Tailgating et piggybacking : entrer sans badge

L'intrus choisit un prétexte qui explique sa présence. La CISA cite le nouvel employé, la personne chargée d'une réparation et le chercheur¹. Il peut aussi avancer par étapes : s'il n'obtient pas assez d'informations d'une personne, il en contacte une autre dans la même organisation et s'appuie sur ce que la première a dit pour paraître plus crédible¹. Un accueil, un agent de sécurité ou un collègue de passage peuvent ainsi servir, sans le savoir, de caution au suivant.

L'objectif varie. Il peut s'agir de piéger du matériel : MITRE cite des outils comme le Bash Bunny ou le Raspberry Pi, et des ordinateurs portables bon marché, connectés au réseau local de l'organisation par le groupe DarkVishnya². Il peut s'agir de poser un support amovible, un cas détaillé plus bas³.

Dans ce type de scénario, il n'y a pas d'écran suspect : c'est la scène elle-même qui compte. L'illustration suivante est inventée et ne reprend aucun cas réel.

Illustration (scène fictive, aucun cas réel)
[Une personne inconnue, aimable, les bras chargés, arrive derrière vous
 devant une porte à badge et demande de la laisser passer.]
[Elle explique qu'elle est attendue ou qu'elle a oublié son badge.]

Ce que le salarié remarque d'abord, c'est une politesse ordinaire. Les signaux utiles sont ailleurs : la personne ne peut pas prouver qui elle est, elle n'a pas de contact interne à nommer, ou elle insiste. La CISA recommande de se méfier des visites, appels ou courriels non sollicités de personnes qui s'intéressent aux employés ou à des informations internes, et de vérifier l'identité d'une personne qui se réclame d'une organisation directement auprès de celle-ci¹. En pratique, on ne se fie pas aux coordonnées que la personne fournit elle-même.

Le premier réflexe est de refuser poliment, puis d'orienter la personne vers l'accueil. Le NCSC recommande de vérifier les demandes importantes reçues par courriel par un second moyen de communication, dont une confirmation en personne⁵. Transposée à la porte, cette logique donne ceci : une personne qui dit être attendue peut être annoncée par son contact interne.

Il faut ensuite signaler. Le NCSC décrit une culture où les utilisateurs signalent les tentatives, y compris celles auxquelles ils ont cédé, ce qui renseigne l'organisation sur les attaques en cours⁵. La CISA demande de prévenir les personnes compétentes de l'organisation, dont les administrateurs réseau, si l'on pense avoir révélé des informations sensibles, afin qu'elles guettent toute activité inhabituelle¹.

Le contrôle d'accès repose sur plusieurs couches : sas, badge, accueil. Chacune se contourne si une personne autorisée ouvre le passage. Les sources citées ici ne détaillent pas ces mécanismes. Elles donnent en revanche les défenses qui comptent une fois un intrus dans les murs.

MITRE recommande des règles de contrôle d'accès réseau, comme des certificats d'appareil et la norme 802.1x, et de restreindre le DHCP aux appareils enregistrés pour empêcher un appareil inconnu de dialoguer avec des systèmes de confiance². Elle recommande aussi de bloquer les appareils et accessoires inconnus par la configuration des postes et un agent de surveillance².

Pour les supports amovibles, MITRE explique qu'un mobile branché en USB, y compris par certains câbles de charge, peut infecter un ordinateur, surtout si la fonction Autorun est activée³. Elle conseille de limiter l'usage des périphériques USB et des supports amovibles dans un réseau³.

Scattered Spider, avis conjoint du 16 novembre 2023, mis à jour le 29 juillet 2025

Cet avis a été publié par le FBI, la CISA et plusieurs agences partenaires, dont le NCSC britannique⁴. Il décrit un groupe criminel qui vise de grandes entreprises et leurs services d'assistance informatique sous-traités⁴. Le cas ne concerne pas une intrusion physique : c'est une tromperie par téléphone et SMS. Il montre pourtant le même ressort que le tailgating, l'usurpation d'une identité de confiance. Le groupe s'est fait passer pour le personnel informatique ou du support afin d'obtenir des identifiants ou de faire lancer des outils d'accès à distance⁴. La mise à jour de juillet 2025 ajoute que des membres se sont aussi fait passer pour des employés pour obtenir une réinitialisation de mot de passe⁴.

FIN7 et les clés USB envoyées par courrier

MITRE rapporte que des acteurs de FIN7 ont envoyé par la poste des clés USB à des victimes potentielles. Elles contenaient un logiciel malveillant qui installe diverses portes dérobées, parfois pour des opérations de rançongiciel³. Certaines clés se comportaient comme un clavier virtuel³. La source ne donne pas de date pour ce cas. Il montre qu'un appareil physique peut arriver sans qu'aucun intrus n'entre.