Cybersécurité pour PME : audit, test d'intrusion, NIS2, réponse à incident · experts Stormshield

Le défi

L'agence web du client signale un comportement anormal du site, sans plus de détail. Une sauvegarde a déjà été restaurée, mais personne ne sait si le site est encore compromis, ni par où.

L'approche

Analyse forensique hors ligne sur une copie du site et de la base de données, avec traçabilité de chaque fichier par empreinte. Les antivirus classiques ne détectent rien sur 20 000 fichiers. Un jeu de 740 règles de détection isole un premier fichier suspect, caché dans une extension légitime sous un faux nom. En recherchant du code similaire dans tout le site, nous trouvons un second fichier qu'aucun outil n'avait signalé. Analyse des deux : Code volontairement rendu illisible réécrit à la main, fonctions aux noms trompeurs, et l'un des deux peut être activé par n'importe qui depuis internet.

Le résultat

Compromission confirmée et circonscrite en moins de 48 heures après le premier contact : 2 portes dérobées identifiées et supprimées, cœur du site et base de données vérifiés sains. Plan d'actions priorisé remis au client et à son agence.

Le défi

L'administration signale au garage de nombreuses demandes de cartes grises frauduleuses faites avec son compte professionnel. Depuis l'ouverture d'un e-mail « Contrôle de votre habilitation », une fenêtre étrange apparaît à chaque démarrage du poste.

L'approche

Intervention à distance le week-end. Analyse de l'e-mail : faux domaine imitant l'administration, message personnalisé avec les informations légales du garage, donc attaque ciblée. Analyse forensique du poste : logiciel malveillant caché derrière un programme légitime, prise en main à distance par l'escroc, sessions de bureau à distance invisibles pour l'utilisateur, utilisation à distance de la clé d'authentification du garage. Reconstitution complète de l'attaque sur 11 jours.

Le résultat

Accès de l'escroc coupés et programmes malveillants supprimés le jour même, dont 8 qu'aucun antivirus ne détectait. Chronologie de l'attaque et éléments techniques remis au client pour son dépôt de plainte.

Le défi

Tester une plateforme en ligne depuis internet, sans aucun identifiant ni information fournie, comme le ferait un attaquant réel. Objectif : mesurer ce qu'il est possible d'atteindre depuis l'extérieur.

L'approche

À partir d'éléments accessibles publiquement, nous avons reconstitué une session d'authentification valide, reconnue par la plateforme comme celle d'un utilisateur légitime. Cette session nous a ouvert le compte administrateur, sans mot de passe. Nous avons également identifié des fonctions sensibles accessibles sans authentification, permettant de créer des comptes dans n'importe quel cabinet et d'accéder à ses données.

Le résultat

Accès administrateur complet obtenu sans mot de passe, et sans que la plateforme puisse s'en apercevoir. Nous avons montré qu'un attaquant pouvait, depuis ce seul accès, atteindre les dossiers comptables des clients. Rapport remis avec les failles classées par gravité, la preuve de chacune, et les correctifs à appliquer en priorité.

Le défi

Un même datacenter héberge et administre les infrastructures de plusieurs clients. Sans cloisonnement solide, un incident sur un client, ou la compromission d'un seul accès d'administration, peut se propager aux autres. L'enjeu : garantir qu'un client reste isolé des autres, et que les accès d'administration ne constituent pas un point d'entrée unique.

L'approche

Analyse de l'architecture réseau du datacenter : cartographie des flux entre clients, des réseaux d'administration et des interconnexions. Identification des zones insuffisamment isolées et des chemins par lesquels un incident pouvait se propager d'un périmètre à l'autre. Définition d'un plan de cloisonnement, puis mise en œuvre des changements : séparation des environnements clients, isolement du réseau d'administration et restriction des flux au strict nécessaire.

Le résultat

Infrastructure cloisonnée : chaque client est isolé des autres, et le réseau d'administration est séparé des environnements hébergés. Les failles de segmentation ont été corrigées et les flux restreints au strict nécessaire. Plan de remédiation priorisé remis, avec les changements appliqués et les points de vigilance pour la suite.