Inventaire de hacks réussis : et si ce n’était pas si compliqué ?

Quand une grosse attaque fait la une, on imagine volontiers une équipe de génies, des mois de préparation, une faille que personne n’avait vue. Ça arrive. Mais quand on lit les rapports officiels publiés après coup, on tombe surtout sur des choses bêtes : un mot de passe, une mise à jour oubliée, un boîtier branché sur Internet dont plus personne ne se souvenait.

Il y a une raison simple à ça. La plupart des attaquants veulent de l’argent, et vite. Ils ne choisissent pas toujours leur victime ; ils balaient Internet à la recherche de portes ouvertes, et Internet en regorge. Pourquoi passer trois semaines sur une cible bien défendue quand l’entreprise d’à côté protège son accès à distance avec un simple mot de passe ?

Les chiffres vont dans ce sens. Dans le rapport 2025 de Verizon sur les fuites de données, l’usage d’identifiants volés est le premier point d’entrée des attaquants (22 % des cas), juste devant l’exploitation de vulnérabilités connues (20 %).

Le message de cet article tient en une phrase : ne soyez pas la cible la plus facile. Voici cinq attaques réelles pour s’en convaincre. Je n’ai gardé que des sources officielles ou de première main : auditions parlementaires, rapports d’enquête, décisions de régulateurs.

1. Colonial Pipeline, 2021 : un vieux compte VPN

Colonial Pipeline transporte du carburant vers la côte Est des États-Unis. Le 7 mai 2021, un ransomware frappe son informatique et l’entreprise arrête son oléoduc.

Le point d’entrée, c’est le PDG qui l’a raconté devant le Sénat américain : un ancien profil VPN « qui n’était pas censé être utilisé », protégé par un seul facteur d’authentification. Le mot de passe était compliqué, a-t-il tenu à préciser. Ça n’a rien changé. Au moment de l’audition, l’enquête ne savait toujours pas comment les attaquants l’avaient obtenu.

Ce que ça a coûté : une rançon de 4,4 millions de dollars, payée. Le FBI en a récupéré un peu plus de 2,3 millions. Et des pénuries de carburant sur toute la côte Est, rappelées par le président de la commission en ouverture de l’audition.

Ce qui aurait suffi : supprimer les comptes qui ne servent plus, et exiger la double authentification sur l’accès à distance.

Sources : transcription officielle de l’audition au Sénat, communiqué du ministère de la Justice américain.

2. Equifax, 2017 : une mise à jour jamais faite

Equifax est l’une des grandes agences d’évaluation de crédit américaines. Début mars 2017, une faille dans Apache Struts, un composant web très répandu, est rendue publique. Le correctif est disponible.

Deux jours plus tard, des inconnus scannent les serveurs d’Equifax et trouvent le portail de réclamation des consommateurs, toujours vulnérable. Le rapport du GAO, l’organisme d’audit du Congrès américain, détaille la suite. L’alerte interne est partie vers une liste de destinataires périmée : les personnes chargées de la mise à jour ne l’ont jamais reçue. Le scan lancé une semaine après n’a rien détecté. Et un certificat expiré a rendu l’outil de surveillance aveugle, ce qui a laissé les attaquants sortir des données sans déclencher d’alerte.

Ce que ça a coûté : les données d’environ 147 millions de personnes. Un accord avec la FTC, le CFPB et les États américains d’au moins 575 millions de dollars, pouvant aller jusqu’à 700 millions.

Ce qui aurait suffi : savoir précisément ce qui tourne sur ses serveurs exposés, et un processus de mise à jour qui ne dépend pas d’une liste de diffusion.

Sources : rapport du GAO (2018), communiqué de la FTC.

3. Change Healthcare, 2024 : un portail sans double authentification

Change Healthcare, filiale d’UnitedHealth, fait circuler les demandes de remboursement et les paiements entre soignants et assureurs aux États-Unis. Le 12 février 2024, des criminels se connectent à un portail Citrix d’accès à distance avec des identifiants volés.

Le PDG d’UnitedHealth l’a écrit dans son témoignage au Congrès, sans détour : « le portail n’avait pas de double authentification ». Une fois dedans, les attaquants se déplacent dans le réseau, volent des données, et lancent le ransomware neuf jours plus tard.

Ce que ça a coûté : UnitedHealth a dû avancer plus d’un milliard de dollars de paiements aux soignants pour qu’ils tiennent le coup pendant la panne. Dans ses résultats 2024, le groupe chiffre la perturbation d’activité à 867 millions de dollars pour la seule branche concernée, sans compter les frais de réponse à l’incident, comptés à part.

Ce qui aurait suffi : la double authentification sur ce portail. Une case à cocher, ou presque.

Sources : témoignage écrit du PDG d’UnitedHealth, résultats annuels 2024 d’UnitedHealth.

4. France Travail, 2024 : des comptes de conseillers usurpés

Retour en France. En mars 2024, France Travail et Cap emploi signalent une intrusion à la CNIL. Les attaquants ont pris la main sur des comptes de conseillers Cap emploi par ingénierie sociale, autrement dit en manipulant des personnes plutôt que des machines. Avec ces comptes, ils consultent les dossiers des demandeurs d’emploi.

La CNIL a relevé trois manquements. L’authentification des conseillers n’était pas assez robuste. La journalisation ne permettait pas de repérer les comportements anormaux. Et les habilitations étaient trop larges : un conseiller pouvait ouvrir le dossier de personnes qu’il ne suivait pas, ce qui a multiplié le volume de données accessibles. Le plus rageant ? La plupart de ces mesures avaient été identifiées dans les analyses d’impact. Elles n’avaient simplement pas été mises en place.

Ce que ça a coûté : jusqu’à 43 millions de personnes potentiellement concernées selon la CNIL en mars 2024 (noms, numéros de sécurité sociale, adresses, téléphones). Une amende de 5 millions d’euros en janvier 2026.

Ce qui aurait suffi : une authentification plus forte, et des droits limités à ce dont chaque conseiller avait besoin.

Sources : CNIL, mars 2024, décision de sanction de la CNIL, janvier 2026.

5. Les frigos de supermarchés, France, 2026

L’exemple le plus récent, et sans doute le plus parlant. Le 12 octobre 2026, le CERT-FR, l’équipe de l’ANSSI qui publie les alertes de sécurité, signale « de nombreuses compromissions » de contrôleurs à distance d’installations de réfrigération (Danfoss, Copeland, Dixell). La presse rapporte des chambres froides et des vitrines de supermarchés détraquées.

Le point d’entrée exact n’a pas été publié. Les consignes du CERT-FR en disent pourtant long : retirer d’Internet toutes les unités exposées sur une adresse publique, mettre à jour le firmware, passer en mode de sécurité strict, changer les mots de passe par défaut. L’alerte rappelle aussi qu’exposer une interface de gestion sur Internet est « contraire aux bonnes pratiques », et qu’un équipement en fin de vie laissé exposé sans correctifs a une « très forte probabilité de compromission ».

Ce que ça a coûté : pas encore de chiffre officiel. Je mettrai l’article à jour quand il y en aura un.

Ce qui aurait suffi : ne pas exposer ces interfaces sur Internet, ou seulement derrière un VPN, avec un firmware à jour et des mots de passe changés.

Sources : alerte CERT-FR CERTFR-2026-ALE-012, CSO Online.

Ce que ces cinq attaques ont en commun

Aucune ne commence par une faille inconnue. Un compte oublié. Un correctif pas installé. Une double authentification absente, des droits trop larges, un boîtier qui n’avait rien à faire sur Internet. Un inventaire honnête les aurait toutes fait remonter.

Et ce n’est pas réservé aux grands groupes. En France, l’ANSSI a eu connaissance de 144 attaques par ransomware en 2024, et 37 % des victimes connues étaient des PME, TPE ou ETI (Panorama de la cybermenace 2024). Côté Verizon, le ransomware apparaît dans 88 % des fuites de données qui touchent les petites et moyennes entreprises, avec une rançon médiane de 115 000 dollars. Pour une PME, ce montant seul peut suffire à mettre la clé sous la porte.

Le minimum, concrètement

Pas besoin d’un budget de multinationale pour fermer les portes vues plus haut :

1. La double authentification sur tout ce qui est accessible depuis l’extérieur : messagerie, VPN, bureau à distance, outils d’administration.
2. Un inventaire de ce que vous exposez sur Internet, revu régulièrement. On ne protège pas ce qu’on a oublié.
3. Les mises à jour de sécurité appliquées vite sur ces équipements exposés, avec une personne nommément responsable.
4. Les comptes inutilisés supprimés, à commencer par ceux des anciens salariés et prestataires.
5. Des droits limités à ce dont chacun a besoin pour travailler.
6. Aucun mot de passe par défaut, nulle part. Oui, même sur le boîtier du frigo.

Pour finir

Rien de tout ça ne rend une entreprise imprenable. Un attaquant déterminé, avec du temps et des moyens, finira peut-être par entrer. La plupart sont pressés, eux, et passeront à la cible suivante. Faire le minimum, c’est sortir de la liste des cibles faciles, et ça fait déjà nettement baisser la probabilité d’une attaque réussie. Jamais jusqu’à zéro, je préfère être honnête là-dessus.

Le plus dur, en général, c’est de savoir où sont vos portes ouvertes. C’est exactement ce qu’apporte un regard extérieur. L’audit externe Découverte fait en une journée le tour de ce que votre entreprise expose sur Internet. Et si vous préférez être accompagné pour mettre ces bases en place, commencez par une consultation.