Anozr Way obtient un financement de 6 millions d'euros pour solidifier la cybersécurité des entreprises

Un comptable reçoit un appel du directeur financier. La voix est la bonne, le ton pressé aussi. Il faut débloquer un virement pour une acquisition confidentielle, l'avocat va envoyer les coordonnées bancaires dans la minute, et surtout personne d'autre ne doit être au courant. Tout est faux, sauf la voix, reconstituée à partir d'une interview vidéo publique. Le virement, lui, part vraiment.

Cette scène décrit ce que le métier appelle la surface d'attaque humaine. Elle n'a rien à voir avec les failles logicielles, et c'est pour ça qu'elle échappe aux outils habituels. Un pare-feu ne voit pas passer une information publiée sur un réseau social, un antivirus ne détecte pas un appel téléphonique. La société bretonne Anozr Way, qui a levé 6 millions d'euros pour développer son offre, s'est construite sur ce constat : ce qui manque aux entreprises, ce n'est pas un logiciel de plus, c'est une vue de ce qu'un attaquant peut apprendre d'elles sans rien pirater.

Ce qu'un inconnu apprend sur un dirigeant en une soirée

Le travail préparatoire d'une attaque ciblée ne demande aucune compétence rare. Il demande du temps et de la méthode. On part du site de l'entreprise, qui donne l'organigramme et les adresses en clair. Le registre du commerce fournit l'identité complète des mandataires sociaux, leur date de naissance partielle, parfois leur adresse. Un réseau social professionnel raconte le parcours, les anciens employeurs, les collègues actuels, et le nom des prestataires quand quelqu'un a remercié publiquement son agence.

Vient ensuite la couche personnelle, souvent la plus parlante. Le compte d'un conjoint qui n'a pas verrouillé ses publications, les photos de vacances géolocalisées, l'application de course à pied qui trace le même parcours tous les matins au départ du domicile, l'annonce immobilière encore en cache avec le plan de la maison. Chaque élément pris isolément semble anodin. Assemblés, ils donnent un dossier qui permet de parler à quelqu'un comme si on le connaissait depuis dix ans.

Un point mérite d'être souligné, parce qu'il est souvent mal compris : les salariés sont autant concernés que les dirigeants. L'assistante de direction, le responsable comptable, l'administrateur système ont des accès qui valent parfois plus cher que ceux du président. Les campagnes les mieux préparées visent le milieu de l'organigramme, là où la vigilance est moindre et l'autorité déléguée réelle.

Les fuites de données, un stock qui ne s'efface jamais

À ce dossier public s'ajoute une matière moins visible : les bases de données échappées des services en ligne au fil des années. Un forum de bricolage, une boutique en ligne, une plateforme de covoiturage, un service de réservation. Chacune de ces fuites contient des adresses électroniques, des mots de passe hachés parfois faciles à retrouver, des numéros de téléphone, des adresses postales.

Ces bases circulent, se recoupent, s'agrègent. L'adresse personnelle utilisée en 2015 sur un site marchand se retrouve reliée à l'adresse professionnelle actuelle par une simple correspondance de numéro de téléphone. Et comme beaucoup de gens réutilisent leurs mots de passe, un identifiant compromis sur un service sans importance ouvre parfois une messagerie qui, elle, en a beaucoup.

La caractéristique la plus désagréable de ce stock, c'est qu'il ne se périme pas. Une donnée sortie une fois est sortie pour toujours. Changer un mot de passe protège le compte, pas l'information qui a fuité avec lui. Le numéro de téléphone personnel d'un directeur général, une fois dans la nature, servira encore dans cinq ans à rendre un appel frauduleux crédible.

Comment ces informations se transforment en argent

Le scénario le plus répandu reste la fraude au virement. Un attaquant qui connaît le calendrier des vacances du dirigeant, le nom du commissaire aux comptes et le style de rédaction interne écrit un message que rien ne distingue d'une demande légitime. Il choisit un moment de tension, une fin de trimestre, une opération en cours. L'urgence et la confidentialité font le reste.

Une autre voie passe par le rançongiciel : les informations personnelles servent à obtenir un accès initial, souvent par un message piégé adressé à la bonne personne, et la connaissance de la vie privée des dirigeants devient ensuite un moyen de pression pendant la négociation. La menace de publier des documents personnels pèse parfois plus lourd que le chiffrement des serveurs.

Il y a enfin les cas physiques, moins fréquents mais bien réels : cambriolages informés par les publications de vacances, filatures, intimidations. Les entreprises qui traitent des sujets sensibles ou qui opèrent dans des pays à risque intègrent cette dimension depuis longtemps ; les autres la découvrent en général après un incident.

Réduire l'exposition, geste par geste

La bonne nouvelle est qu'une part importante de ce qui traîne se retire. Le droit européen à l'effacement donne un levier direct auprès des sites qui republient des données personnelles, et beaucoup de courtiers en données obtempèrent quand la demande est formulée correctement. Les moteurs de recherche traitent les demandes de déréférencement, ce qui ne supprime pas la page mais la rend beaucoup moins facile à trouver.

Le nettoyage des réseaux sociaux vient ensuite. Passer les comptes personnels en privé, y compris ceux des proches, retirer les publications géolocalisées, désactiver la carte publique des applications sportives, décrocher les anciens comptes abandonnés. Ce travail est fastidieux et il ne se fait pas en une fois, mais il retire de la circulation ce qui sert de matière première aux attaquants.

Côté technique, deux mesures font davantage que tout le reste : l'authentification à deux facteurs sur les comptes professionnels et personnels des personnes exposées, et une adresse électronique dédiée aux inscriptions en ligne, séparée de celle qui sert au travail. La seconde coûte cinq minutes et casse une bonne partie des recoupements automatiques.

Ce que ces services savent faire, et ce qu'ils ne peuvent pas

Une plateforme de cartographie d'exposition fait deux choses. Elle automatise la collecte en source ouverte à l'échelle de toute une entreprise, ce qu'aucune équipe interne n'aurait le temps de faire à la main pour trois cents personnes. Puis elle assiste les démarches de retrait et surveille l'apparition de nouvelles données dans les fuites publiées.

Ses limites sont tout aussi claires. Elle ne retire rien des bases déjà en circulation dans les milieux criminels. Elle ne dit pas ce qui se passe dans les messageries privées. Elle ne remplace pas une procédure de validation des paiements, et c'est peut-être le point le plus important : la protection réelle contre la fraude au virement tient à une règle interne appliquée sans exception, pas à un tableau de bord.

Le mérite de cette approche est ailleurs, dans un déplacement du regard. Pendant vingt ans, la sécurité informatique a raisonné en périmètre, en serveurs, en flux réseau. Les attaques les plus coûteuses commencent aujourd'hui par une lecture attentive de ce que l'entreprise et ses salariés ont publié eux-mêmes. Regarder son organisation avec les yeux de celui qui prépare l'attaque est un exercice inconfortable, et il révèle en général plus de choses qu'un audit technique.