Podcast
L’article prend la parole. Une conversation générée par intelligence artificielle.
Deux à trois jours : c’est la durée médiane pendant laquelle un attaquant se déplace dans un environnement compromis avant d’être détecté, selon les rapports Sophos Active Adversary 2025 et 2026. Et les intrusions discrètes, sans rançongiciel, durent souvent bien plus longtemps. Pas seulement dans des entreprises négligentes : aussi dans des PME romandes avec la double authentification (MFA) activée pour tout le monde et une politique de mots de passe en place. Sur le papier, tout est carré. Dans les faits, ça ne suffit pas, et c’est exactement ce malentendu qu’il faut corriger.
Le MFA, c’est le badge à l’entrée, et rien de plus
Le code sur l’app Authenticator que vous tapez chaque matin pour accéder à vos mails : cette mesure est indispensable. Mais elle protège un seul moment, celui où vous saisissez votre mot de passe.
Imaginez la porte d’entrée d’un immeuble de bureaux. Le MFA, c’est le badge. Vous bippez, vous rentrez. Mais une fois dans le bâtiment, personne ne vous demande quoi que ce soit. Vous vous promenez dans les couloirs, vous ouvrez les portes. Les attaquants l’ont bien compris : ils ne forcent plus la porte. Ils attendent que quelqu’un l’ouvre pour eux.
Les méthodes résistantes au phishing, comme les clés FIDO2 et certaines passkeys, offrent toutefois une protection sensiblement plus forte que les codes, le SMS ou une simple validation mobile.
Le phishing par proxy inversé : la vraie page, le faux contexte
La technique la plus fréquente aujourd’hui n’est pas une copie grossière d’une page de connexion. C’est beaucoup plus sophistiqué. Des outils comme EvilProxy fonctionnent comme un miroir en temps réel : le collaborateur reçoit un e-mail soigneusement conçu, une notification SharePoint, une alerte de sécurité. Il clique, et tombe sur la vraie page de connexion Microsoft.
Il tape son identifiant. Il confirme sur son Authenticator. Tout lui semble normal. Mais entre lui et Microsoft, un proxy silencieux intercepte tout, y compris le jeton de session.
Le vol de jeton : entrer sans jamais forcer le MFA
Le jeton de session, c’est le petit fichier qui permet à votre navigateur de rester connecté toute la journée sans retaper votre mot de passe à chaque clic. Une fois authentifié, Microsoft vous remet ce jeton et il est valide pendant des heures, parfois des jours.
Quand un attaquant vole ce jeton, il n’a plus besoin de votre mot de passe. Il n’a plus besoin du MFA. Il se connecte à votre compte comme s’il était vous, et Microsoft n’y voit que du feu.
Des jours de silence : ce qui se passe une fois dedans
Une fois l’accès obtenu, l’attaquant ne se précipite pas. Il observe. Et la première chose qu’il fait est systématique.
Les règles de boîte mail : l’espion invisible
Il crée une règle de boîte de réception. Discrète. Du genre : tout message contenant le mot « facture » ou « IBAN », déplacer vers un dossier que personne ne consulte. Qui vérifie ses règles de boîte de réception régulièrement ? Personne, ou presque. Et c’est normal : c’est précisément sur ça que comptent les attaquants.
Microsoft génère bien certaines alertes par défaut, mais elles atterrissent dans une console que personne ne consulte. Et les attaquants le savent : ils privilégient des règles discrètes qui déplacent les messages vers des dossiers ignorés, plutôt qu’un transfert automatique vers l’extérieur, souvent bloqué d’office par Exchange.
Pendant des semaines, ils lisent chaque échange qui parle de paiement. Ils comprennent comment l’entreprise fonctionne, qui signe les virements, qui valide quoi. Puis vient le moment de frapper.
La fraude à l’IBAN : le document authentique, le numéro falsifié
Le scénario classique : un faux e-mail du patron qui réclame un virement urgent. Mais il y a plus vicieux encore. L’attaquant modifie l’IBAN sur une vraie facture existante. Le document est authentique dans sa forme, son contenu, son expéditeur apparent. Seul le numéro de compte a changé. La personne qui effectue le virement n’a aucune raison de se méfier.
Ces cas ne sont pas théoriques. Ils se gèrent régulièrement, en Romandie, dans des PME qui faisaient ce qu’on leur avait dit de faire.
Microsoft 365 enregistre beaucoup, et alerte trop peu
Voilà l’illusion la plus dangereuse : croire que parce que Microsoft 365 trace tout, quelqu’un surveille. La plateforme génère des milliers d’événements par jour. C’est une mine d’or. Mais c’est comme avoir des caméras de surveillance partout dans un immeuble avec personne devant les écrans.
Prenez cet exemple type : votre comptable se connecte à 9 h 15 depuis Genève. Trois minutes plus tard, son compte est actif depuis un serveur en Asie. Physiquement impossible. On appelle ça un voyage impossible. Par défaut, l’événement finit dans un journal que personne n’ouvre. Pareil pour les permissions SharePoint modifiées ou les applications tierces qui obtiennent des accès.
Le SIEM : connecter les points pour raconter une histoire
Les signaux séparés ne signifient rien. Ce qui compte, c’est ce qu’ils racontent ensemble. Connexion bizarre depuis l’Asie, règle de boîte mail nouvellement créée, accès à un dossier confidentiel : une attaque en cours. Mais pour tirer cette conclusion, il faut un outil qui croise ces informations automatiquement.
C’est le rôle du SIEM (Security Information and Event Management). Imaginez un médecin qui ne regarde pas juste votre température. Il prend votre tension, vos analyses de sang, votre historique, et il croise tout pour poser un diagnostic. Le SIEM fait pareil : il reçoit les données de Microsoft 365, des postes de travail, des pare-feux, et il connecte les points pour raconter une histoire cohérente.
C’est lui qui déclenche l’alerte. Pas dans plusieurs jours : en quelques minutes. Et couplé à un service de surveillance managé comme le nôtre, cette alerte atterrit chez des analystes disponibles en continu, qui peuvent isoler le compte en quelques minutes. Dans le scénario du voyage impossible, l’attaquant n’a même pas le temps de créer sa règle de boîte mail. Des jours contre quinze minutes : c’est toute la différence entre gérer une crise et gérer un incident.
L’EDR : le videur qui observe les comportements
L’antivirus classique fonctionne comme un videur avec une liste de noms : si un fichier est connu comme dangereux, il est bloqué. Mais si la menace n’est pas sur la liste, elle passe.
L’EDR (Endpoint Detection and Response) observe les comportements, pas les signatures. Un videur qui voit quelqu’un rentrer dans la salle et commencer à fouiller dans les poches des autres, même s’il n’est sur aucune liste, intervient. Concrètement : un processus qui chiffre des fichiers en masse, un script qui tente d’exfiltrer des données, une application qui modifie les clés de registre système. L’EDR détecte ces comportements et isole automatiquement la machine du réseau en quelques secondes, sans attendre qu’un humain décide.
Un audit de 60 minutes pour savoir où vous en êtes vraiment
On entend souvent que ce niveau de protection, SIEM, EDR, analystes en continu, c’est pour les multinationales. Ce n’est plus vrai. Ces outils sont aujourd’hui dimensionnés pour des structures de vingt, trente, cinquante personnes. Et surtout, vous n’avez pas à les opérer vous-même : un prestataire comme Avepto le fait pour vous, sans que vous ayez à recruter qui que ce soit.
Mais avant tout ça, le premier pas, c’est un audit de 60 minutes. Sans mobiliser votre équipe, sans jargon. On vérifie les points qui font le plus de dégâts quand ils sont mal configurés :
- Le MFA est-il activé pour tous les comptes, y compris les comptes oubliés ? (Il en reste souvent deux ou trois.)
- Utilise-t-on encore le SMS comme méthode de vérification ? C’est la plus facile à intercepter : l’app Authenticator ou une clé physique est un minimum.
- Y a-t-il des règles de boîte mail actives que personne n’a créées consciemment ?
- Y a-t-il des sessions actives depuis des localisations suspectes ?
- Des applications tierces ont-elles obtenu des accès à l’environnement sans raison claire ?
- Des dossiers OneDrive ou SharePoint sont-ils accessibles par quiconque possède le lien ?
Ce dernier point surprend toujours. Un nombre important de PME ont des dossiers SharePoint confidentiels ouverts à quiconque a l’URL. Personne ne l’a fait exprès : un prestataire a reçu un accès temporaire, et le lien n’a jamais été restreint. Des mois, parfois des années plus tard, ce dossier est toujours public.
À la fin de l’audit, vous avez une vue claire de vos angles morts. Pas de rapport de 80 pages. Des faits, classés par priorité.
Ce que dit la loi, et pourquoi ça concerne aussi votre PME de 20 personnes
La nouvelle loi sur la protection des données (nLPD) exige des mesures techniques et organisationnelles appropriées, et les recommandations de l’OFCS (Office fédéral de la cybersécurité) vont clairement dans ce sens : journalisation et maîtrise des accès font aujourd’hui partie de l’hygiène attendue de toute organisation qui traite des données personnelles ou financières.
Même une PME de vingt personnes traite des informations qui méritent une protection adaptée : données clients, coordonnées bancaires, contrats ou documents de travail.
Le MFA reste indispensable. La question suivante est de savoir ce qui détecte une session anormale une fois l’authentification réussie. Découvrez notre approche de la protection des identités et des accès.