Votre prestataire informatique possède les clés de votre système d’information : comptes administrateur, outil de prise en main à distance, accès au pare-feu, aux sauvegardes et à la messagerie. Pour un pirate, compromettre ce seul prestataire revient à obtenir d’un coup les clés de dizaines, parfois de centaines de clients. Cette stratégie est devenue l’une des tendances les plus nettes de la cybercriminalité. Comment fonctionne-t-elle, et quelles garanties exiger de votre prestataire ?
L’essentiel en 30 secondes
- Un tiers est impliqué dans 48 % des violations de données selon le Verizon DBIR 2026, contre 30 % un an plus tôt.
- La cible préférée : l’outil de gestion à distance (RMM) du prestataire, qui permet de déployer un programme sur tous les postes de tous ses clients.
- Les attaquants exploitent aussi les comptes partagés, les accès sans double authentification et les failles des logiciels d’administration.
- Exigez des accès nominatifs, protégés par MFA, journalisés et limités, et une clause de notification d’incident dans le contrat.
Pourquoi les prestataires sont devenus une cible prioritaire
Un prestataire d’infogérance concentre ce que recherche un attaquant : des accès à hauts privilèges, déjà autorisés, chez de nombreuses organisations. Ses outils de supervision et de prise en main sont installés sur chaque poste client, signés et approuvés : un programme déployé par ce canal ne déclenche généralement aucune alerte.
Le précédent le plus connu reste l’attaque de juillet 2021 contre le logiciel Kaseya VSA : en exploitant une faille de cet outil utilisé par des prestataires, le groupe REvil a chiffré les systèmes d’environ 1 500 entreprises clientes en une seule opération. Le scénario s’est répété depuis. En 2025, les équipes de Sophos ont décrit l’attaque d’un prestataire dont l’outil SimpleHelp, vulnérable, a servi à déployer le rançongiciel DragonForce chez ses clients. Et dans son rapport de septembre 2026 sur les usages malveillants de ses modèles, Anthropic décrit un attaquant qui, à partir d’un accès compromis, a extrait les données de près de 200 clients en aval et récupéré plus de 2 100 jeux de jetons d’authentification Azure dans plus de 40 environnements, en environ 34 heures.
Les quatre chemins d’attaque
1. La faille dans l’outil d’administration
Outils RMM, consoles de sauvegarde, logiciels de prise en main : leurs vulnérabilités sont activement recherchées. Une console exposée sur Internet et non mise à jour suffit.
2. Le compte du technicien
Un technicien piégé par un e-mail, un mot de passe réutilisé ou volé par un logiciel espion, et l’attaquant accède à la console centrale. Sans double authentification, rien ne l’arrête.
3. Le détournement d’outils légitimes
Fin septembre 2026, Microsoft a décrit des campagnes d’hameçonnage qui installent un véritable outil RMM signé (MSP360), puis un second (ScreenConnect), pour garder un accès persistant et déployer des outils de vol d’identifiants. Aucun logiciel malveillant classique : uniquement des programmes légitimes, détournés.
4. Les comptes partagés et les accès permanents
Un même compte « admin » utilisé par toute l’équipe, sur tous les clients, sans expiration ni journalisation : c’est le scénario idéal pour un attaquant, et le pire pour enquêter ensuite.
Les garanties à exiger de votre prestataire
| Domaine | Exigence minimale |
|---|---|
| Comptes | Comptes nominatifs par technicien, jamais de compte partagé |
| Authentification | Double authentification sur la console RMM, le VPN et tous les accès administrateur |
| Outils | Liste des outils installés chez vous, maintenus à jour, consoles non exposées sans protection |
| Cloisonnement | Identifiants et sauvegardes séparés par client |
| Traçabilité | Journalisation des connexions et actions, consultable sur demande |
| Moindre privilège | Droits limités au strict nécessaire, accès à la demande plutôt que permanents |
| Contrat | Obligation de notifier tout incident sous 24 à 48 heures, clauses RGPD et réversibilité |
| Sauvegardes | Une copie hors de portée du prestataire lui-même (immuable ou déconnectée) |
Ces points se retrouvent dans notre liste de 15 questions à poser à un prestataire informatique et dans notre guide sous-traitance informatique et RGPD.
Ce que vous pouvez faire de votre côté
- Faire l’inventaire de tous les accès dont disposent vos prestataires : comptes, outils installés, règles de pare-feu, accès aux sauvegardes.
- Supprimer les accès d’anciens prestataires et les outils de prise en main inutilisés.
- Bloquer les outils de prise en main non approuvés (règles AppLocker ou contrôle d’applications Windows), comme le recommande Microsoft.
- Garder la maîtrise d’au moins un compte administrateur de secours et d’une sauvegarde hors de portée du prestataire.
- Demander un compte rendu annuel de sécurité : mises à jour, incidents, tests de restauration.
Notre engagement chez MPCSI
En tant que prestataire, nous appliquons ces règles à nous-mêmes : comptes nominatifs, double authentification systématique, accès limités dans le temps et journalisés, cloisonnement entre clients. C’est aussi ce que nous vérifions lors d’un audit de cybersécurité, quel que soit votre prestataire actuel.
Questions fréquentes
Faut-il se passer de prestataire pour éviter ce risque ?
Non. Une petite structure sans prestataire est généralement bien plus exposée : mises à jour oubliées, sauvegardes non testées. Le bon réflexe est d’encadrer les accès du prestataire, pas de s’en priver.
Comment savoir quels outils mon prestataire a installés ?
Demandez-lui la liste écrite des logiciels et comptes qu’il utilise chez vous. Un prestataire sérieux la fournit sans difficulté et la tient à jour.
Mon prestataire doit-il me prévenir s’il est piraté ?
Oui. En tant que sous-traitant au sens du RGPD, il doit vous notifier toute violation de données dans les meilleurs délais. Prévoyez aussi un délai contractuel précis pour tout incident de sécurité.
La directive NIS2 change-t-elle quelque chose ?
Oui : les prestataires de services informatiques gérés font partie des secteurs couverts, et les entités assujetties devront contrôler la sécurité de leurs fournisseurs. Voir notre article NIS2 en pratique.
Sources
- Verizon, Data Breach Investigations Report 2026.
- Microsoft Security Blog, « Phishing abuses RMM tools for persistent access » (29 septembre 2026).
- Help Net Security, « Attackers hit MSP, use its RMM software to deliver ransomware to clients » (mai 2025).
- Anthropic, rapport sur les usages malveillants de Claude (septembre 2026).
- CNIL, rapport annuel 2025 (rôle des sous-traitants dans les violations de données).
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Découvrez notre approche de l’infogérance sécurisée. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
