La cybersécurité, ce n’est pas “un sujet informatique”. C’est un sujet de continuité d’activité, de réputation, et de pilotage des risques. Et lors de notre webinar avec Jérémy Nedjar, hacker éthique, un point a frappé tout le monde : certaines attaques ne commencent pas dans un data center… mais dans un couloir, à l’accueil, ou devant la machine à café.
Le thème central : les attaques hybrides, celles qui combinent intrusion physique, ingénierie sociale (manipulation) et exploitation numérique. Ce mélange rend ces attaques particulièrement efficaces, car elles s’appuient sur ce que l’entreprise fait le mieux… faire confiance.
À retenir
- Beaucoup d’attaques réussissent parce qu’un attaquant paraît “légitime”.
- La sécurité physique et la cybersécurité sont une seule et même chaîne.
- Les meilleures mesures 2026 ne sont pas forcément coûteuses : elles sont surtout simples, répétées et tenues dans la durée.
Le point de vue “terrain” : l’attaque commence là où on ne regarde plus
Jérémy intervient dans des exercices de type Red Team : des simulations réalistes d’attaque, pour vérifier ce qui se passe dans la vraie vie, pas dans une présentation PowerPoint. L’objectif est simple (et un peu inconfortable) : “Si quelqu’un essaie vraiment d’entrer et d’agir comme un attaquant, jusqu’où peut-il aller ?”
Son retour d’expérience est clair : dans beaucoup d’entreprises, les contrôles existent, mais la routine les affaiblit. Et l’attaquant cherche moins à être brillant qu’à être crédible. Exemple évoqué : se faire passer pour un intervenant “évident” (type prestataire), profiter d’un contrôle trop permissif, et accéder à des zones sensibles.
La leçon pour un dirigeant : la cybersécurité ne se joue pas uniquement sur des outils. Elle se joue sur les habitudes et sur la cohérence des règles, du portail d’entrée jusqu’aux accès aux données.
L’ingénierie sociale : le superpouvoir des gens “gentils”
Une phrase résume la réalité : la première vulnérabilité est humaine. Et c’est plutôt une bonne nouvelle… car on peut l’adresser sans “suréquiper” l’entreprise.
L’ingénierie sociale fonctionne parce qu’elle exploite des réflexes naturels :
- aider quelqu’un qui a l’air pressé ;
- éviter un conflit ;
- être poli (et ne pas paraître “parano”).
Les scénarios les plus efficaces sont souvent les plus simples :
- “J’ai oublié mon badge…”
- “Je viens pour la clim / le copieur / un incident urgent…”
- “Je suis avec eux.” (et hop, on passe avec le groupe)
Petit trait d’humour (mais très sérieux) : en entreprise, la politesse est parfois le meilleur passe-partout. Un attaquant ne force pas une porte ; il vous fait tenir la porte.
Les gadgets : pas besoin de “dark web”, juste… d’un panier en ligne
Autre idée reçue : “Il faut être un pirate chevronné et clandestin.” En réalité, beaucoup d’outils et de méthodes sont accessibles, documentés, et utilisés aussi bien par des professionnels (pour tester) que par des attaquants (pour exploiter).
Le risque n’est pas “l’objet” en lui-même, mais le combo :
outil + opportunité + inattention.
Une entreprise peut avoir de bons systèmes… et se faire piéger par une situation banale : un poste non verrouillé, une prise réseau accessible, un badge prêté “juste deux minutes”.
La démonstration qui marque : une seconde d’inattention, des données qui partent
Le moment le plus parlant, côté dirigeant, c’est quand on réalise à quel point une action très banale peut déclencher une chaîne d’événements.
Jérémy a illustré le risque d’une clé USB “piégée” (qui se comporte comme un clavier) : branchée sur un poste déverrouillé, elle peut exécuter automatiquement des actions et faciliter la sortie de données.
La contre-mesure la plus rentable du monde (oui, vraiment) : verrouiller son poste quand on s’absente. C’est simple, gratuit, et pourtant rarement systématique. (Et pour ceux qui aiment les raccourcis : Windows + L.)
Derrière l’incident : arrêt, perte de chiffre d’affaires, confiance érodée
Au-delà de l’attaque “spectaculaire”, l’impact le plus fréquent est très business :
- arrêt partiel ou total de l’activité,
- retards clients,
- coûts de remise en état,
- perte de confiance (interne et externe).
Et il y a aussi l’attaque “du quotidien” : compromission de comptes, usurpation d’identité, détournement de messagerie, voire contournement de doubles facteurs basés sur SMS dans certains scénarios.
Conclusion dirigeant : la cybersécurité PME/ETI n’est pas un luxe, c’est un mécanisme de résilience.
