Points clés à retenir
- L’ingénierie sociale ciblant les services d’assistance est désormais l’un des principaux points d’entrée, les attaques de « vishing » (hameçonnage vocal) se multipliant rapidement et entraînant la compromission des identifiants.
- Les identités non humaines, telles que les comptes de service et les jetons, constituent un angle mort majeur en matière de sécurité ; elles sont souvent laissées sans surveillance et largement exploitées à des fins de déplacement latéral.
- Active Directory (AD) constitue une cible de choix en raison de son contrôle centralisé et des risques liés à une mauvaise configuration.
- La prévention à elle seule ne suffit pas ; les organisations doivent disposer de solides capacités de détection et de reprise rapide afin de limiter les dégâts.
- Des mesures opérationnelles immédiates – telles que l’audit des comptes et la mise en corrélation entre l’activité du service d’assistance et les changements d’identité – peuvent réduire considérablement les risques.
Active Directory (AD) reste une cible privilégiée des pirates, car il est au cœur de la gestion des identités en entreprise. Des études récentes montrent que 67 % des incidents impliquent désormais une compromission liée aux identités, les pirates s’attaquant à des systèmes critiques tels qu’AD dans les heures qui suivent leur accès initial. Une fois le système compromis, la restauration peut prendre plusieurs jours, voire plusieurs semaines, ce qui entraîne une perturbation importante de l’activité.
La question qu’il convient de se poser n’est pas de savoir si l’AD est une cible. Il s’agit plutôt de comprendre comment les pirates y parviennent – et pourquoi le chemin est bien plus court que ne le penseraient les équipes de sécurité.
3 étapes pour parvenir à une compromission globale
Des groupes malveillants tels que ShinyHunters et Scattered Spider ont fait de l’ingénierie sociale une opération à grande échelle. Le hameçonnage vocal (ou « vishing ») a bondi de 449 % en 2025. Les appelants sont recrutés, reçoivent un script à suivre et sont rémunérés jusqu’à 1 000 dollars en fonction de leur succès et de leur taux de réussite.
En d’autres termes, une seule étape suffit pour lancer une attaque : obtenir une réinitialisation de mot de passe ou modifier les paramètres d’authentification multifactorielle (MFA). C’est tout.
À partir de cette seule information d’identification, l’attaquant se déplace latéralement vers les environnements cloud et virtualisés. Il récupère des jetons OAuth, crée de nouveaux comptes de service administratifs et intègre des droits d’accès aux identifiants au niveau des machines. Ces identités non humaines – comptes de service, clés API, jetons – sont désormais 144 fois plus nombreuses que les utilisateurs humains. Leur prolifération et la charge opérationnelle qui en découle compliquent la rotation des identifiants et les audits. Ce déplacement latéral a une destination : Active Directory.
La publicité est la cible
AD est le système nerveux central de l’identité d’entreprise. En le contrôlant, on contrôle tout : les comptes utilisateurs, les stratégies de groupe et l’accès à tous les systèmes rattachés au domaine au sein du réseau. La raison pour laquelle il est si attractif pour les attaquants – et si difficile à défendre – est d’ordre structurel. Tout utilisateur authentifié peut consulter l’intégralité de l’annuaire. Chaque système joint au domaine hérite de sa confiance.
Les objets de stratégie de groupe liés au contrôleur de domaine principal peuvent être utilisés comme une arme pour désactiver purement et simplement les contrôles de sécurité. Les protocoles hérités restés activés pour des raisons de compatibilité applicative offrent un accès direct. La documentation de Microsoft indique que « la plupart des attaques liées à l’identité exploitent des erreurs de configuration courantes dans Active Directory ». Lorsqu’un pirate parvient jusqu’à l’AD, il n’a pas besoin de forcer l’entrée. La porte est généralement ouverte.
La prévention est nécessaire, mais pas suffisante
La pile de sécurité standard – authentification multifactorielle (MFA), détection au niveau des terminaux, filtrage des e-mails – s’articule autour du comportement humain. Elle n’a pas été conçue pour contrôler la couche d’identité des machines ni pour détecter le type d’escalade progressive des privilèges, d’apparence légitime, qui caractérise les attaques AD modernes. Un attaquant qui, en l’espace de 72 heures, passe d’un compte utilisateur compromis à un compte de service, puis à un compte d’administrateur de domaine, peut ne déclencher aucune alerte.
C’est pourquoi il faut passer d’une approche axée sur la prévention à une approche axée sur la restauration. La prévention reste toutefois essentielle. L’accès selon le principe du « privilège minimal », l’audit des modifications apportées à Active Directory, le renforcement des configurations par défaut, la désactivation des comptes inactifs : toutes ces mesures peuvent contribuer à réduire la surface d’attaque. Mais étant donné que la moitié des entreprises ont déjà été victimes d’une attaque visant Active Directory, se contenter de miser uniquement sur la prévention revient à se condamner à l’échec.
Une véritable résilience des identités nécessite la capacité de détecter les élévations de privilèges non autorisées en temps quasi réel, d’annuler les modifications malveillantes avant qu’elles ne se propagent et de rétablir rapidement l’environnement d’identités dans un état connu et fiable – non pas en quelques jours ou semaines, mais suffisamment vite pour limiter l’ampleur de l’incident. Cela implique de traiter Active Directory et la couche d’identités non humaines comme des actifs de niveau 0, en y consacrant les mêmes efforts de gouvernance et de reprise que ceux que vous consacreriez à tout autre système critique.
Que faire dès maintenant pour renforcer la résilience des identités ?
L’écart entre la situation actuelle de la plupart des organisations et ce qu’elles devraient être en matière de résilience des identités est bien réel. Mais il est possible de le combler. Les priorités immédiates sont peu glamour et de nature opérationnelle :
- Vérifiez le contenu de votre Active Directory.
- Identifiez les comptes qui ne devraient plus exister.
- Renouvelez les identifiants qui n’ont pas été utilisés depuis des années.
- Établissez une corrélation entre l’activité du service d’assistance et les événements liés à la création de jetons et de comptes.
Une interaction avec le service d’assistance suivie d’une réinitialisation de l’authentification à deux facteurs (MFA), puis de la création d’un nouveau compte de service, constitue un signal d’attaque très fiable – et celui-ci est détectable si l’on y prête attention.
Le travail à plus long terme est d’ordre architectural : intégrez des capacités de reprise à votre programme de gestion des identités afin que, lorsqu’une attaque aboutit – et il s’agit généralement d’une question de « quand », et non de « si » –, vous puissiez la contenir, en inverser les effets et tenter de rétablir la confiance plus rapidement que l’attaquant ne peut consolider sa position.
Les attaquants misent sur le fait que votre Active Directory n’est pas géré de manière rigoureuse, que vos identités de machines sont invisibles et que votre plan de Recovery est purement théorique. Comblez l’une de ces lacunes ce trimestre. Comblez-les toutes les trois et vous aurez fondamentalement changé la donne. Découvrez comment Commvault Cloud offre une protection complète d’Active Directory, de l’évaluation des vulnérabilités à la restauration en un clic, en passant par la récupération complète de la forêt.
J’ai récemment rejoint Vidya Shankaran dans le podcast STRIVE pour discuter du déficit de gouvernance concernant les identités non humaines. Écoutez notre épisode ici. Et n’oubliez pas de lire le blog de Vidya, intitulé « L’angle mort des identités de machines est désormais une surface d’attaque majeure ».
FAQ
Q : Pourquoi les services d’assistance constituent-ils désormais un risque majeur pour la sécurité ? R : Les services d’assistance sont souvent chargés de réinitialiser les mots de passe et de modifier les paramètres d’authentification multifactorielle (MFA), ce qui en fait des cibles de choix pour les attaques d’ingénierie sociale. Les pirates exploitent cette confiance pour obtenir un accès initial sans rencontrer de résistance notable. Q : Quel rôle les identités non humaines jouent-elles dans les attaques ?
R : L’étendue du réseau et la charge opérationnelle compliquent la rotation et l’audit des identités non humaines, telles que les comptes de service et les clés API. Les attaquants s’en servent pour maintenir leur présence et se déplacer à l’insu de tous d’un système à l’autre. Q : Pourquoi Active Directory (AD) est-il une cible si critique ? R : AD gère l’authentification et les accès sur l’ensemble du réseau. En prenant le contrôle de ce système, les attaquants peuvent gérer les utilisateurs, les politiques et les systèmes à grande échelle. Q : L’authentification multifactorielle (MFA) et la sécurité des terminaux ne suffisent-elles pas à mettre fin à ces attaques ? R : Ces outils se concentrent sur le comportement humain et peuvent ne pas détecter les tentatives d’escalade de privilèges progressives et d’apparence légitime. Les attaquants peuvent agir en respectant les schémas habituels et éviter ainsi de déclencher des alertes. Q : Que signifie une approche de sécurité axée sur la restauration ? R : Cela signifie se préparer à la réalité que des violations se produiront et donner la priorité à la capacité de les détecter, de les contenir et de les résoudre rapidement. Cette approche contribue à réduire les temps d’arrêt et peut aider à limiter l’impact global. Q : Quelles sont les mesures les plus importantes à prendre immédiatement ? R : Commencez par réaliser un audit de votre Active Directory, en supprimant les comptes inutiles, en renouvelant les identifiants obsolètes et en surveillant les séquences d’activités suspectes liées au service d’assistance et à l’identité. Dan Conrad est technologue senior et directeur technique sur le terrain chez Commvault.
