2. Les types de menaces informatiques

Avant de pouvoir se défendre, il faut connaître ses ennemis. Dans ce chapitre, vous découvrirez les principales catégories de menaces informatiques.

Les malwares

Un malware (malicious software) est un logiciel conçu pour nuire :

Virus

Programme qui s’attache à d’autres fichiers et se propage. Nécessite une action humaine (clic, téléchargement).

Ransomware

Chiffre vos données et demande une rançon. WannaCry (2017) a paralysé des hôpitaux dans 150 pays.

Trojan (Cheval de Troie)

Se présente comme légitime mais contient du code malveillant. Peut installer une backdoor.

Spyware

Surveille votre activité et transmet les informations : frappes clavier, captures d’écran.

Les attaques réseau

Phishing

L’attaquant se fait passer pour une entité de confiance (banque, service public) pour voler vos identifiants.

Exemple d'email de phishing :
  De : [email protected] ← domaine suspect !
  Objet : Votre compte est suspendu
  Lien : http://banque-securite-login.xyz ← faux domaine

Man-in-the-Middle (MitM)

L’attaquant s’interpose entre deux parties qui communiquent, interceptant leurs échanges.

DDoS

Des milliers d’ordinateurs infectés bombardent un serveur jusqu’à le rendre inaccessible.

Ingénierie sociale — La menace numéro 1

La manipulation psychologique est à l’origine de 70 % des brèches de sécurité selon les études annuelles (Verizon DBIR). Aucun système technique ne peut compenser une erreur humaine : c’est pourquoi l’ingénierie sociale est la technique d’attaque la plus rentable.

Techniques principales

• Phishing / Spear-phishing — Email frauduleux générique (phishing) ou ciblé sur une personne spécifique avec des détails personnalisés (spear-phishing)
• Pretexting — L’attaquant invente un scénario crédible (« Je suis du support informatique, j’ai besoin de votre accès »)
• Baiting — Laisser une clé USB malveillante dans un parking d’entreprise en espérant qu’un employé la branche
• Vishing — Phishing par téléphone (Voice phishing) ; très efficace contre les services client
• Tailgating / Piggybacking — Entrer physiquement dans un bâtiment sécurisé en profitant qu’une personne autorisée tient la porte

Exemple de spear-phishing (ciblé) :
  À : [email protected]
  De : [email protected]   ← domaine similaire, pas identique
  Objet : Validation de votre fiche de paie mars
  Corps : Voici votre bulletin, connectez-vous sur [faux portail RH]
  → L'attaquant connaît le nom, l'entreprise, la période

Les acteurs de la menace

Comprendre qui attaque est aussi important que comprendre comment. Les motivations, les moyens et les cibles varient radicalement.

Script Kiddies

Débutants utilisant des outils existants (Metasploit, scripts publiés) sans en comprendre le fonctionnement. Motivation : curiosité, notoriété. Dangereux car nombreux et imprévisibles.

Hacktivistes

Groupes militants utilisant le hacking à des fins politiques ou idéologiques. Exemple emblématique : Anonymous, connu pour ses opérations DDoS et defacements contre des gouvernements, entreprises ou organisations controversées.

Cybercriminels (Black Hats)

Motivation principale : l’argent. Ransomware, fraude bancaire, vente de données volées sur le dark web. Les gangs comme LockBit ou REvil opèrent comme de véritables entreprises avec affiliés et support client.

APT — Menaces Persistantes Avancées

Les Advanced Persistent Threats sont des groupes étatiques ou para-étatiques aux moyens considérables. Ils mènent des opérations d’espionnage, sabotage ou déstabilisation sur le long terme.

• Lazarus Group (Corée du Nord) — auteurs de WannaCry (2017), vols de cryptomonnaies, attaque de la Banque du Bangladesh (81M$)
• APT28 / Fancy Bear (Russie) — ingérence électorale, espionnage gouvernemental
• APT41 (Chine) — espionnage industriel et propriété intellectuelle

Pyramide des acteurs (du moins au plus sophistiqué) :
  Script Kiddies → Hacktivistes → Cybercriminels → APT étatiques

Catégories d’attaques — Vue d’ensemble

Les menaces informatiques se classent en grandes familles selon leur cible :

Attaques logicielles

Web (XSS, injection SQL, CSRF), applications mobiles (Android/iOS), APIs, cloud (misconfiguration AWS/Azure), jeux vidéo (cheat engines, triche serveur).

Attaques systèmes

Active Directory (mouvement latéral, Pass-the-Hash), escalade de privilèges, conteneurs Docker/Kubernetes mal configurés, failles noyau.

Attaques réseau

Déjà couvertes ci-dessus : MitM, DDoS, spoofing DNS, interception Wi-Fi.

Attaques matérielles

Exploitation de ports de débogage physiques (UART, JTAG, SPI), manipulation du BIOS/UEFI, cold boot attacks, implants hardware. Ces techniques ciblent surtout l’IoT et les systèmes embarqués.

Systèmes industriels (ICS/SCADA)

Les infrastructures critiques (centrales électriques, eau, usines) utilisent des protocoles spécifiques comme Modbus, DNP3 et des automates (PLC/HMI). Des attaques célèbres comme Stuxnet ou l’attaque sur le réseau électrique ukrainien (2015) visaient ces systèmes.

La Cyber Kill Chain — Le cycle d’une attaque

Modèle développé par Lockheed Martin, la Cyber Kill Chain décrit les 7 étapes d’une attaque ciblée. Comprendre ce modèle permet de savoir à quelle phase intervenir pour arrêter un attaquant.

1. Reconnaissance   — Collecte d'informations (OSINT, scanning réseau, LinkedIn)
2. Armement         — Création du payload (exploit + malware)
3. Livraison        — Envoi via email, USB, site web compromis
4. Exploitation     — Exécution de la faille sur la cible
5. Installation     — Implantation d'un backdoor persistant
6. Commande C&C     — Prise de contrôle à distance (Command & Control)
7. Actions          — Objectif atteint : vol de données, ransomware, sabotage

Intérêt défensif : bloquer l’attaque à la phase 1 (réduire l’exposition OSINT) ou 3 (filtre email, proxy) empêche toute la chaîne. Un attaquant contraint de recommencer depuis la phase 1 perd du temps et de l’argent.

OSINT (Open Source Intelligence) : à l’étape 1, les attaquants utilisent des sources publiques — LinkedIn, WHOIS, Google, Shodan, GitHub — pour cartographier la cible avant toute intrusion.