Les cyberattaques concernent toutes les organisations ?
Aucune organisation n'est à l'abri face aux cybermenaces. Publique ou privée, grande ou petite, quel que soit son secteur d'activité : les menaces numériques ne font pas de distinction. C'est l'un des constats fondamentaux que pose l'Agence nationale de la sécurité des systèmes d'information (ANSSI) dans son guide de référence EBIOS Risk Manager, qui identifie plusieurs niveaux d'attaque et plusieurs profils d'attaquants aux objectifs bien distincts. Comprendre ces menaces, c'est se donner les premiers moyens de s'en protéger.
Des attaques qui n'ont pas toutes le même niveau de sophistication
L'ANSSI structure les cyberattaques selon une pyramide du management du risque numérique, organisée en trois degrés de complexité croissante.
Figure 1 : Pyramide du management du risque numérique - Source : Guide EBIOS RM
- Les attaques simples/larges sont les plus répandues. Non ciblées, elles peuvent être contrées par les règles élémentaires d'hygiène informatique.
- Les attaques élaborées s'appuient sur des modes opératoires plus construits, exploitant des vulnérabilités connues ou des failles organisationnelles.
- Les attaques avancées/ciblées mobilisent des ressources importantes, des compétences techniques élevées et une préparation approfondie. Elles représentent le niveau de menace le plus dangereux : l'attaquant vise une organisation précise, connaît son écosystème et adapte son mode opératoire en conséquence. Cette gradation est essentielle à comprendre, car les réponses à apporter varient selon la menace. Un simple antivirus ne suffit pas face à une attaque avancée et ciblée.
Exemples de cyberattaques
Le hameçonnage : la porte d'entrée la plus courante
Le hameçonnage — ou phishing en anglais — est l'un des vecteurs d'intrusion les plus fréquents dans les systèmes d'information. Il est directement lié au manque de sensibilisation des utilisateurs aux risques numériques. Le principe est simple : un attaquant envoie un e-mail piégé à un collaborateur — par exemple au sein d'un service des ressources humaines — pour s'introduire dans le système d'information de l'organisation. Une fois cet accès obtenu, il se déplace latéralement dans les réseaux internes, accède à des données sensibles et les exfiltre. Le phishing n'est donc pas une fin en soi : il constitue le point de départ d'une chaîne d'attaque plus complexe.
Le rançongiciel : une menace en progression constante
Un rançongiciel — ou ransomware en anglais — est un programme malveillant conçu pour obtenir d'une victime le paiement d'une rançon. Lors d'une telle attaque, l'attaquant met le système d'information de la victime hors d'état de fonctionner de façon réversible, puis lui adresse un message non chiffré lui proposant, en échange d'un paiement, le moyen de récupérer l'accès à ses données. Ce type d'attaque figure parmi les outils privilégiés des cybercriminels motivés par l'appât du gain, et les chiffres de l'ANSSI confirment une augmentation constante des incidents de ce type.
Le déni de service distribué (DDoS) : paralyser pour nuire
Les attaques par déni de service distribué visent à rendre un service ou un système inaccessible. Elles prennent plusieurs formes : les attaques volumétriques cherchent à saturer la bande passante disponible en inondant la cible de trafic depuis de multiples sources ; les attaques protocolaires épuisent les ressources processeur et mémoire d'une cible en détournant le fonctionnement d'un protocole réseau ; les attaques applicatives ciblent quant à elles les ressources d'un service spécifique, comme des serveurs DNS soumis à un volume massif de requêtes.
L'attaque par l'écosystème : frapper par rebond
L'une des tendances les plus préoccupantes identifiées par l'ANSSI est l'exploitation de l'écosystème d'une organisation pour l'atteindre indirectement. Les attaquants recherchent le maillon faible parmi les partenaires, sous-traitants et prestataires disposant d'un accès privilégié ou non au système d'information cible. Un prestataire informatique aux droits d'accès élevés et au niveau de sécurité insuffisant peut par exemple ainsi devenir un vecteur d'intrusion. De même, un fournisseur de matériel industriel peut être compromis pour introduire un logiciel malveillant dans les systèmes de production de son client, à l'occasion d'une opération de maintenance.
Qui sont les attaquants ? Sept profils principaux
Le guide EBIOS Risk Manager identifie sept profils d'attaquants, chacun caractérisé par ses motivations, ses ressources et ses modes opératoires.
- L'étatique regroupe les États et agences de renseignement. Ces acteurs opèrent sur le long terme, avec des ressources stables et des procédures rodées. Ils sont capables d'adapter leurs outils à la topologie de leur cible, d'exploiter des vulnérabilités zero-day et de mener des attaques successives, y compris via la chaîne d'approvisionnement.
- Le crime organisé désigne les organisations cybercriminelles — mafias, gangs, officines. Leur registre inclut l'arnaque au président, les demandes de rançon, les rançongiciels et l'exploitation de botnets. La diffusion de kits d'attaque accessibles en ligne leur permet de mener des opérations de plus en plus sophistiquées à des fins lucratives.
- L'activiste idéologique — hacktivistes, groupements d'intérêt, sectes. Leurs attaques sont généralement peu sophistiquées mais menées avec détermination dans un objectif de déstabilisation ou de destruction : déni de service contre les services d'urgence, arrêt de systèmes industriels, défiguration de sites web. Il cherche avant tout à véhiculer un message ou une idéologie, en s'appuyant sur les réseaux sociaux comme caisse de résonance.
- L'officine spécialisée correspond au profil du cybermercenaire : des individus ou groupes à hautes capacités techniques, motivés par le gain financier, qui conçoivent et diffusent des outils et kits d'attaque utilisables clés en main par d'autres attaquants.
- L'amateur, ou script-kiddie, dispose de connaissances informatiques basiques à intermédiaires. Sa motivation est la reconnaissance sociale, l'amusement ou le défi. Ses attaques sont rudimentaires, mais il peut s'appuyer sur les kits mis à disposition par les officines spécialisées.
- Le vengeur est animé par un sentiment d'injustice — un salarié licencié pour faute grave, un prestataire mécontent d'un non-renouvellement de contrat. Sa dangerosité tient à sa connaissance intime des systèmes et processus internes de l'organisation, ce qui lui confère un pouvoir de nuisance important même avec des moyens techniques limités.
- Le malveillant pathologique agit par opportunisme ou appât du gain — concurrent déloyal, client malhonnête, fraudeur. Il peut compromettre directement le système d'information de sa cible, exploiter des kits d'attaque disponibles en ligne, faire appel à une officine spécialisée, ou tenter de corrompre une source interne.
Comprendre les cyberattaques pour mieux les anticiper
Le phishing, les ransomwares, les attaques par déni de service ou par l'écosystème ne sont pas des phénomènes abstraits réservés aux grandes entreprises. Ils s'inscrivent dans des schémas documentés, portés par des attaquants aux profils et aux motivations bien identifiés. À travers EBIOS Risk Manager, l'ANSSI fournit aux organisations un outil méthodologique pour analyser ces menaces, construire des scénarios d'attaques compréhensibles pour les décideurs et pour lesquels les équipes techniques peuvent proposer des mesures de sécurité adaptées — qu'il s'agisse d'une PME, d'un opérateur de services essentiels ou d'un acteur public. La cybersécurité ne commence pas par les outils. Elle commence par la compréhension des cyberattaques et de leurs impacts pour l'organisation.
Cet article a été créé en mobilisant des publications et contenus émanant principalement de l'ANSSI ou d'autres acteurs publics, a mobilisé des solutions d’intelligence artificielle, et a fait l'objet d'une relecture et de modifications avant publication.