Le mail qui a tout déclenché, envoyé depuis l’intérieur de l’entreprise

C’était un lundi matin, comme les autres. Un employé de la SNCF, mécontent de son traitement, a décidé de vider les serveurs de son service avant de partir en burn-out. Pas avec un virus sophistiqué, non. Juste un copier-coller de lignes de code basiques, un accès qu’il avait gardé après son départ, et pouf : des milliers de dossiers clients exposés. L’Anssi, l’agence qui gère la cybersécurité en France, a mis des mois à en parler. Pourquoi ? Parce que ce n’est plus une histoire de Russes en hoodie ou de Chine qui espionne. C’est une histoire de votre voisin de bureau qui en a ras-le-bol.

Guillaume Poupard, le patron de l’Anssi, l’a résumé sans détours jeudi dernier : « On voit émerger une criminalité non organisée d’un côté, et endogène de l’autre. » Traduction : les pirates, c’est fini. Place aux désillusionnés, aux petits génies du malheur et aux collègues qui savent trop de choses. Et ça, c’est bien plus flippant.

Pourquoi vos données valent moins cher que votre café du matin

Les chiffres, ça claque. En 2023, 60% des cyberattaques en France partaient de l’intérieur des entreprises, selon une étude de l’Anssi (oui, celle-là même qui a mis du temps à parler du mail de la SNCF). Pas besoin d’être un expert pour comprendre : si un employé part en claquant la porte, il emporte souvent la clé USB, ou pire, l’accès à votre système.

Et les petites entreprises ? Elles croient encore que ça ne les concerne pas. Erreur. Un restaurant à Lyon a perdu 12 000 euros en une nuit parce que son gérant, furieux contre son fournisseur, a redirigé les paiements clients vers son propre compte. Pas de virus, pas de ransomware, juste un gars avec un clavier et une mauvaise journée.

L’Anssi le dit clairement : « Les cibles sont de plus en plus variées, et les méthodes aussi. » Mais personne ne vous explique pourquoi c’est plus dangereux aujourd’hui. Parce qu’avant, vous aviez peur des méchants loin. Maintenant ? Ils sont peut-être assis à côté de vous.

Le marché noir des accès piratés : votre mot de passe à 5 euros la semaine

Sur le dark web, il existe un marché florissant pour les identifiants volés. Pas ceux des banques, non, ceux des employés lambda. Un accès à un serveur d’entreprise se négocie entre 3 et 20 euros, selon ce que vous voulez. Pourquoi ? Parce que personne ne change ses mots de passe après un départ. Parce que les DRH croient encore que « ça n’arrivera pas à notre boîte ».

Prenez l’exemple de Veeam, ce logiciel de sauvegarde utilisé par des milliers d’entreprises. En 2023, des hackers ont récupéré 13 000 accès valides à des serveurs clients… juste en piratant un employé mécontent. Résultat ? Des hôpitaux, des mairies, des PME, tout le monde a été touché. Et devinez quoi ? Personne n’a été poursuivi.

L’Anssi commence à s’en rendre compte : « La menace vient de moins loin qu’on ne le pense. » Mais les entreprises, elles, ferment les yeux. Pourquoi ? Parce que parler de ça, c’est admettre qu’elles ont laissé traîner la clé sous le paillasson.

Ce que les régulateurs ne vous disent pas (parce que ça les arrange)

Les rapports officiels sont pleins de jargon et de « bonnes pratiques ». Mais ce qu’ils ne disent pas, c’est que les solutions existent… et qu’elles coûtent cher.

• Les audits de sécurité ? 20 000 euros pour une PME. « Trop cher, on verra plus tard. » → Résultat : un stagiaire a piraté votre système en 48 heures, juste pour s’amuser.
• Les formations ? « On n’a pas le temps. » → Résultat : un employé clique sur un lien douteux, et bam, vos données sont sur Reddit.
• Les contrôles d’accès ? « Ça ralentit la prod. » → Résultat : un ancien employé, parti en claquant la porte, a toujours accès à vos fichiers clients.

L’Anssi propose des checklists, des guides, des webinaires. Mais au final, personne ne les applique. Pourquoi ? Parce que la cybersécurité, c’est comme l’assurance habitation : on y pense quand le cambrioleur est déjà dans la maison.

Et le pire ? Les petites entreprises croient encore que ça ne les concerne pas. Spoiler : si vous avez un site web, un mail pro et des clients, vous êtes une cible. Même si vous vendez des crêpes à la foire.

La vraie menace : ceux qui savent trop et qui n’ont plus rien à perdre

Le scénario le plus flippant ? L’employé qui part en burn-out, en colère, et qui laisse une porte ouverte.

• Cas 1 : Il vend ses accès à des hackers. Vous ne savez même pas que c’est lui.
• Cas 2 : Il sabote exprès. Un peu de code ici, un peu de code là… et pouf, vos données partent en fumée.
• Cas 3 : Il poste tout sur un forum. « Voici comment j’ai piraté mon ancienne boîte en 10 minutes. » (Oui, ça existe. Oui, c’est réel.)

L’Anssi a un mot pour ça : « insider threat ». Traduction : la menace vient de l’intérieur. Et devinez quoi ? Les assurances ne couvrent pas ça.

Pourquoi ? Parce que les assureurs savent que les entreprises ne font rien. Alors ils se protègent. Vous, vous restez seul face au risque.

Alors, que faire ? (Spoiler : pas grand-chose, mais faut essayer)

1. Vérifiez les accès des anciens employés. Oui, même ceux partis il y a deux ans. Oui, même le stagiaire. Désactivez. Tout. Maintenant.
2. Formez vos équipes (même les intouchables). Un mail qui semble venir de votre patron ? Vérifiez l’expéditeur. Un lien bizarre ? Ne cliquez pas. (Oui, c’est basique. Oui, personne ne le fait.)
3. Auditez vos systèmes. Pas besoin de dépenser une fortune. Commencez par un test d’intrusion basique. (Oui, ça existe. Oui, c’est moins cher que vous ne pensez.)
4. Parlez-en à vos assurances. Parce que si un employé sabote, vous êtes seul.

Mais attention : aucune de ces solutions ne garantit 100% de sécurité. Parce que la vraie menace, ce n’est pas le hacker lointain. C’est le gars qui vous fait un signe de la main en partant.

Le futur de la cybercriminalité : plus de malfrats, plus de risques

L’Anssi le dit sans détour : « La menace évolue. » Traduction : ça va empirer.

• Moins de gros réseaux (les FSB, les cartels) → plus de petits malins (votre cousin qui sait coder, le stagiaire en colère, le freelance qui en a marre).
• Moins de ransomware (les rançons, c’est trop visible) → plus de vols silencieux (vos données partent, personne ne s’en rend compte avant des mois).
• Moins de cibles précises (les banques, les États) → plus de pêche au filet (vous, moi, le boulanger du coin).

Le pire ? Personne ne vous préviendra. Parce que quand un pirate vient de l’intérieur, il n’y a pas d’alerte rouge qui clignote. Juste un mail en moins, un dossier qui disparaît, et un sentiment étrange que quelque chose ne tourne pas rond.

La dernière vérité, celle qu’on ne vous dira jamais

La cybersécurité, aujourd’hui, ce n’est plus une question de technologie. C’est une question de confiance.

• Confiance en vos employés.
• Confiance en vos processus.
• Confiance en vos dirigeants (qui croient encore que « ça n’arrivera pas »).

Mais la réalité, c’est que la confiance, ça se vole. Et que les données, ça se vend.

Alors oui, l’Anssi a raison : un nouveau pan de la menace apparaît. Et ce pan, il est assis à votre table de réunion. Il porte un costume. Il sourit. Et il sait exactement où sont vos failles.