Principaux enseignements
- Les organisations gérant des infrastructures critiques ne constituent pas des cibles choisies au hasard. Elles sont sélectionnées délibérément, car la messagerie électronique est pratiquement indissociable de la continuité d'activité. Les campagnes menées à leur encontre sont des opérations à long terme impliquant plusieurs acteurs, qui débutent souvent par un e-mail.
- Les pirates testent leurs charges utiles face aux systèmes de sécurité des entreprises avant de les diffuser. Le fait qu’un fichier malveillant passe inaperçu lors de l’analyse ne signifie pas pour autant qu’il soit inoffensif ; il est possible qu’il ait été conçu spécialement pour échapper à votre scanner.
- La sécurité axée sur la détection présente une vulnérabilité structurelle face à un adversaire bien préparé : elle ne peut pas réagir à ce qu’elle n’a jamais rencontré auparavant.
- Une défense par couches des e-mails constitue la réponse structurelle. Chaque couche intercepte ce que les autres ne sont pas conçues pour détecter. L'effet combiné est simple : cela augmente le coût de l'optimisation préalable au déploiement pour le pirate.
Il ne s'agit pas d'une attaque par e-mail, mais d'une campagne
Aucun professionnel de la sécurité ne décide de considérer les menaces comme des événements isolés. Ce processus s'opère progressivement. Les taux de détection restent stables, les incidents sont résolus dans les délais prévus et les audits sont validés sans constatations significatives. Chaque élément d'information est en soi raisonnable, mais, pris dans leur ensemble, ils dressent un tableau tout à fait exact, mais dangereusement incomplet.
Cette confiance grandissante constitue en soi une vulnérabilité. Et pour les organisations gérant des infrastructures critiques, il s'agit d'une vulnérabilité que les pirates exploitent délibérément, en commençant par la boîte de réception, qui reste à ce jour l'un des principaux vecteurs de risques liés à la sécurité des e-mails.
Lorsqu’un groupe soutenu par un État cible un réseau énergétique, un hôpital ou un sous-traitant du secteur de la défense, il peut s’agir d’une campagne s’étalant sur plusieurs années. Ces opérations impliquent souvent des centaines d’itérations, de tentatives de sondage et d’attaques leurres destinées à cartographier les défenses avant l’arrivée de la véritable charge utile. Leur objectif est de provoquer une perturbation durable, une exposition répétée et un préjudice maximal à la réputation au fil du temps. Le calcul de la rançon a été effectué avant même l’envoi du premier e-mail, et le pire, c’est que les attaquants savent déjà que leur cible ne peut se permettre aucune interruption de service.
Les acteurs malveillants ont des motivations et des profils d'attaque variés, mais ils ont un point commun : le ciblage. Les organisations gérant des infrastructures critiques ne sont pas choisies au hasard ; elles sont sélectionnées, et les campagnes menées à leur encontre constituent des processus à long terme qui débutent presque toujours par un e-mail.
La première étape consiste en l'envoi d'une pièce jointe malveillante, d'un lien malveillant ou d'une tentative de hameçonnage d'identifiants soigneusement préparée et personnalisée, à l'attention d'un ingénieur, d'un opérateur ou d'un cadre dirigeant. Et si l'e-mail reste le point d'entrée privilégié, ce n'est pas en raison de sa sophistication technique, mais de sa simplicité mathématique. Les entreprises ne peuvent pas le bloquer ou le restreindre sans perturber leurs activités.
Un employé, une mauvaise journée, un fichier ouvert. Voilà tout ce qu’il faut pour remporter la victoire. Une campagne qui atteint simultanément des milliers de boîtes de réception n’a besoin que d’un seul moment de faiblesse pour réussir, et le défenseur doit les empêcher tous.
Ce modèle d'opération est déjà observable au sein des infrastructures critiques américaines. Un avis conjoint émis par la CISA, la NSA et le FBI a confirmé que les acteurs de l'opération « Volt Typhoon » s'étaient infiltrés dans certains réseaux informatiques pendant au moins cinq ans afin de se positionner en vue d'éventuelles attaques perturbatrices ou destructrices contre les technologies opérationnelles.
Aucun de ces acteurs ne va revoir sa stratégie simplement parce qu'une cible a corrigé ses failles plus rapidement ou embauché davantage d'analystes. Ces attaques constituent une manœuvre tactique, qui s'inscrit le plus souvent dans le cadre d'une stratégie plus large.
L'attitude qui en découle n'est pas facultative. Les organismes gérant des infrastructures critiques doivent fonctionner en partant du principe qu'une intrusion se produira et s'organiser en conséquence : mettre en place des défenses à plusieurs niveaux à chaque point d'entrée, et disposer d'une capacité de réaction suffisamment rapide pour que le confinement puisse commencer avant que les dégâts ne s'aggravent.
Les pirates testent leurs charges utiles avant de les déployer
Cette pratique est très répandue et bien documentée. Qu'il s'agisse de groupes soutenus par des États, d'opérateurs de ransomware ou d'organisations criminelles sophistiquées, les charges utiles sont soumises à un processus de préparation avant même d'être envoyées. Les attaquants recréent des répliques des infrastructures de sécurité des entreprises, effectuent des itérations jusqu'à ce que le fichier obtienne un score de détection « propre », puis ne le transmettent qu'à ce moment-là.
En 2025, une opération internationale coordonnée a permis de démanteler AVCheck, l'un des plus grands services de contournement d'antivirus au monde, qui permettait aux développeurs de logiciels malveillants de vérifier si leurs fichiers seraient détectés avant leur déploiement. Ce service existait car la demande en tests de contournement avant diffusion était suffisamment importante pour permettre le fonctionnement d'une entreprise commerciale dédiée à cette activité.
La sécurité axée sur la détection présente une vulnérabilité structurelle face à un adversaire bien préparé. Elle est conçue pour reconnaître les menaces qu’elle a déjà rencontrées ou qui ressemblent fortement à des menaces figurant dans son historique. Une charge utile spécialement conçue pour ne correspondre à aucune de ces deux catégories passe inaperçue, car elle ne fournit à la couche de détection aucun élément sur lequel agir.
Cette optimisation ne se fait pas en une seule fois. Au fil des années d’itérations et de centaines de tentatives d’exploration, chaque mise en quarantaine et chaque blocage constituent des informations que l’attaquant utilise pour affiner sa prochaine tentative. La campagne tire des enseignements de vos défenses d’une manière à laquelle celles-ci ne peuvent pas automatiquement répondre. Il s’agit là d’une conséquence logique d’une approche axée en priorité sur la détection face à un attaquant qui s’est spécifiquement préparé à votre système de détection.
Ce que cela implique pour la mise en place de vos mesures de sécurité des e-mails
L'attaquant qui tente de reproduire votre infrastructure de sécurité afin de tester au préalable sa charge utile ne peut pas facilement reproduire la combinaison et l'enchaînement exacts de plusieurs couches indépendantes. C'est là la logique stratégique qui sous-tend la défense par couches contre les e-mails : il ne s'agit pas simplement d'une couverture supplémentaire, mais d'une réponse structurelle qui augmente le coût du processus d'optimisation préalable au déploiement dont dépend l'attaquant.
Ce raisonnement tient la route, car chaque couche fonctionne selon un principe différent et détecte ce que les autres ne sont pas conçues pour percevoir.
- La sécurité Multiscanning étend la couverture en analysant simultanément les pièces jointes à l'aide de plusieurs moteurs indépendants, ce qui rend inefficace toute optimisation de la charge utile visant à contourner un seul moteur.
- La technique de neutralisation et de reconstruction du contenu (CDR) supprime le contenu actif de chaque fichier, qu’il ait déjà été analysé ou non. Ainsi, même une charge utile conçue pour échapper à la détection par signature se voit tout de même dépouillée de ses composants actifs.
- Le « sandboxing » met en évidence les comportements lors de l'exécution, permettant ainsi de détecter les charges utiles spécialement conçues pour différer les actions malveillantes jusqu'après leur livraison.
- L'analyse de l'URL au moment du clic comble le fossé entre la diffusion et l'exploitation malveillante.
- La prévention des pertes de données (DLP) appliquée aux e-mails sortants et internes comble le manque de visibilité que les contrôles limités aux e-mails entrants laissent entièrement ouvert.
Aucun composant pris isolément ne couvre tout. À mesure que l'on ajoute des couches, la combinaison de ces éléments rend les tests préliminaires sur votre pile de plus en plus difficiles d'un point de vue structurel.
Une menace détectée peut simplement indiquer que l'attaquant est encore en phase de préparation. Considérez-la comme un signal plutôt que comme un signe que vos défenses tiennent bon. Agir en partant de cette hypothèse constitue tout simplement une réaction rationnelle face au fait d'être pris pour cible par plusieurs types d'acteurs menant des campagnes à long terme.
Une protection multicouche au niveau de la messagerie électronique, des mesures réactives permettant de limiter les dégâts avant qu’ils ne s’aggravent, et une démarche d’amélioration continue qui considère chaque incident comme une source d’informations sur la campagne plutôt que comme un ticket clôturé : voilà à quoi ressemble une protection efficace pour les organisations gérant des infrastructures critiques.
Imaginez maintenant ce type d’attaque à l’échelle industrielle. Imaginez qu’un pirate, qui passait auparavant des semaines à optimiser une charge utile pour une cible spécifique, puisse désormais le faire pour des milliers de cibles simultanément, en quelques heures seulement. Le rapport Microsoft Digital Defense Report 2025 cite une étude indépendante qui a révélé que le phishing basé sur l’IA atteignait un taux de clics de 54 %, contre 12 % pour les campagnes traditionnelles, ce qui le rend 4,5 fois plus efficace. C’est ce que l’IA a déjà rendu possible, et ce sera le sujet du prochain article de cette série.
Cet article constitue la première partie de la série « Made to Evade ».
Les parties 2 et 3 seront bientôt disponibles.
