Sur le terrain, la cyberattaque ne commence presque jamais par une alerte SOC ou un tableau de bord clignotant. Elle débute par un utilisateur qui ne peut plus ouvrir un fichier, un administrateur qui perd l’accès à un serveur, une application qui ne répond plus. C’est à partir de ces signaux faibles, souvent tardifs, que les équipes de réponse à incident interviennent. Pour la première fois, InterCERT France donne à voir cette réalité opérationnelle à travers un rapport fondé sur plus de 200 incidents réellement traités par les CERT français. Le constat est clair : la menace cyber n’est plus marginale ni exceptionnelle. Elle est devenue massive, industrielle, majoritairement opportuniste, et frappe bien avant que les organisations n’aient pleinement conscience d’être attaquées.
Une cybercriminalité opportuniste et lucrative, loin des fantasmes d’APT omniprésents
Loin des récits spectaculaires d’attaques ultra-ciblées et sophistiquées, la majorité des incidents observés relèvent d’une logique simple et brutale. Près de trois attaques sur quatre sont opportunistes. Les attaquants ne cherchent pas une entreprise précise, ils exploitent ce qui est exposé, vulnérable ou mal protégé, au moment où ils passent.
La motivation est avant tout financière. Extorsion, revente d’accès, vol et monétisation de données structurent l’essentiel de l’activité cybercriminelle observée. L’espionnage existe bel et bien, mais il reste minoritaire et concentré sur des secteurs à forte valeur stratégique comme la défense, l’énergie, la santé, le secteur public ou l’aérospatial. Là où la donnée devient un actif critique, les attaques gagnent en discrétion, en durée et en précision.
Ransomware : une menace toujours centrale, mais plus complexe qu’il n’y paraît
Le ransomware reste au cœur du paysage de la menace et représente près d’un quart des incidents analysés. Mais le rapport met fin à une vision simpliste de ce type d’attaque. Le chiffrement seul est désormais l’exception. Dans la majorité des cas, il s’inscrit dans une séquence plus large mêlant exfiltration de données, sabotage partiel des sauvegardes et phase de reconnaissance préalable pouvant s’étendre sur plusieurs semaines.
Autre enseignement majeur : seule une attaque sur deux est revendiquée publiquement. L’absence de revendication ne signifie donc ni absence de vol de données ni renoncement au chantage, mais souvent une stratégie plus silencieuse et plus flexible de la part des attaquants. Lorsque les montants de rançon sont connus, ils se situent généralement entre 100 000 et 250 000 dollars, mais la majorité des cas reste volontairement opaque.
Le talon d’Achille des organisations : les accès et les actifs critiques
Les modes d’entrée observés dans les incidents sont tristement classiques. Applications exposées non corrigées, comptes valides compromis sans authentification forte, services d’accès à distance mal sécurisés et campagnes de phishing constituent l’essentiel des vecteurs d’intrusion, en particulier dans les petites structures.
Un point ressort avec une constance frappante : Active Directory demeure la pièce maîtresse des attaques graves. Lorsqu’il est compromis, tout comme les comptes administrateurs ou les serveurs applicatifs, les incidents deviennent plus longs, plus coûteux et beaucoup plus complexes à éradiquer. Sans surprise, près de trois quarts des environnements compromis reposent sur Windows, reflet d’une homogénéité technologique qui facilite le travail des attaquants et maximise leur retour sur investissement.
Détection tardive, réponse lourde : un écart structurel entre taille et maturité
Le rapport met en lumière un paradoxe inquiétant. Plus une organisation est grande, plus la détection de l’attaque est tardive. Une TPE détecte en moyenne un incident en une dizaine de jours, une PME en un peu plus de vingt jours, une ETI en près d’un mois, et une grande entreprise au-delà de trente jours. La complexité des systèmes d’information, la fragmentation des responsabilités et les chaînes de décision allongées expliquent en partie cet écart.
Dans les attaques par ransomware, la réalité est encore plus brutale : dans près de 70 % des cas, ce sont les utilisateurs ou les administrateurs qui découvrent l’incident, et non les outils de sécurité. Les SIEM et EDR ne sont à l’origine de la détection que dans un quart des situations, révélant moins un déficit d’outillage qu’un déficit d’exploitation opérationnelle.
Le manque de compétences, nerf de la guerre
Dans huit incidents majeurs sur dix, les organisations reconnaissent ne pas disposer en interne des compétences nécessaires pour gérer efficacement la crise. Les manques concernent principalement l’investigation forensic, le pilotage de crise, l’expertise Active Directory et la reconstruction post-incident.
Cette fragilité est particulièrement marquée dans les ETI, les PME et les TPE, qui ne disposent ni des budgets ni de la masse critique pour internaliser ces expertises rares. Les CERT externes jouent alors un rôle clé, mais ils sont trop souvent sollicités lorsque la crise est déjà installée, parfois après le point de non-retour.
Sauvegardes : la fausse assurance tous risques
Le rapport apporte un éclairage sévère sur un mythe encore très répandu. Dans un tiers des incidents, les sauvegardes sont inutilisables au moment de l’attaque. Elles ont été chiffrées ou effacées par l’attaquant, ou bien se révèlent trop anciennes, incomplètes ou jamais testées en conditions réelles.
Une vérité opérationnelle s’impose en filigrane : une sauvegarde non testée n’est pas un filet de sécurité, mais une hypothèse fragile.
Communication et autorités : encore trop d’angles morts
Moins d’une organisation sur deux communique en interne lors d’un incident, et seules 9 % engagent une communication externe. La notification aux autorités progresse, mais reste insuffisante, notamment dans les petites structures qui peinent encore à identifier les bons interlocuteurs ou à intégrer ces démarches dans leurs procédures de crise.
Ce que dit réellement ce rapport
Au-delà des chiffres, ce premier rapport d’incidentologie d’InterCERT France envoie un message sans ambiguïté. La cybermenace n’est plus exceptionnelle, elle est structurelle. Les attaquants ne cherchent plus l’exploit technique, mais exploitent l’asymétrie organisationnelle : défauts de patching, absence de MFA, journalisation inexploitable, procédures de crise inexistantes ou purement théoriques.
La résilience ne repose pas sur l’accumulation d’outils supplémentaires, mais sur une détection plus précoce, une exploitation réelle des journaux, des équipes formées et mobilisables, et une capacité à agir avant que l’attaque ne bascule en crise majeure. Ce rapport marque un tournant : celui du passage d’un discours sur la menace à une lecture froide, concrète et opérationnelle de la réalité vécue par les CERT. Une lecture que dirigeants, RSSI et régulateurs auraient tout intérêt à prendre au sérieux.
