Piratage : la question n’est pas « si », mais « quand »
ump — Un mot de passe pourri backfill · Voir sur Substack ↗ ⚠ Contenu partiel (paywall)
Les entreprises se demandent encore "si" elles seront piratées. Mauvaise question. La bonne : "quand" — et surtout "êtes-vous déjà compromis sans le savoir ?" Spoiler : vous l'êtes probablement déjà. https://readsubstack.com/article-url
1/ Les entreprises se demandent encore "si" elles seront piratées. C'est la mauvaise question. La bonne : "quand" — et surtout "êtes-vous déjà compromis sans le savoir ?" Thread sur ce que je vois sur le terrain (et qui ne fait pas plaisir).
2/ Sur 10 audits AD que je fais, 8 sont compromis en moins de 4h. Pas parce que je suis bon. Parce que les attaquants sont déjà passés avant moi. Tokens volés, comptes dormants avec droits admin, backdoors oubliés.
3/ Les infostealers ont changé la donne. Un stagiaire qui se fait phisher = accès VPN, session AWS, tokens Slack. En 2025, un seul poste infecté = entrée dans le SI. Et personne ne le voit avant 6 mois minimum.
4/ Le vrai problème : la détection, pas la prévention. Les entreprises dépensent des millions en EDR, firewall, formation. Mais elles ne savent pas ce qui tourne sur leur infra *en ce moment*.
5/ J'ai vu des boîtes avec SOC 24/7, certifiées ISO, auditées tous les ans. Compromises depuis 18 mois. Parce que l'attaquant s'est comporté comme un admin légitime. Et personne n'a posé la question : "pourquoi ce compte se connecte à 3h du mat ?"
6/ Alors oui, c'est pas optimiste. Mais c'est réaliste. Partir du principe que vous êtes déjà dedans change tout : - Vous cherchez des traces - Vous segmentez autrement - Vous auditez ce qui existe, pas ce qui devrait exister
7/ La cybersécurité, c'est de l'hygiène continue. Pas un projet. Pas une checklist. C'est accepter que l'adversaire est patient, discret, et qu'il joue sur la durée.
8/ Pour aller plus loin sur cette réalité terrain (et ce qu'on peut faire concrètement) : https://readsubstack.com/article-url
Sur 10 audits AD que je fais, 8 sont compromis en moins de 4h. Pas parce que je suis bon. Parce que les attaquants sont déjà passés avant moi. Tokens volés, comptes dormants admin, backdoors oubliés. Vous êtes probablement déjà dedans.
Les entreprises dépensent des millions en EDR, firewall, SOC 24/7. Mais elles ne savent pas ce qui tourne sur leur infra *maintenant*. Le vrai trou : pas la prévention. La détection. Vous cherchez des intrusions futures alors que l'attaquant est déjà là.
Votre boîte est certifiée ISO 27001, auditée tous les ans, SOC H24 ? Félicitations : vous êtes probablement compromis depuis 18 mois. Parce que l'attaquant se comporte comme un admin légitime. Et personne n'ose demander pourquoi ce compte se connecte à 3h du mat.