La gestion des habilitations

Les assistants de programmation fondés sur des grands modèles de langage se sont installés dans les directions informatiques, y compris dans la banque et l’assurance. L’ANSSI et son homologue allemand, le BSI, le constataient dès octobre 2024 : ces outils sont déjà largement utilisés dans de nombreuses organisations publiques et privées. Ils complètent des fonctions, suggèrent des bibliothèques, rédigent des tests et peuvent, par des extensions, agir pour le compte du développeur.

Depuis le 15 mars 2026, un certificat TLS publiquement reconnu ne peut plus être émis pour plus de 200 jours. Jusqu’alors, la limite était de 398 jours, et beaucoup d’organisations vivaient au rythme d’un renouvellement annuel, déclenché par une alerte et traité à la main. Ce rythme ne tient plus : il faut désormais renouveler au moins deux fois par an, et le calendrier adopté par le CA/Browser Forum prévoit encore deux réductions, à 100 jours en mars 2027 puis à 47 jours en mars 2029.

La plupart des dispositifs de sécurité ont été pensés contre un attaquant venu de l’extérieur. La menace interne renverse cette logique : celui qui la porte dispose d’identifiants légitimes, connaît les processus et bénéficie de la confiance de l’organisation. D’où la difficulté, relevée par l’ENISA, de distinguer un accès légitime d’un accès malveillant ou erroné.

Une demande de modification de coordonnées bancaires arrive au service comptabilité fournisseurs. Elle cite le bon prestataire, le bon interlocuteur, la bonne référence de contrat, et tombe la semaine de la campagne de paiements trimestrielle. Le lendemain, le centre d’assistance informatique reçoit l’appel d’un collaborateur qui connaît le nom de son responsable, son service, sa date d’arrivée, et qui demande à réenrôler son second facteur d’authentification après la perte de son téléphone. Aucune de ces sollicitations ne contient d’élément technique malveillant. Leur force tient à leur exactitude.

La directive NIS2 devait être transposée au plus tard le 17 octobre 2024. Près de deux ans plus tard, la France n’a toujours pas adopté sa loi de transposition. Le 8 juillet 2026, la Commission européenne a décidé de saisir la Cour de justice de l’Union européenne contre la France, ainsi que contre l’Irlande, l’Espagne et les Pays-Bas, pour défaut de communication des mesures de transposition. Elle demande une somme forfaitaire et des astreintes journalières.

Un client reçoit un courriel lui demandant de mettre à jour ses informations de connexion. Le message reprend la charte de sa banque, et l’adresse d’expéditeur porte le nom de domaine exact de l’établissement. Rien, dans le protocole de messagerie, n’empêche un tiers d’écrire cette adresse. L’ANSSI le rappelle : l’adresse source d’un courriel est laissée à la discrétion de l’expéditeur, et SMTP permet par construction d’usurper un domaine. Pour le CERT-FR, sans compromettre le moindre compte, il est aisé de contrefaire des courriels avec le nom de domaine d’une entité ou de ses interlocuteurs.