MENACES NUMÉRIQUES
Les principales techniques d’attaque
De l’hameçonnage aux vulnérabilités applicatives, explorez les mécanismes, les signes d’alerte et les actions adaptées à chaque menace. Chaque fiche peut être exportée en PDF pour vos actions de sensibilisation.
Manipulation humaine
9 fichesReconnaître les messages trompeurs, les demandes urgentes et les tentatives d’usurpation avant de communiquer un code, un identifiant ou des informations bancaires.
Un faux courrier papier usurpe l’identité des Finances publiques et impose une prétendue déclaration urgente de cryptomonnaies via un QR code menant à un site frauduleux.
L’ingénierie sociale manipule la confiance, l’autorité ou l’urgence afin de provoquer une action que la victime n’aurait pas effectuée après vérification.
Hameçonnage par message ou faux site qui usurpe une identité de confiance pour obtenir des secrets, déclencher un paiement ou faire ouvrir un contenu dangereux.
Un message ciblé exploite un vrai projet, fournisseur ou rôle pour paraître légitime.
Le smishing emploie SMS ou messagerie mobile pour orienter vers un faux paiement ou portail.
Le vishing met en scène un interlocuteur usurpant l’identité d’une banque ou d’un support.
Le quishing masque un domaine frauduleux derrière un QR code sur papier ou écran.
La fraude au président usurpe un dirigeant pour obtenir un virement urgent hors procédure.
Un faux support incite à installer un outil distant ou à divulguer des codes via une alerte trompeuse.
Logiciels malveillants
26 fichesComprendre comment des programmes hostiles pénètrent les équipements, affectent les données et se propagent ; privilégier la prévention et des sauvegardes réellement restaurables.
Rançongiciel qui chiffre ou rend des données indisponibles, souvent après une exfiltration destinée à exercer une double extorsion.
Un virus se réplique en infectant un fichier hôte lors de son exécution.
Un cheval de Troie est un programme qui paraît légitime mais exécute des fonctions malveillantes après son installation; il ne se réplique pas nécessairement.
Malware autonome capable de se répliquer et de se propager d’un système à l’autre, parfois sans intervention supplémentaire de l’utilisateur.
Un spyware surveille discrètement la navigation, les saisies ou les données d’un appareil.
Un keylogger enregistre les frappes clavier pour collecter des identifiants ou des données saisies; certains utilisent des hooks logiciels, d’autres un dispositif physique.
Un rootkit dissimule des composants malveillants et peut altérer la visibilité du système.
Un botnet regroupe des appareils compromis commandés à distance pour envoyer du spam, mener des DDoS ou exécuter d’autres opérations coordonnées.
Un adware injecte des publicités et modifie parfois les résultats du navigateur ; certains suivent les recherches ou redirigent les clics.
Une porte dérobée offre un accès clandestin qui subsiste après l’intrusion initiale, souvent par service, tâche ou compte caché.
Un cryptojacker détourne CPU, GPU ou ressources cloud pour calculer des preuves de travail au bénéfice d’un tiers.
Un infostealer extrait mots de passe, cookies et secrets des applications d’un poste.
Un downloader est une première charge qui contacte une infrastructure externe pour récupérer d’autres programmes malveillants.
Un dropper contient ou décompresse une charge malveillante et l’installe localement, parfois depuis une archive chiffrée.
Un RAT permet un accès distant clandestin avec collecte de fichiers, commande shell ou parfois capture d’écran et périphériques.
Un wiper détruit des données ou rend un système inutilisable, généralement sans mécanisme fiable de récupération par paiement.
Le scareware affiche de fausses alertes de sécurité pour obtenir un paiement, un appel au faux support ou l’installation d’un logiciel.
Un cheval de Troie bancaire intercepte ou manipule les opérations de banque en ligne, parfois en affichant un formulaire superposé.
Un malware mobile abuse des permissions Android ou iOS, d’applications non fiables ou des services d’accessibilité pour surveiller ou détourner des actions.
Un malware sans fichier détourne des outils système, la mémoire et des scripts pour agir sans exécutable malveillant persistant classique.
Un exploit kit cible automatiquement des logiciels non corrigés depuis une page compromise ou une chaîne de redirections.
Un web shell est un script clandestin placé sur un serveur web pour exécuter des commandes avec les droits du service.
Un skimmer web collecte les données saisies dans un formulaire de paiement compromis et les transmet à une destination externe.
Le malvertising exploite des annonces ou réseaux publicitaires pour présenter des liens trompeurs ou rediriger vers des téléchargements dangereux.
Un détourneur de navigateur modifie sans consentement le moteur de recherche, la page d’accueil ou les redirections et peut suivre la navigation.
Une bombe logique est un code malveillant dormant qui exécute une action lors d’une date, d’un événement ou d’une condition programmée.
Comptes et identités
24 fichesIdentifier les détournements de comptes, les fausses identités et les connexions suspectes en reliant les indices techniques au contexte réel.
Le phishing d’identifiants imite une page de connexion pour récupérer un mot de passe, et parfois le second facteur, puis accéder au compte ciblé.
Le password spraying teste quelques mots de passe courants sur de nombreux comptes pour éviter les verrouillages liés aux essais répétés sur une seule identité.
Le vol de session permet de réutiliser un contexte authentifié, parfois via un jeton ou un cookie subtilisé, sans reprendre la procédure de connexion initiale.
Un voleur de cookies copie des valeurs stockées dans un navigateur; un cookie de session valide peut permettre une usurpation si le service ne protège pas suffisamment la session.
Une prise de contrôle de compte survient lorsqu’un tiers obtient l’accès effectif à une identité et peut agir sous son nom, par mot de passe, session ou récupération détournée.
Le contournement MFA exploite une faiblesse de mise en œuvre, un flux de récupération ou le vol d’une session pour accéder sans satisfaire la protection attendue.
L’attaque Adversary-in-the-Middle (AiTM) utilise un site intermédiaire frauduleux qui relaie une authentification réelle et cherche à récupérer une session après la validation des facteurs de connexion.
Le phishing au consentement OAuth pousse un utilisateur à autoriser une application malveillante qui accède ensuite à des données sans récupérer nécessairement son mot de passe.
Le vol de jeton OAuth permet d'utiliser une autorisation déjà accordée à une application, parfois sans connaître le mot de passe.
L'abus de récupération de compte détourne les options de secours pour reprendre une identité numérique.
Les questions secrètes deviennent vulnérables lorsque leurs réponses sont publiques, devinables ou réutilisées.
Le pass-the-cookie consiste à réutiliser un cookie de session capturé pour se présenter comme un navigateur déjà authentifié.
Le pass-the-token est la réutilisation non autorisée d’un jeton d’accès valide pour appeler un service ou une API avec les droits d’un utilisateur ou d’une application.
L'inscription frauduleuse crée des comptes fictifs pour contourner les limites, propager du spam ou détourner des avantages.
La compromission de messagerie permet de lire les échanges, d'usurper le titulaire et de lancer des fraudes aux paiements.
Le password-reset bombing submerge une personne de demandes de réinitialisation pour masquer une tentative réelle ou provoquer une erreur.
La fatigue MFA ciblée multiplie les notifications d'approbation pour pousser une victime à accepter une connexion non sollicitée.
Des connexions depuis des régions éloignées dans un délai impossible peuvent indiquer une session compromise, mais VPN et proxies génèrent aussi des faux positifs.
L'abus de compte dormant exploite un ancien identifiant toujours actif, souvent avec des droits oubliés.
Une élévation de privilèges donne à un compte ou processus davantage de droits que prévu, par faille ou configuration excessive.
La force brute teste de nombreuses combinaisons de mots de passe contre une authentification, parfois en ciblant un compte précis.
Le credential stuffing teste sur plusieurs services des identifiants provenant de fuites, lorsque les utilisateurs réutilisent leurs mots de passe.
La fatigue MFA multiplie les notifications d’approbation pour pousser la victime à autoriser une connexion non sollicitée.
Le SIM swapping transfère frauduleusement un numéro vers une SIM ou eSIM contrôlée par un escroc afin de recevoir appels et SMS.
Web et réseau
26 fichesDécrypter les vulnérabilités des applications et des échanges réseau, leurs conséquences possibles et les mesures concrètes de réduction du risque.
Falsification des associations IP/MAC sur un réseau local pour intercepter ou détourner le trafic.
Réseau Wi-Fi frauduleux imitant un réseau légitime pour intercepter les connexions.
Capture du trafic afin d’observer données, identifiants ou communications non chiffrées.
Dégradation d’une connexion HTTPS vers HTTP pour permettre l’interception.
Injection de fausses réponses DNS dans un cache pour rediriger les utilisateurs.
Prise de contrôle frauduleuse d’un nom de domaine ou de sa configuration DNS.
Utilisation détournée du DNS pour faire transiter des données ou contourner des contrôles.
Redirection invisible ou trompeuse vers un site frauduleux ou compromis.
Injection de JavaScript malveillant dans une page consultée par d’autres utilisateurs.
Injection de commandes dans une requête SQL pour lire, modifier ou supprimer des données.
Action effectuée à l’insu d’un utilisateur déjà authentifié.
Exploitation d’un chemin pour accéder à des fichiers hors du répertoire autorisé.
Chargement abusif d’un fichier local ou distant par une application vulnérable.
Manipulation d’un serveur afin qu’il interroge des ressources normalement inaccessibles.
Différence d’interprétation entre serveurs HTTP permettant d’injecter des requêtes.
Manipulation d’un cache afin de servir du contenu malveillant à d’autres visiteurs.
Interface trompeuse poussant à cliquer sur un élément différent de celui affiché.
Exploration des ports ouverts afin d’identifier services accessibles et faiblesses.
Annonce frauduleuse de routes Internet détournant le trafic destiné à d’autres réseaux.
Technique permettant à un site malveillant d’accéder à des services internes via le navigateur.
Exploitation d’un sous-domaine pointant vers un service externe abandonné.
Exploitation d’une connexion WebSocket mal sécurisée pour détourner une session ou manipuler des échanges.
Variante de DDoS surchargeant une application avec des requêtes HTTP apparemment légitimes.
Une attaque homme-du-milieu intercepte ou altère un échange entre deux parties, notamment via un réseau compromis ou un proxy non fiable.
Le téléchargement furtif exploite une page ou un composant vulnérable pour provoquer une récupération ou exécution inattendue.
L’usurpation DNS falsifie la résolution d’un domaine pour diriger les utilisateurs vers une autre adresse IP.
Infrastructure
32 fichesSécuriser les serveurs, VPN, dépendances et sauvegardes : limiter l’exposition, vérifier les accès et préparer une réponse à incident reproductible.
Un DDoS sature un service par du trafic distribué et vise sa disponibilité, sans démontrer à lui seul un vol de données.
Prise de contrôle d’un serveur pour voler des données, installer un malware ou rebondir.
Exploitation d’une faiblesse permettant d’obtenir des droits administrateur ou root.
Paramétrage incorrect exposant services, données ou interfaces d’administration.
Stockage cloud rendu public par erreur, permettant l’accès à des données sensibles.
Vol d’un compte Azure, AWS, GCP ou SaaS donnant accès aux ressources.
Récupération d’une clé API donnant accès à des services ou ressources.
Exposition de mots de passe, tokens, certificats ou clés privées dans du code, des logs ou dépôts.
Attaque de la chaîne de développement pour injecter du code dans une application.
Bibliothèque ou composant tiers compromis puis distribué aux logiciels utilisateurs.
Package au nom proche d’une dépendance légitime destiné à piéger les développeurs.
Installation d’un package public malveillant à la place d’une dépendance interne.
Destruction, chiffrement ou vol des sauvegardes pour empêcher la restauration.
Destruction de snapshots ou points de restauration pour compliquer la reprise.
Compromission de l’hyperviseur permettant d’espionner ou contrôler plusieurs VM.
Exploitation permettant à du code dans une VM de sortir de son isolement.
Sortie d’un conteneur compromis vers l’hôte ou d’autres conteneurs.
Exploitation de mauvaises configurations, secrets ou permissions excessives dans un cluster.
Utilisation frauduleuse de ressources cloud compromises pour miner de la cryptomonnaie.
Base, RDP, SSH, Redis ou autre service accessible publiquement par erreur.
Exploitation, brute force ou vol d’identifiants visant Remote Desktop.
Tentatives d’accès via vol de clés, mots de passe ou mauvaise configuration SSH.
Exploitation d’un VPN vulnérable ou d’identifiants volés pour pénétrer le réseau.
Compromission de l’annuaire pour obtenir comptes, privilèges ou mouvements latéraux.
Création de tickets Kerberos frauduleux offrant un accès persistant très privilégié.
Réutilisation d’un hash volé sans connaître le mot de passe en clair.
Réutilisation d’un ticket Kerberos volé pour usurper une identité.
Progression d’une machine compromise vers d’autres systèmes internes.
Comptes, services, tâches ou accès cachés permettant de revenir après compromission.
Extraction non autorisée de données vers l’extérieur.
Suppression ou corruption volontaire de données, systèmes ou infrastructures.
Une attaque de chaîne d’approvisionnement compromet un fournisseur, une dépendance ou un pipeline de confiance pour atteindre ses clients.