Un terminal sans protection est devenu le maillon faible
Un incident récemment documenté impliquant le ransomware Interlock, rapporté par Sophos, illustre clairement un problème que les équipes de sécurité signalent depuis des mois : un seul terminal non protégé peut donner aux attaquants tout le temps nécessaire pour dérober des identifiants et s'infiltrer avant que quiconque ne s'en aperçoive. Selon Sophos, l'incident s'est produit parce qu'un appareil dépourvu de protection a permis au groupe Interlock d'opérer sans déclencher les types d'alertes qui signaleraient normalement un comportement suspect sur une machine surveillée.
Cette lacune a eu son importance. Sans logiciel de sécurité pour surveiller le terminal, les attaquants ont eu la latitude d'agir lentement et délibérément, récoltant des identifiants de connexion et mettant en place des mécanismes pour maintenir l'accès au réseau bien après la compromission initiale. C'est un rappel que les opérateurs de ransomware comptent de moins en moins sur le fait de percer les défenses par la force, et de plus en plus sur la collecte discrète des clés leur permettant de passer par la porte d'entrée.
Pourquoi les identifiants volés sont la véritable cible
Le cas Interlock s'inscrit dans un schéma que Sophos documente depuis un certain temps. Des recherches antérieures de Sophos ont révélé que 79 % des ransomwares démarrent avec des identifiants volés, un chiffre qui souligne à quel point le vol d'identité est devenu central dans les opérations modernes de ransomware. D'autres rapports de Sophos sont allés plus loin, identifiant les identifiants compromis comme le principal point d'entrée des ransomwares, surpassant les vulnérabilités logicielles comme méthode privilégiée par les attaquants.
L'incident Interlock montre pourquoi ce changement est logique du point de vue de l'attaquant. L'exploitation d'une faille logicielle exige souvent un timing précis et peut déclencher des systèmes de détection conçus pour repérer les tentatives d'exploitation inhabituelles. Voler un identifiant valide et l'utiliser pour se connecter, en revanche, peut ressembler à une activité utilisateur normale, surtout sur un terminal dépourvu de logiciel de protection pour signaler l'anomalie. Une fois à l'intérieur, les attaquants n'ont pas besoin de forcer leur chemin à travers le réseau ; ils peuvent se déplacer en utilisant des comptes qui disposent déjà d'un accès légitime.
Cela rejoint également des conclusions plus larges liées à l'identité. Un récent rapport Sophos a révélé que 71 % des organisations dans le monde ont subi au moins une brèche liée à l'identité en 2025, renforçant l'idée que le vol d'identifiants n'est pas une technique de niche réservée à des acteurs sophistiqués. C'est devenu la stratégie d'entrée par défaut pour un large éventail de groupes de ransomware, y compris Interlock.
La persistance est la seconde moitié du problème
Voler un identifiant n'est utile pour un attaquant que s'il peut continuer à l'utiliser, ou le remplacer par un autre moyen d'accès une fois le compte d'origine verrouillé. C'est le deuxième élément que Sophos a mis en évidence dans cet incident : le terminal non protégé a donné à Interlock suffisamment de temps ininterrompu pour établir des mécanismes de persistance, construisant ainsi une porte dérobée qui leur permettrait de revenir même si les identifiants volés étaient finalement découverts et révoqués.
Ce processus en deux étapes — vol d'identifiants suivi de la persistance — est ce qui distingue un incident contenu d'un incident prolongé. Une organisation qui détecte rapidement une utilisation abusive d'identifiants peut souvent couper l'accès avant que des dégâts sérieux ne surviennent. Mais lorsqu'il n'y a pas de surveillance sur l'appareil concerné, les attaquants peuvent accomplir les deux étapes avant même que les défenseurs ne sachent que quelque chose ne va pas. D'autres incidents en dehors du domaine des ransomwares suivent un arc similaire ; un seul ordinateur compromis chez Plaza Home Mortgage a suffi à déclencher une enquête sur une violation de données affectant les numéros de sécurité sociale des clients, montrant comment un seul point faible dans un environnement par ailleurs sécurisé peut suffire.
Ce que cela signifie pour vous
Pour les utilisateurs quotidiens comme pour les petites organisations, la leçon de l'incident Interlock n'a rien d'abstrait. La protection des terminaux n'est pas qu'une simple case à cocher dans une liste corporate ; c'est la couche qui transforme une potentielle compromission de plusieurs semaines en une détection le jour même. Si vous gérez des appareils, qu'il s'agisse d'ordinateurs portables personnels ou d'un petit réseau de bureau, une machine non protégée connectée à des ressources partagées constitue une responsabilité pour tous les utilisateurs de ce réseau, et pas seulement pour son propriétaire.
L'hygiène des identifiants est tout aussi importante. Réutiliser des mots de passe entre différents comptes, se passer d'authentification multifacteur ou laisser d'anciens comptes actifs après le départ d'une personne d'une organisation donne aux attaquants davantage d'opportunités de s'introduire en utilisant des identifiants volés plutôt qu'en exploitant des bugs logiciels. Cette tendance n'est d'ailleurs pas isolée à Interlock ; elle fait écho à des incidents plus larges qui ont fait la une récemment, y compris le mélange d'affaires d'espionnage russe via Zimbra et d'extorsion chez Stadler Rail qui ont attiré l'attention sur la diversité et la persistance de ces attaques axées sur les identifiants.
Des mesures pratiques à adopter
Assurez-vous que chaque appareil se connectant à des systèmes sensibles, y compris les ordinateurs personnels utilisés pour le télétravail, dispose d'une protection active des terminaux. Appliquez l'authentification multifacteur partout où elle est prise en charge, car elle atténue la valeur d'un mot de passe volé. Auditez régulièrement les comptes à la recherche d'identifiants inutilisés ou orphelins, et surveillez les schémas de connexion inhabituels plutôt que de supposer qu'un nom d'utilisateur et un mot de passe valides signifient un utilisateur légitime.
L'incident Interlock est une étude de cas utile précisément parce qu'il n'a rien d'exotique. Il n'a pas nécessité d'exploit inédit ni de zero-day avancée. Il a suffi d'un terminal sans protection et d'assez de temps pour voler ce qui ressemblait à des identifiants de connexion ordinaires. Combler cette lacune est tout à fait à la portée de la plupart des organisations, et cela reste l'une des défenses les plus efficaces contre des groupes de ransomware qui ont clairement décidé que les identifiants, et non le code, sont la voie d'accès la plus facile.
