Points clés à retenir
- Les identités non humaines (NHI) sont désormais bien plus nombreuses que les utilisateurs humains et leur nombre augmente à un rythme bien plus rapide, ce qui crée une surface d’attaque importante et insuffisamment contrôlée.
- Les pirates ont de plus en plus souvent recours à l’ingénierie sociale, comme le hameçonnage vocal (vishing), pour contourner les défenses humaines et accéder aux identifiants au niveau de la machine.
- La plupart des systèmes nationaux d’assurance maladie fonctionnent avec des autorisations excessives et ne disposent pas d’une gestion adéquate du cycle de vie, ce qui contribue à l’accumulation d’une « dette identitaire ».
- Les outils de sécurité traditionnels ne parviennent pas à détecter les menaces au niveau de la couche matérielle, car les NHI se comportent différemment des utilisateurs humains.
- Les organisations doivent passer de stratégies axées en priorité sur la prévention à des approches axées en priorité sur la restauration, en accordant la priorité à la détection rapide et à la neutralisation des attaques ciblant l’identité.
Au cours de la dernière décennie, les investissements en sécurité des entreprises ont été axés sur l’humain. Une meilleure authentification. Une authentification multifactorielle (MFA) plus solide. La simulation de hameçonnage. Une architecture centrée sur l’identité. Ces investissements constituaient la réponse adéquate au paysage des menaces de l’époque. Le paysage des menaces a évolué.
Aujourd’hui, les attaquants les plus sophistiqués ne cherchent pas à contourner votre MFA. Ils s’en servent comme d’une porte d’entrée. Un appel téléphonique convaincant à votre service d’assistance informatique, une réinitialisation de la MFA et un compte utilisateur compromis : voilà comment ils s’introduisent. Ce qu’ils recherchent en réalité, c’est ce qui se cache derrière : la couche tentaculaire et insuffisamment contrôlée des NHI qui relie tous les systèmes de votre environnement.
L’ampleur du problème est stupéfiante
Comptes de service, clés API, jetons OAuth, agents d’IA : les NHI sont désormais 144 fois plus nombreux que les utilisateurs humains, et leur croissance est 4 à 10 fois plus rapide que celle des comptes humains. Pourtant, moins de 25 % des organisations disposent de politiques formelles régissant leur création ou leur mise hors service. Presque tous disposent d’autorisations excessives – des droits qui dépassent de loin ce qu’exige leur fonction.
Ce n’est pas un risque nouveau apparu du jour au lendemain. Il s’agit d’une dette d’identité accumulée au fil des années : des années de provisionnement sans gouvernance, d’automatisation sans obligation de rendre des comptes, de cloud sans visibilité. Et les attaquants l’ont remarqué.
Le « vishing » est le point d’entrée
Des groupes tels que ShinyHunters et Scattered Spider – opérant au sein de ce que les chercheurs appellent le cluster Scattered LAPSUS$ Hunters (SLH) – ont industrialisé l’ingénierie sociale pour exploiter précisément cette faille. Le hameçonnage vocal a augmenté de 449 % en 2025. Il ne s’agit pas d’appels opportunistes. Ce sont des opérations coordonnées : des scripts spécialement conçus, des appelants recrutés, des incitations financières pouvant atteindre 1 000 dollars par usurpation d’identité réussie auprès d’un service d’assistance.
L’appel n’est pas l’attaque en soi. Il correspond à la réinitialisation des identifiants qui permet à un attaquant de franchir le périmètre humain. L’attaque commence lorsqu’il passe à la couche machine : vol de jetons OAuth, création de comptes de service administratifs, intégration des droits d’accès dans des identifiants rarement surveillés et dont les mots de passe ne sont presque jamais renouvelés. Le compte humain est corrigé. L’accès à la couche machine persiste. L’attaquant est déjà passé à autre chose.
Trois vulnérabilités que les mesures de sécurité traditionnelles ne détectent pas
Les outils de sécurité standard sont conçus autour du comportement humain. Ils signalent les connexions anormales, les géolocalisations inhabituelles, le trafic e-mail suspect. Les NHI fonctionnent différemment, et cette différence constitue l’angle mort.
L’abus d’OAuth, par exemple, ressemble à un trafic API normal – même après une réinitialisation de mot de passe. Des milliers de comptes de service non documentés opèrent dans les grandes entreprises avec des privilèges administratifs, souvent bien après la fin des projets qui les ont créés. Les clés API à longue durée de vie intégrées dans les pipelines DevOps confèrent un accès étendu, sans contexte d’appareil ni alerte de connexion. L’authentification multifactorielle (MFA) ne les couvre pas. La détection au niveau des terminaux ne les repère pas. Le filtrage des e-mails ne s’applique pas à eux.
Le changement de paradigme : passer d’une approche axée sur la prévention à une approche axée sur la reprise
La réponse logique face à une menace qui échappe souvent aux systèmes de détection traditionnels consiste à cesser de croire qu’il est possible d’empêcher toutes les intrusions et à commencer à mettre en place des mesures permettant une reprise rapide après celles qui ont abouti. Cela implique de considérer les NHI comme des actifs de niveau 0, en leur appliquant les mêmes contrôles de gouvernance que ceux utilisés pour les administrateurs de domaine ou les environnements cloud gérés à l’aide d’identités humaines. Cela signifie également de remplacer les secrets statiques par des jetons à durée de vie limitée et de mettre en place une rotation automatique.
Cela implique également de corréler des signaux provenant de différents domaines : une interaction avec le service d’assistance suivie d’une réinitialisation de l’authentification multifactorielle (MFA), puis de la création d’un nouveau jeton, constitue un indicateur de compromission très fiable, et le fait de le détecter à un stade précoce fait toute la différence entre la maîtrise de l’incident et une violation prolongée. Cela implique de faire correspondre les identifiants de réseau (NHI) aux identités humaines à des fins de responsabilisation.
Avant tout, cela implique d’être capable de détecter en temps réel les élévations de privilèges non autorisées et d’annuler les modifications malveillantes apportées aux identités, afin de rétablir l’environnement dans un état connu et fiable avant que les dégâts ne s’aggravent.
La prévention reste importante. Mais compte tenu des lacunes en matière de gouvernance dont souffrent de nombreuses organisations, la rapidité de reprise devient un indicateur clé de la résilience. Les organisations doivent mettre en place des programmes de gestion des identités adaptés aux attaques actuelles, et non à celles qui étaient courantes il y a cinq ans. Rendez-vous sur Readiverse et découvrez notre livre numérique intitulé « The Non-Human Identity Crisis », qui explore l’étendue de la surface d’attaque des machines et le cadre permettant d’assurer la résilience des identités.
FAQ
Q1 : Que sont les identités non humaines (NHI) ?
R : Les NHI comprennent les comptes de service, les clés API, les jetons OAuth et les agents d’IA qui permettent aux systèmes et aux applications d’interagir. Contrairement aux utilisateurs humains, elles fonctionnent souvent de manière automatique et à grande échelle, ce qui les rend plus difficiles à surveiller et à contrôler.
Q2 : Pourquoi les NHI sont-elles considérées comme un risque pour la sécurité ?
R : Les NHI disposent souvent de droits d’accès excessifs et ne sont pas soumises à une gouvernance adéquate, ce qui en fait des cibles de choix pour les pirates. Comme elles font rarement l’objet d’une surveillance ou d’une rotation des identifiants, les identifiants compromis peuvent passer inaperçus pendant de longues périodes.
Q3 : Comment les pirates exploitent-ils les NHI ?
R : Les pirates obtiennent généralement un accès initial grâce à des techniques d’ingénierie sociale, telles que le « voice phishing », puis s’orientent vers la couche matérielle. Ils volent des jetons, créent de nouveaux comptes de service ou intègrent un accès persistant dans des identifiants qui ne font pas l’objet d’une surveillance étroite.
Q4 : Pourquoi les outils de sécurité traditionnels ne détectent-ils pas ces menaces ?
R : La plupart des outils de sécurité sont conçus pour détecter des comportements humains, tels que les anomalies de connexion ou les tentatives de phishing. Les NHI génèrent un trafic système d’apparence normale, ce qui permet aux activités malveillantes de se fondre parmi les opérations légitimes.
Q5 : Qu’entend-on par une approche de sécurité axée sur la « restauration en priorité » ?
R : Une approche axée sur la restauration vise à détecter rapidement les intrusions et à rétablir les systèmes dans un état fiable, plutôt que de partir du principe que toutes les attaques peuvent être évitées. Cela implique notamment d’identifier les modifications non autorisées et de les annuler en temps réel.
Q6 : Comment les organisations peuvent-elles renforcer la sécurité du régime national d’assurance maladie ?
R : Les organisations peuvent considérer les numéros d’assurance maladie (NHI) comme des actifs critiques, mettre en œuvre des politiques de gouvernance strictes, remplacer les identifiants statiques par des jetons à durée de vie limitée et établir des corrélations entre les signaux provenant de différents systèmes. Le fait d’associer les NHI à des responsables humains permet également d’améliorer la responsabilité et la supervision.
Vidya Shankaran est directrice technique sur le terrain chez Commvault.
