En juin dernier, les enquêteurs rennais de l’Office anti-cybercriminalité ont piloté le démantèlement d’un vaste réseau de hackers français, soupçonné d’avoir exfiltré les données de plus de 1 500 sociétés et organismes à travers la France. L’enquête a démarré après une attaque visant une entreprise installée à Rennes elle-même, un rappel utile que ce genre de menace ne se limite pas aux grands groupes parisiens.
Ce que révèlent ces affaires, année après année, c’est que la boîte mail professionnelle reste l’un des points d’entrée les plus exploités. Une fois qu’un attaquant accède à un compte de messagerie d’entreprise, il peut lire des mois de correspondance, repérer les habitudes de facturation, identifier les bons interlocuteurs et préparer une usurpation crédible. Une adresse mail professionnelle chiffrée de bout en bout réduit cette exposition à la racine, puisque même l’hébergeur du service ne peut pas accéder au contenu des messages stockés.
Pourquoi les PME rennaises sont des cibles commodes
Les grandes entreprises disposent en général d’équipes informatiques dédiées à la surveillance de leurs systèmes. Une PME ou une association, même bien installée localement, gère souvent son courrier avec des comptes partagés entre plusieurs personnes et peu de mesures de sécurité activées au-delà du strict minimum.
Pour un attaquant, cela signifie moins de résistance et davantage de temps passé à l’intérieur de la boîte mail avant d’être repéré. Et plus ce temps d’observation est long, plus le message frauduleux final paraît crédible.
Ce que change le chiffrement de bout en bout
Dans une messagerie chiffrée de bout en bout, le contenu du message est chiffré sur l’appareil de l’expéditeur et ne se déchiffre que sur celui du destinataire. Ni l’hébergeur du service, ni un tiers qui intercepterait le trafic, ne peuvent lire ce contenu sans la clé correspondante. Cela ne remplace pas la vigilance humaine, mais cela supprime l’une des façons les plus courantes pour un attaquant de collecter des mois d’informations avant de fabriquer son piège.
Ajouter un contrôle d’accès plus strict (mots de passe uniques, double authentification, savoir précisément qui administre chaque boîte de l’entreprise) ferme le reste de la porte.
|
Vulnérabilité courante |
Ce qu’elle permet à un attaquant |
Mesure qui la ferme |
|
Messagerie non chiffrée de bout en bout |
Lire le contenu stocké des échanges |
Adresse mail professionnelle chiffrée |
|
Mot de passe partagé entre plusieurs comptes |
Rebondir d’un service compromis à un autre |
Mot de passe unique par compte |
|
Absence de double authentification |
Accéder au compte avec le seul mot de passe |
Double authentification activée partout |
|
Accès administrateur concentré sur une personne |
Perdre tout contrôle si ce compte est piraté |
Répartition des accès et suivi des permissions |
Des réflexes simples qui restent indispensables
Comme le rappelle régulièrement la brigade financière de Rennes à propos des arnaques qui touchent aussi bien les particuliers que les entreprises, tout part souvent d’un message très bien tourné qui installe la confiance avant de demander une action urgente. Avant de valider un changement de coordonnées bancaires ou de répondre à une demande inhabituelle, mieux vaut toujours vérifier par un canal déjà connu, jamais par celui indiqué dans le message suspect lui-même.
Ces vérifications fonctionnent mieux lorsque l’infrastructure de messagerie ne facilite pas le travail de l’attaquant en amont. Rappeler ce réflexe ne sert à rien si la boîte mail de l’entreprise est lue depuis des semaines par quelqu’un qui n’a rien à y faire.
Une migration qui ne bouleverse pas les habitudes de travail
Passer à une messagerie professionnelle chiffrée ne demande pas de revoir les outils du quotidien. La plupart de ces services s’intègrent aux clients de messagerie habituels et conservent calendriers et contacts partagés, avec la différence que le contenu reste protégé d’une manière que beaucoup d’hébergeurs gratuits n’offrent pas. Pour une entreprise ou une association rennaise qui échange régulièrement avec des fournisseurs ou des partenaires, c’est l’une des mesures les plus simples à mettre en place face à une menace qui, comme le montre l’affaire Dumpsec, ne fait aucune distinction entre grande métropole et petite structure locale.
Ce qu’il faut retenir de l’affaire Dumpsec
Un détail de cette enquête mérite d’être souligné : parmi les suspects interpellés figurent des mineurs et de jeunes majeurs, souvent autodidactes, opérant depuis des réseaux dématérialisés où la localisation géographique importe peu. Cela signifie qu’aucune entreprise, quelle que soit sa taille ou sa région, ne peut se considérer à l’abri simplement parce qu’elle n’est pas installée dans une grande ville. Les données volées se revendent ensuite sur des forums spécialisés du dark web, sans lien direct avec l’endroit où elles ont été dérobées.
Pour une PME ou une association rennaise, la leçon est simple : la taille de la structure ne protège de rien. Ce qui compte, c’est le nombre de portes ouvertes que présente sa messagerie professionnelle, et combien de temps il faudrait à quelqu’un de mal intentionné pour s’y installer sans être repéré.
