L’espion sur la chaîne de montage, la taupe recrutée en visio : on croirait lire un synopsis.… Mais la menace ne force pas toujours la porte : elle a souvent déjà la clé. Nous avons discuté avec Jérémy Voisin, directeur de la division Cyberdéfense de Cheops Technology, des moyens de la débusquer sans soupçonner tout le monde.
Le 4 octobre 2024, à Rennes, la clinique mutualiste La Sagesse passe la journée sans systèmes d’information. Des opérations sont reportées et l’établissement tourne en mode dégradé. C’est le site le plus touché d’une cyberattaque d’envergure contre le Groupe hospitalier Grand Ouest, qui gère neuf établissements en Bretagne et dans les Pays-de-la-Loire. La rançon exigée s’élève à 650 741 dollars. La piste mène à un ancien responsable de la sécurité des systèmes d’information du groupe, l’homme chargé de le protéger, rapporte la Gendarmerie nationale sur son site Gendinfo. Le cas est extrême, et c’est pour cela qu’il marque. Il a pourtant le mérite de rappeler ce que beaucoup d’entreprises préfèrent oublier : l’attaque ne vient pas forcément de l’extérieur.
Quand la maison devient une annexe du bureau
Avant de parler de traîtres, il faut parler de distraits. Jérémy Voisin distingue deux familles de menace interne : la volontaire, portée par quelqu’un qui veut du mal à l’entreprise, et l’involontaire, de loin la plus fréquente même si tout dépend du secteur. Le salarié en cause ne pense pas à mal, ou n’imagine pas que son geste présente un risque.
Le premier suspect s’appelle l’infostealer, ce logiciel qui aspire les identifiants enregistrés sur un poste. Jérémy Voisin le répète, un navigateur web n’est pas un coffre-fort numérique. Or beaucoup de collaborateurs croient que la sécurité s’arrête à la porte de l’entreprise. Le soir, ils avancent un dossier sur leur ordinateur personnel, y enregistrent leurs mots de passe, y copient des documents depuis une clé USB. Si la machine est déjà compromise, l’attaquant récupère le tout sans forcer la moindre serrure. Le télétravail a fini d’effacer la frontière.
Avant, on distinguait le professionnel et le personnel. Aujourd’hui, la maison est devenue un petit bout du bureau
Jérémy Voisin, directeur de la division Cyberdéfense de Cheops Technology
Il en garde un exemple précis. Une salariée manquait de débit chez elle. Pour travailler en local, elle avait rapatrié ses dossiers sur un NAS installé par son fils. Le NAS a été compromis, et les données de l’entreprise sont parties avec.
Cinq visages de la trahison
Côté volontaire, Jérémy Voisin dresse une typologie en cinq profils. Il y a d’abord la vengeance, celle du salarié brouillé avec son employeur, dont l’affaire du Groupe hospitalier Grand Ouest cité en introduction offre une illustration spectaculaire.
Puis l’appât du gain, sous deux formes : revendre ses accès à un groupe d’attaquants, ou revendre des informations sensibles.
Vient ensuite l’espionnage industriel. Sur ce terrain, l’actualité lui a fourni un cas d’école. Le 10 février 2026, dans la toute nouvelle usine Dassault de Cergy, un monteur-câbleur intérimaire de 19 ans est repéré sur la chaîne d’assemblage du Rafale avec des lunettes capables de filmer. Entendu sur place puis au commissariat de Cergy-Pontoise, il est placé en garde à vue le soir même par la police judiciaire. La qualification envisagée pèse lourd : “atteinte aux intérêts fondamentaux de la nation”. La DGSI observe l’affaire, selon RTL, et les enquêteurs cherchent encore à établir s’il filmait réellement l’appareil, et dans quel but.
Le cinquième profil est le moins romanesque, et sans doute le plus répandu. “La première chose que fait un commercial quand il sait qu’il s’en va, c’est copier tous les dossiers des offres en cours, les modèles…”. Et un morceau de l’entreprise se retrouve chez le concurrent.
Des leurres plutôt que des soupçons
Pour attraper ces profils, Jérémy Voisin plaide pour une approche globale : collecter les journaux de l’ensemble du système d’information, puis superposer plusieurs couches de détection. La première consiste à comparer l’activité réelle à une référence validée. Quand une machine sort du cadre, on lève le doute. L’expérience l’a rendu lucide : dans 80% des cas, le coupable est un changement d’architecture que personne n’a signalé au SOC. Les 20% restants méritent qu’on s’y attarde.
La deuxième couche relève du piège. Faux comptes, faux partages, faux documents, que personne n’a de raison légitime d’ouvrir. Il cite l’exemple d’une table au nom alléchant, “carte de crédit” ou “paiement”, glissée dans la base de données d’un site web et reliée à rien. Si quelqu’un l’interroge, deux hypothèses : un administrateur qui fouine, “Soit c’est parce que mon site a été compromis, que j’ai une injection SQL et j’ai un attaquant qui est en train de fouiner”.
L’analyse comportementale complète le dispositif. Un salarié qui ouvre quelques fichiers par jour et en consulte soudain 10 000 en une heure pose question. Le machine learning a aussi permis de démasquer quelqu’un qui exfiltrait discrètement des données tous les sept jours. Les petites attaques, Jérémy Voisin les laisse aux protections standards, EDR, MDR et pare-feu. Il distingue “les grands méchants”, ceux qui savent se cacher dans le bruit, jusqu’à se faire passer pour un processus familier de la machine.
L’ennemi passe l’entretien
Le front s’est aussi déplacé vers le recrutement. Dans l’industrie sensible, les faux entretiens en deepfake ne relèvent plus de la science-fiction. En France, le screening des candidats reste délicat. Pour les postes clés, ceux que visent attaquants et espions, il recommande de placer des profils techniques dans le jury, capables de poser les bonnes questions et de lire les réactions.
KnowBe4 en a fait l’amère expérience. Le spécialiste américain de la sensibilisation au phishing avait mené quatre entretiens en visio, vérifié les références et obtenu une vérification d’antécédents sans tache avant d’embaucher un ingénieur logiciel principal. L’identité était valide, mais volée, et la photo venait d’une banque d’images retouchée par IA. Le 15 juillet 2024, à 21h55, heure de New York, le Mac tout juste livré commence à charger des logiciels malveillants, téléchargés à l’aide d’un Raspberry Pi. Le SOC appelle la recrue, qui invoque un souci de routeur, se dit indisponible, puis ne répond plus. Vingt-cinq minutes plus tard, la machine est isolée. Mandiant et le FBI confirmeront qu’il s’agissait d’un faux informaticien nord-coréen. Aucune donnée n’a fuité, car les nouveaux arrivants démarrent dans un environnement verrouillé. Le PDG Stu Sjouwerman a raconté l’incident lui-même sur le blog de l’entreprise, en prévenant ses lecteurs : “Si cela peut nous arriver, cela peut arriver à presque n’importe qui”.
Le cas qui a marqué Jérémy Voisin est celui d’Amazon. Une frappe au clavier envoyée depuis les États-Unis devrait atteindre le siège de Seattle en quelques dizaines de millisecondes. Pour ce nouvel administrateur systèmes, recruté par un prestataire, il en fallait plus de 110. Alertée par ses outils de surveillance, l’équipe sécurité découvre une machine pilotée à distance et remonte le trafic jusqu’en Chine. Le poste n’ayant accès à rien de sensible, elle observe l’imposteur quelques jours avant de l’expulser. Depuis avril 2024, Amazon dit avoir déjoué plus de 1 800 tentatives d’embauche de Nord-Coréens. Interrogé par Bloomberg, son responsable de la sécurité, Stephen Schmidt, en tire la leçon : “Si nous ne les avions pas cherchés, nous ne les aurions pas trouvés”.
Et la sensibilisation, face à quelqu’un de déterminé ? Elle freine plus qu’elle n’empêche, reconnaît Jérémy Voisin, surtout quand le volet juridique rappelle ce que le traître risque au pénal. Il garde une anecdote dissuasive en réserve : un salarié avait vendu l’accès de son entreprise 1 000 euros à un groupe d’attaquants, et n’a jamais vu la couleur de l’argent.
Reste la question qui fâche : comment surveiller sans transformer l’entreprise en forteresse paranoïaque ? Pour lui, tout est affaire d’équilibre. La confiance demeure, mais elle s’accompagne d’une logique zero trust et de leurres semés ici et là. Personne n’est soupçonné a priori. Simplement, celui qui fouine finit par se faire remarquer, qu’il s’agisse d’un attaquant installé sur une machine compromise ou d’un collègue mal intentionné.
