Exploitation des équipements exposés (VPN, pare-feu, passerelles) : un vecteur d’accès initial majeur pour le secteur financier

La porte d’entrée plutôt que le poste de travail

Pendant longtemps, le scénario d’intrusion de référence commençait par un poste utilisateur : une pièce jointe ouverte, un identifiant volé, un logiciel malveillant exécuté. Ce scénario reste d’actualité, mais un autre s’est imposé en parallèle, plus direct et souvent plus efficace : l’attaquant ne vise plus l’utilisateur, il vise la porte d’entrée.

Concentrateurs VPN, pare-feu périmétriques, passerelles de messagerie, solutions de transfert de fichiers, passerelles d’authentification, équipements SD-WAN : ces matériels se tiennent à la frontière entre Internet et le système d’information. Ils sont exposés par construction, disposent de privilèges élevés sur le trafic, et sont particulièrement difficiles à instrumenter. Ils constituent aujourd’hui l’un des principaux points d’entrée des attaquants.

Cet article propose une lecture opérationnelle de ce vecteur : pourquoi ces équipements sont ciblés, quels schémas d’attaque sont observés, et quelles mesures réduisent réellement le risque. Il complète l’article consacré aux vulnérabilités « zero-day », qui traite la notion de faille inconnue, là où il s’agit ici d’une classe d’actifs et de sa gestion.

De quoi parle-t-on exactement ?

Le CERT-FR retient une définition utile. Il désigne comme équipement de bordure réseau tout équipement, physique ou virtuel, pouvant recevoir du trafic depuis Internet et dont le rôle est de router du trafic entre le système d’information de l’organisation et Internet. Cette catégorie inclut notamment les pare-feu en périmètre d’organisation et les passerelles VPN.

En pratique, le périmètre à considérer est plus large encore. Toute solution exposée qui traite du trafic entrant et détient des secrets ou des droits sur le système d’information relève de la même logique de risque : passerelles de messagerie et de filtrage, portails d’accès distant, solutions de transfert de fichiers, équipements SD-WAN, passerelles d’authentification.

Ces équipements partagent trois caractéristiques : une exposition directe à Internet, des privilèges élevés sur les flux, et une supervision difficile avec les outils de détection habituels, qui n’ont pas accès à leur système embarqué.

Pourquoi ces équipements sont particulièrement ciblés

Plusieurs facteurs se conjuguent pour en faire une cible de choix.

L’exposition permanente. Ces équipements doivent être joignables depuis Internet pour remplir leur fonction. Ils sont donc découvrables, cartographiables et testables en continu par des acteurs qui balaient l’espace d’adressage à la recherche de versions vulnérables.

La position privilégiée. Un attaquant qui prend le contrôle d’une passerelle VPN ou d’un pare-feu contrôle ce qui passe. Il peut observer le trafic, se constituer des accès, pivoter vers le réseau interne et exfiltrer des données sans déclencher les sondes positionnées plus en aval. Il obtient d’emblée une position que d’autres scénarios n’atteignent qu’après plusieurs étapes de latéralisation.

L’effet « boîte noire ». C’est le point le plus structurant, et le CERT-FR l’a explicitement relevé dans son retour d’expérience sur les failles affectant les équipements de sécurité : ces matériels fonctionnent souvent en boîte noire, sans mécanisme fiable de contrôle d’intégrité, sans possibilité de relever l’état de la mémoire et du système, et fréquemment avec un export partiel — voire inexistant — des journaux. Autrement dit, l’organisation dispose de peu de moyens pour vérifier par elle-même qu’un équipement n’a pas été compromis.

La difficulté de mise à jour. Ces équipements portent des fonctions critiques et souvent indisponibles pendant la mise à jour : accès distant des collaborateurs, flux de messagerie, connectivité inter-sites. Les fenêtres de maintenance sont donc contraintes, ce qui allonge mécaniquement le délai entre la publication d’un correctif et son déploiement effectif.

Une fenêtre d’exploitation qui se referme très vite

Le Threat Landscape 2025 de l’ENISA, qui analyse 4 875 incidents survenus entre juillet 2024 et juin 2025, situe l’exploitation de vulnérabilités au deuxième rang des vecteurs d’accès initial, avec 21,3 % des intrusions, derrière le phishing. Surtout, il souligne la rapidité de la militarisation : des campagnes de grande ampleur exploitent des vulnérabilités quelques jours seulement après leur divulgation. Les applications exposées sur Internet figurent parmi les cibles récurrentes, avec en particulier les équipements VPN de plusieurs grands fournisseurs, les logiciels collaboratifs et les serveurs de messagerie.

Un élément mérite l’attention des équipes sécurité : les analyses de ces données indiquent que, si le phishing est plus fréquent, il aboutit moins souvent, tandis que les tentatives d’exploitation de vulnérabilités se concluent bien plus fréquemment par une intrusion effective. Un vecteur moins volumineux peut donc être nettement plus rentable pour l’attaquant — ce qui justifie de le traiter avec une priorité au moins équivalente.

Le CERT-FR décrit par ailleurs une séquence désormais classique. Ces vulnérabilités sont d’abord exploitées de manière ciblée, en tant que failles du jour zéro, par des modes opératoires œuvrant au profit d’États à des fins d’espionnage ou de ciblage opportuniste en vue d’actions futures. Puis, une fois révélées, elles font l’objet d’une exploitation de plus en plus massive, par d’autres modes opératoires ou par des acteurs cybercriminels, notamment en vue du déploiement de rançongiciels.

Cette séquence a une conséquence pratique : entre la divulgation et l’exploitation de masse, la fenêtre de correction se compte en jours, parfois moins.

Schémas d’attaque observés

Plusieurs motifs reviennent régulièrement.

Le contournement d’authentification. De nombreuses vulnérabilités affectant ces équipements permettent d’accéder à des fonctions d’administration ou de contourner l’authentification sans disposer d’identifiants valides. L’attaquant n’a pas besoin de voler un compte : il entre par la faille.

L’exécution de code à distance. Elle donne le contrôle de l’équipement lui-même, donc de sa configuration, de ses secrets et du trafic qu’il traite.

La récupération de secrets. Un équipement compromis expose fréquemment des identifiants, des clés, des certificats, des configurations et parfois des jetons de session. Ces éléments restent exploitables après la correction de la vulnérabilité si rien n’est fait.

La persistance. L’attaquant cherche à se maintenir sur l’équipement, y compris après mise à jour, en s’appuyant sur des mécanismes propres au matériel. C’est l’une des raisons pour lesquelles l’application du correctif ne suffit pas à clore un incident.

Le pivot et l’exfiltration discrète. Depuis la bordure, l’attaquant progresse vers le réseau interne ou exfiltre des données sur un point de passage où la visibilité est la plus faible.

Pourquoi l’enjeu est particulièrement fort dans la finance

Les établissements financiers cumulent les facteurs aggravants. Leurs équipements de bordure portent des accès à forte valeur : télétravail des collaborateurs, y compris de profils disposant de droits étendus, connectivité avec des prestataires, échanges de fichiers avec des partenaires, flux vers des environnements de paiement ou de back-office.

Une compromission à ce niveau ne produit donc pas seulement une intrusion : elle donne potentiellement accès à des chaînes de traitement sensibles, avec des conséquences de fraude, de fuite de données et de continuité. Elle intervient de surcroît sur des actifs souvent exploités par des équipes réseau plutôt que par les équipes sécurité, avec une journalisation partielle — ce qui complique la détection comme la reconstitution a posteriori.

Cette réalité rejoint directement les exigences de DORA en matière de gestion du risque lié aux technologies de l’information et de la communication, de gestion des vulnérabilités, de détection et de notification des incidents. Un actif exposé, mal inventorié et faiblement journalisé constitue une faiblesse à la fois opérationnelle et documentaire.

Réduire la surface exposée

La première mesure, la plus efficace, consiste à exposer moins.

Cela suppose d’abord un inventaire exhaustif de ce qui est réellement joignable depuis Internet — exercice qui réserve régulièrement des surprises : équipements oubliés, environnements de test exposés, interfaces d’administration accessibles, services activés par défaut. Une vue de l’exposition telle que la voit un attaquant, réactualisée régulièrement, est ici plus utile qu’un inventaire théorique.

Viennent ensuite des mesures de réduction : supprimer ce qui n’a pas de justification, désactiver les services non essentiels exposés par l’équipement, ne jamais laisser une interface d’administration accessible directement depuis Internet, restreindre les accès par filtrage lorsque c’est possible, et rationaliser le nombre de solutions exposées. Chaque produit exposé en moins est une surface d’attaque en moins à surveiller et à corriger.

Accélérer le correctif, mais pas seulement

Compte tenu de la vitesse d’exploitation, la gestion des correctifs sur ces actifs ne peut pas suivre le rythme ordinaire du parc.

Trois éléments sont déterminants. Le premier est la veille : suivre les avis du CERT-FR et des fournisseurs, ainsi que les signaux d’exploitation active, par exemple via le catalogue des vulnérabilités activement exploitées de la CISA (KEV) et la base européenne de vulnérabilités (EUVD) opérée par l’ENISA. Le deuxième est la capacité à décider vite, avec une procédure d’urgence distincte du cycle de patch classique et des fenêtres de maintenance pré-négociées avec les métiers. Le troisième est la connaissance préalable de son parc : versions, dates de fin de support, configurations, responsables — sans quoi chaque alerte déclenche une phase d’inventaire qui consomme la fenêtre disponible.

Lorsque le correctif n’est pas immédiatement applicable, les mesures de contournement recommandées par le fournisseur ou l’autorité — désactivation d’une fonction, restriction d’accès, filtrage — doivent être appliquées sans attendre, puis tracées pour être levées après correction.

Détecter : compenser un angle mort structurel

La supervision de ces équipements est difficile, mais pas impossible. Elle repose sur quelques principes.

Exporter systématiquement les journaux vers un système externe, dès la mise en service, afin de ne pas dépendre des traces locales — que l’attaquant peut effacer et que l’équipement conserve souvent peu de temps. Surveiller les connexions d’administration, les modifications de configuration, les créations de comptes et les comportements atypiques. Observer le trafic autour de l’équipement, faute de pouvoir observer l’intérieur : des flux sortants inattendus depuis une passerelle constituent un signal fort.

Il faut assumer la limite : sur des matériels fonctionnant en boîte noire, sans contrôle d’intégrité fiable, l’absence d’alerte ne vaut pas preuve d’intégrité. C’est précisément ce qui justifie de compléter la détection par une logique de confinement.

Segmenter et raisonner en hypothèse de compromission

Puisque la compromission d’un équipement de bordure ne peut pas être exclue, l’architecture doit en limiter les conséquences.

Cela implique de ne pas considérer la zone située derrière la passerelle comme une zone de confiance, de segmenter les réseaux pour contenir une progression, de restreindre les droits attachés aux accès distants, d’exiger une authentification forte et, autant que possible, résistante au phishing, et de ne pas faire reposer l’administration du système d’information sur le même chemin que celui qui vient d’être compromis. L’ANSSI insiste de longue date sur la maîtrise des équipements placés en zone exposée, jusque dans leur choix — solutions qualifiées ou certifiées, cloisonnement, prudence sur la virtualisation des pare-feu en périmètre.

En cas de compromission : corriger ne suffit pas

C’est probablement le point le plus important pour les équipes de réponse à incident. Le CERT-FR a publié une fiche réflexe dédiée à la compromission d’un équipement de bordure réseau, applicable aussi bien lorsque la compromission est confirmée que lorsque l’équipement est affecté par une vulnérabilité. Elle propose les premières actions d’endiguement destinées à circonscrire l’attaque, limiter son extension et son impact, et donner aux défenseurs le temps de reprendre l’initiative.

Deux réflexes structurent la réponse. D’abord, l’endiguement : isoler l’équipement, le déconnecter ou le mettre en pause s’il s’agit d’une machine virtuelle, désactiver les services non essentiels — en veillant, lorsqu’il s’agit d’une passerelle VPN, à ce que les administrateurs conservent un accès au système d’information pour mener la suite des opérations. Ensuite, le traitement des secrets : un équipement compromis doit conduire à considérer comme exposés l’ensemble des identifiants, clés, certificats et configurations qu’il détenait, et donc à les renouveler.

Appliquer le correctif sans renouveler les secrets, ni rechercher d’éventuels mécanismes de persistance, laisse la porte ouverte.

Perspective Forum des Compétences

La périphérie du système d’information concentre aujourd’hui une part importante du risque d’intrusion, pour une raison simple : c’est le seul endroit où l’attaquant peut agir sans avoir besoin d’un utilisateur. La combinaison d’une exposition permanente, de privilèges élevés et d’une visibilité faible en fait une cible de premier choix, pour des acteurs étatiques comme pour des cybercriminels.

Pour les banques et les assurances, quatre priorités se dégagent. Savoir précisément ce qui est exposé, et en exposer le moins possible. Disposer d’une procédure de correction accélérée pour cette classe d’actifs, distincte du cycle ordinaire, parce que la fenêtre se compte en jours. Compenser l’angle mort de détection par l’export systématique des journaux et la surveillance du trafic périphérique. Et concevoir l’architecture en supposant qu’un de ces équipements sera compromis un jour, afin que cette compromission reste un incident et non un point de bascule.

La question utile à poser en comité n’est pas de savoir si le parc est à jour à un instant donné, mais combien de temps s’écoule, en pratique, entre la publication d’un avis critique sur un équipement exposé et son traitement effectif — et ce que l’organisation serait capable de constater si l’un d’eux avait déjà été compromis.

Sources publiques utilisées

Cet article s’appuie sur des travaux et publications d’autorités et d’agences de cybersécurité :

• ENISA, Threat Landscape 2025 (publié le 1er octobre 2025, portant sur 4 875 incidents survenus entre le 1er juillet 2024 et le 30 juin 2025), pour la part de l’exploitation de vulnérabilités dans les vecteurs d’accès initial (21,3 %), la rapidité de militarisation des vulnérabilités après divulgation et le ciblage récurrent des applications exposées sur Internet, dont les équipements VPN, les logiciels collaboratifs et les serveurs de messagerie.
• CERT-FR, fiche réflexe Compromission d’un équipement de bordure réseau (CERTFR-2025-RFX-002), pour la définition de l’équipement de bordure et les mesures d’endiguement.
• CERT-FR / ANSSI, retour d’expérience Failles sur les équipements de sécurité (juin 2024), pour la séquence d’exploitation (ciblage initial en « zero-day » par des modes opératoires étatiques, puis exploitation massive après divulgation, notamment à des fins de rançongiciel) et le fonctionnement en « boîte noire » de ces équipements (absence de contrôle d’intégrité fiable, export partiel ou inexistant des journaux).
• ANSSI, Recommandations pour choisir des pare-feux maîtrisés dans les zones exposées à Internet (ANSSI-PA-044).
• Catalogue des vulnérabilités activement exploitées de la CISA (KEV) et base européenne de vulnérabilités (EUVD) opérée par l’ENISA, pour le suivi de l’exploitation active.
• Règlement (UE) 2022/2554 (DORA), pour les exigences de gestion du risque TIC, de gestion des vulnérabilités, de détection et de notification des incidents.