Intrusions et données
Entreprises et organisationsAction malveillante d’un membre de l’organisation
Malicious insider
Une personne abuse des accès qui lui ont été confiés.
Je pense être concerné : que faire ?
Comprendre et agir
Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.
Une situation concrète
Une personne disposant d’un accès professionnel exporte volontairement des documents qui ne doivent pas quitter l’organisation. Les connexions utilisent son compte habituel : l’abus ne se distingue donc pas forcément par un mot de passe volé.
Comment cela fonctionne
Une personne commet une attaque interne lorsqu’elle abuse volontairement d’un accès que son rôle lui donne dans une organisation. Il peut s’agir d’un salarié, d’un prestataire ou d’un ancien intervenant dont les droits sont encore actifs. Une erreur peut également provoquer un incident, sans intention malveillante. Avant de parler d’attaque, il faut examiner les faits, les autorisations et le contexte ; un comportement isolé ne suffit pas.
- Un accès est légitime
Il correspond à un rôle dans l’organisation.
- Son usage dépasse la mission
Copie, modification ou suppression abusive.
- La confiance est rompue
Données ou activité sont affectées.
Les signes qui doivent attirer l’attention
- Des exports sont incompatibles avec une mission connue.
- Un compte conserve des droits après un changement de fonction ou un départ.
- Des opérations sensibles contournent la validation prévue.
Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Salarié ou bénévole : utilisez les accès correspondant à votre mission. Signalez une exposition ou un export anormal par le canal interne prévu, sans accuser publiquement une personne.
Si vous êtes responsable du service ou de l’organisation
Revoyez les droits lors des changements de fonction et départs. Pour une opération sensible, séparez les validations et examinez les faits avec les personnes habilitées.
Un accès inhabituel peut s’expliquer par une urgence ou un changement de mission. Il faut vérifier ce contexte avant de conclure à une intention malveillante.
À vous de décider
Un collègue télécharge beaucoup de documents avant son départ. Est-ce une preuve de malveillance ?
Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.
Voir la réponse expliquée
Non. La personne peut préparer une transmission de dossier autorisée. Vérifiez sa mission, ses permissions et les destinataires avant de conclure.
Analyser un cas technique
Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».
Étude de cas fictive
Un utilisateur autorisé exporte des données en dehors du cadre prévu
Le compte U8 garde un ancien droit de lecture étendu. Il consulte 420 fichiers, puis les exporte vers une destination personnelle non approuvée. Ses droits expliquent la possibilité technique de l’opération. Il reste à vérifier la tâche autorisée et le contexte avant de conclure sur l’intention de la personne.
Vérifier le rôle actuel, les changements d’affectation, les demandes métier et le contenu exporté. Un volume inhabituel peut venir d’une migration ou d’un remplacement de poste. À l’inverse, un faible volume peut concerner des données très sensibles. Une alerte doit conduire à un examen contextualisé, pas à une accusation automatique.
La réponse doit associer les responsables habilités à traiter la sécurité, les aspects humains et les obligations applicables. Limiter l’accès aux pièces et conserver une traçabilité de leur consultation. Le confinement peut porter sur un droit devenu inutile ou une destination interdite sans préjuger de l’intention. La correction durable consiste notamment à revoir les habilitations lors des changements de rôle et à rendre les exports sensibles contrôlables.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Consultations nombreuses
Compte U8 vers Application
Trace 420 documents
- Réponse
Données accessibles
Application vers Compte U8
Trace rôle legacy
- Action
Export E17
Compte U8 vers Canal d’export
Trace stockage personnel
- Action
Anomalie de politique
Canal d’export vers Revue habilitée
Trace pas de demande approuvée
- Action
Vérification des droits historiques
Revue habilitée vers Application
Trace mission et exceptions
- Action
Qualification du compte
Revue habilitée vers Compte U8
Trace compromission ou usage réel
Comment repérer cette attaque
Indices à rechercher
Repérer les accès et exports sans rapport avec le rôle actuel ou les travaux autorisés, les droits conservés après changement d’affectation et les destinations inhabituelles.
Quelles informations comparer
Comparer le périmètre consulté aux tâches et habilitations applicables à cette date, puis vérifier les preuves de partage ou de transfert. Restreindre l’enquête aux personnes habilitées et aux données nécessaires.
Ce que ces indices ne permettent pas de conclure
Un volume inhabituel ou des droits anciens ne prouve pas une intention malveillante. Un compte peut aussi être compromis ; les constatations techniques doivent être distinguées de l’attribution humaine.
Comment réagir
Protéger les données et restreindre les chemins concernés selon le cadre de l’enquête. Préserver les audits, vérifier le compte et les droits, puis revoir les habilitations et destinations autorisées. Conserver une séparation entre faits techniques et décision disciplinaire ou juridique.
Vérifier la correction
L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.
- Tester une exportation métier approuvée et une destination interdite.
- Vérifier les droits historiques et l’absence de comptes partagés dans l’attribution.
- Contrôler que le dossier présente les hypothèses alternatives et limite les données personnelles collectées.
À vous de raisonner
Un compte autorisé exporte beaucoup de fichiers vers une destination personnelle. Quelles vérifications manquent avant de conclure à un acte volontairement malveillant ?
Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Vérifiez la mission, les demandes métier, les droits historiques et la nature des données avec les responsables habilités. L’export vers une destination non approuvée appelle une réponse, mais son volume et les droits du compte ne prouvent pas l’intention. Conservez les hypothèses alternatives et limitez l’accès aux pièces.
Consulter les détails techniques
Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.
Lire les extraits commentés (reconstitution fictive)
Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.
approved_export=none- Absence d’export approuvé dans les pièces du scénario, pas preuve automatique d’intention.
legacy- Droit hérité dont la justification est à vérifier, sans en déduire qui a décidé de l’utiliser.
Droits, activité et justification
JournalJeu synthétique ; aucune donnée RH sensible n’est utilisée comme indicateur automatique.
user=U8 role=analyst entitlement=read_all legacy=true
window=18:00-19:00 documents_read=420 categories=client_records,contracts
export=E17 destination=personal_storage policy=not_allowed
business_request approved_export=none
identity unusual_login=false device=managed
intent=not_establishedPréparer une collecte dans votre environnement
Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.
Microsoft 365 — audit dans Microsoft Purview
- Où les trouver
- Portail Microsoft Purview → Audit : rechercher par utilisateur, période et activité, puis exporter les résultats détaillés du service concerné, par exemple Exchange ou SharePoint.
- Quoi relever
- Sur Microsoft 365, chercher les activités de fichiers et de partage couvertes par l’audit : utilisateur, ressource, opération, heure et destination de partage lorsqu’elle est disponible.
- Accès et prérequis
- Rôle d’audit requis. Les activités disponibles et la durée conservée varient selon la licence et la configuration ; vérifier la couverture avant d’interpréter une absence.
Windows — audit d’accès aux fichiers, événement 4663
- Où les trouver
- Dans le journal Sécurité du serveur qui héberge les fichiers. ObjectName désigne le chemin, AccessMask le droit utilisé, ProcessName le processus lorsqu’il est renseigné.
- Quoi relever
- Pour un partage Windows, examiner les accès aux objets surveillés et la session. Une lecture n’est pas nécessairement une copie vers l’extérieur ; confronter les droits utilisés aux missions du compte.
- Accès et prérequis
- Audit File System et règles SACL adaptés sur les objets surveillés sont nécessaires avant les faits. L’événement ne fournit pas le contenu du fichier ni la preuve de son arrivée chez un tiers.
Service concerné — audit et historique à vérifier
- Où les trouver
- Dans l’outil d’administration ou les journaux du service concerné. Demander à son mainteneur où sont enregistrées les décisions d’autorisation et les opérations métier.
- Quoi relever
- Dans le service métier et la gestion des habilitations, retrouver export, destinataire, justification attendue et historique des droits. Ces pièces donnent le contexte que les seuls accès techniques n’expliquent pas.
- Accès et prérequis
- Il n’existe ni fichier ni vocabulaire universels. Les champs proposés ici doivent être instrumentés s’ils manquent ; ne pas enregistrer mots de passe, jetons ou contenu privé intégral.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Ces cas réels montrent où ce mécanisme a été observé. Les années indiquent quand les faits ont eu lieu. Chaque notice précise la source qui les relie à un groupe ou à une campagne.
- GroupeLAPSUS$
Noms et appellations : DEV-0537 ; Strawberry Tempest depuis 2023 chez Microsoft
Acheter des accès et détourner l’assistance
Microsoft décrit des appels à l’assistance, des demandes répétées de validation MFA et le recrutement rémunéré de salariés ou de prestataires. Les attaquants utilisent ensuite des accès légitimes pour voler des données et pratiquer l’extorsion.
Ce qu’établit la source. Attribution de Microsoft fondée sur ses investigations. Le modèle décrit est l’extorsion et la destruction, sans déploiement de rançongiciel observé dans ce rapport.
Consulter le rapport DEV-0537 criminal actor targeting organizations for data exfiltration and destructionMicrosoft · Publié le
Cette sélection ne couvre pas tous les incidents. Plusieurs acteurs peuvent utiliser une même technique. Les exemples fictifs de la fiche ne décrivent les actions d’aucun de ces groupes.
Si vous pensez être concerné
- Préservez les éléments objectifs et limitez les accès selon une procédure validée.
- Associez sécurité, responsables habilités et ressources humaines au traitement.
- Évitez toute accusation fondée seulement sur une alerte automatique.
Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- CISA — Insider Threat Mitigation Guide (novembre 2020) · PDF sur ECRAN — CISA133 pages · anglais · édition : novembre 2020 · Provenance et copie
- MITRE ATT&CK — Valid Accounts — attack.mitre.org
- OWASP — Authorization Cheat Sheet — cheatsheetseries.owasp.org
