Comment travaille un pentesteur : tests d’intrusion, Corée du Nord et élections sur Facebook
·Le mot hacker évoque encore un adolescent encapuchonné cassant des mots de passe dans une cave. La réalité est plus intéressante, et surtout beaucoup plus professionnelle. Cet article, tiré d’un entretien en podcast avec un pentesteur, revient sur :
- en quoi consiste réellement le métier,
- ce qui sépare un test d’une infraction,
- comment se testent une banque, une entreprise et un environnement cloud,
- pourquoi la Corée du Nord vole des cryptomonnaies, et ce que Cambridge Analytica vient faire là-dedans,
- et surtout : comment on se fait piéger sans rien remarquer.
L’entretien est enregistré en slovaque. L’article ci-dessous en reprend le contenu en français.
Ce que fait réellement un pentesteur
Un pentesteur fait, pour l’essentiel, ce que ferait un attaquant : chercher à atteindre ce qu’un utilisateur normal ne devrait jamais atteindre. La différence tient à une chose, et elle est décisive : il le fait sur mandat écrit du client, dans des règles définies à l’avance.
Une semaine type peut mêler une nouvelle application web, un réseau bancaire interne et un environnement cloud. L’objectif est constant : trouver les faiblesses avant quelqu’un dont les intentions sont moins bonnes.
Pour voir à quoi ressemble une mission : nos tests d’intrusion.
La frontière entre un test et un délit
L’entretien y revient sans cesse : ce qui distingue le pentesteur de l’attaquant n’est pas la technique, c’est l’autorisation. Les outils sont les mêmes. Le mandat ne l’est pas.
Sans consentement, s’introduire dans un système, contourner un contrôle ou élever ses privilèges relève des articles 323-1 et suivants du code pénal. Avec l’accord écrit du client, le même geste devient une prestation. L’entreprise dit, en substance :
« Je préfère qu’un pentesteur me montre le trou aujourd’hui
plutôt qu’un inconnu me le fasse payer dans trois mois. »
Un test d’intrusion est donc un franchissement de limites sous contrôle, suivi d’un rapport et de recommandations concrètes.
Comment se testent une banque, une entreprise et un cloud
Un test d’intrusion est au système d’information ce que le crash-test est à l’automobile. En pratique, environ la moitié des missions portent sur des applications web : banque en ligne, portails clients, solutions SaaS, outils internes.
Les approches
Le test en boîte noire simule un attaquant externe :
- il ne sait presque rien du système,
- il n’a ni identifiants ni documentation interne,
- il ne voit que ce qui est exposé publiquement.
En mission réelle, la boîte grise est souvent plus rentable : le client fournit un environnement de test et des comptes aux rôles différents. On ne teste plus seulement l’authentification, mais l’autorisation :
- un utilisateur voit-il des données qu’il ne devrait jamais voir ?
- peut-il effectuer une action réservée à un administrateur ?
- peut-il contourner le contrôle d’accès via l’API ou une URL directe ?
Ce qui est examiné
Dans la banque, la fintech et les grands comptes, les axes habituels sont :
- Applications web et API — injection SQL, XSS, sessions faibles, contrôle d’accès défaillant, et failles de logique métier.
- Infrastructure interne — domaines Windows, VPN, serveurs, postes de travail : l’enjeu est de savoir si un attaquant peut passer d’une machine compromise aux systèmes critiques. Voir le pentest d’infrastructure.
- Environnements cloud (AWS, Azure, GCP) — rôles IAM, règles de filtrage, services exposés, stockage et cloisonnement réseau. Voir le pentest cloud.
- Wi-Fi et réseaux — mots de passe faibles, cloisonnement insuffisant, micrologiciels obsolètes, points d’accès pirates.
Quand les mêmes constats reviennent chaque année
Une vérité inconfortable évoquée dans l’entretien : certaines entreprises commandent un test tous les ans, et retrouvent tous les ans les mêmes constats.
Pourquoi ? Parce que pour une partie du marché, le test est d’abord une case à cocher dans un rapport d’audit. Sans intention réelle de corriger, l’exercice devient une formalité. C’est précisément la raison pour laquelle le contre-audit après correction est compris dans notre prix : il rend la correction vérifiable, et donc difficile à repousser.
Corée du Nord, groupes APT et cryptomonnaies
Le cyberespace n’est plus peuplé d’individus isolés. On y trouve des groupes APT (Advanced Persistent Threat), équipes financées ou pilotées par des États.
Ils sont le plus souvent associés à la Corée du Nord, à la Russie, à la Chine, parfois à l’Iran.
Comme le formule l’invité, la Corée du Nord est « un pays pauvre doté de hackers très riches ». Ces groupes se spécialisent dans le vol de cryptomonnaies : plateformes d’échange, projets DeFi, services mal protégés. La crypto leur convient — elle se déplace vite, reste relativement anonyme et permet de contourner des sanctions. Plusieurs des plus gros vols de ces dernières années leur sont attribués.
Pour voir à quoi ressemble une attaque complexe simulée dans un cadre maîtrisé : notre Red Team, qui tient de l’exercice grandeur nature.
Cambridge Analytica et les élections sur Facebook
L’attaque ne vise pas que des serveurs et des mots de passe. Plus efficace encore : exploiter la psychologie humaine.
L’affaire Cambridge Analytica a montré comment des données Facebook pouvaient servir à :
- profiler des électeurs selon leurs émotions, leurs craintes et leurs frustrations,
- diffuser des campagnes très ciblées, calibrées pour appuyer là où il faut,
- orienter l’opinion en faveur d’un candidat ou d’un parti.
Des modèles comparables auraient été employés dans des dizaines de pays. Techniquement, aucun serveur n’a été compromis : ce qui a été manipulé, ce sont des milliards de fils d’actualité.
Comment on se fait piéger sans rien remarquer
Vous pouvez être sous macOS, Windows ou Linux, disposer d’un antivirus, d’un pare-feu et d’un VPN, et vous faire avoir quand même. Il suffit d’un moment de stress, d’un appel au mauvais moment ou d’un SMS ouvert trop vite.
Le phishing en pratique
L’épisode contient une anecdote qui devrait alerter même les professionnels aguerris. Un pentesteur reçoit un SMS l’avertissant de l’expiration d’un nom de domaine :
- le nom de domaine est exact,
- la date d’expiration est exacte,
- le nom du bureau d’enregistrement est exact.
La raison ? Le prestataire avait subi une fuite de données. Les attaquants disposaient de données réelles ; ils les ont simplement enveloppées dans un SMS crédible. Pressé, il a failli cliquer. C’est au moment du paiement que quelque chose a cloché, et il s’est arrêté.
Voilà le phishing moderne : précis, personnalisé, bien synchronisé. Pour l’éprouver sans risque sur vos équipes : nos campagnes d’ingénierie sociale.
L’ingénierie sociale : attaquer les personnes, pas le pare-feu
Un attaquant n’a pas toujours besoin d’une faille dans le code. Une faille dans le comportement suffit souvent : la peur, la routine, la confiance, l’autorité ou l’urgence.
Les scénarios classiques :
- un faux appel du « service sécurité de la banque » avec une demande urgente,
- un SMS de transporteur réclamant le paiement de quelques euros de frais,
- un courriel se présentant comme émanant de l’administration fiscale ou de la police,
- l’arnaque au président, où l’ordre de virement vient d’un dirigeant imité.
Quelques réflexes utiles
- Ne décidez pas sous pression. Si l’on vous demande d’agir « dans les dix minutes », c’est en soi un signal.
- Ne cliquez pas les liens des SMS et courriels de « banques » ou d’« administrations ». Saisissez l’adresse vous-même ou passez par l’application officielle.
- Vérifiez par un second canal. Si « la banque » appelle, raccrochez et rappelez le numéro figurant sur le site officiel.
- Activez l’authentification multifacteur. C’est l’une des protections les plus simples et les plus efficaces.
- Maintenez vos systèmes à jour. Les mises à jour comblent des failles connues, activement recherchées.
- Sensibilisez vos équipes. Voir la sensibilisation à la cybersécurité.
À retenir
- Le pentesteur est un partenaire, pas un adversaire. Il fait ce que ferait un attaquant, mais tôt, dans un cadre maîtrisé, et avec un rapport à la clé.
- Un test n’a de sens que si l’on agit ensuite. Sinon, c’est un PDF dans un dossier.
- La principale faiblesse n’est pas technique, elle est humaine. Les processus, la culture et la sensibilisation comptent autant que le pare-feu.
- Les États et les entreprises ont compris depuis longtemps que la donnée est un pouvoir. Des vols de crypto nord-coréens à Cambridge Analytica, le cyberespace est devenu un terrain d’affrontement.
- Même les spécialistes se font avoir. La différence tient à ce qu’ils en tirent, et aux processus qu’ils corrigent ensuite.
Une phrase mériterait d’être affichée dans chaque salle serveur :
La sécurité n’est pas un état, c’est un processus.
Il n’existe pas de « c’est bon, nous sommes sécurisés ». Il existe seulement « aujourd’hui, nous sommes un peu moins exposés qu’hier ».
