Cyber :accès des prestataires :
une clé de maintenance ouvre parfois toute l’entreprise
Votre prestataire règle vos installations depuis son bureau, sans jamais se déplacer. Ce confort repose sur un compte, celui d’un technicien qui se connecte aussi aux installations d’autres établissements. Si un cybercriminel s’en empare, la porte laissée ouverte pour la maintenance lui sert d’entrée.
Un accès prévu pour dépanner peut servir de porte d’entrée
Pour intervenir à distance, les prestataires disposent de comptes spécifiques. Leurs techniciens s’en servent pour se connecter aux installations de plusieurs établissements à la fois. Si un attaquant s’empare des identifiants de l’un d’eux, par vol de mot de passe, et que les accès ne sont pas strictement encadrés, il peut se faire passer pour lui et entrer dans tous les équipements que ce compte autorise.
La suite dépend de l’architecture de votre réseau. Quand le cloisonnement est insuffisant, l’attaquant avance de proche en proche, ce que les spécialistes nomment un mouvement latéral. Il peut alors atteindre vos équipements électriques, vos systèmes de supervision technique, certains serveurs ou postes informatiques, et tout appareil connecté au même réseau.
Le principe du moindre privilège répond à ce risque : chaque utilisateur dispose uniquement des droits que sa mission exige. Vous ne confiez pas le code de votre coffre-fort au technicien venu réviser la chaudière. Votre prestataire non plus ne doit pas pouvoir ouvrir l’ensemble de votre réseau pour accomplir sa mission.
Du risque avéré à la bonne pratique
Le cas le plus inquiétant est celui du technicien mandaté pour un seul équipement, qui possède pourtant des droits d’administration sur tout le réseau de la structure. Si son compte est volé, l’attaquant obtient les clés de l’ensemble.
Plus discrète, une deuxième situation mérite votre attention : le prestataire qui conserve ses accès après la fin de son contrat, ou après le départ d’un de ses techniciens. Le compte existe toujours, plus personne ne l’utilise légitimement, et plus personne ne le surveille.
La bonne configuration repose sur un compte nominatif, limité aux équipements concernés, avec un accès sécurisé, cloisonné et surveillé, désactivé dès qu’il n’a plus d’utilité.
Sept vérifications à faire dès maintenant
Avant de les appliquer, testez votre situation. Savez-vous qui détient un accès à distance à vos équipements ? Les comptes sont-ils nominatifs ou partagés entre plusieurs techniciens ? Un compte prestataire peut-il joindre d’autres réseaux ? Quelqu’un contrôle-t-il les opérations réalisées à distance ? Si ces réponses vous manquent, l’inventaire de vos accès devient prioritaire.
- Recensez tous les prestataires qui disposent d’un accès à vos systèmes.
- Limitez les droits à ce que chaque intervention exige.
- Séparez les équipements techniques de vos serveurs et du reste du réseau.
- Privilégiez les comptes nominatifs, l’authentification multi-facteurs et des solutions d’accès à distance sécurisées.
- Désactivez les comptes dont vous n’avez plus l’usage.
- Contrôlez les habilitations après chaque changement de prestataire ou départ d’un intervenant.
- Conservez les journaux de connexion pour repérer les accès et les opérations inhabituels.
En cas de cyberattaque, le 17 Cyber (17cyber.gouv.fr) vous met en relation avec un gendarme, 24h/24 et 7j/7. Une fuite de données personnelles, avérée ou supposée, se signale à la CNIL. Grand Est Cybersécurité offre par ailleurs une assistance gratuite au 0 970 512 525.
Notre métier ? Protéger le vôtre, y compris face aux risques qui passent par vos prestataires.
Relevez vos défis, nous assurons : pour faire le point sur la protection de votre entreprise face au risque cyber, nos conseillers de Haguenau et de Colmar vous reçoivent.
Sources : La Cyber-Lettre de la Région de Gendarmerie du Grand Est, octobre 2026.
