La vérité effrayante sur la confiance : pourquoi être « vérifié » ne signifie pas que vous êtes en sécurité

Parlons de ce qui empêche les experts en sécurité de dormir la nuit. Ce n'est pas le hacker à capuche que l'on voit dans les films. Ce n'est pas non plus un exploit zero-day sophistiqué. C'est quelque chose de bien plus simple et d'infiniment plus dangereux : l'idée que vérifier l'identité équivaut à vérifier l'authenticité.

Je suis tombé récemment sur cette étude de cas fascinante (et légèrement terrifiante), et je n'arrête pas d'y penser. Une entreprise — appelons-la une entreprise de taille moyenne typique — a connu non pas un, non pas deux, mais TROIS incidents de sécurité distincts sur une période de quatre mois. Voici le plus surprenant : aucun d'entre eux n'impliquait une intrusion dans le réseau ou l'exploitation de bugs logiciels. À chaque fois, l'attaquant s'était simplement transformé en quelqu'un que l'entreprise faisait déjà confiance.

C'est... en fait, vraiment troublant quand on y pense.

Le mot de passe était parfait. La personne ne l'était pas.

Voici le problème avec la sécurité traditionnelle : nous traitons l'authentification comme un problème de serrure et de clé. Vous obtenez le bon mot de passe, vous passez l'étape de la MFA, et boum — vous êtes dedans. Mais que se passe-t-il si la serrure fonctionne exactement comme prévu, mais que la personne qui passe la porte n'est tout simplement pas... celle qu'elle prétend être ?

Les cas auxquels je fais référence présentaient trois variantes de ce même problème. D'abord, il y a eu un directeur financier qui a reçu un appel du « support informatique » concernant une activité suspecte sur son compte. L'identification de l'appelant affichait un numéro interne. L'interlocuteur connaissait le fournisseur de MFA de l'entreprise. Il savait que le directeur financier était en voyage (parce qu'il en avait posté sur les réseaux sociaux, bien sûr — nous le faisons tous). Ils avaient même des informations issues d'anciennes fuites de données circulant sur le dark web.

Tout ce dont ils avaient besoin, c'était qu'il lui dicte un code de vérification. Et il l'a fait.

En vingt minutes, quelqu'un utilisait son e-mail pour demander des paiements urgents. La seule raison pour laquelle l'argent n'a pas été transféré ? Une spécialiste de la comptabilité fournisseurs perspicace a trouvé la demande « bizarre » et l'a appelé directement. Cet instinct humain a sauvé la mise.

Faire confiance mais vérifier (sauf quand on ne le fait pas)

Ce qui me frappe le plus dans ces incidents, ce n'est pas la sophistication des attaques — c'est à quel point elles sembleraient banales pour la plupart des systèmes de sécurité. Les identifiants étaient corrects. L'authentification a réussi. Les sessions étaient valides.

Mais quelque part en chemin, nous avons oublié que la vérification ne consiste pas seulement à cocher des cases. Il s'agit de confirmer que l'humain à l'autre bout est réellement celui qu'il prétend être — et qu'il a une raison légitime de faire ce qu'il fait.

Le deuxième incident concernait une recrue en télétravail qui semblait tout à fait légitime. Un excellent CV. Des références crédibles. Un portfolio solide. Mais voici le truc : rien de tout cela n'est difficile à voler. La personne s'est avéré utiliser l'identité d'un véritable ingénieur, avec des références totalement fabriquées, et travaillait depuis l'étranger en utilisant des ordinateurs de l'entreprise envoyés dans un appartement loué.

La seule raison pour laquelle cela a été détecté ? Quelqu'un a remarqué que l'ordinateur était particulièrement actif pendant la nuit. C'est tout. Pas de détection sophistiquée. Juste quelqu'un qui a prêté attention à quelque chose qui semblait un peu étrange.

Le problème de session dont personne ne parle

Et puis il y a le troisième incident, qui est, selon moi, la menace la plus négligée de la sécurité moderne. Le compte d'une dirigeante a été accédé depuis la Roumanie. Elle dormait en Ohio à ce moment-là.

Son mot de passe n'était pas compromis. Sa MFA n'avait pas été contournée. Au lieu de cela, un logiciel malveillant sur un ordinateur familial partagé avait récolté les cookies de sa session de navigation. L'attaquant est entré directement par la porte numérique, apparaissant comme un utilisateur authentifié parfaitement légitime.

C'est le secret inavouable de l'authentification par session : une fois que vous êtes dedans, vous y restez souvent. Les jetons de session peuvent rester valides pendant des heures, voire des jours. Et contrairement aux mots de passe, ce n'est pas quelque chose que les utilisateurs peuvent facilement protéger ou renouveler.

Alors, quelle est la véritable leçon ?

Je ne pense pas que la leçon soit « soyez plus paranoïaques » (bien qu'honnêtement, une petite dose de paranoïa saine ne fait jamais de mal). Je pense que la véritable leçon concerne l'écart entre la vérification de l'identité et la confirmation de la confiance.

La plupart des organisations sont devenues très douées pour la première partie. Nous vérifions les identifiants, nous imposons la MFA, nous cochons des cases. Mais la seconde partie — confirmer continuellement qu'une personne est toujours autorisée et agit de manière appropriée — c'est là que nous échouons.

Les cas dont je parle avaient tous un autre point commun : ils ont été détectés par des humains ou des systèmes conçus par l'homme qui recherchaient des anomalies comportementales, et non de simples échecs d'authentification. Un collègue qui remet en question une demande inhabituelle. Un analyste qui remarque des rythmes de travail étranges. Un système automatisé qui signale un déplacement impossible.

Les contrôles techniques sont nécessaires. Mais ils ne sont pas suffisants. Le véritable multiplicateur de sécurité consiste à instaurer une culture où les gens se sentent habilités à questionner ce qui leur semble anormal — même lorsque les identifiants sont corrects.

Car voici la vérité dérangeante : dans le paysage des menaces actuel, le plus grand risque de sécurité n'est peut-être pas l'attaquant à l'extérieur de vos murs. C'est peut-être l'identité parfaitement valide qui se trouve déjà à l'intérieur.

Restez vigilants, mes amis.

Tags : ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']