Audit de surface externe : ce qu’un pirate voit de vous, avant lui

Avant chaque attaque, le pirate fait son repérage

Un attaquant ne frappe pas au hasard. Il commence par regarder ce que votre entreprise laisse voir sur Internet : il liste vos sites et vos accès à distance, cherche les logiciels qui ne sont pas à jour, récupère les mots de passe de vos équipes qui ont fuité ailleurs, repère les noms de domaine qui ressemblent au vôtre. Tout est public, et ses outils tournent en permanence. Il choisit ensuite la porte la plus facile.

Et vous, savez-vous ce qu’il voit ? L’audit de la surface d’attaque externe, c’est faire ce repérage à sa place. Mais avant lui, et pour vous. C’est souvent par là que nos clients commencent : la question est simple, la réponse parle tout de suite à la direction, et elle oriente la suite.

La surface d’attaque externe, c’est quoi ?

C’est tout ce qui dépasse de votre entreprise sur Internet. Chaque élément accessible depuis l’extérieur est une porte possible. Plus une organisation grandit, avec des filiales, des sites et des prestataires, plus ces portes se multiplient, et plus certaines sont oubliées.

Aucune intervention chez vous : tout ce que nous analysons, un attaquant peut déjà le voir.

Ce que nous analysons : six angles, un seul objectif

Trouver les failles avant qu’elles ne soient exploitées.

Zoom sur le dark web : ce qui circule déjà sur vous

Une partie des attaques commence par des informations volées ailleurs, puis revendues. Nous recherchons ce qui concerne votre entreprise :

• Les mots de passe en fuite : les adresses de vos collaborateurs présentes dans des fichiers volés, avec des mots de passe souvent réutilisés au travail.
• Les accès volés par des logiciels espions : un ordinateur personnel infecté peut livrer les identifiants de la messagerie ou des outils de l’entreprise.
• Les forums cybercriminels : votre nom, vos accès ou vos données proposés à la vente ou discutés par des attaquants.
• Les sites des groupes de rançongiciels : vos sociétés, vos clients ou vos fournisseurs cités parmi les victimes revendiquées.

Ces recherches sont menées avec des sources de renseignement spécialisées, sans achat ni téléchargement de données. Pour une première idée, notre article vos adresses e-mail ont-elles fuité ? explique comment vérifier une adresse.

Pas un simple scan automatique

Un outil seul produit des centaines d’alertes, dont beaucoup de fausses. Notre travail : vérifier chaque résultat à la main et ne garder que ce qui compte vraiment pour vous. Les analyses sont non destructives : nous observons et vérifions, nous ne cherchons pas à entrer. Chercher à entrer, c’est le rôle du test d’intrusion.

Comment ça se passe

Comptez deux à trois semaines du lancement au rapport, selon votre périmètre, avec des dates choisies ensemble. En cas de faille critique découverte pendant l’audit, vous êtes prévenu immédiatement, sans attendre le rapport.

Un exemple concret : une messagerie testée en 30 secondes

Nous avons testé la messagerie d’une entreprise, sans rien installer, à partir de son seul nom de domaine :

• qui a le droit d’envoyer des e-mails en son nom : bien réglé ;
• la signature qui prouve que ses e-mails sont authentiques : en place ;
• la consigne à donner aux destinataires en cas de faux e-mail : absente.

Résultat : une note de 55 sur 100. Une bonne base, mais une faille importante : un escroc pouvait envoyer un e-mail qui semblait venir d’elle, à ses clients, avec un faux RIB. La correction ? Un réglage de dix minutes. Encore fallait-il savoir qu’il manquait.

Ce volet de l’audit, vous pouvez en avoir un premier aperçu avec notre test gratuit de messagerie. L’audit va beaucoup plus loin : il regarde toute votre surface exposée, pas un seul réglage.

Ce que vous recevez

Une synthèse lisible par la direction, et une partie détaillée pour votre informatique et votre prestataire.

• Un score global, et un score par société si vous en avez plusieurs.
• Chaque risque expliqué simplement, classé en trois niveaux : urgent, à prévoir, déjà bien.
• Un plan d’actions concret : quoi faire, dans quel ordre.
• Un rendez-vous de restitution en visioconférence.
• Un document utile pour votre assureur, vos clients et vos actionnaires.

Audit de surface, Veille ou test d’intrusion : lequel choisir ?

Les trois regardent votre entreprise depuis Internet, mais ne répondent pas à la même question.

L’ordre le plus courant : l’audit de surface d’abord, les corrections, puis un test d’intrusion pour vérifier, et la Veille pour suivre dans la durée.

Et après ? Corriger, puis aller plus loin

L’audit vous donne une feuille de route. Vous choisissez qui la met en œuvre :

• Avec votre prestataire informatique : il reçoit la partie technique du rapport, et nous restons disponibles pour répondre à ses questions.
• Avec nous : nous corrigeons avec vous, puis nous vérifions que les failles sont bien fermées.
• Avec un test d’intrusion : l’étape suivante, pour vérifier jusqu’où un attaquant pourrait réellement aller. L’audit externe en est la base.

Un audit ne vous engage à rien d’autre. Il vous permet de décider en connaissance de cause. Il s’intègre aussi à un audit de cybersécurité complet si vous voulez regarder l’intérieur de votre organisation.

Vous avez déjà une DSI, un RSSI ou un SOC ?

L’audit externe leur apporte un regard extérieur, celui d’un attaquant qui ne connaît rien de votre organisation. Il est particulièrement utile quand les sociétés, les sites ou les prestataires se sont multipliés, et que plus personne n’a la liste complète de ce qui est exposé. Nous travaillons avec vos équipes et leur remettons une partie technique directement exploitable.

Questions fréquentes sur l’audit de surface externe

Vos questions