Contourner le périmètr: quand l’exposition personnelle devient un risque pour l’entreprise

Les dirigeants incarnent leur organisation et la marque qui lui est associée. Ils disposent souvent d’un accès privilégié à des systèmes critiques, à des informations sensibles, aux processus décisionnels stratégiques et à des relations commerciales de confiance, ce qui en fait des cibles à forte valeur et à fort impact. Leurs données personnelles présentent également un intérêt considérable pour les acteurs malveillants : coordonnées, habitudes de vie, centres d’intérêt, affiliations politiques, mais aussi objets connectés (IoT) et équipements domestiques, actifs financiers ou informations figurant dans les registres d’entreprises.

Un avis conjoint publié en juillet 2025 par plusieurs agences nationales, notamment le Federal Bureau of Investigation (FBI) américain, la Cybersecurity and Infrastructure Security Agency (CISA) et le National Cyber Security Centre (NCSC) du Royaume-Uni, a détaillé les tactiques, techniques et procédures utilisées par des acteurs liés au groupe cybercriminel Scattered Spider, spécialisé dans l’ingénierie sociale fondée sur l’identité et les attaques par rançongiciel à motivation financière.

Selon cet avis, l’accès initial aux environnements d’entreprise était souvent obtenu par le biais de vastes campagnes de phishing ciblant les domaines spécifiques des organisations. Toutefois, le document souligne également une tendance croissante vers des attaques plus ciblées, reposant sur la collecte systématique de données personnelles concernant des utilisateurs disposant de privilèges élevés, notamment les dirigeants.

Scattered Spider recueille des informations provenant de sources ouvertes (OSINT), des réseaux sociaux, d’outils de renseignement commercial, de bases de données compromises et de places de marché illicites où sont échangés des identifiants volés. Le groupe exploite également les plateformes professionnelles et d’autres sources accessibles au public afin de comprendre les fonctions, responsabilités et relations organisationnelles de ses cibles. Le risque n’est donc pas limité à une source spécifique ; en pratique, les acteurs malveillants agrègent des informations issues du web de surface, du deep web et du dark web.

Par ailleurs, en juin 2026, le Wall Street Journal a publié une enquête sur les risques de sécurité cachés associés à certains objets connectés grand public, tels que les cadres photo numériques et les boîtiers de streaming. L’enquête a révélé que certains appareils étaient livrés avec des logiciels malveillants préinstallés permettant leur intégration à des réseaux de proxys résidentiels. Une fois connectés à un réseau domestique, ces équipements peuvent ainsi fournir une infrastructure exploitable par des acteurs malveillants.

Si les services de proxys résidentiels peuvent avoir des usages légitimes, ils sont fréquemment détournés à des fins frauduleuses, notamment pour masquer l’origine d’activités criminelles telles que la fraude, le scalping de billets, les attaques sur identifiants ou les attaques par déni de service distribué (DDoS).

Selon un avis de cybersécurité publié en avril 2026 par le FBI, la National Security Agency (NSA) et plusieurs agences internationales, des acteurs liés au renseignement militaire russe ont exploité des vulnérabilités similaires dans des équipements réseau domestiques et de petits bureaux afin de mener des opérations de cyberespionnage. Ces attaques ciblent souvent des équipements obsolètes, utilisés ensuite pour intercepter le trafic Internet, collecter des identifiants et des jetons d’authentification ou masquer l’origine d’activités malveillantes. Les appareils compromis étant généralement situés dans des environnements résidentiels, ils permettent aux attaquants de mêler leur trafic à l’usage légitime d’Internet au domicile, compliquant ainsi considérablement les efforts d’attribution.

Du point de vue de la protection des dirigeants, les implications dépassent largement l’appareil compromis lui-même. Les dirigeants réalisant de plus en plus d’activités professionnelles depuis leur domicile et s’appuyant sur des appareils personnels et des réseaux résidentiels, les vulnérabilités présentes dans l’environnement domestique peuvent créer des voies d’accès indirectes vers les écosystèmes de l’entreprise.

Un objet connecté compromis n’offre pas nécessairement un accès direct aux systèmes de l’entreprise, mais il peut exposer des flux réseau, faciliter des activités de reconnaissance ou offrir aux acteurs malveillants davantage d’opportunités pour cibler les utilisateurs et appareils connectés. À mesure que les environnements technologiques personnels et professionnels convergent, les réseaux résidentiels et les appareils grand public deviennent une composante à part entière de la surface d’attaque des dirigeants et de l’entreprise, alors même qu’ils demeurent largement hors du champ de visibilité, d’autorité et de contrôle des équipes de sécurité. 

Les attaques visant les dirigeants suivent généralement l’un de deux scénarios. Le premier consiste en une attaque directe contre le dirigeant, le plus souvent au moyen de campagnes de phishing ou d’autres formes d’ingénierie sociale, dans le but de faciliter une fraude, une extorsion, un harcèlement, une atteinte à la réputation ou, dans certains cas, une menace pour la sécurité physique. Le second repose sur un pivot vers l’entreprise : les acteurs malveillants cherchent alors à accéder aux systèmes et réseaux de l’organisation en utilisant le dirigeant comme point d’entrée. Cela peut passer par la compromission de comptes ou d’appareils personnels utilisés à des fins professionnelles, ou encore par l’exploitation d’informations personnelles et professionnelles permettant d’élaborer des profils détaillés de la cible, de concevoir des scénarios d’ingénierie sociale sur mesure et d’établir une relation de confiance avant de tenter de compromettre des comptes, systèmes ou réseaux d’entreprise. Dans les deux cas, l’exposition numérique du dirigeant constitue la couche facilitatrice qui soutient la collecte de renseignements, le développement de la cible et l’exécution de l’attaque.

Dans la majorité des cas, les acteurs malveillants exploitent des informations accessibles au public, le contexte organisationnel, les habitudes de communication et des données personnelles afin de créer des tentatives d’usurpation particulièrement crédibles. Ces attaques reposent fréquemment sur des techniques de phishing et d’ingénierie sociale qui exploitent avant tout la confiance, l’identité et les informations personnelles, plutôt que de simples vulnérabilités techniques. Elles sont généralement diffusées via des plateformes de communication couramment utilisées telles que WhatsApp, les SMS ou le courrier électronique, mais également par l’intermédiaire des outils de communication internes de l’entreprise. Les attaquants y exploitent des mécanismes d’urgence, d’autorité et de familiarité afin d’influencer le comportement des employés.

En octobre 2024, Assaf Rappaport, directeur général et cofondateur de l’entreprise de cybersécurité cloud Wiz, a révélé que plusieurs collaborateurs avaient été ciblés dans le cadre d’une campagne d’ingénierie sociale reposant sur une usurpation de son identité au moyen d’un deepfake. Les deepfakes utilisent l’intelligence artificielle générative (IA) pour analyser des contenus audio, vidéo ou photographiques existants afin de produire des médias synthétiques reproduisant l’apparence, la voix et les comportements d’une personne. Dans ce cas, l’acteur malveillant aurait utilisé des enregistrements audio publics de M. Rappaport afin de créer un clone vocal convaincant, avant de contacter plusieurs employés dans le but d’obtenir leurs identifiants de connexion. L’attaque a finalement échoué, principalement parce que les collaborateurs ont détecté de légères incohérences dans la voix synthétique.

Une attaque similaire a été signalée par DNB Bank en janvier 2025. Des acteurs malveillants ont invité des employés des bureaux de Singapour et de Londres à ce qui semblait être une réunion légitime consacrée au lancement d’un nouveau produit. Au cours de l’appel, les attaquants ont utilisé la technologie deepfake pour usurper l’identité de la directrice générale Kjerstin Braathen et de la directrice financière Ida Lerner, en s’appuyant sur des vidéos publiques des deux dirigeantes. Ils ont alors tenté de convaincre les employés de transférer plusieurs millions de dollars singapouriens dans le cadre d’une prétendue opportunité d’investissement. Les deepfakes étaient suffisamment réalistes pour rendre leur identification immédiate difficile, mais plusieurs anomalies – notamment l’utilisation de canaux de communication inhabituels, des incohérences contextuelles et certains comportements suspects – ont finalement éveillé les soupçons des équipes de sécurité, qui ont interrompu les échanges avec les attaquants.

Longtemps associés au harcèlement en ligne, à la pornographie ou aux campagnes de désinformation politique, les deepfakes ne sont aujourd’hui qu’un outil parmi d’autres utilisé par les acteurs malveillants pour reproduire des communications d’entreprise légitimes et imiter des dirigeants. Par le passé, les attaquants souhaitant exploiter l’autorité d’un dirigeant devaient généralement compromettre son compte, sa plateforme de communication ou son appareil. Désormais, des contenus audio et vidéo accessibles publiquement peuvent suffire à fabriquer des usurpations d’identité extrêmement convaincantes. L’exposition numérique des dirigeants ne se limite donc plus aux informations personnelles, à l’activité sur les réseaux sociaux ou aux identifiants compromis ; elle englobe également les empreintes vocales, les enregistrements vidéo, les interviews, les webinaires et tout autre contenu publiquement accessible. 

Selon le rapport Internet Crime Report 2025 de l’Internet Crime Complaint Center (IC3) du FBI, la cybercriminalité continue d’augmenter tant en fréquence qu’en impact financier. Depuis 2015, le nombre de signalements transmis à l’IC3 est passé d’environ 288 000 à plus d’un million par an, soit une hausse d’environ 250 %. Sur la même période, les pertes déclarées sont passées d’environ 1 milliard de dollars à plus de 20,8 milliards de dollars, soit une augmentation proche de 2 000 %.

Plus révélatrice encore que ces chiffres est l’évolution des mécanismes à l’origine de ces pertes. Alors qu’elles reposaient autrefois principalement sur l’exploitation technique de vulnérabilités, nombre des catégories de fraude les plus coûteuses s’appuient désormais largement sur l’usurpation d’identité, l’ingénierie sociale, l’abus d’identité et l’exploitation des relations de confiance.

L’intelligence artificielle est de plus en plus utilisée pour générer des courriels convaincants, des clones vocaux et d’autres contenus synthétiques imitant des dirigeants ou des personnes de confiance. Pour les équipes de sécurité d’entreprise, cette évolution souligne une réalité fondamentale : l’environnement de menace est désormais façonné par de nouvelles technologies.

L’impact de l’exposition numérique des dirigeants ne se limite plus à la compromission de leurs comptes ou appareils personnels. Les informations accessibles au public, les enregistrements vocaux, les photographies, les vidéos, les relations personnelles et les habitudes comportementales peuvent tous être exploités pour usurper l’identité de dirigeants, manipuler des collaborateurs et détourner des processus métiers de confiance. Dans de nombreux cas, l’identité même du dirigeant est devenue une surface d’attaque, permettant aux acteurs malveillants de contourner les contrôles techniques traditionnels et de cibler directement les mécanismes de confiance sur lesquels reposent les organisations.

L’objectif n’est pas de remplacer les programmes de cybersécurité existants, mais d’étendre la protection aux environnements personnels dans lesquels les contrôles traditionnels ne s’appliquent plus. Chaque dirigeant possède une empreinte numérique personnelle, et comprendre cette exposition constitue la première étape vers sa réduction. Les organisations qui évaluent de manière proactive les risques liés à leurs dirigeants seront mieux préparées à empêcher qu’une compromission personnelle ne se transforme en crise d’entreprise. 

La solution Digital Executive Protection de Crisis24 réduit les risques auxquels sont exposés les dirigeants internationaux en cartographiant leur empreinte numérique, en supprimant les expositions identifiées et en évaluant leur surface d’attaque afin de protéger le dirigeant, sa famille et son entreprise contre les acteurs malveillants. Pour en savoir plus.