2026-07-19 · GUIDE · L'équipe Offensive Technology

Que peuvent réellement voir les attaquants sur votre entreprise ?

Votre surface d'attaque externe rassemble tout ce qui est accessible depuis l'internet public au sujet de votre entreprise : chaque domaine, serveur, page de connexion, enregistrement de messagerie et mot de passe fuité qu'un attaquant peut trouver sans jamais mettre les pieds dans vos bureaux ni toucher vos ordinateurs portables. C'est la carte qu'un attaquant dresse avant toute action, et voici le constat dérangeant : il la dresse généralement mieux que l'entreprise elle-même, parce qu'il est motivé et que l'entreprise est occupée.

Nous passons notre quotidien professionnel à dresser cette carte du côté de l'attaquant. Voici ce qui s'y trouve généralement, expliqué simplement pour un fondateur ou un CTO qui n'a jamais commandé de tests de sécurité.

Des sous-domaines dont vous aviez oublié l'existence

Votre site principal est www.yourcompany.com. Mais au fil des ans, l'entreprise a aussi créé staging.yourcompany.com, old-demo.yourcompany.com, un microsite pour une campagne de 2022 et un tableau de bord configuré par un prestataire. Tout cela est découvrable publiquement. Les journaux de transparence des certificats (certificate transparency logs), registre public de tous les certificats TLS émis, permettent à quiconque de lister les sous-domaines pour lesquels vous avez demandé des certificats, à l'aide d'outils gratuits comme crt.sh. Aucun piratage là-dedans, c'est une simple recherche.

Pourquoi c'est important : les sous-domaines oubliés exécutent des logiciels oubliés. Un serveur de préproduction avec le framework non corrigé de l'année dernière, ou une instance de démonstration avec un mot de passe par défaut, constitue une véritable porte d'entrée. Pire encore, si un sous-domaine pointe toujours vers un service cloud que vous avez cessé de payer, un attaquant peut parfois revendiquer ce service et diffuser son propre contenu depuis votre domaine. C'est ce que la profession appelle un subdomain takeover, et cela arrive aux entreprises de toutes tailles.

Des services qui n'auraient jamais dû être publics

Des moteurs de recherche existent pour les équipements connectés à internet. Shodan, le plus connu d'entre eux, indexe en continu ce qui écoute sur l'internet public : bases de données, panneaux d'administration, accès à distance (remote desktop), webcams, imprimantes. Si votre équipe a exposé une base de données "juste pour une semaine" afin de déboguer quelque chose, ou un serveur de build, ou un tableau de bord interne, n'importe qui peut la trouver avec une barre de recherche.

Les cas fréquents que nous observons : des ports de base de données ouverts à tous, du remote desktop ou du SSH sur des machines oubliées de tous, des interfaces d'administration de routeurs et pare-feu, et des outils de CI/CD ou de supervision avec des identifiants faibles ou par défaut. Aucune de ces situations ne résulte d'une décision délibérée. Ce sont des restes, et les attaquants se nourrissent de ces restes.

Vos mots de passe, issus des fuites de données de tiers

Lorsqu'un service tiers est compromis, les adresses e-mail et les mots de passe qu'il contient se retrouvent dans des fuites publiques et semi-publiques. Les attaquants les récupèrent et les testent partout ailleurs, en pariant sur la réutilisation des mots de passe. Et le pari est gagnant.

Vous pouvez voir une partie de votre propre exposition dès maintenant : Have I Been Pwned, un service public gratuit, vous permet de vérifier quelles fuites contiennent des adresses de votre domaine. Si un employé a utilisé son e-mail professionnel et un mot de passe réutilisé pour s'inscrire sur un outil compromis par la suite, cette combinaison peut ouvrir vos systèmes réels aujourd'hui. Rien de très exotique : la réutilisation d'identifiants issus d'anciennes fuites est l'une des façons les plus courantes dont débutent les intrusions réelles, et cela ne demande aucune compétence technique.

Des paramètres de messagerie et DNS qui permettent de vous usurper l'identité

L'e-mail repose sur trois enregistrements de protection, SPF, DKIM et DMARC, qui indiquent au monde quels serveurs sont autorisés à envoyer des e-mails au nom de votre domaine et quoi faire des messages qui échouent au test. Ce sont des enregistrements DNS publics, un attaquant les vérifie donc en quelques secondes. Si DMARC est absent ou configuré pour ne rien faire, des e-mails usurpant parfaitement votre domaine peuvent arriver dans les boîtes de réception.

L'attaque rendue possible est d'une simplicité désolante : un e-mail semblant provenir de votre PDG ou de votre service de facturation, envoyé à votre client ou à votre propre responsable financier, demandant de modifier des coordonnées bancaires. Aucun système n'est piraté. On vous a simplement emprunté votre identité, parce qu'un enregistrement DNS n'a jamais été configuré.

Ce que cela signifie en pratique

Remarquez le point commun entre ces quatre catégories. Aucune ne nécessite de casser quoi que ce soit. Ce sont des observations, réalisées à partir de données publiques, sur des éléments que votre entreprise a mis sur internet et a cessé de surveiller. C'est pourquoi la question « que peuvent voir les attaquants sur nous » est une meilleure première question de sécurité que « pouvons-nous être piratés ». La seconde est spéculative. La première a une réponse concrète et vérifiable.

Si vous souhaitez commencer vous-même, c'est possible : listez vos sous-domaines via la transparence des certificats, cherchez vos domaines sur Shodan, vérifiez votre domaine sur Have I Been Pwned et lisez vos propres enregistrements SPF et DMARC. Vous apprendrez quelque chose, et chacune de ces étapes est gratuite.

Notre rôle

Le plus difficile n'est pas d'effectuer ces recherches. C'est de savoir lesquels parmi les deux cents résultats comptent vraiment, lequel constitue la vraie porte d'entrée et lesquels sont du bruit. C'est une question de discernement, et c'est ce discernement que vous achetez en faisant appel à des personnes dont le métier est d'attaquer des systèmes.

Notre contrôle à 100 $ est exactement cet exercice mené dans les règles de l'art : un examen ciblé de votre surface externe, sur le périmètre dont vous avez confirmé être propriétaire et autorisé par écrit, analysé par un opérateur senior, restitué sous la forme d'un rapport classé et d'une présentation de 30 minutes au cours de laquelle un humain répond à vos questions. Cela ne résoudra pas toute votre sécurité. Cela mettra fin aux devinettes sur ce qu'un attaquant voit, et c'est le bon endroit pour commencer.

Surface d'attaque externe : réponses rapides

Qu'est-ce qu'une surface d'attaque externe ?

Tout ce qui est accessible depuis l'internet public au sujet de votre entreprise : chaque domaine, serveur, page de connexion, enregistrement de messagerie et mot de passe fuité qu'un attaquant peut trouver sans toucher à vos bureaux ni à vos ordinateurs portables. C'est la carte qu'un attaquant dresse en premier.

Comment les attaquants trouvent-ils des sous-domaines que j'avais oubliés ?

Principalement via les journaux de transparence des certificats (certificate transparency logs), un registre public de tous les certificats TLS émis. Des outils gratuits comme crt.sh permettent à quiconque de lister les sous-domaines pour lesquels vous avez demandé des certificats. C'est une simple recherche, pas du piratage.

Puis-je vérifier gratuitement ma propre surface d'attaque externe ?

En partie. Listez vos sous-domaines via la transparence des certificats, cherchez vos domaines sur Shodan, vérifiez votre domaine sur Have I Been Pwned et lisez vos propres enregistrements SPF et DMARC. Le plus difficile n'est pas d'effectuer ces recherches, mais de savoir lesquels des résultats comptent vraiment.

Qu'est-ce qu'un subdomain takeover ?

Lorsqu'un sous-domaine pointe toujours vers un service cloud que vous avez cessé de payer, un attaquant peut parfois revendiquer ce service et diffuser son propre contenu depuis votre domaine. C'est la conséquence directe d'un enregistrement DNS oublié, et cela arrive aux entreprises de toutes tailles.

Lectures complémentaires

• À quel point les 1 000 premiers domaines sont-ils exposés à l'usurpation d'e-mails ? Notre propre mesure de qui applique réellement DMARC.
• Combien coûte un test de pénétration ?
• Contrôle, scan ou pentest complet ?