploiter des vulnérabilités. Elle vise aussi à limiter leurs possibilités de découvrir des cibles potentielles.
En associant de solides bases de sécurité à des renseignements sur les menaces continuellement mis à jour, les organisations peuvent compliquer la reconnaissance, réduire toute exposition inutile et renforcer leurs défenses avant le début d’une attaque.