| Critère | L’information est… |
|---|---|
| Disponibilité | accessible quand il le faut atteinte : site saturé, fichiers chiffrés par rançongiciel |
| Intégrité | exacte, non altérée atteinte : RIB modifié dans une facture |
| Confidentialité | réservée aux ayants droit atteinte : fichier clients divulgué |
| Traçabilité | on sait qui a fait quoi, et quand moyen : journaux d’accès |
En anglais : triade CIA (confidentiality, integrity, availability). On y ajoute l’authenticité (l’origine est bien celle annoncée) et la non-répudiation (impossible de nier une action).
| Actif | ce qui a de la valeur : données, service, matériel, réputation |
| Menace | cause possible d’un incident (un acteur, un événement) |
| Vulnérabilité | faiblesse exploitable : défaut logiciel, mauvaise configuration, erreur humaine |
| Exploit | code ou technique qui tire parti d’une vulnérabilité |
| Impact | conséquence si la menace se réalise |
| Risque | ≈ vraisemblance × impact d’une menace exploitant une vulnérabilité |
| Mesure | ce qui réduit la vraisemblance ou l’impact |
| Risque résiduel | ce qui reste après les mesures, accepté en connaissance de cause |
Réduire (mesures) · transférer (assurance, prestataire) · éviter (renoncer à l’activité) · accepter (décision explicite et tracée).
| Cybercriminels | argent : rançon, fraude, revente de données et d’accès |
| États, groupes affiliés (APT) | espionnage, sabotage, déstabilisation |
| Hacktivistes | cause idéologique, visibilité (saturation, défiguration) |
| Initiés | vengeance, appât du gain — ou simple négligence |
| Opportunistes | défi, curiosité, outils prêts à l’emploi |
Contre les particuliers et les petites structures, les attaques sont surtout opportunistes et automatisées : personne n’est « trop petit pour être visé ».
| Moindre privilège | chaque compte n’a que les droits nécessaires, le temps nécessaire |
| Défense en profondeur | plusieurs couches indépendantes : la chute de l’une n’ouvre pas tout |
| Séparation des privilèges | compte d’administration distinct du compte quotidien ; double validation des opérations sensibles |
| Surface d’attaque minimale | désactiver ce qui ne sert pas : services, ports, comptes, extensions |
| Sécurité par défaut | le réglage le plus sûr d’emblée ; toute ouverture est une décision |
| Besoin d’en connaître | l’accès à une information se justifie par la mission |
| Zéro confiance (zero trust) | aucun réseau n’est « sûr » par nature : chaque accès est vérifié |
| Principe de Kerckhoffs | la sécurité repose sur le secret de la clé, pas sur celui du procédé : pas de « sécurité par l’obscurité » |
| Maillon faible | un système vaut ce que vaut son point le plus faible — souvent l’humain ou la récupération de compte |
| « Je n’ai rien d’intéressant. » | Vos comptes, votre identité, votre machine et vos contacts ont une valeur marchande. |
| « J’ai un antivirus, je suis protégé. » | Il n’empêche ni l’hameçonnage ni l’exploitation d’un mot de passe réutilisé. |
| « Le cadenas prouve que le site est sûr. » | Il prouve le chiffrement et le nom de domaine, pas l’honnêteté du site. |
| « Un mot de passe complexe suffit. » | Réutilisé, il tombe à la première fuite, où qu’elle ait lieu. |
| « Mon nuage synchronisé me sauvegarde. » | Il propage aussi les suppressions et le chiffrement. |
| « Payer la rançon rend les données. » | Aucune garantie, et l’on finance la prochaine attaque. |
| « Les pirates sont des génies. » | La plupart des attaques sont automatisées ou reposent sur la manipulation. |
Un doute suffit : ne pas agir, vérifier d’abord. Aucun organisme sérieux ne reproche à quelqu’un d’avoir pris le temps de rappeler.
Le domaine réel est la partie juste avant le premier « / », lue de droite à gauche :
→ le site visité est secure-login.net, pas banque.fr.
Smishing : par SMS · vishing : par téléphone (faux conseiller bancaire, faux policier) · quishing : par QR code · spear phishing : ciblé · fraude au président, au RIB : faux dirigeant ou faux fournisseur exigeant un virement urgent.
| Autorité | « Ici la direction, la police, le support informatique. » |
| Urgence | « Avant 17 h, sinon le compte est bloqué. » |
| Peur | menace de poursuites, de piratage, de publication |
| Appât, rareté | gain, cadeau, « photo de vous », offre limitée |
| Réciprocité | rendre service à qui vient de vous aider |
| Preuve sociale | « Vos collègues ont déjà fait la mise à jour. » |
| Sympathie | ton amical, connaissance commune, voix d’un proche imitée |
Parade : ralentir, vérifier, en parler. Une procédure écrite (double validation des virements, rappel systématique au numéro connu) protège mieux que la seule vigilance.
Dans le doute : les premiers gestes de la page 6.
| Virus | s’attache à un fichier ou programme ; se propage quand on l’exécute |
| Ver (worm) | se propage seul par le réseau en exploitant une faille |
| Cheval de Troie (trojan) | se fait passer pour un programme légitime |
| Rançongiciel (ransomware) | chiffre les données et exige une rançon ; souvent vol préalable et menace de publication (double extorsion) |
| Voleur d’informations (infostealer) | aspire mots de passe enregistrés, cookies de session, portefeuilles |
| Logiciel espion, enregistreur de frappe (spyware, keylogger) | observe et transmet |
| Accès à distance (RAT), porte dérobée | prise de contrôle durable |
| Rootkit | se dissimule au cœur du système |
| Réseau de zombies (botnet) | machines infectées pilotées ensemble : saturation, spam |
| Cryptomineur | détourne la puissance de calcul |
| Effaceur (wiper) | détruit les données : sabotage |
Chaque maillon rompu arrête l’attaque : c’est la logique de la défense en profondeur. Version détaillée : MITRE ATT&CK, catalogue des techniques observées.
| Attaque | Principe | Parade |
|---|---|---|
| Force brute | essayer toutes les combinaisons | longueur, limitation des essais, MFA |
| Bourrage d’identifiants (credential stuffing) | rejouer des couples identifiant / mot de passe issus de fuites | un mot de passe unique par service, MFA |
| Pulvérisation (password spraying) | quelques mots de passe courants essayés sur beaucoup de comptes | liste de mots de passe interdits, MFA |
| Homme du milieu (MitM) | s’interposer dans une communication | HTTPS / TLS, alerte de certificat prise au sérieux |
| Déni de service (DDoS) | saturer un service de requêtes | filtrage, surdimensionnement, prestataire anti-DDoS |
| Injection (SQL, commande) | des données sont interprétées comme du code | requêtes paramétrées, validation des entrées |
| Script intersite (XSS) | script injecté dans une page consultée par d’autres | échappement des sorties, politique CSP |
| Détournement de SIM (SIM swapping) | obtenir un duplicata de la carte SIM de la victime | pas de SMS comme seul second facteur des comptes vitaux |
| Fatigue MFA (MFA bombing) | inonder de demandes d’approbation jusqu’au « oui » | correspondance de nombre, clé FIDO2 ; ne jamais approuver sans action de sa part |
| Vol de session | réutiliser un cookie de connexion volé (contourne la MFA) | se déconnecter, sessions courtes, antivirus contre les voleurs d’informations |
| Chaîne d’approvisionnement | compromettre un fournisseur, une mise à jour, une dépendance | inventaire, signatures, provenance vérifiée |
| Hypertrucage (deepfake) | voix ou vidéo d’un proche, d’un dirigeant imitée | question de contrôle, mot convenu, rappel |
| Faux support technique | fenêtre bloquante et numéro à appeler | fermer le navigateur ; jamais d’accès à distance à un inconnu |
| Identification | dire qui l’on est — identifiant |
| Authentification | le prouver — mot de passe, clé, biométrie |
| Autorisation | ce que l’on a le droit de faire — rôles, droits |
| Traçabilité | garder trace de ce qui a été fait — journaux |
| Ce que je sais | mot de passe, phrase de passe, code PIN |
| Ce que je possède | téléphone, clé de sécurité, carte à puce |
| Ce que je suis | empreinte, visage — ne se change pas en cas de fuite ; sert surtout à déverrouiller un secret local |
Authentification multifacteur (MFA) : au moins deux facteurs de catégories différentes. Deux mots de passe ne font pas une MFA.
| Méthode | Force | Limite |
|---|---|---|
| Code par SMS ou appel | ●○○○ | interception, détournement de SIM ; recopiable sur un faux site |
| Code par courriel | ●○○○ | ne vaut que ce que vaut la messagerie |
| Application de codes (TOTP) | ●●○○ | code de 6 chiffres renouvelé toutes les 30 s ; recopiable sur un faux site |
| Notification à approuver | ●●○○ | fatigue MFA ; ●●●○ avec correspondance de nombre |
| Clé FIDO2, clé d’accès (passkey) | ●●●● | résiste à l’hameçonnage : liée au vrai nom de domaine |
Tout second facteur vaut mieux qu’aucun. Conserver les codes de secours imprimés, à l’abri.
| CNIL délib. 2022‑100 | Mot de passe seul : 80 bits d’entropie, soit par ex. 12 caractères (majuscules, minuscules, chiffres, spéciaux), 14 sans spécial obligatoire, ou une phrase de passe de 7 mots. Avec limitation des essais : 50 bits. Avec un matériel détenu et blocage après 3 essais (carte, téléphone) : 13 bits, soit un code PIN. |
| NIST SP 800-63B-4, 2025 | 15 caractères minimum si le mot de passe est seul, 8 s’il s’inscrit dans une MFA ; aucune règle de composition imposée ; pas de renouvellement périodique ; filtrage des mots de passe compromis ou courants ; au moins 64 caractères acceptés. |
Entropie en bits = log2 du nombre de possibilités ; chaque bit double le travail de l’attaquant. Le calcul ne vaut que pour un tirage au hasard : « Toulouse1990! » est bien plus faible que ses 13 caractères ne le laissent croire.
| Construction aléatoire | Bits |
|---|---|
| 8 caractères du clavier (95 signes) | ≈ 53 |
| 12 caractères du clavier | ≈ 79 |
| 16 caractères du clavier | ≈ 105 |
| 20 lettres minuscules (26 signes) | ≈ 94 |
| 5 mots tirés d’une liste de 7 776 (dés) | ≈ 65 |
| 7 mots tirés d’une liste de 7 776 | ≈ 90 |
Tirer 5 à 7 mots au hasard (dés, générateur), jamais une citation ni un vers connu : girafe-tonnerre-lentille-abricot-parvis-muscade-reflet (exemple publié : ne pas l’utiliser).
| Fuite puis réutilisation | la cause la plus simple : un site piraté livre le couple identifiant / mot de passe, rejoué partout |
| Hameçonnage | l’utilisateur le saisit lui-même sur un faux site |
| Logiciel espion | voleur d’informations, enregistreur de frappe |
| Attaque en ligne | essais sur la page de connexion : freinée par la limitation des essais |
| Attaque hors ligne | sur une base d’empreintes volée : des milliards d’essais par seconde sur carte graphique si le hachage est rapide, bien moins avec Argon2id ou bcrypt (ordre de grandeur) |
| Dictionnaire et règles | mots courants, prénoms, dates, substitutions (a → @, e → 3), chiffre ou « ! » final : testés en premier |
Un mot de passe aléatoire, long et unique déjoue la réutilisation et toutes les attaques par essais. Contre l’hameçonnage et l’espionnage, il faut en plus un gestionnaire qui ne remplit que sur le vrai domaine, une MFA résistante à l’hameçonnage et un poste sain.
Variante 3‑2‑1‑1‑0 : + 1 copie hors ligne ou non modifiable, + 0 erreur lors d’une restauration testée.
| RPO (recovery point objective) | quelle perte de données est tolérable ? → fréquence des sauvegardes |
| RTO (recovery time objective) | en combien de temps redémarrer ? → méthode de restauration |
| Personnes | sensibilisation, procédures, exercices |
| Identités | MFA, comptes à privilèges séparés et surveillés |
| Postes | durcissement, EDR (détection et réponse sur le poste) |
| Réseau | pare-feu, segmentation, zone tampon (DMZ), VPN, détection d’intrusion (IDS / IPS) |
| Applications | développement sûr, pare-feu applicatif (WAF) |
| Données | chiffrement, sauvegardes, droits d’accès |
| Supervision | journaux centralisés (SIEM), centre opérationnel (SOC) |
Changer le mot de passe par défaut · mettre à jour · les placer sur le réseau invité · couper micro et caméra inutilisés · se demander si la connexion est nécessaire.
| Outil | Protège | Ne protège pas |
|---|---|---|
| Cadenas HTTPS | le trajet jusqu’au site ; l’identité du nom de domaine | l’honnêteté du site : un faux site a aussi son cadenas |
| VPN | le trajet jusqu’au fournisseur ; masque l’adresse IP aux sites | ni anonymat, ni hameçonnage, ni logiciel malveillant ; la confiance est déplacée vers le fournisseur |
| Navigation privée | n’enregistre pas l’historique sur l’appareil | ne rend pas anonyme vis-à-vis des sites, du réseau, de l’employeur |
| Brique | Sert à | Principe | Exemples actuels | À proscrire |
|---|---|---|---|---|
| Chiffrement symétrique | confidentialité | une même clé chiffre et déchiffre ; rapide | AES‑128 / 256 (mode GCM), ChaCha20‑Poly1305 | DES, 3DES, RC4, mode ECB |
| Asymétrique, échange de clés | établir une clé commune ; chiffrer pour un destinataire | clé publique diffusée, clé privée gardée | RSA ≥ 3072 bits, ECDH (X25519, P‑256) | RSA de 1024 bits ou moins |
| Hachage | empreinte, intégrité | sens unique, taille fixe ; avec une clé secrète : code d’authentification (MAC) | SHA‑256, SHA‑384, SHA‑3 ; HMAC‑SHA‑256 | MD5, SHA‑1 |
| Hachage de mots de passe | stocker un mot de passe | volontairement lent, avec un sel aléatoire par compte | Argon2id, scrypt, bcrypt, PBKDF2 | stockage en clair, hachage rapide sans sel |
| Signature numérique | authenticité, intégrité, non-répudiation | signer avec la clé privée, vérifier avec la clé publique | Ed25519, ECDSA P‑256, RSA‑PSS | signatures MD5 ou SHA‑1 |
| Post-quantique | résister à un futur ordinateur quantique | nouveaux problèmes mathématiques (réseaux euclidiens, hachage) | ML‑KEM, ML‑DSA, SLH‑DSA (normes NIST FIPS 203‑205, 2024), en hybridation avec un algorithme classique | — |
Un grand ordinateur quantique casserait RSA et les courbes elliptiques : menace « collecter maintenant, déchiffrer plus tard ». L’ANSSI (guide des mécanismes cryptographiques v3.00, mars 2026) exige une sécurité post-quantique pour les mécanismes employés après le 1er janvier 2030. Tailles et algorithmes : état de l’art courant, à confronter au guide avant tout choix réel.
| Encoder | changer de format (Base64, URL) ; réversible par tous : aucune protection |
| Chiffrer | réversible seulement avec la clé |
| Hacher | irréversible ; on compare des empreintes |
| Signer | prouver l’origine et l’intégrité |
| De bout en bout | seuls les correspondants détiennent les clés ; le fournisseur ne peut pas lire |
| En transit | chiffré sur le trajet, mais lisible par le serveur |
Confidentialité persistante (forward secrecy) : voler plus tard la clé du serveur ne déchiffre pas les échanges passés. Versions : TLS 1.3 à privilégier, 1.2 acceptable bien configuré ; SSL, TLS 1.0 et 1.1 obsolètes.
| CVE | identifiant unique d’une vulnérabilité : CVE‑2021‑44228 (Log4Shell) |
| CWE | type de faiblesse : CWE‑79 = XSS, CWE‑89 = injection SQL |
| CVSS | gravité technique de 0 à 10 (version 4.0, FIRST, 2023) |
| EPSS | probabilité d’exploitation dans les 30 jours (FIRST) |
| KEV | catalogue des failles effectivement exploitées (CISA, États-Unis) |
| CERT-FR | avis et alertes de sécurité en français |
| Aucune | Faible | Moyenne | Élevée | Critique |
| 0,0 | 0,1 – 3,9 | 4,0 – 6,9 | 7,0 – 8,9 | 9,0 – 10 |
Prioriser en croisant : exploitation avérée (KEV), probabilité (EPSS), gravité (CVSS) et exposition de l’actif concerné.
| A01 | Contrôle d’accès défaillant (inclut la falsification de requêtes côté serveur, SSRF) |
| A02 | Mauvaise configuration de sécurité |
| A03 | Défaillances de la chaîne d’approvisionnement logicielle |
| A04 | Défaillances cryptographiques |
| A05 | Injection |
| A06 | Conception non sécurisée |
| A07 | Défaillances d’authentification |
| A08 | Défauts d’intégrité des logiciels ou des données |
| A09 | Défaillances de journalisation et d’alerte |
| A10 | Mauvaise gestion des conditions exceptionnelles |
Traduction libre ; liste consultée le 28/09/2026 sur owasp.org. Révisée environ tous les quatre ans (2017, 2021, 2025).
| NIST CSF 2.0 (2024) | six fonctions : gouverner, identifier, protéger, détecter, répondre, rétablir |
| ISO/IEC 27001 | système de management de la sécurité de l’information, certifiable ; 27002 : catalogue de mesures |
| EBIOS Risk Manager | méthode française d’analyse de risques (ANSSI) |
| Guide d’hygiène (ANSSI) | 42 mesures pour les organisations |
| MITRE ATT&CK | tactiques et techniques d’attaque observées |
| RGPD · NIS 2 | données personnelles · directive européenne sur les entités essentielles et importantes (transposition française : à vérifier) |
| Situation | Tout de suite | Ensuite |
|---|---|---|
| J’ai saisi un mot de passe sur un faux site | Le changer sur le vrai site, et partout où il était réutilisé ; activer la MFA | Vérifier sessions ouvertes, règles de transfert, adresse de récupération ; signaler le message |
| J’ai donné mes coordonnées bancaires ou validé une opération | Appeler la banque au numéro habituel ; faire opposition | Contester les opérations ; signalement Perceval ; plainte |
| Mon compte (messagerie, réseau social) est piraté | Procédure officielle de récupération du service ; fermer toutes les sessions | Mot de passe neuf, MFA, applications autorisées revues ; prévenir ses contacts (escroqueries en votre nom) |
| Rançongiciel | Débrancher du réseau (câble, Wi‑Fi) sans éteindre ; ne pas payer | Alerter le support ; plainte ; CNIL si données personnelles ; assureur ; nomoreransom.org ; réinstaller, restaurer des sauvegardes saines |
| Écran bloqué par un « support technique » | Ne pas appeler ; fermer le navigateur (gestionnaire des tâches : Ctrl+Maj+Échap) | Si un accès à distance a été accordé : déconnecter, désinstaller l’outil, analyser, changer les mots de passe, prévenir la banque |
| Téléphone perdu ou volé | Localiser, verrouiller, effacer à distance ; faire suspendre la ligne | Plainte ; blocage par l’IMEI ; mots de passe changés ; appareil retiré des comptes |
| Mon adresse figure dans une fuite | Changer le mot de passe concerné et ceux qui lui ressemblent | MFA ; vigilance accrue face à l’hameçonnage ciblé |
| Chantage : sextorsion, menace de publication | Ne pas payer, ne pas répondre ; conserver les preuves | Signaler (17Cyber, Pharos) ; plainte ; si le mot de passe cité est réel, le changer |
| Appel d’un « conseiller bancaire » | Raccrocher ; rappeler soi-même la banque au numéro habituel | Ne jamais communiquer de code ni « valider pour sécuriser » |
| 17cyber.gouv.fr — guichet unique d’assistance, 24 h / 24 : diagnostic, conseils, échange avec un policier ou un gendarme, mise en relation avec un prestataire |
| 17 ou 112 — urgence : danger immédiat |
| internet-signalement.gouv.fr — Pharos : contenus illicites en ligne |
| 33700 — SMS et appels frauduleux : transférer le SMS au 33700 |
| signal-spam.fr — courriels indésirables et d’hameçonnage |
| phishing-initiative.fr — faire bloquer l’adresse d’un site d’hameçonnage |
| Perceval — usage frauduleux de sa carte bancaire (via service-public.fr) |
| THESEE — plainte en ligne pour certaines escroqueries sur Internet (via service-public.fr) |
| 0 805 805 817 — Info Escroqueries : conseil et orientation, appel gratuit |
| cnil.fr — notification d’une violation de données (organismes) ; plaintes |
| nomoreransom.org — outils de déchiffrement de certains rançongiciels |
Coordonnées vérifiées le 28/09/2026 ; elles peuvent changer.
Phases classiques des guides NIST SP 800‑61 (rév. 2) et SANS ; la révision 3 (2025) les rattache aux six fonctions du CSF 2.0.
| Durcissement | réduire la configuration au strict nécessaire |
| Élévation de privilèges | passer de droits limités à des droits d’administration |
| Mouvement latéral | rebondir d’une machine compromise à d’autres |
| Exfiltration | sortie clandestine de données |
| Indicateur de compromission (IOC) | trace révélatrice : adresse, empreinte, domaine |
| Test d’intrusion (pentest) | attaque autorisée, bornée, suivie d’un rapport |
| Équipe rouge / bleue (red / blue team) | attaquants simulés / défenseurs |
| Bac à sable (sandbox) | environnement isolé pour ouvrir un fichier suspect |
| Pot de miel (honeypot) | leurre qui attire et observe les attaquants |
| Charge utile (payload) | partie du code malveillant qui produit l’effet recherché |
| Vecteur d’attaque | voie d’entrée : courriel, service exposé, clé USB, fournisseur |
| Jeton de session | preuve de connexion gardée par le navigateur (cookie) : le voler, c’est entrer sans mot de passe |