Sauriez-vous qu'on vous attaque, là, maintenant ?

Une cyberattaque ne commence presque jamais par une demande de rançon. Elle commence par quelques signaux faibles : une connexion inhabituelle, une alerte ignorée, un comportement anormal. Plus une attaque est détectée tôt, plus son impact est limité. Encore faut-il que quelqu'un regarde.

L'essentiel en 5 points

1. Une attaque n'est pas un événement, c'est une durée. Quatorze jours en médiane entre l'intrusion et sa découverte : ce n'est pas un moment spectaculaire qui vous échappe, c'est une succession de signaux ordinaires.
2. Vous avez déjà les informations. Sur les cinq occasions manquées d'une attaque type, aucune ne demandait un outil que l'entreprise ne possédait pas. Toutes demandaient que quelqu'un ouvre les journaux.
3. L'antivirus ne détecte pas ce type d'attaque. L'attaquant utilise un compte valide et les outils d'administration déjà présents : il n'y a rien à bloquer, seulement un comportement à remarquer.
4. Quatre questions remplacent un audit à 15 000 €. Où sont les journaux, qui les lit, combien de comptes à privilèges existent, et que se passe-t-il si une alerte tombe samedi à 2 h du matin.
5. Ce qui manque n'est pas la technologie, c'est du temps de regard qualifié. Une revue quotidienne des alertes est précisément une mission qu'un alternant en cybersécurité peut tenir, tous les jours, sous supervision.

👉 Recrutez un alternant en Cybersécurité · 👉 Découvrir la filière Cybersécurité · 👉 Télécharger la brochure entreprise

‍

Introduction

Si un attaquant était déjà présent dans votre système d'information  pas demain, maintenant comment le sauriez-vous ?

Cette question a une particularité : contrairement au phishing, aux vulnérabilités non corrigées ou à la continuité d'activité, elle ne se pose jamais d'elle-même. Tant qu'il ne se passe rien, rien ne signale que personne ne regarde.

Alors plutôt que de vous expliquer ce qu'est la détection, nous allons faire autre chose. Nous allons dérouler les quatorze jours d'une attaque ordinaire, telle qu'elle se déroule réellement dans une PME ou une ETI. Et à chaque étape, nous nous arrêterons sur une seule question : qu'est-ce qui aurait pu être vu, ce jour-là, par quelqu'un qui regardait ?

Vous verrez qu'il n'y a jamais de moment spectaculaire. Il n'y a que des occasions manquées.

‍

À retenir

14 jours de présence médiane d'un attaquant dans un système avant d'être repéré

241 jours en moyenne entre le début d'une compromission et sa résolution complète

1 sur 2 la proportion d'attaques révélées par un signalement extérieur, pas par l'entreprise

1,1 M$ l'écart de coût moyen entre une compromission traitée en moins de 200 jours et une autre

Voir les sources en fin d'article.

Quatorze jours : la chronologie d'une attaque que personne ne voit

‍

Jour 1  Il entre, et il ne casse rien

Un mot de passe récupéré des mois plus tôt, ou une faille non corrigée sur l'accès distant. À 22 h 14, une session s'ouvre sur le VPN avec les identifiants d'une comptable, depuis une adresse située à l'étranger.

Aucune alarme ne sonne. Rien d'anormal ne s'est produit du point de vue des outils : le mot de passe était le bon.

Ce qui aurait pu être vu ce jour-là : une connexion nocturne depuis un pays où l'entreprise n'a ni salarié ni client. L'information existe dans les journaux du VPN  un équipement devenu central avec la généralisation du télétravail. Elle y est encore aujourd'hui. Personne ne l'a ouverte.

‍

Jours 2 à 4  Il regarde, sans rien installer

L'attaquant explore. Il liste les serveurs, ouvre les partages de fichiers, repère qui est administrateur, cherche où sont les sauvegardes.

Pour faire cela, il n'a besoin d'aucun logiciel malveillant : les outils d'administration déjà présents dans le système suffisent. C'est précisément pour cette raison que l'antivirus ne voit rien  il n'y a rien à voir, au sens où il l'entend. Cette discrétion est la signature de certains acteurs de la menace, qui privilégient l'invisibilité à la rapidité.

Ce qui aurait pu être vu : un compte de comptabilité qui parcourt soudain l'annuaire, les serveurs et les partages techniques. Ce n'est pas illégal. C'est simplement absurde.

‍

Jours 5 à 9  Il s'installe

Il crée un second compte, avec un nom qui ressemble à ceux de l'entreprise. Il ajoute une tâche planifiée. Il s'assure de pouvoir revenir même si le premier mot de passe est changé.

C'est la phase la plus discrète, et paradoxalement la plus détectable : la création d'un compte administrateur est un événement rare, daté, et enregistré. C'est exactement le type d'événement que la gestion des identités et des accès est censée encadrer.

Ce qui aurait pu être vu : un nouveau compte à privilèges, apparu sans aucune demande correspondante côté RH ou support. Une seule question aurait suffi  qui a créé ce compte, et pour qui ?

‍

Jours 10 à 13  Il prépare la sortie

Il copie les données : fichiers clients, contrats, comptabilité, RH. Cela génère du trafic sortant, la nuit, en volume inhabituel. C'est le moment où la fuite de données se joue réellement  bien avant qu'elle ne soit constatée. Puis il commence à désactiver ce qui pourrait le gêner protections sur certains serveurs, parfois la sauvegarde elle-même.

À ce stade, plusieurs signaux s'accumulent. Un salarié a peut-être signalé que son poste « ramait bizarrement ». On lui a répondu de redémarrer.

Ce qui aurait pu être vu : un pic de trafic sortant nocturne, une protection qui ne remonte plus depuis quatre jours, et une remarque d'utilisateur classée sans suite.

‍

Jour 14  L'écran noir

Le vendredi soir, le rançongiciel se déclenche. Le lundi matin, plus rien ne démarre.

L'attaquant est chez vous depuis deux semaines. Ce jour-là, il n'y a plus de détection possible : il n'y a plus qu'une gestion de cyber incident, et l'article de cette série consacré à la continuité d'activité après une cyberattaque devient soudain très concret. Ce scénario n'a rien d'exceptionnel : les incidents qui ont marqué l'histoire de la cybersécurité suivent presque tous la même trajectoire.

Le constat qui compte : sur ces quatorze jours, il y a eu au moins cinq occasions de voir quelque chose. Aucune ne demandait un outil que l'entreprise ne possédait pas. Toutes demandaient que quelqu'un regarde.

Sur ces quatorze jours, personne n'a regardé. Chez vous, qui regarderait ? La revue quotidienne des alertes est une mission qu'un alternant en cybersécurité tient dès sa première année, sous supervision.

Télécharger la brochure entreprise · Échanger avec un conseiller

‍

Pourquoi ces signaux passent inaperçus

Ce n'est presque jamais une question de compétence, et rarement une question d'outillage.

Parce qu'ils sont banals. Une connexion, un compte créé, un transfert de fichiers : ces événements se produisent des centaines de fois par semaine de façon parfaitement légitime. Ce qui les rend suspects n'est pas leur nature, c'est leur contexte  l'heure, l'auteur, l'enchaînement.

Parce qu'ils sont dispersés. La connexion est dans les journaux du VPN, le compte dans ceux de l'annuaire, le trafic dans ceux du pare-feu, la protection désactivée dans la console de l'antivirus. Quatre endroits, quatre interfaces, quatre mots de passe. Personne ne fait le tour. C'est précisément le problème que résout un SIEM : corréler dans un seul endroit ce qui est aujourd'hui éparpillé. L'IA appliquée à la cybersécurité accélère aujourd'hui cette corrélation.

Parce que l'alerte utile ressemble aux autres. Un système de sécurité produit chaque jour des dizaines de notifications sans intérêt. Au bout de trois semaines, l'équipe a appris à ne plus les ouvrir. C'est un réflexe rationnel, et c'est exactement ce sur quoi comptent les attaquants.

Parce que l'attaquant utilise un compte valide. L'antivirus bloque des programmes connus et il ne connaît rien d'une attaque zero day. Il ne voit pas un utilisateur autorisé qui fait des choses autorisées, au mauvais moment et pour de mauvaises raisons. Le facteur humain reste d'ailleurs la première porte d'entrée en entreprise.

Et parce que personne n'est nommément chargé de regarder. Le sujet est réputé couvert par le prestataire, qui de son côté considère qu'il n'est pas dans son contrat. Résultat : dans près d'un cas sur deux, ce n'est pas l'entreprise qui découvre l'attaque, mais un client, un partenaire, une autorité ou l'attaquant lui-même, au moment de l'extorsion.

‍

Les quatre questions qui remplacent un audit

Vous n'avez pas besoin d'un diagnostic à 15 000 € pour savoir où vous en êtes. Quatre questions, posées à votre équipe informatique ou à votre prestataire, donnent une réponse en une heure.

Où sont conservés les journaux de connexion, et depuis combien de temps ? Si la réponse est « sur chaque machine » ou « trente jours », vous n'aurez pas de quoi comprendre ce qui s'est passé le jour où cela comptera.

Montrez-moi les connexions au VPN de la semaine dernière. Le simple fait de poser la demande révèle immédiatement si quelqu'un sait où chercher. Le contenu, lui, est souvent instructif.

Combien de comptes à privilèges existent aujourd'hui, et à qui appartiennent-ils ? La liste est presque toujours plus longue que prévu, et contient presque toujours au moins un compte dont plus personne ne connaît l'usage.

Que se passe-t-il si une alerte critique se déclenche samedi à 2 h du matin ? Il n'y a pas de mauvaise réponse  une PME peut légitimement décider de ne rien surveiller la nuit. La mauvaise situation, c'est de ne pas savoir.

Ces quatre questions ne coûtent rien. Elles vous diront en une heure si votre capacité de détection existe réellement ou seulement sur le papier. Pour compléter le tableau, la même démarche appliquée à votre surface d'attaque vous dira ce qui est visible depuis l'extérieur.

‍

À mettre en œuvre dès cette semaine

Vérifier qui reçoit les alertes de sécurité. Une personne nommée, pas une boîte générique.

Vérifier qui les traite, et à quel moment de la journée.

Vérifier combien d'alertes sont actuellement ouvertes, et depuis combien de temps.

‍

Les indicateurs à suivre

Cinq chiffres suffisent à savoir si le sujet est tenu. Demandez-les une fois par mois, sur une seule page.

Le délai moyen de détection. Le temps entre le premier événement suspect et le moment où quelqu'un l'a qualifié. C'est l'indicateur roi : il conditionne tous les coûts qui suivent.

Le nombre d'alertes critiques sur la période. Pour savoir si le volume reste humainement traitable. S'il ne l'est pas, ce n'est pas l'équipe qu'il faut pousser, c'est le paramétrage qu'il faut revoir.

Le nombre d'alertes non traitées. L'indicateur le plus révélateur, et celui que personne ne veut regarder. Une file qui s'allonge signifie que la détection n'existe que sur le papier.

Le temps moyen de réponse. Entre la qualification d'un incident et la première action de confinement.

Le nombre d'incidents réellement investigués, avec un compte rendu écrit. Zéro sur douze mois n'est pas une bonne nouvelle.

Ces cinq chiffres tiennent dans un tableau de bord d'une page. C'est précisément le type de livrable qu'un alternant peut produire chaque mois.

Nos équipes Relations Entreprises cadrent le poste avec vous, présélectionnent les profils et gèrent l'administratif  OPCO, contrat, conformité.

Prendre rendez-vous avec un conseiller entreprise · Voir comment recruter avec NEXA

‍

Trois réflexes qui changent tout le jour J

Le moment où une alerte se confirme est celui où les entreprises perdent le plus de terrain, faute d'avoir décidé à l'avance.

On isole, on n'éteint pas. Le réflexe naturel est de débrancher le serveur suspect. C'est l'erreur la plus fréquente : elle détruit une partie des preuves et empêche l'analyse forensic de mesurer l'étendue réelle de la compromission. On coupe du réseau, on laisse allumé. Ce principe vaut doublement sur les environnements de production et les systèmes industriels, où l'arrêt lui-même a un coût.

On écrit au fil de l'eau. Ce qui est constaté, à quelle heure, ce qui est décidé, par qui. Cette trace conditionne l'investigation, la déclaration à l'assureur, la notification d'une violation de données et un éventuel dépôt de plainte. Reconstituer trois jours après ne fonctionne jamais.

On sait qui a le droit de couper. Isoler une machine, désactiver un compte, suspendre un accès prestataire : ces gestes ont un impact sur l'activité. Si chacun exige trois validations, ils arriveront après l'attaquant. La question se tranche à froid, une fois, et s'écrit sur une page  c'est typiquement ce que formalise une démarche GRC.

‍

‍

Quel rôle peut jouer un alternant en cybersécurité ?

Revenons à la chronologie du début. Sur quatorze jours, cinq occasions manquées — et pas une seule qui demandait un outil supplémentaire.

Ce qui manquait n'était pas la technologie. C'était du temps de regard qualifié, tous les jours, par quelqu'un dont c'est la mission.

C'est exactement ce qu'un alternant en formation cybersécurité peut prendre en charge, sous supervision :

• la revue quotidienne des alertes et des tableaux de bord de sécurité ;
• la qualification : écarter les faux positifs, remonter ce qui mérite une décision ;
• l'analyse des journaux d'authentification, de pare-feu et d'accès distant ;
• la tenue à jour de la liste des comptes à privilèges ;
• la documentation des incidents, et la constitution de l'historique qui manque à l'entreprise ;
• la préparation des premières investigations : périmètre touché, chronologie, éléments à conserver ;
• l'interface avec un SOC externalisé, et la production du rapport de sécurité mensuel.

Ce sont les premières responsabilités d'un administrateur systèmes et réseaux orienté sécurité, sur un parcours qui mène ensuite vers l'expert en cybersécurité, le digital forensic analyst, le cyber pompier ou le RSSI.

Ces missions ne remplacent pas un analyste confirmé sur un incident majeur. Elles font ce qui manque le reste du temps : quelqu'un qui regarde tous les jours, qui sait faire la différence, et qui écrit ce qu'il a vu. Nos équipes vous accompagnent sur le cadrage du poste et la présélection des profils.

‍

Quel niveau recruter selon vos besoins ?

• le BTS Services Informatiques aux Organisations pour la revue quotidienne des alertes et le suivi des postes ;
• le Bachelor Cybersécurité pour la supervision, l'analyse des journaux et la qualification des alertes ;
• le Mastère Cybersécurité pour l'investigation, la réponse à incident et le pilotage de la détection ;
• le Mastère DPO & Risk Management pour la gestion des violations de données et les obligations de notification.

Les fiches métiers de la filière cybersécurité vous aideront à cadrer l'intitulé du poste et les missions confiées. Pour la vue d'ensemble du cursus, consultez la filière cybersécurité complète.

‍

Chez NEXA

Nos étudiants en cybersécurité ne découvrent pas ces sujets en entreprise. Ils les travaillent en formation, sur des cas concrets : analyse de journaux, qualification d'alertes, exercices de réponse à incident, mises en situation de supervision, projets réels menés en équipe avec livrables et contraintes de temps, format NexChamp en situation d'entreprise, et un accompagnement structuré tout au long de l'alternance. Ils travaillent également sur l'écosystème français de la cybersécurité, dont sont issues la plupart des solutions de supervision déployées en PME.

Le résultat : un alternant qui, dès les premières semaines, sait lire un journal d'authentification, distinguer une alerte sérieuse d'un faux positif, et rendre compte de ce qu'il a vu dans un format lisible par un dirigeant.

👉 Découvrir le Bachelor Administrateur Réseau & Cybersécurité · 👉 Découvrir le Mastère Cybersécurité · 👉 Découvrir NexChamp

Les mêmes enjeux traversent nos autres filières : la gouvernance de la donnée côté IA & Data, la protection des outils et des accès côté Marketing Digital.

Nos campus de Paris, Lyon et Lille accueillent la filière, et notre offre à distance permet de recruter partout en France.

‍

Pourquoi plus de 1 250 entreprises font confiance à NEXA

Former des étudiants, c'est une chose. Les voir tenir une revue quotidienne d'alertes dans une organisation réelle en est une autre.

Aujourd'hui, plus de 1 250 entreprises partenaires recrutent les alternants NEXA en cybersécurité, marketing digital, développement web et intelligence artificielle : des PME, des ETI, des startups, mais aussi des acteurs publics confrontés à des enjeux majeurs de transformation numérique. C'est notamment le cas de la Ville de Lille, qui accueille des alternants formés par NEXA  voir la formation cybersécurité à Lille en alternance.

Cet accompagnement est porté par des équipes reconnues, avec une 2ᵉ place au classement Best Employer Experience 2026.

92% d'insertion professionnelle, plus de 30 ans d'expérience, une équipe Relations Entreprises qui gère la présélection et l'administratif, et un financement aidé pouvant atteindre 6 000 € d'aide à l'embauche selon votre situation. Nos entreprises partenaires en parlent mieux que nous.

Vous souhaitez, vous aussi, structurer votre recrutement d'alternants ? Découvrez notre espace dédié aux entreprises

‍

Cette lecture vous a intéressé ?

Découvrez aussi :

• Ransomware : comment s'en protéger ? 
• Shadow IA : le nouveau risque des entreprises
• Continuité d'activité face à une cyberattaque 
• Comment sensibiliser efficacement ses collaborateurs
• Vos failles : qui les surveille ?

‍