Leurs échanges se tiennent à l’abri des regards, et c’est ce qui fait leur force. InterCERT France fête ses cinq ans et fédère désormais plus de 140 équipes de réponse aux incidents. Son président, Thibaud Binétruy, lève un coin du voile sur ce qui s’y partage : des attaquants qui ont industrialisé leurs méthodes, des mots de passe volés devenus monnaie courante, des sous-traitants transformés en portes dérobées et une identité devenue le nouveau champ de bataille.
Deux fois par an, plusieurs centaines de professionnels de la réponse aux incidents se retrouvent pour parler de ce qu’ils ne raconteront nulle part ailleurs : leurs attaques, leurs failles, leurs ratés. Réseau de coopération né dans les années 2000 et constitué en association en 2021, InterCERT France réunit aujourd’hui 140 CERT et CSIRT, soit environ 1 400 personnes. Parmi eux, on compte Thales, Airbus, EDF, la SNCF, la Police judiciaire et, depuis peu, les Hospices Civils de Lyon, premier CHU à rejoindre l’aventure. “C’est une association qui permet aux gens qui travaillent dans des CERT de se parler, d’échanger sur les incidents, sur la menace, sur la manière dont travaillent les attaquants, sans que ce soit public”, résume Thibaud Binétruy.
Chaque candidat passe une audition devant le conseil d’administration et remplit une auto-évaluation selon le référentiel SIM3. Il ne s’agit pas de trier les meilleurs, mais de vérifier que l’équipe sait où elle en est et qu’elle vient contribuer.
Le cybercrime passe en mode franchise
Entre un incident type de 2021 et un incident de 2026, Thibaud Binétruy relève d’abord le poids de la géopolitique. Il observe davantage de prépositionnement, c’est-à-dire des intrus qui s’installent dans les systèmes d’information pour un usage futur, ainsi que des agressions liées à la position de la France vis-à-vis de l’Ukraine. Les attaquants se sont aussi mis à l’intelligence artificielle pour automatiser et accélérer leurs campagnes, notamment de phishing. Mais la vraie rupture tient en un mot : les infostealers.
La grosse menace qu’on voit en 2025-2026 et qui n’existait pas en 2021, ce sont les infostealers.
Thibaud Binétruy président d’InterCERT
Selon lui, les incidents emblématiques de l’été, dont celui de la DGFiP, ont tous commencé de la même façon : une infection dans un environnement personnel et un vol de mot de passe assez basique. Le résultat donne le vertige. “On se retrouve en 2026 avec plusieurs milliards de comptes en vente”, qui ouvrent à bien des attaquants l’accès à des systèmes parfois sensibles.
L’été a d’ailleurs montré il s’agit d’attaquants plutôt présents sur le territoire, qui ont trouvé une brèche facile vers des applications mal supervisées. Il pointe aussi des systèmes conçus il y a des années, sans la cybermenace actuelle en tête. Toute la question est de savoir si l’on peut transformer les systèmes d’information aussi vite que la menace évolue. Thibaud Binétruy refuse le fatalisme : “On arrive à faire des choses. On a des succès tous les jours”.
Côté rançongiciel, le modèle a achevé sa mue. Le ransomware-as-a-service, déjà présent en 2021, est devenu la norme. “Ça fonctionne comme une franchise”, image le président. Un noyau maintient les outils, l’organisation et les recettes, puis des affiliés viennent attaquer et touchent une part de la rançon. Ces recettes ont un nom, les playbooks : des fiches pas à pas distribuées aux adhérents du groupe. La méthode permet à des profils peu pointus de compromettre des entreprises, avec parfois des ratés savoureux. “Des fois, il y a des échecs assez rigolos. On voit des gens qui n’ont aucune idée de ce qu’ils font et qui commencent à faire des choses orientées Windows dans des environnements Linux”.
Tout le monde est concerné
Les cibles, elles aussi, ont bougé. Le rançongiciel a rendu la vulnérabilité des entreprises très visible, et les grands groupes ont réagi les premiers. “Ces grosses entreprises, capables de payer de grosses rançons, étaient au début assez ciblées. Finalement, elles se sont défendues. Et il y a eu un morcellement vers des structures plus petites”. La menace s’est donc éparpillée. D’un côté, l’opportunisme pur :
Il y a des gens qui se baladent dans la rue et qui poussent toutes les portes. À un moment, il y a une porte qui s’ouvre.
Thibaud Binétruy président d’InterCERT
Un outil vulnérable exposé sur Internet sera attaqué très vite, que l’on soit une PME ou un grand groupe. De l’autre, des attaquants qui poursuivent un objectif précis et qui, face à une cible bien armée, vont plutôt taper à côté. Ils passent par le fournisseur qui a moins investi, ou par l’outil partagé par des dizaines d’entreprises : c’est l’essor des attaques sur la chaîne d’approvisionnement.
L’affaire des réfrigérateurs connectés d’une chaîne de supermarchés, survenue le week-end dernier, est l’exemple récent. Selon lui, une entreprise tierce a probablement installé un accès qui échappait totalement à son client. « Il va y avoir un avant et un après cet événement », prédit le président, convaincu que les grandes enseignes sont déjà en train de relire leurs contrats. Les petites structures ne sont pas épargnées pour autant. Il cite des PME et TPE qui perdent tout du jour au lendemain, faute d’avoir activé l’authentification multifacteur ou sauvegardé leurs données les plus vitales.
La fin du château fort
Quels signaux faibles faut-il guetter ? Thibaud Binétruy en retient trois. Le premier est la supervision applicative. Installer un EDR sur un système et récupérer la télémétrie est relativement simple. Savoir qui s’est connecté à une application métier, et depuis quelle adresse IP, exige en revanche de concevoir, générer puis exploiter des traces de haut niveau. Le deuxième est l’identité, “devenue la pierre angulaire de la détection”. Le système d’information n’est plus un château fort avec une grosse porte d’entrée : il s’étend dans le cloud, chez des tiers et dans les applications SaaS. Le seul point commun reste l’identité professionnelle, d’autant que certaines menaces savent désormais contourner l’authentification multifacteur. Repérer le compte détourné parmi 50 000 ou 200 000 collaborateurs, sans verrouiller le travail de chacun, relève d’un “savant équilibre”.
Le troisième chantier est l’IA, que les entreprises ne peuvent plus esquiver. “Toutes les entreprises sont obligées d’y aller. La posture de la sécurité ne peut pas être simplement de dire non, c’est dangereux”. Il faut des garde-fous, mais pas au point de stériliser l’outil, un agent IA à qui on interdit tout, ça n’apporte rien.
Thibaud Binétruy pointe une particularité du métier : une attaque évitée ne fait pas de bruit. Les attaques maîtrisées ne seront jamais documentées. “Le moindre échec est très visible. Mais pour un arbre qui tombe, combien ont poussé ? Combien d’attaques ont été entravées derrière ? Probablement des centaines, voire des milliers”.
