Demandez à un fournisseur de sécurité ce qu’il pense du ransomware et vous obtiendrez généralement la même réponse : son produit l’arrête. Ce billet n’est pas cette réponse-là. Le chiffrement de vos serveurs se produit bien en dessous de la couche d’authentification, et il est donc légitime de se demander si un produit d’authentification est seulement pertinent. La réponse honnête : pour la manière dont la plupart des incidents de ransomware commencent réellement, oui — et pour une minorité non négligeable d’entre eux, non. Savoir distinguer les deux vaut bien dix minutes de lecture.
Le ransomware entre rarement par effraction. Il se connecte.
Année après année, l’enquête State of Ransomware de Sophos retrouve les deux mêmes causes premières qui se disputent la première place : identifiants compromis et vulnérabilités exploitées. Autrement dit, dans environ la moitié des incidents réels, l’attaquant n’a vaincu aucun logiciel. Il s’est connecté avec un mot de passe valide, par une porte d’entrée qui ne demandait rien d’autre.
Trois cas bien documentés montrent ce que cela donne en pratique.
- Colonial Pipeline, 2021. L’attaque qui a mis à l’arrêt le plus grand oléoduc des États-Unis a commencé par un simple mot de passe d’un ancien compte VPN. Le compte n’était plus utilisé mais fonctionnait toujours, le mot de passe avait refait surface dans une fuite d’identifiants, et le VPN n’avait pas de second facteur. Pas d’exploit, pas de logiciel malveillant au périmètre : un formulaire de connexion a fait exactement ce qu’on lui demandait.
- Change Healthcare, 2024. La compromission qui a paralysé les paiements médicaux aux États-Unis a commencé lorsque des attaquants se sont connectés à un portail d’accès distant Citrix avec des identifiants volés. La politique de l’entreprise elle-même exigeait le MFA sur les systèmes externes ; ce portail n’en avait pas. Les attaquants ont ensuite passé neuf jours à se déplacer dans le réseau avant de déployer le ransomware — nous reviendrons plus bas sur ces neuf jours.
- MGM Resorts, 2023. Des attaquants ont convaincu un service d’assistance de réinitialiser les identifiants d’un employé qu’ils avaient étudié sur LinkedIn, puis ont déployé un ransomware qui a mis hors service machines à sous, clés de chambre et réservations, pour un coût que MGM a estimé proche de 100 millions de dollars. La leçon est ici plus profonde : le MFA existait, mais tout second facteur qu’un service d’assistance peut réinitialiser sur un simple appel n’est pas plus solide que cet appel.
Aucun de ces incidents n’a commencé par un serveur non corrigé. Tous trois ont commencé par un compte.
Les jours d’entre-deux
Le ransomware est la dernière étape d’une intrusion, pas la première. Chez Change Healthcare, neuf jours se sont écoulés entre la première connexion et le chiffrement. C’est dans cette fenêtre que les attaquants font le travail qui rend un ransomware dévastateur : se déplacer latéralement via RDP et SSH, collecter des identifiants d’administrateur, atteindre les sauvegardes.
Presque tous ces déplacements se font avec des comptes volés, parce que se connecter est plus discret qu’exploiter. Autrement dit, chaque connexion interne qui exige une approbation résistante au phishing n’est pas seulement un verrou : c’est un fil-piège. Une demande d’approbation qui arrive sur le téléphone d’un administrateur pour une connexion qu’il n’a jamais lancée est l’un des signaux de compromission les plus précoces et les plus clairs qu’une organisation puisse recevoir, à un moment où l’incident n’est encore qu’une connexion non autorisée, et pas encore une demande de rançon.
Ce que le MFA ne peut honnêtement pas arrêter
Voici maintenant l’autre moitié de la vérité. En 2023, le groupe Cl0p a mené une campagne d’extorsion massive au moyen d’une faille zero-day d’injection SQL dans MOVEit Transfer, un produit de transfert de fichiers géré. Des milliers d’organisations ont été touchées. Aucun identifiant n’a été hameçonné et aucune demande n’a été approuvée, parce que l’exploit n’a jamais touché la couche d’authentification.
L’authentification ne peut rien lorsque l’attaquant contourne la connexion au lieu de la franchir : une faille d’exécution de code à distance sans authentification dans un boîtier exposé, un exploit du noyau qui élève les privilèges sur une machine déjà atteinte. Ce territoire relève des correctifs, de la segmentation du réseau, de la détection sur les postes et des sauvegardes hors ligne — voyez le guide #StopRansomware de la CISA pour la liste complète. Un fournisseur d’authentification qui prétend « arrêter le ransomware » tout court vend au-delà de ce que l’authentification sait faire.
Où Notakey intervient
Notakey couvre les chemins d’entrée sur lesquels les cas ci-dessus se sont construits — comme une couche d’une défense en profondeur, et non comme un remplacement des autres.
- Les portes d’entrée les plus courantes reçoivent un vrai second facteur. VPN via RADIUS, connexions Windows y compris le bureau à distance, SSH sous Linux — les guides pratiques couvrent le 2FA sur un VPN, le bureau à distance Windows et le SSH via PAM. Un mot de passe VPN fuité à lui seul — toute l’entrée de Colonial Pipeline — n’ouvre rien.
- Les approbations sont lisibles, donc les demandes inattendues sautent aux yeux. Chaque demande affiche exactement ce qui est approuvé : quel système, quelle action, depuis où. Une demande que l’utilisateur n’a jamais lancée n’est visiblement pas la sienne — le fil-piège de la section précédente, pendant les jours où une intrusion peut encore être arrêtée.
- La clé ne peut pas être réinitialisée par un simple appel. Elle est générée dans le matériel sécurisé du téléphone et ne le quitte jamais. Il n’existe aucun secret partagé qu’un service d’assistance puisse lire à un interlocuteur convaincant, et c’est précisément la faille que les attaquants de MGM ont exploitée.
Ce que Notakey ne fait pas : corriger votre boîtier Citrix, détecter un exploit du noyau ou restaurer vos sauvegardes. Si un fournisseur vous affirme qu’un seul produit fait tout cela, gardez une main sur votre portefeuille.
Voyez par vous-même
Le moyen le plus rapide de juger le parcours d’approbation est de l’utiliser une fois : en lisant et en signant une action précise depuis votre propre téléphone, plutôt qu’en tapotant une demande sans contexte.
Essayez la démo en ligne pour en signer une en deux minutes environ, ou demandez une démo et nous ferons correspondre vos connexions VPN, SSO ou Windows à un pilote sur votre propre infrastructure.