La plupart des attaques ne visent personne en particulier.

On imagine un pirate qui choisit sa cible, l'étudie, l'attaque. Dans la vraie vie, c'est presque toujours l'inverse. Des programmes balaient Internet en continu, testent des millions d'adresses par jour, et s'arrêtent là où une porte est restée ouverte. Ils ne savent pas qui vous êtes. Ils savent juste que chez vous, quelque chose n'était pas fermé.

C'est pour ça qu'une entreprise de cinq personnes est visée aussi souvent qu'un grand groupe : le programme ne fait pas la différence. Voici les portes qu'il cherche, expliquées simplement, et avec le détail technique pour ceux que ça intéresse.

Sur 30 entreprises françaises choisies dans des annuaires publics, 28 avaient au moins une de ces portes entrouverte.

01Messagerie · Fraude

Quelqu'un peut écrire un e-mail à votre place

C'est la fraude la plus courante, et la moins spectaculaire. Un escroc envoie un e-mail qui semble venir de votre patron, ou de vous, à votre comptable : « peux-tu régler cette facture aujourd'hui, voici le nouveau RIB ». Si votre domaine n'a pas la bonne configuration, ce faux e-mail arrive normalement, sans alerte, dans la vraie boîte de réception.

Ça n'a rien de technique côté attaquant : il n'a rien piraté du tout. Il a juste profité du fait que votre domaine ne dit pas aux messageries comment reconnaître un vrai e-mail d'un faux.

Côté technique Trois enregistrements DNS règlent ça : SPF (qui a le droit d'envoyer), DKIM (une signature cryptographique), et surtout DMARC (que faire d'un message non signé : rien, quarantaine, ou rejet). Sans DMARC en p=quarantine ou reject, l'usurpation directe reste triviale.

Ce qu'on regarde La présence et la sévérité de SPF, DKIM et DMARC sur votre domaine.

02Hébergement · Mise à jour

Un site qu'on ne met plus à jour

Peu importe comment votre site est fait : un WordPress, un autre gestionnaire de contenu (Joomla, Drupal, PrestaShop), un site codé sur mesure, ou une formule chez un hébergeur. Dans tous les cas, il repose sur des briques logicielles qui reçoivent des mises à jour de sécurité, et que l'on finit souvent par oublier.

WordPress est simplement le cas le plus répandu, donc le plus visé. Mais le vrai problème est général : une brique laissée sans mise à jour, extension, thème, serveur ou dépendance. Quand une faille est publiée, des robots la cherchent sur tout Internet dans les heures qui suivent, et transforment le site en page de phishing ou en relais de spam, sans avoir visé personne.

Côté technique On identifie la techno exposée (serveur, CMS et parfois sa version via le generator ou les en-têtes) et les protections de base manquantes, sans jamais forcer : uniquement ce qui est déjà visible publiquement.

Ce qu'on regarde La technologie de votre site et les protections de base présentes ou manquantes dans les en-têtes.

03Nom de domaine · Phishing

Un domaine qui ressemble au vôtre

Votre entreprise s'appelle example.fr ? Quelqu'un peut déposer examp1e.fr, example-facture.fr ou la version en .com, monter une fausse page de connexion, et écrire à vos clients ou vos salariés depuis cette adresse presque identique. À l'œil, la différence tient à une lettre.

C'est la mécanique derrière la plupart des arnaques par e-mail : on ne pirate pas votre domaine, on en fabrique un cousin.

Côté technique La détection de domaines proches (typosquatting) et l'inventaire des certificats émis pour votre nom se lisent dans les journaux de transparence des certificats, publics et interrogeables.

Ce qu'on regarde Les certificats et sous-domaines connus pour votre nom. La surveillance des domaines voisins est prévue plus tard.

04Sous-domaines · Oubli

Le sous-domaine que personne ne surveille plus

test.example.fr, ancien-site.example.fr, promo2019.example.fr : on crée un sous-domaine pour un besoin ponctuel, on ferme le service derrière, mais on oublie de retirer l'adresse. Elle continue de pointer dans le vide.

Si ce vide correspond à un service qu'un tiers peut ré-ouvrir à son nom, il récupère votre sous-domaine et publie ce qu'il veut dessous, avec votre marque au-dessus. C'est plus fréquent qu'on ne le croit.

Côté technique La reprise de sous-domaine (subdomain takeover) vient d'un enregistrement CNAME qui pointe vers un service désaffecté et réattribuable. L'inventaire via crt.sh fait remonter ces adresses oubliées.

Ce qu'on regarde L'inventaire de vos sous-domaines exposés, pour repérer ceux qui n'ont plus de raison d'exister.

05Mots de passe · Fuites

Un mot de passe professionnel qui a déjà fuité

Quand un site grand public se fait pirater, les adresses e-mail et les mots de passe se retrouvent en circulation. Si un salarié a utilisé son adresse professionnelle et le même mot de passe ailleurs, ce couple traîne désormais dans des listes.

Les attaquants les rejouent automatiquement sur d'autres services (messagerie, outils internes). Ce n'est pas une intrusion par effraction : ils entrent avec la vraie clé, trouvée ailleurs.

Côté technique Le rejeu d'identifiants (credential stuffing) exploite la réutilisation de mots de passe. On interroge les bases de fuites connues par domaine, sans jamais manipuler de mot de passe.

Ce qu'on regarde La présence de vos adresses professionnelles dans des fuites publiques recensées.

06Services · Rançongiciel

Une porte d'administration laissée ouverte sur Internet

Pour dépanner à distance, on ouvre parfois un accès (bureau à distance, interface d'administration) directement sur Internet, « le temps de »… et on l'oublie. Les robots trouvent ces portes en quelques heures et tentent des milliers de mots de passe.

C'est la porte d'entrée classique des rançongiciels, ces attaques qui chiffrent tous vos fichiers et réclament une rançon. Pour une petite structure, c'est souvent l'incident qui coûte le plus cher.

Côté technique Un port comme le 3389 (RDP) ou une interface d'admin exposée est un vecteur majeur. Ce contrôle est actif : on ne le lance jamais sans votre autorisation écrite et une vérification que le domaine vous appartient.

Ce qu'on regarde Sur mandat signé uniquement : les services accessibles depuis Internet qui ne devraient pas l'être.

07Certificat · Confiance

Le petit cadenas qui saute du jour au lendemain

Le certificat qui affiche le cadenas dans le navigateur a une date de péremption. Quand elle passe, le visiteur tombe sur un grand avertissement rouge « votre connexion n'est pas privée », et la plupart font demi-tour. Un site de vente peut ainsi perdre ses clients pendant des jours avant que quelqu'un s'en aperçoive.

Ce n'est pas une attaque, c'est un oubli. Mais l'effet sur la confiance est immédiat, et il se répare en avance si on le voit venir.

Côté technique On lit la date d'expiration, la chaîne, et les protocoles ou algorithmes obsolètes annoncés à la connexion TLS, exactement comme le fait le navigateur d'un visiteur.

Ce qu'on regarde La validité de votre certificat et le nombre de jours avant son expiration, avec une alerte en amont.

Aucune de ces portes ne demande un génie pour être poussée. C'est justement pour ça qu'on les laisse ouvertes : personne ne les regarde.

Cryptalys, c'est ce regard, une fois par mois, sur ce que votre entreprise laisse voir. On vous dit ce qui est ouvert, pourquoi ça compte, et comment le refermer, en français, sans vous vendre la peur.

Et pour être honnête sur nos intentions : oui, c'est un service payant, c'est comme ça qu'il tient dans le temps. Mais si vous êtes venu ici juste pour comprendre et repartir avec une réponse, c'est déjà gagné pour nous. Une entreprise qui sait ce qu'elle expose est une entreprise plus difficile à piéger, cliente ou pas.

Voir comment ça marche

Vous pouvez aussi regarder un rapport réel produit sur un vrai domaine.