Audit des accès externes : ce qu'un pirate voit
Mis à jour le 2 novembre 2026.
La malédiction d'Internet
Internet a été conçu pour que n'importe quelle machine puisse joindre n'importe quelle autre. C'est ce qui le rend si pratique : consulter ses caméras depuis son smartphone, laisser le frigoriste surveiller la chambre froide, travailler de chez soi sur le serveur du bureau. C'est aussi sa malédiction : ce que vous pouvez joindre de partout, tout le monde peut essayer de le joindre.
Les exemples ne manquent pas :
- Octobre 2026, des frigos de supermarchés : en France, des pirates ont pris la main sur les automates de réfrigération de centaines de magasins et lancé le dégivrage. Nous l'avons raconté en détail dans notre article sur les équipements connectés.
- Un casino et son aquarium : en 2018, Nicole Eagan, directrice générale de la société de sécurité Darktrace, a raconté comment des pirates étaient entrés dans le réseau d'un casino par le thermomètre connecté de l'aquarium du hall, puis en étaient ressortis avec la base de données des gros joueurs.
- Target et son sous-traitant : fin 2013, les pirates qui ont volé les données de 40 millions de cartes bancaires chez le distributeur américain Target sont entrés avec les identifiants d'un sous-traitant en chauffage et réfrigération, qui disposait d'un accès au réseau pour la facturation et la gestion de projets.
Un thermomètre, un frigo, le compte d'un fournisseur : la porte n'est presque jamais celle qu'on surveille.
Les portes que les pirates essaient en premier
Dans une PME, on retrouve presque toujours les mêmes portes ouvertes vers Internet. Voici les plus visées, de la plus fréquente à la plus inattendue.
- Le bureau à distance de Windows (RDP). C'est le moyen le plus simple de travailler à distance sur un PC ou un serveur, et le préféré des pirates. Dans les interventions de l'éditeur de sécurité Sophos en 2023, les services d'accès à distance étaient la porte d'entrée dans 65 % des cas, et le bureau à distance avait été utilisé par les pirates, pour entrer ou pour se déplacer dans le réseau, dans 90 % des attaques. Dans un cas, la même entreprise a été piratée quatre fois en six mois par son bureau à distance ouvert.
- Le VPN et le pare-feu. Ils sont là pour protéger, mais ce sont des appareils comme les autres, avec leurs failles. Selon le rapport Verizon 2025, parmi les intrusions passées par une faille logicielle, 22 % visaient ces équipements « de bordure », contre 3 % un an plus tôt. Et sur l'année, seule la moitié environ (54 %) des failles de ces équipements avait été entièrement corrigée, avec un délai médian de 32 jours. En 2025, le groupe de rançongiciel Akira a ciblé les VPN SonicWall : il utilisait des mots de passe volés lors d'intrusions précédentes, souvent restés inchangés après le remplacement d'un ancien pare-feu, et passait le plus souvent de la connexion au chiffrement des données en moins de quatre heures, parfois en 55 minutes.
- Les logiciels de prise en main à distance (TeamViewer, AnyDesk, ScreenConnect et autres). Ils servent à votre informaticien ou à l'éditeur d'un logiciel métier pour vous dépanner. Mais un logiciel installé un jour pour un dépannage, avec un mot de passe jamais changé, ou un ancien prestataire qui a gardé son accès, sont autant de clés qui traînent. Microsoft a décrit en 2025 des intrusions qui commençaient par l'exploitation de failles dans ce type d'outils.
- Le NAS (serveur de fichiers). Très pratique pour retrouver ses documents depuis l'extérieur, il est aussi une cible connue : en janvier 2022, le rançongiciel DeadBolt a chiffré plus de 3 600 NAS de la marque QNAP accessibles depuis Internet. Le fabricant a conseillé de les retirer d'Internet et de désactiver la redirection de ports et l'UPnP sur le routeur.
- Le site web et ses logiciels. Le 21 octobre 2026, deux failles critiques du langage PHP (surnommées PHP2Shell), qui fait tourner une grande partie des sites web, ont poussé de nombreuses organisations à mettre leurs sites hors ligne en attendant le correctif, en Belgique comme aux Pays-Bas et en France. Quelques jours plus tard, l'agence américaine CISA les ajoutait à sa liste des failles activement exploitées.
- Les objets connectés : caméras, alarme, contrôle d'accès, chauffage, chambre froide, bornes de recharge, onduleur des panneaux solaires. Souvent installés par un tiers, rarement mis à jour.
En Belgique, le rythme s'accélère
Entre le 1er janvier et le 28 septembre 2026, le CCB a reçu 588 signalements d'incidents, soit déjà plus que les 556 de toute l'année 2025. Les systèmes compromis sont devenus le type d'incident le plus signalé, avec trois fois plus de signalements qu'au trimestre précédent. Parmi les mesures de base qu'il demande d'appliquer sans attendre : l'authentification à plusieurs facteurs pour les comptes administrateurs et les accès à distance, la correction prioritaire des failles activement exploitées, et la réduction au strict nécessaire des systèmes accessibles depuis Internet. Le CCB demande aussi aux dirigeants de désigner une personne responsable de ces mesures.
Autrement dit : savoir ce que votre entreprise montre à Internet n'est plus une affaire de spécialistes, c'est une décision de dirigeant.
Un audit des accès externes, c'est quoi ?
C'est regarder votre entreprise depuis l'extérieur, avec les yeux d'un pirate, et répondre à trois questions pour chaque porte trouvée :
- Qu'est-ce qui est visible depuis Internet ? Adresses, appareils, services, logiciels et leurs versions.
- Est-ce nécessaire ? Beaucoup de portes ont été ouvertes « pour un jour » et jamais refermées.
- Ce qui doit rester ouvert est-il protégé ? Mis à jour, avec un mot de passe propre à l'appareil et une double authentification, accessible seulement à ceux qui en ont besoin.
Ce n'est pas un test d'intrusion : on ne cherche pas à entrer, on dresse l'inventaire et on corrige. C'est plus rapide, moins cher, et c'est ce qui élimine l'essentiel du risque.
Ce que vous pouvez vérifier vous-même
Comptez une heure, sans compétence technique particulière.
1. Listez qui entre chez vous de l'extérieur
Prenez une feuille et notez, pour chaque personne ou société qui se connecte à vos systèmes depuis l'extérieur : qui, sur quoi, avec quel outil, et quand pour la dernière fois.
| Qui | Questions à poser |
|---|---|
| Vous et vos employés en télétravail | Par quel moyen ? Bureau à distance, VPN, logiciel de prise en main ? Double authentification activée ? |
| Votre informaticien | Quel outil ? Un compte par personne ? Est-il averti de chaque connexion ? |
| Les éditeurs de logiciels métier (comptabilité, caisse, gestion) | Leur accès est-il permanent ou ouvert à la demande ? |
| Les installateurs (alarme, caméras, chauffage, froid, photovoltaïque) | L'appareil est-il joignable directement depuis Internet ? Le mot de passe d'origine a-t-il été changé ? |
| Les anciens prestataires et anciens employés | Leurs comptes et leurs logiciels d'accès ont-ils été supprimés ? |
Une ligne où personne ne sait répondre est une porte à examiner en priorité.
2. Inscrivez-vous à Safeonweb@work
Le service du CCB pour les entreprises belges est entièrement gratuit. Une fois inscrit, vous recevez des alertes sur les vulnérabilités et les infections détectées sur votre réseau. Le CCB propose aussi un rapport « Quick Scan » qui donne un aperçu des failles et des améliorations possibles pour ce que vous avez en ligne, ainsi qu'un auto-diagnostic et le référentiel CyberFundamentals.
3. Regardez votre adresse avec Shodan
Le moteur de recherche Shodan recense les appareils visibles sur Internet et ce qu'ils exposent. En cherchant l'adresse IP de votre connexion, vous voyez ce qu'un inconnu en voit. Le mode d'emploi est dans notre article sur les équipements connectés.
4. Testez les portes les plus courantes de votre connexion
Le service gratuit ShieldsUP! (site grc.com) teste depuis Internet les ports les plus courants de la connexion depuis laquelle vous le lancez. Lancez-le depuis le réseau du bureau, pas depuis votre domicile. Un port signalé « ouvert » mérite une question à votre informaticien. Un résultat propre ne garantit rien : le test ne couvre ni toutes les portes, ni vos autres connexions.
5. Faites le ménage dans les comptes
Supprimez les comptes des anciens employés et prestataires, désinstallez les logiciels de prise en main que plus personne n'utilise, et activez la double authentification partout où c'est possible, en commençant par les accès à distance et les comptes administrateurs.
Où s'arrête ce que vous pouvez faire seul
Votre vérification couvre l'essentiel des portes connues. Elle a des limites que les pirates, eux, n'ont pas :
- Les portes oubliées : une deuxième ligne Internet, l'adresse d'un dépôt ou d'un magasin, une adresse IPv6, un service en ligne loué il y a des années.
- Le test complet : vérifier les 65 535 portes possibles de chaque adresse, identifier chaque logiciel et sa version, puis les comparer aux failles connues et activement exploitées.
- La configuration : un pare-feu peut être à jour et mal réglé (règles trop larges, administration ouverte sur Internet, comptes locaux oubliés).
- Le passé : dans l'affaire SonicWall, les mots de passe avaient été volés des mois avant l'attaque. Lire les journaux de connexion du VPN et du pare-feu permet de repérer une intrusion déjà en cours.
- La correction sans casser : fermer une porte dont dépend la caisse, la comptabilité ou le télétravail demande de prévoir une autre solution, souvent un VPN avec double authentification.
Les corrections, par ordre de priorité
| Correction | Effort | Coût |
|---|---|---|
| Fermer le bureau à distance (RDP) ouvert sur Internet : passer par un VPN avec double authentification | Faible à moyen | Souvent nul |
| Mettre à jour le pare-feu, le VPN et le NAS ; changer les mots de passe si l'appareil a tourné avec une version vulnérable | Faible | Nul |
| Supprimer les comptes et logiciels d'accès inutilisés (anciens employés, anciens prestataires) | Faible | Nul |
| Double authentification sur tous les accès à distance et comptes administrateurs | Faible | Nul à faible |
| Désactiver l'UPnP et les redirections de ports inutiles sur le routeur | Faible | Nul |
| Retirer d'Internet les appareils qui n'ont rien à y faire (NAS, caméras, automates) ; accès par VPN ou portail du fabricant | Moyen | Faible |
| Remplacer les appareils que le fabricant ne met plus à jour | Moyen | Achat de matériel |
| Refaire l'inventaire tous les trimestres et après chaque changement (nouveau prestataire, nouvel appareil, déménagement) | Faible | Quelques heures par an |
Pour remplacer un bureau à distance ouvert par un VPN, il faut un routeur qui le gère. Deux exemples, du plus simple au plus complet :
Concrètement : trois options
| Option | Ce que ça coûte | Le risque |
|---|---|---|
| Ne rien faire | Rien, tant que rien n'arrive | Une porte oubliée suffit : rançongiciel, données volées, activité à l'arrêt pendant des jours |
| Vérifier soi-même | Une heure ou deux, avec la liste ci-dessus, Safeonweb@work et Shodan | Passer à côté d'une porte, ou ne pas savoir corriger sans bloquer l'activité |
| Faire réaliser un audit externe | Quelques heures d'audit, puis les corrections | Le plus faible : inventaire complet de vos adresses, failles connues vérifiées, journaux relus, plan de correction priorisé |
Exemple (cas illustratif) : une fiduciaire de huit personnes. L'inventaire révèle quatre portes : le bureau à distance du serveur, ouvert sur Internet depuis le confinement « pour le télétravail » ; un TeamViewer installé par un ancien informaticien et toujours actif ; le NAS, joignable depuis l'extérieur par une redirection de port ; un pare-feu qui n'a pas été mis à jour depuis deux ans. Corrections : télétravail par VPN avec double authentification, bureau à distance fermé côté Internet, TeamViewer désinstallé, NAS accessible uniquement par le VPN, pare-feu mis à jour et tous ses mots de passe changés. Coût : une demi-journée de travail, aucun achat.
Pour votre informaticien
- Inventorier toutes les adresses publiques : lignes secondaires, sites distants, IPv6, enregistrements DNS (sous-domaines oubliés), services cloud et hébergements.
- Scan externe depuis une connexion tierce, uniquement sur des adresses dont on est mandaté :
nmap -p- -sVen TCP, et les ports UDP courants (500/4500 IPsec, 1194 OpenVPN, 51820 WireGuard, 161 SNMP). - Shodan
net:<plage>et Censys pour l'historique ; Shodan Monitor pour une alerte à chaque nouveau service exposé. - Comparer les versions exposées au catalogue CISA KEV et aux avertissements du CCB (ex. 28/10/2026 : Cisco Secure Firewall ASA/FTD).
- RDP : jamais exposé ; passerelle RD ou VPN avec MFA. Vérifier aussi les redirections de ports et l'UPnP du routeur.
- Pare-feu et VPN : interface d'administration fermée côté WAN, comptes locaux inutilisés supprimés. SonicWall : après une version vulnérable à CVE-2024-40766, réinitialiser tous les secrets stockés (mots de passe SSL VPN, secrets OTP, comptes LDAP synchronisés), vérifier le groupe par défaut des utilisateurs SSLVPN.
- Outils de prise en main : inventaire sur tous les postes, liste blanche (App Control / AppLocker), un compte nominatif par technicien avec MFA.
- Journaux : connexions VPN depuis des hébergeurs (VPS) plutôt que des fournisseurs d'accès, connexions hors heures, comptes inattendus.
- PHP : versions corrigées de PHP2Shell (CVE-2026-109618, CVE-2026-109619) : 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ; les versions plus anciennes ne reçoivent pas de correctif.
Testez-vous
Sources
Arctic Wolf. (2025). September 2025 update on aggressive ongoing Akira ransomware campaign. https://arcticwolf.com/resources/blog/september-2025-update-ongoing-akira-ransomware-campaign/
Centre for Cybersecurity Belgium. (2026, 15 octobre). Figures show a steady rise in incidents: the CCB urges enterprises to act immediately. https://ccb.belgium.be/news/figures-show-steady-rise-incidents-ccb-urges-enterprises-act-immediately
Centre pour la Cybersécurité Belgique. (2023, 14 novembre). Safeonweb devient grande sœur ! news.belgium.be. https://news.belgium.be/fr/node/35190
Cimpanu, C. (2022, 28 janvier). Deadbolt ransomware hits more than 3,600 QNAP NAS devices. The Record. https://therecord.media/deadbolt-ransomware-hits-more-than-3600-qnap-nas-devices/
Jonkers, J. (2026, 16 octobre). CCB sounds the alarm: cyber incidents at Belgian companies already exceed 2025 totals. ITdaily. https://itdaily.com/blogs/security/ccb-more-cyber-incidents-in-belgium/
Krebs, B. (2014, 5 février). Target hackers broke in via HVAC company. Krebs on Security. https://krebsonsecurity.com/2014/02/target-hackers-broke-in-via-hvac-company/
Microsoft Security Experts. (2025). Keys to the kingdom: RMM exploits enabling human-operated intrusions in 2024–25. Microsoft Community Hub. https://techcommunity.microsoft.com/t5/microsoft-security-experts-blog/keys-to-the-kingdom-rmm-exploits-enabling-human-operated/ba-p/4410903
Paganini, P. (2018, 16 avril). Attackers exfiltrated a casino's high-roller list through a connected fish tank. Security Affairs. https://securityaffairs.com/71433/hacking/fish-tank-hack.html
RTBF. (2026, 21 octobre). Une faille informatique mondiale met de nombreux sites internet en état d'alerte. https://www.rtbf.be/article/une-faille-informatique-mondiale-met-de-nombreux-sites-internet-en-etat-d-alerte-11803667
Sophos. (2024). Cybercriminals abuse Remote Desktop Protocol (RDP) in 90% of attacks handled by Sophos incident response in 2023, Sophos' newest Active Adversary report finds. https://www.sophos.com/en-us/press/press-releases/2024/04/cybercriminals-abuse-remote-desktop-protocol-rdp-90-attacks-handled
Verizon. (2025). 2025 Data Breach Investigations Report. https://www.verizon.com/business/resources/reports/dbir/
watchTowr. (2026, 26 octobre). CVE-2026-109618: Exploited remote code execution in PHP. https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
Zorz, Z. (2025, 29 septembre). Akira ransomware: From SonicWall VPN login to encryption in under four hours. Help Net Security. https://www.helpnetsecurity.com/2025/09/29/akira-ransomware-sonicwall-vpn/