En cybersécurité, il est quasiment impossible de contrer certaines failles de sécurité. Parmi elles, les failles zéro day représentent une vulnérabilité logicielle non découverte ou non corrigée que les développeurs n’ont pas encore eu l’occasion de réparer ou pour laquelle aucun correctif n’est disponible. Les attaquants exploitent ces failles pour lancer des cyberattaques avant que la vulnérabilité ne soit connue ou corrigée, rendant ces cyberattaques particulièrement dangereuses et difficiles à prévenir. C’est pourquoi, il est nécessaire d’avoir un outil anti spam fonctionnel.

Comment les failles de sécurité sont exploitées par les cybercriminels ?

En effet, les cybercriminels arrivent à identifier les vulnérabilités non corrigées dans vos logiciels. Ils développent ensuite un code malveillant pour exploiter ces failles. Ces attaques peuvent inclure l’injection de malware, le vol de données, l’installation de ransomware, ou l’accès non autorisé à certains systèmes. Leur but est de voler les données sensibles ou d’exiger une rançon à votre organisation.

Pour garder une longueur d’avance, la prévention est cruciale.

1. Une vigilance constante : Toujours être en état d’alerte et en surveillance proactive face aux menaces et vulnérabilités potentielles cachées dans l’environnement numérique de votre organisation.
2. Des mises à jour de sécurité régulières : Faire des mises à jour régulièrement est essentiel pour anticiper et corriger les vulnérabilités, renforcer les défenses contre les nouvelles menaces, et maintenir l’intégrité et la performance des systèmes.
3. L’ utilisation de solutions de cybersécurité avancées : Cela implique la mise en œuvre de mesures de sécurité continues, la formation des employés aux meilleures pratiques, et l’adaptation rapide aux nouvelles tactiques d’attaque, assurant ainsi une défense robuste contre les cyberattaques de plus en plus sophistiquées.

Exemple d’une faille zéro day

En mars 2023, un programme russe nommé Vulkan a été conçu pour parcourir le web à la recherche de vulnérabilités. En effet, il en existe un tas qui sont connues et inconnues. Elles sont présentes sur tous les systèmes et pour la plupart du temps passent de manière inaperçues.

Par ailleurs, contrer les failles zéro day représente un défi majeur. Ainsi, les experts exploitent de plus en plus l’intelligence artificielle afin d’anticiper les cyberattaques émanant de ces failles. Ils cherchent à concevoir des systèmes générés par l’IA, capables de chercher automatiquement des vulnérabilités zéro day encore non détectées.

Quelles sont les conséquences des failles zéro day ?

Il existe plusieurs type de failles de sécurité.

1. Failles d’injection (SQL) : Elles permettent l’exécution de code malveillants (malwares, ransomwares…), ayant un impact direct sur la sécurité des données de vos collaborateurs.
2. Failles de « broken authentication » : Elles correspondent au risque de « casser » les mesures de sécurité. Entre autres, elles offrent la possibilité aux cybercriminels de contourner la gestion des authentification et accéder à vos systèmes informatiques de manière non autorisée, compromettant la sécurité globale de votre organisation. Elles comprennent notamment le vol de session ou la récupération de mots de passe.
3. Failles de débordement de tampon : Ces failles peuvent conduire à l’exécution de code arbitraire, posant un risque majeur pour la totalité de vos collaborateurs.
4. Failles Cross-Site Scripting (XSS) : Elles autorisent l’insertion de scripts malveillants (et autres codes…) pouvant affecter les utilisateurs et compromettre leurs données sensibles.
5. Failles zéro day : Elles représentent des vulnérabilités inconnues des fabricants et des équipes de sécurité au moment de leur exploitation. Leur dangerosité réside dans l’absence de correctifs disponibles lors de leur découverte, ce qui les rend particulièrement efficaces pour les cyberattaques et nécessite une vigilance constante, des mesures de détection avancées, et une réponse rapide pour minimiser les dommages.

De plus, ces vulnérabilités permettent beaucoup d’autres cyberattaques passant pas ces failles : phishing, spear phishing, malware, ransomware, etc…

Analyse des risques par email

Par ailleurs, trouver une faille de sécurité a une valeur exceptionnellement haute pour les pirates informatiques. Ainsi, un hacker qui découvre une faille zéro day pourrait ne pas immédiatement l’utiliser pour des attaques, mais plutôt choisir de la vendre au plus offrant. De là découlent les attaques par ransomwares, malwares, spear phishing, etc…

Pour reconnaître ces cyberattaques, il est important de bien vérifier certains points :

1. L’adresse de l’expéditeur : par exemple, un domaine comme « exemplecompany.com » pourrait être falsifié en « examp1ecompany.com »
2. Le contenu de l’email : méfiez-vous des emails vous pressant d’agir immédiatement, surtout si cela contient des erreurs grammaticales, des informations sensibles ainsi que des liens et pièces jointes suspects.
3. La cohérence du message : certains expéditeurs semblent connaître plusieurs de vos détails personnels, mais qui sont légèrement inexacts ou utilisent ces informations de manière maladroite.

Il est crucial de noter que les failles zéro day ne se cantonnent à aucun système d’exploitation spécifique. Windows, Linux, macOS, et Android, ainsi que les navigateurs web tels que Chrome, Firefox, et Edge, et les applications (comme Adobe, WordPress, Drupal, Apache, PHP, Microsoft Office), les objets connectés et le firmware des équipements subissent tous leur effet. Leur impact tend toutefois à être plus prononcé dans les systèmes et applications largement répandus, attirant ainsi davantage l’attention des cybercriminels.

Quelle solution est la plus appropriée pour protéger votre entreprise des failles zéro day ?

La détection des failles zéro day est quasiment impossible. Pourtant, savoir qu’elles existent est essentielle pour protéger les organisations, en particulier les TPE, PME et ETI. Il existe plusieurs outils et technologies conçus pour détecter et contrer les attaques découlant de ces failles. En combinant des solutions de sécurité de l’email avancées avec des programmes de formation et de sensibilisation, les entreprises peuvent renforcer leur sécurité contre les failles zéro day. La vigilance continue et la préparation aux menaces émergentes sont essentielles pour protéger les données et les systèmes de votre organisation.

Pour qu’une solution puisse être efficace, elle doit répondre à plusieurs conditions.

1. Filtrage intelligent : Ces solutions utilisent des algorithmes avancés pour analyser les e-mails à la recherche de contenus malveillants, de pièces jointes suspectes ou de schémas d’attaque.
2. Analyse comportementale : Certaines solutions surveillent le comportement des utilisateurs et des e-mails entrants pour détecter des activités anormales.
   1. Détection précoce : Ces solutions identifient les comportements anormaux avant qu’une attaque ne se produise.
   2. Adaptabilité : Elles peuvent s’adapter aux nouvelles menaces en analysant en permanence les modèles de comportement.
   3. Réduction des fausses alertes : En se concentrant sur les comportements anormaux, ces solutions réduisent les fausses alertes.
3. Protection contre le phishing : Elles sont conçues pour repérer les tentatives de phishing en examinant le contenu et les liens des e-mails.
4. Formation et sensibilisation des collaborateurs : Certaines solutions offrent des fonctionnalités de formation et de sensibilisation des utilisateurs pour les aider à reconnaître les attaques d’ingénierie sociale.

1. 1. Reconnaissance des signaux : Les employés formés sont plus susceptibles de reconnaître les tentatives d’ingénierie sociale.
   2. Réduction des erreurs humaines : La formation contribue à réduire les erreurs humaines pouvant entraîner des compromissions de sécurité.

L’avenir de la cybersécurité présente des défis,  avec une combinaison de sensibilisation au phishing et de technologies avancées (anti phishing, anti spearphishing, anti malware et anti ransomware), les entreprises peuvent renforcer leur sécurité et se prémunir contre les menaces émergentes. Il est essentiel de rester informé des nouvelles tendances et de s’adapter rapidement pour protéger les données et les systèmes de votre organisation.

Par Paul-Louis Vincenti chez AltoSpam

Depuis le 1er février 2022, l’authentification multifactorielle (MFA) est contractuellement obligatoire, même si une tolérance d’ordre technique perdurera jusqu’en 2023. L’activation de la MFA relève de problématiques à la fois techniques et organisationnelles. Un tel projet est l’occasion de repenser l’authentification voire la cybersécurité dans son ensemble, à l’échelle du SI de l’entreprise. 

Salesforce impose progressivement l’authentification multifactorielle 

Salesforce a annoncé en 2021 un plan d’activation de l’authentification multifactorielle (MFA), déjà techniquement disponible depuis l’an dernier. Une étape cruciale a été franchie le 1er février 2022. Depuis cette date, les entreprises qui ne l’ont pas activée ne sont plus en conformité avec le nouveau contrat d’utilisation. Salesforce n’effectuera d’abord aucune vérification. Mais courant 2022, la plateforme procèdera à une activation automatique de la MFA, de façon progressive, service par service. Dans un premier temps, les administrateurs auront la possibilité de la désactiver. Mais dès mars 2022 pour certains produits, et surtout à partir de mai 2023 pour l’ensemble des services, le processus sera irréversible et la MFA deviendra de facto obligatoire. Les entreprises ont donc le temps de la mettre en place, même si la non-conformité contractuelle peut présenter un risque juridique, notamment en cas d’attaque. 

Des problématiques techniques et surtout organisationnelles et économiques 

Dans un monde 100 % Salesforce, l’activation de la MFA est techniquement simple. Il suffit de la déclencher et de déployer l’application mobile Salesforce Authenticator. Le projet est plus complexe si l’on décide d’intégrer la MFA à l’échelle de plusieurs applications, SaaS ou sur site, via une solution de SSO. On pourra alors s’appuyer sur des solutions tierces de méta-annuaires, d’authentification forte et de SSO comme Thalès STA, Azure AD, Okta ou Onelogin. 

Mais la véritable difficulté est davantage organisationnelle et économique, et elle augmente en fonction du nombre d’utilisateurs. Car il s’agit d’équiper ces derniers de dispositifs permettant de renforcer l’authentification. On peut opter pour des smartphones accueillant une app comme Salesforce Authenticator, Google Authenticator, Microsoft Authenticator ou encore Authy. Elle sera installée soit sur des appareils dédiés à l’usage professionnel, ce qui aura un coût, soit sur les smartphones personnels, ce qui nécessitera l’accord des utilisateurs. En général, aucune de ces deux solutions n’est réaliste à grande échelle. L’alternative consiste à équiper les employés de dispositifs biométriques ou de clés sécurisées comme YubiKey de Yubico ou Titan de Google. Dans tous les cas, le déploiement nécessite un important effort d’accompagnement au changement – démarche qu’il s’agit d’adapter à chaque type de population. 

L’occasion de repenser la sécurité au-delà de l’authentification 

Que l’on s’en tienne au monde Salesforce ou qu’on étende la MFA à toutes les applications critiques, il est conseillé d’en profiter pour refondre la sécurité du SI, dont l’authentification n’est qu’une brique. Même avec la MFA, l’entreprise n’est en effet pas à l’abri d’une cyberattaque. La panoplie des solutions s’étend alors aux VPN, au chiffrement des données et aux sauvegardes, associées à un plan de récupération et de redémarrage. Sans ces mesures, la reprise d’activité après une attaque se compte généralement en semaines. 

Des projets de quelques jours à plusieurs mois selon le contexte et l’ambition 

La mise en place de la MFA Salesforce est un projet à part entière qui comprend les traditionnelles étapes de préparation, de déploiement, de gestion du changement et de support. L’effort est fonction des contraintes organisationnelles, de la taille des populations concernées, du périmètre et de la solution choisie. Selon que le projet est limité à Salesforce ou étendu au SI, sa durée peut varier de quelques semaines à plusieurs mois. 

Lamine Hadj-Arab, consultant manager chez Almavia CX
Cyril Louis, CEO et cofondateur de Mavericx, Salesforce MVP
Philippe Le Thomas, practice leader, annuaires et identités chez Anetys

La directive européenne NIS2 redéfinit les règles du jeu en matière de cybersécurité pour des milliers d’organisations. Bien plus qu’un impératif réglementaire, elle impose une refonte globale de la sécurité des accès, des identités et des systèmes. Explications.

Par Steven Commander, Directeur Consultants et Régulations HID – ASSA ABLOY 

La directive européenne NIS2 est officiellement entrée en vigueur en octobre 2024. Plus exigeante, plus structurante, elle impose un changement de paradigme dans la manière dont les organisations conçoivent leur sécurité. Objectif : renforcer la résilience collective face aux cybermenaces, en s’attaquant aux angles morts de la cybersécurité — notamment la sécurité physique.

Un cadre plus strict, pour un périmètre élargi

Remplaçant la première directive NIS de 2016, NIS2 étend son champ d’application à un plus grand nombre d’organismes opérant dans des secteurs jugés sensibles : énergie, transport, finance, santé, infrastructures numériques ou administrations. Sont concernées les entités dites « essentielles » ou « importantes », y compris leurs fournisseurs, dès lors qu’elles dépassent certains seuils (parfois dès 10 M€ de CA annuel).

Les exigences sont plus fortes :

• Déclaration obligatoire des incidents sous 24 heures,
• Mise en œuvre de contrôles de sécurité renforcés,
• Sanctions en cas de non-conformité pouvant atteindre 10 % du chiffre d’affaires annuel.

Mais surtout, NIS2 rompt avec une approche prescriptive pour privilégier une évaluation dynamique des risques propres à chaque organisation.

« La sécurité ne peut plus être segmentée. La directive NIS2 est une opportunité pour revoir l’architecture globale d’accès, en s’appuyant sur des technologies interopérables et éprouvées », souligne Steven Commander, expert PACS chez HID.

Le maillon faible ? Le contrôle d’accès

D’après le rapport « Cost of a Data Breach 2020 » publié par IBM et le Ponemon Institute, les compromissions liées à la sécurité physique sont responsables de 10 % des violations malveillantes et entraînent un coût moyen de 4,36 millions de dollars par incident. Cette statistique alerte sur un point souvent sous-estimé : la jonction entre sécurité physique et cybersécurité.

C’est précisément sur ce point que les exigences NIS2 sont explicites. La directive demande la mise en œuvre de solutions d’authentification forte ou continue, de communications chiffrées (voix, vidéo, texte), et de systèmes d’alerte d’urgence sécurisés.

Dans ce contexte, la convergence entre IT et sécurité physique devient une priorité stratégique. Selon le rapport HID/IFSEC 2024 :

• 48 % des entreprises associent désormais leur DSI aux projets de contrôle d’accès physique,
• 58 % collaborent pour définir des pratiques communes de sécurité,
• 55 % évaluent ensemble les technologies émergentes.

Un mouvement confirmé par Gartner : d’ici 2025, 41 % des entreprises européennes prévoient d’intégrer tout ou partie de leur sécurité physique et logique – contre 31 % en 2020.

Une approche « Good / Better / Best » pour avancer concrètement

La mise en conformité ne se fait pas en un jour. Une démarche évolutive, structurée autour de quatre piliers prioritaires, permet d’avancer de façon pragmatique et maîtrisée.

Sécurité des identifiants

• Good : cartes physiques ou virtuelles chiffrées (AES 128)
• Better : gestion centralisée des clés et des cycles de vie
• Best : tests de pénétration indépendants et certifications

Infrastructure de lecture

• Good : stockage sécurisé et lecture chiffrée
• Better : conformité au standard IEC 60839-11-5:2020 / OSDPV2
• Best : mises à jour via application sécurisée

Contrôleurs d’accès

• Good : VLAN dédié, boîtiers sécurisés, firmware à jour
• Better : filtrage IP (whitelisting)
• Best : chiffrement complet des données (repos + transit)

Systèmes de contrôle d’accès

• Good : hébergement sur réseau cloisonné
• Better : gestion des vulnérabilités (CVE), SDLC suivi
• Best : certificats TLS personnalisés et chiffrement de bout en bout

Biométrie, MFA, chiffrement : les piliers de la résilience

Au-delà des identifiants classiques, la biométrie offre une protection forte, notamment sur les points d’accès critiques : empreintes digitales avec détection de vie, reconnaissance faciale anti-spoofing, veines de la paume ou scan d’iris.

Combinée à des protocoles sécurisés (OSDP), la biométrie permet une gestion centralisée des droits d’accès, tout en renforçant la traçabilité. À condition bien sûr de respecter les règles strictes du RGPD, notamment sur le chiffrement et le stockage local des gabarits biométriques.

L’enjeu : aligner sécurité, conformité et expérience utilisateur

Le vrai défi ne réside pas seulement dans la conformité technique à NIS2, mais dans la capacité des organisations à aligner les exigences réglementaires avec les besoins métier, sans sacrifier la fluidité des accès ou la productivité des équipes. C’est particulièrement critique dans les environnements OT (postes partagés, accès en libre-service, etc.).

NIS2, levier stratégique pour la résilience

La directive NIS2 impose un tournant stratégique. Elle pousse les entreprises à considérer leur sécurité non plus comme une addition de dispositifs, mais comme un tout cohérent, intégrant l’IT, l’OT, l’humain et les processus.

• Cartographier les accès physiques aux systèmes critiques
• Évaluer l’efficacité des dispositifs d’authentification actuels
• Associer l’IT et la sécurité physique dans la gouvernance sécurité
• Intégrer les prestataires et sous-traitants critiques dans la chaîne de conformité
• Planifier un plan de montée en maturité basé sur les priorités NIS2

C’est à ces conditions que les organisations pourront construire des environnements réellement résilients, conformes, et mieux armés face aux menaces hybrides.