Sébastien Giai-Checa, directeur Cybersécurité, SCC France : « Cybersécurité : le véritable enjeu n'est plus seulement d'empêcher l'attaque, mais de maîtriser l'exposition » Pendant longtemps, la cybersécurité a été pensée comme une course à l'armement technologique : multiplier les solutions de protection, renforcer les pare-feu, déployer de nouveaux outils de détection. Sébastien Giai-Checa directeur Cybersécurité chez SCC France explique que bien que cette approche reste nécessaire elle ne suffit plus. PAR SÉBASTIEN GIAI-CHECA, DIRECTEUR CYBERSÉCURITÉ, SCC FRANCE Publié le 16/09/2026 à 16:30 | Mis à jour le 16/09/2026 à 17:03 Les attaques récentes le montrent avec acuité. Les cybercriminels n'ont pas toujours besoin d'exploiter une faille technique sophistiquée. Une identité compromise, un mot de passe récupéré, un compte insuffisamment protégé ou des droits d'accès excessifs peuvent suffire. L'affaire récente autour du groupe de hackers présumé ZeroBytes en est une illustration. Dans l'enquête sur les attaques visant la Direction générale des Finances publiques (DGFiP), un jeune homme de 18 ans a été mis en examen et placé en détention provisoire. Un second suspect, âgé de moins de 16 ans, a également été interpellé puis libéré. Les investigations portent notamment sur deux intrusions réalisées en juin et juillet à partir d'accès compromis appartenant à des agents de l'État, qui auraient permis le vol de données concernant 678 000 particuliers et professionnels. Fuite de données : l’Éducation nationale dans le viseur du désormais célèbre groupe ZeroBytes Ce qui interpelle n'est donc pas uniquement l'ampleur de l'attaque, mais sa mécanique : des accès légitimes peuvent devenir, entre de mauvaises mains, des clés permettant de progresser dans un système d'information. Autrement dit, ils n'attaquent plus nécessairement les systèmes. Ils se connectent. « Chat noir » et « casquette », qui sont les deux nouveaux enfants terribles du web français 1 – Un identifiant peut devenir un point d'entrée majeur L'exemple de la DGFiP est révélateur : selon les éléments communiqués par le parquet, les intrusions se sont appuyées sur des accès compromis appartenant à des agents de l'État. Une fois un identifiant compromis, la question devient celle de la capacité à « rebondir ». Des privilèges trop importants, l'absence de MFA, une journalisation insuffisante ou des accès trop larges peuvent rendre difficile la distinction entre activité normale et comportement malveillant. Le problème n'est donc pas seulement celui de la porte d'entrée, mais de ce qu'il est possible de faire une fois la porte franchie. Cette question renvoie directement à la gouvernance des identités et des droits : pourquoi un utilisateur dispose-t-il de privilèges administrateur ? Pourquoi un compte partenaire reste-t-il actif après la fin d'un projet ? Pourquoi certains collaborateurs accèdent-ils à des applications dont ils n'ont pas besoin ? Au fil des années, les applications se sont multipliées, les droits se sont accumulés et les processus d'entrée et de sortie n'ont pas toujours suivi. La cybersécurité devient alors une question de gouvernance autant que de technologie. 2 – Le mot de passe n'est plus une protection suffisante Les identifiants circulent désormais largement dans les écosystèmes cybercriminels, notamment via des logiciels malveillants capables de voler les données saisies sur les postes ou enregistrées dans les navigateurs. Une entreprise peut ainsi disposer d'un haut niveau de protection sur ses équipements professionnels tout en restant exposée par les usages personnels de ses collaborateurs. Un ordinateur familial insuffisamment protégé peut devenir un point de départ si des identifiants professionnels y sont utilisés. La première réponse consiste à renforcer l'authentification. Un mot de passe long et unique reste nécessaire, mais doit être complété par une authentification multifacteur (MFA). Lorsque cela est possible, il faut privilégier des mécanismes robustes plutôt que le simple envoi d'un code par SMS. Mais la technologie ne constitue qu'une partie de la réponse. 3 – L'exposition doit être évaluée avant d'être réduite Avant de multiplier les solutions, il faut savoir ce que l'on cherche réellement à protéger. La première étape d'une démarche de cybersécurité devrait donc être l'évaluation de l'exposition réelle de l'organisation : quelles données circulent ? Quels actifs sont accessibles depuis Internet ? Quels identifiants compromis sont disponibles dans les écosystèmes clandestins ? Quels sous-traitants peuvent constituer un point d'entrée ? Quels systèmes présentent des vulnérabilités ou des configurations à risque ? L'affaire DGFiP illustre cette nécessité. Le parquet indique que les attaques ont conduit au vol de données personnelles concernant 678 000 particuliers et professionnels. La question essentielle n'est donc pas seulement : « Avons-nous été attaqués ? » Elle est aussi : « Qu'aurait-il été possible de faire avec un accès compromis dans notre système d'information ? » Cette cartographie permet de sortir d'une approche uniquement anxiogène de la cybersécurité. L'objectif n'est pas de faire peur, mais de disposer d'une vision factuelle de son exposition afin de prioriser les actions. Accumuler des outils ne garantit pas un niveau de sécurité supérieur. Encore faut-il qu'ils soient correctement configurés, supervisés, interconnectés et intégrés dans une véritable stratégie de gouvernance. 4 – Le prochain défi : sécuriser les identités non humaines La problématique de l'identité ne concerne plus uniquement les collaborateurs. Les entreprises sont désormais entourées d'identités « non humaines » : objets connectés, équipements industriels, imprimantes, caméras, applications, services automatisés et, de plus en plus, agents d'intelligence artificielle. Dans un environnement industriel, un équipement connecté peut constituer un point de passage entre le monde IT et le monde opérationnel. Avec les agents logiciels et les agents d'IA, la question est comparable : plus leurs capacités d'action augmentent, plus la gestion de leurs droits devient critique. À qui appartient la gouvernance de ces agents ? Qui définit leurs permissions ? Qui vérifie ce qu'ils peuvent consulter ou modifier ? Qui révoque leurs accès lorsqu'ils ne sont plus nécessaires ? La maîtrise des identités non humaines et des privilèges qui leur sont accordés sera l'un des prochains grands sujets de la cybersécurité. 5 – L'IT et l'OT ne peuvent plus être pensés séparément Cette évolution est particulièrement sensible dans les environnements industriels. De nombreux équipements connectés ont été conçus à une époque où la cybersécurité n'était pas une priorité. Certains restent connectés aux réseaux de l'entreprise alors même qu'ils sont difficiles à mettre à jour. Lorsqu'un équipement ou un ordinateur assure une passerelle entre le système d'information et les systèmes industriels, il peut devenir un point stratégique pour un attaquant. Les conséquences ne sont alors plus seulement numériques : elles peuvent affecter directement la continuité de production. C'est aussi pourquoi certaines attaques prennent désormais une dimension géopolitique. Les infrastructures critiques et industrielles peuvent devenir des cibles stratégiques, faisant de la cybersécurité un enjeu de souveraineté et de sécurité nationale. 6 – Ne plus faire de l'humain le maillon faible L'affaire ZeroBytes soulève également une question qui dépasse le seul cadre technique : comment une nouvelle génération de cybercriminels se forme-t-elle ? Le profil très jeune des personnes interpellées doit nous interroger, non pas parce que l'âge expliquerait à lui seul le passage à l'acte, mais parce qu'il montre l'accès de plus en plus précoce à des connaissances, des outils et des communautés cyber. Certains parcours peuvent commencer dans des espaces en ligne, des forums ou des communautés spécialisées, avec parfois la recherche de reconnaissance plus que la seule motivation financière. Dans cette chaîne de sécurité, l'humain est souvent présenté comme le « maillon faible ». Je préfère parler de l'humain comme d'un élément à renforcer. La sensibilisation doit dépasser les formations ponctuelles et permettre aux collaborateurs de comprendre les mécanismes auxquels ils sont confrontés : hameçonnage, vol d'identifiants, usurpation d'identité, fraude au président, ingénierie sociale ou compromission d'un terminal personnel. 7 – Protéger les données est une responsabilité collective Lorsqu'une organisation collecte nos données, nous lui accordons une forme de confiance. Elle doit en contrepartie mettre en œuvre les moyens nécessaires pour les protéger. L'utilisateur doit évidemment adopter de bonnes pratiques, mais il ne peut être considéré comme seul responsable lorsque les informations permettant de l'usurper ont été compromises ailleurs. L'affaire de la DGFiP le rappelle : lorsque des centaines de milliers de données personnelles sont dérobées, les conséquences dépassent largement le système d'information initialement compromis. Ces données peuvent ensuite alimenter des campagnes de fraude, d'usurpation d'identité ou d'ingénierie sociale. La multiplication des plateformes et des bases de données centralisées renforce cet enjeu. La question n'est pas de renoncer à la transformation numérique, mais de l'accompagner d'une exigence de sécurité proportionnée à la valeur et à la sensibilité des données. 8 – Passer d'une cybersécurité de la peur à une cybersécurité de la maîtrise La cybersécurité ne devrait plus être abordée uniquement sous l'angle du risque ou de la menace. L'affaire ZeroBytes nous rappelle une chose essentielle : une attaque peut commencer de manière extrêmement banale et produire des conséquences considérables. Il faut donc d'abord savoir où l'on est exposé, quelles identités peuvent accéder à quoi, quels privilèges sont réellement nécessaires, quels équipements constituent des passerelles et quelles données sont susceptibles de circuler en dehors de l'organisation. Ensuite seulement vient la question des dispositifs à renforcer et des capacités de détection à mettre en place. Surveiller les signaux faibles issus de l'écosystème cyber, analyser les données disponibles sur les forums clandestins, auditer régulièrement les infrastructures et tester les dispositifs de défense permettent de passer d'une posture réactive à une posture proactive. Il faut également accepter une réalité : nous ne pouvons pas empêcher toutes les compromissions. En revanche, nous pouvons considérablement limiter leur capacité de propagation. L'enjeu n'est donc pas de construire une forteresse numérique impossible à pénétrer, mais de faire en sorte qu'une compromission initiale ne puisse pas se transformer en prise de contrôle généralisée. La cybersécurité de demain sera moins une question de multiplication des outils qu'une question de maîtrise des identités, des privilèges, des interconnexions et de l'exposition globale. Cette maîtrise devra s'étendre aux humains comme aux machines, aux applications comme aux agents d'IA, aux environnements IT comme aux infrastructures industrielles. Le profil des personnes récemment interpellées dans l'affaire ZeroBytes doit également nous faire réfléchir : face à des acteurs capables d'acquérir très jeunes des compétences techniques, de rejoindre des communautés spécialisées et d'exploiter des accès légitimes, notre réponse ne peut pas être uniquement technologique. Elle doit être organisationnelle, humaine et pédagogique. Car dans un monde où l'attaquant peut parfois se contenter de se connecter, la meilleure défense consiste d'abord à savoir précisément qui peut se connecter, à quoi, avec quels droits, pourquoi et pendant combien de temps. Mike Hadjadj, fondateur d’iloveretail.fr : « SaaSpocalypse : qui paiera encore son logiciel ? » Galaxy Book6 Series : 10 raisons de choisir la performance Le guide de la migration écoresponsable vers Windows 11 IA locale : la nouvelle ère de l’Intelligence artificielle ?