Comprendre l'attaquant : motivations, cibles faciles, surface d'attaque

Se protéger sans savoir qui l'on craint, c'est comme fermer toutes ses fenêtres sans savoir si l'on habite en rez-de-chaussée. En comprenant ce qui motive les attaquants et comment ils choisissent leurs cibles, vous allez voir que la sécurité personnelle n'est pas une course à la perfection : c'est un travail de réduction des occasions.

Dans les trois premières leçons, vous avez vu des techniques (phishing, malwares, arnaques). Cette dernière leçon du chapitre 1 prend du recul : qui attaque, pourquoi, et quelles portes sont ouvertes dans votre vie numérique ? Vous commencerez ensuite la première page de votre carnet de sécurité.

Qui sont les attaquants ?

On imagine volontiers un hacker solitaire en sweat à capuche. La réalité est plus variée. On peut distinguer plusieurs profils :

• Les criminels opportunistes : leur but est l'argent. Ils lancent des campagnes massives (hameçonnage, rançongiciels vendus « clés en main ») et se contentent de ceux qui tombent dans le filet.
• Les groupes criminels organisés : ils fonctionnent comme des entreprises, avec des spécialistes (accès initial, négociation, blanchiment). Ils ciblent plutôt des organisations, mais touchent aussi des particuliers.
• Les acteurs étatiques : espionnage ou déstabilisation, cibles précises (institutions, entreprises stratégiques, journalistes, militants). Ils concernent peu le grand public, sauf les personnes occupant des fonctions sensibles.
• Les militants ou « hacktivistes » : leur but est la visibilité d'une cause (défigurer un site, divulguer des documents).
• Les proches malveillants : conjoint ou ex-conjoint, collègue, voisin curieux. Le risque est souvent sous-estimé : ils connaissent vos habitudes et ont parfois accès à vos appareils.
• Les initiés : un salarié mécontent ou négligent. Une erreur involontaire cause aussi beaucoup d'incidents.
• Les curieux et les débutants : ils utilisent des outils existants, sans toujours mesurer les conséquences.

Pour un particulier, l'essentiel du risque vient des deux premières catégories (argent) et des proches. Cette observation est rassurante : la plupart des attaques sont opportunistes, pas personnelles.

Les motivations

Les attaquants cherchent, selon les cas :

• L'argent, directement (virement, rançon) ou indirectement (revente de données, utilisation de vos comptes pour d'autres fraudes) ;
• Les données : identifiants, numéros de carte, pièces d'identité, informations de santé. Elles se revendent ou servent à de l'usurpation d'identité ;
• Vos ressources : puissance de calcul, connexion internet, comptes de messagerie pour envoyer des messages frauduleux ;
• Un point d'entrée : votre compte ou votre appareil sert de tremplin vers une cible plus intéressante (votre entreprise, vos contacts) ;
• L'influence ou la nuisance : harcèlement, chantage, atteinte à la réputation.

Vous pouvez donc être une cible de choix sans être « important » : votre adresse de messagerie, votre carte bancaire et vos contacts ont de la valeur pour un fraudeur, quel que soit votre patrimoine.

Pourquoi les cibles faciles sont préférées

Un attaquant raisonne en rapport coût / bénéfice. Il préfère un compte dont le mot de passe est faible et réutilisé à un compte protégé par une double authentification. Il choisit une personne qui clique vite plutôt qu'une personne qui vérifie. Il est comme un cambrioleur qui passe devant la maison avec les volets fermés et l'alarme apparente pour cogner à celle dont la porte est entrouverte.

Cela a une conséquence très pratique : il n'est pas nécessaire d'être invulnérable, il suffit de ne pas être la cible la plus facile. Quelques mesures de base (mots de passe uniques, double authentification, mises à jour, sauvegardes, vigilance face aux messages) écartent déjà la grande majorité des attaques opportunistes.

La surface d'attaque personnelle

La surface d'attaque est l'ensemble des points par lesquels quelqu'un pourrait tenter de s'en prendre à vous. Plus elle est vaste, plus il y a d'occasions. Pour un particulier, elle comprend :

• Vos appareils : ordinateur, téléphone, tablette, objets connectés, box internet, imprimante ;
• Vos comptes en ligne : messagerie, banque, réseaux sociaux, achats, services publics ;
• Vos réseaux : Wi-Fi de la maison, Wi-Fi publics, partage de connexion ;
• Vos données : documents, photos, sauvegardes, informations publiques sur vous ;
• Vos habitudes : réutilisation de mots de passe, clics rapides, partage d'informations ;
• Votre entourage : famille, amis, collègues, dont les comptes compromis peuvent vous atteindre.

Le compte de messagerie principal mérite une attention particulière : il sert souvent à réinitialiser tous les autres mots de passe. Son compromis revient à donner la clé de tous vos comptes. C'est la pièce maîtresse de votre sécurité.

Évaluer le risque : probabilité et impact

Pour décider où agir en premier, on croise deux questions : quelle est la probabilité que cela m'arrive ? et quel serait l'impact ? Un compte de messagerie piraté a une probabilité moyenne et un impact très élevé ; une publicité envahissante a une probabilité élevée et un impact faible. Traitez d'abord ce qui est à la fois probable et grave.

Ce raisonnement évite deux écueils : l'inaction (« je n'ai rien à cacher ») et le catastrophisme (« tout est dangereux »). La sécurité raisonnable est proportionnée aux enjeux, au quotidien.

Carnet de sécurité : page 1, votre cartographie

Voici le premier travail concret du fil rouge. Dans un fichier, un cahier ou un document, créez votre carnet de sécurité et dressez l'inventaire de votre surface d'attaque.

1. Appareils : listez ceux que vous utilisez (et ceux de la famille dont vous êtes le « service informatique »).
2. Comptes : listez vos 10 comptes les plus importants (messagerie, banque, impôts, santé, achats, réseaux sociaux, stockage de fichiers…).
3. Données précieuses : photos, documents d'identité, dossiers de travail. Où sont-elles ?
4. Points sensibles : quel est le compte « maître » ? Y a-t-il des mots de passe réutilisés ? Des appareils jamais mis à jour ?

Ne cherchez pas à tout régler : l'objectif est d'avoir une photographie honnête de la situation de départ. Les chapitres suivants vous donneront les outils pour améliorer chaque ligne.

À vous de jouer

Choisissez trois comptes de votre liste. Pour chacun, notez : l'impact si un inconnu en prenait le contrôle (faible, moyen, élevé), la probabilité estimée, et la mesure de protection que vous avez déjà en place. Classez-les ensuite par priorité.

Vous avez maintenant une carte du terrain. Le chapitre suivant s'attaque à la première ligne de défense, et à la plus négligée : vos mots de passe et la façon de prouver que vous êtes bien vous.