Attaque par rebond : quand le pirate entre chez vous par la porte de votre prestataire IT (guide PME 2026)

Vous avez sécurisé vos postes, activé la double authentification, formé vos équipes. Très bien. Mais qui a encore un accès permanent à votre système d'information sans que vous y pensiez jamais ? Votre infogéreur, votre agence web, votre éditeur de logiciel métier, parfois votre expert-comptable. En 2026, les attaquants l'ont parfaitement compris : plutôt que d'attaquer cent PME une par une, il est bien plus rentable de compromettre le prestataire qui les sert toutes. C'est l'attaque par rebond, et sur le terrain, c'est l'un des scénarios que je rencontre le plus souvent en audit — et le moins anticipé.

Pourquoi les pirates passent par vos prestataires

Un prestataire IT concentre exactement ce qu'un attaquant recherche : des accès privilégiés (comptes administrateurs, VPN permanents, outils de prise en main à distance) vers des dizaines ou centaines de clients à la fois. Compromettre un seul infogéreur, c'est potentiellement ouvrir la porte de tous ses clients d'un coup. Les groupes de ransomware exploitent ce levier de façon systématique, car le retour sur investissement est imbattable.

Le problème pour une PME, c'est l'angle mort : vous ne voyez pas ces accès au quotidien. Un tunnel VPN monté il y a trois ans par un technicien parti depuis, un compte « admin-support » partagé par toute l'équipe du prestataire, un outil de télémaintenance installé sur tous vos postes… Tant que ça fonctionne, personne ne pose de questions. Jusqu'au jour où quelqu'un d'autre utilise cette porte.

Les 4 accès tiers les plus risqués dans une PME

L'infogérance et le support informatique

C'est l'accès le plus puissant : votre infogéreur détient souvent les comptes administrateurs du domaine, l'accès aux serveurs, aux sauvegardes et au pare-feu. Le risque numéro un que je constate en audit : un compte générique partagé entre plusieurs techniciens, sans MFA, avec un mot de passe qui n'a pas changé depuis des années. Si ce compte fuite, l'attaquant est administrateur chez vous en une minute.

Les logiciels métier et leurs connecteurs

Votre logiciel de paie, votre CRM, votre outil de caisse : beaucoup ouvrent des connexions permanentes vers votre réseau ou vos données cloud, avec des clés d'API rarement renouvelées. Quand l'éditeur se fait compromettre, ces connecteurs deviennent des canaux d'accès direct à vos données — sans qu'aucune alarme ne sonne chez vous.

L'agence web et l'hébergeur

L'agence qui gère votre site détient souvent les accès à l'hébergement, au nom de domaine et parfois à votre messagerie. Un site compromis via le compte de l'agence peut servir à diffuser du phishing sous votre nom ou à détourner vos formulaires de contact. Vérifiez qui détient réellement vos identifiants : vous devez en rester propriétaire, pas simplement « utilisateur ».

L'expert-comptable et les échanges de fichiers

Les cabinets comptables sont massivement ciblés, car ils concentrent RIB, bulletins de paie et données fiscales de tous leurs clients. Un cabinet compromis, c'est un attaquant capable d'envoyer un faux RIB parfaitement crédible depuis la vraie adresse email de votre comptable. D'où l'importance d'une règle simple : tout changement de coordonnées bancaires se vérifie par téléphone, sur un numéro déjà connu.

Checklist : reprendre le contrôle en 5 étapes

Étape 1 — Inventoriez tous les accès tiers. Listez chaque prestataire, ce à quoi il accède (VPN, comptes, outils de télémaintenance, API), et depuis quand. C'est fastidieux, mais dans la majorité des audits que je mène, cet inventaire révèle au moins un accès que plus personne ne savait justifier.

Étape 2 — Supprimez les comptes partagés et exigez le MFA. Un compte nominatif par intervenant, avec double authentification obligatoire. Si votre prestataire refuse ou traîne, c'est un signal d'alerte sérieux sur sa propre hygiène de sécurité.

Étape 3 — Appliquez le moindre privilège. Votre agence web n'a pas besoin d'accéder à votre serveur de fichiers. Votre éditeur de logiciel de paie n'a pas besoin d'un accès administrateur au domaine. Chaque accès doit être limité au strict nécessaire, idéalement cloisonné sur le réseau.

Étape 4 — Journalisez et alertez. Vous devez pouvoir répondre à la question : « qui s'est connecté, quand, et qu'a-t-il fait ? ». Une connexion de votre infogéreur un dimanche à 3 h du matin doit déclencher une alerte, pas passer inaperçue. C'est exactement le rôle d'une supervision de type SOC/SIEM, même externalisée.

Étape 5 — Encadrez contractuellement et révisez. Ajoutez au contrat une obligation de notification en cas d'incident chez le prestataire (avec un délai précis, par exemple 24 h), et faites une revue des accès tous les trimestres : on ferme ce qui ne sert plus.

Les questions à poser à vos prestataires — et les réponses attendues

Pas besoin d'être expert pour évaluer un fournisseur. Posez ces quatre questions : « Vos accès à notre SI sont-ils nominatifs et protégés par MFA ? », « En combien de temps nous préviendrez-vous si vous êtes victime d'un incident ? », « Nos accès sont-ils cloisonnés de ceux de vos autres clients ? », « Pouvez-vous nous fournir la liste de vos intervenants habilités chez nous ? ». Un prestataire sérieux répond précisément et par écrit. Une réponse vague ou défensive est en soi une information.

Votre prestataire vient d'être piraté : les bons réflexes

Si un de vos fournisseurs annonce un incident : coupez immédiatement ses accès (VPN, comptes, connecteurs API) sans attendre plus de détails, réinitialisez les mots de passe et clés associés, puis examinez vos journaux de connexion sur la période concernée pour vérifier qu'aucun accès anormal n'a eu lieu chez vous. Si des données personnelles ont pu être exposées, évaluez avec votre DPO ou votre conseil l'obligation de notification à la CNIL sous 72 h. Et surtout : ne rétablissez les accès qu'après des explications claires sur ce qui a été compromis et corrigé.