Lorsque les équipes rouges découvrent l’inimaginable

De nombreuses organisations pensent qu’elles sont sécurisées, jusqu’à ce qu’une équipe rouge prouve le contraire.

Au cours de mes 28 ans de sécurité offensive, j’ai vu de première main à quel point rapidement la confiance s’effondre lorsque des tactiques d’adversaire réel sont appliquées aux défenses d’entreprise. Les opérations d’équipe rouge ne testent pas seulement les systèmes ; elles poussent les limites de l’accès possible du point de vue d’un adversaire déterminé et sophistiqué. Souvent, les règles d’engagement sont plus larges, permettant non seulement des attaques côté serveur, mais également des techniques d’ingénierie sociale, sans fil et même physiques. Ce que nous découvrons souvent dans nos opérations, c’est que des niveaux catastrophiques d’accès sont possibles

Mon équipe et moi avons obtenu des points d’ancrage réseau et avons élevé les privilèges pour accéder et même contrôler des fours à coke commerciaux, des infrastructures de signature de code de conducteur, des systèmes de paie, des propriétés intellectuelles sensibles, des systèmes hôtes bancaires, des systèmes de vidéosurveillance, des boîtes de réception des DAF, des résultats d’imagerie médicale, des partages de fichiers remplis de PHI, des fichiers intéressants, des deuxièmes maisons de PDG connectées au réseau d’entreprise par VPN, et des dumps de hachage complets de nombreuses forêts Active Directory.

Nous avons pivoté vers des réseaux internes après avoir compromis des ressources cloud, et nous avons eu des opérations qui ont pivoté d’un réseau interne à des points d’ancrage basés sur le cloud. Parfois, plus la cible est grande, plus il est facile, quelle que soit l’échelle de son budget de sécurité. Cela est dû à l’asymétrie naturelle entre les attaquants et les défenseurs. Une échelle plus grande signifie plus d’opportunités pour des faiblesses exposées involontairement. Ce ne sont pas des risques théoriques. Ils sont réels, et plus d’organisations sont vulnérables à ce niveau de compromis qu’elles ne le réalisent.

Points d’ancrage

Les violations externes commencent par un point d’ancrage – un point d’accès initial qui ouvre la porte à une compromission plus profonde. Dans notre travail, nous classons les points d’ancrage en quatre types principaux :

1. Ingénierie sociale

Bien que courante, nous la considérons comme la moins gratifiante. Tromper les utilisateurs pour qu’ils cliquent sur des liens ou révèlent des informations d’identification est efficace, mais cela ne reflète pas les compétences d’un adversaire sophistiqué. Néanmoins, nous avons vu des attaquants usurper des e-mails de DAF pour initier des virements de fonds d’urgence ou utiliser des clones de voix générés par IA pour contourner les protocoles d’assistance.

2. Pulvérisation de mots de passe

Cette technique lente et discrète reste l’une des plus efficaces. En devinant des mots de passe courants sur de grandes listes d’utilisateurs, les attaquants évitent les verrous et réussissent souvent. Nous avons violé des réseaux en utilisant rien de plus que « Summer2025 ! » sur des milliers de noms d’utilisateurs extraits de sources publiques. Je suppose que plus d’1 utilisateur sur 1 000 choisirait cela, à moins que la mise en œuvre de mots de passe interdits ne soit en place, bloquant des chaînes comme « summer » et « 2025 » et « 25 ». Pour une politique de mot de passe plus longue, je suppose « Summertime2025 ! » comme exemple.

3. Faiblesses de l’authentification multifacteur

L’ authentification multifacteur est essentielle, mais pas infaillible. Comme pour tous les contrôles de sécurité, un déploiement approfondi et cohérent est clé. Nous avons contourné l’authentification multifacteur en utilisant la fatigue des notifications, les failles des accès conditionnels et les liens d’inscription obsolètes. Dans un cas, nous avons inscrit notre propre appareil en utilisant un lien de six mois trouvé dans une boîte de réception compromise.

4. Vulnérabilités exploitables

Les applications Web personnalisées sont particulièrement vulnérables. Nous avons exploité tout, des injections SQL aux failles de parcours de chemin, en passant par les bogues de désérialisation d’objets qui permettent aux utilisateurs de base de fixer leur propre prix lors du paiement ou d’augmenter les privilèges d’administrateur. Les composants logiciels commerciaux obsolètes peuvent même conduire à l’exécution de code à distance si ils ne sont pas corrigés.

Vérification de la réalité : conformité vs exposition

Les audits de sécurité peignent souvent un tableau rose. Mais les équipes rouges opèrent en dehors du scénario. Les règles d’engagement pour les opérations d’équipe rouge sont souvent beaucoup plus larges que les tests de pénétration standard – nous simulons des adversaires avec des objectifs précis.

Dans de nombreux engagements, les clients ont un trésor de nombreux rapports de pénétration passés de plusieurs sociétés différentes, avec peu ou pas de démonstration de « pénétration ». Il n’est pas rare que nous corrigions cette perception en atteignant des niveaux d’accès significatifs à partir de tests de pénétration externes de base non authentifiés. L’écart entre le risque perçu et le risque réel peut être immense. Des tests de pénétration de qualité, axés sur la couverture, sont plus précieux que les opérations d’équipe rouge axées sur les objectifs pour les organisations ayant des postures de sécurité moins matures.

Le rôle de l’IA dans la sécurité offensive

Même si l’IA n’a pas encore remplacé l’ingéniosité humaine dans les équipes rouges, elle accélère nos flux de travail. Nous utilisons l’IA générative pour construire des preuves de concept d’exploits plus rapidement, analyser les surfaces d’attaque, simuler des voix lors d’opérations de vishing et même créer des campagnes de phishing ressemblant à des campagnes authentiques. L’émergence de l’IA offensive agente qui atteint les rangs supérieurs des listes de chasse aux bogues publiques est un signe de ce qui vient.

Empathie pour les défenseurs

Malgré notre rôle offensif, nous respectons profondément les défenseurs. L’asymétrie est réelle : les défenseurs doivent être parfaits 24 heures sur 24, 7 jours sur 7 ; les attaquants n’ont besoin que d’une erreur. C’est pourquoi nos rapports ne mettent pas seulement en évidence les vulnérabilités, les chaînes d’attaque, les captures d’écran et l’impact réel ; en tête de notre résumé exécutif, nous trouvons des pratiques positives que nous avons rencontrées lors des tests. Nous aimons écrire ces dernières plus que les résultats eux-mêmes. Nous sommes dans votre équipe pour éduquer et remédier, et non pour exposer.

Conclusion : l’inimaginable est souvent juste devant nous

Les équipes rouges ne trouvent pas seulement des failles – elles obligent les organisations à affronter des vérités inconfortables. La façade de sécurité cache souvent des systèmes fragiles, des misconfigurations et des risques négligés. Et lorsque nous découvrons l’inimaginable, ce n’est pas pour critiquer – c’est pour renforcer.

Parce que dans la cybersécurité, les vérifications de la réalité ne sont pas optionnelles. Elles sont la seule chose qui se situe entre « sécurisé sur le papier » et une violation qui fait la une des journaux.