Attaques par talonnage en cybersécurité : enjeux et prévention

Qu'est-ce qu'une attaque par talonnage ?

Une personne portant deux cartons de papier pour imprimante arrive derrière l'un de vos collaborateurs à une entrée équipée d'un lecteur de badges. Votre collaborateur lui tient la porte. En trois secondes de politesse, elle contourne toutes vos règles de pare-feu, vos politiques de segmentation réseau et vos défenses périmétriques. L'attaquant est à l'intérieur. Seuls des contrôles physiques et de sécurité des endpoints à plusieurs niveaux peuvent stopper la chaîne d'attaque qui suit.

Une attaque par talonnage est une technique physique d'ingénierie sociale par laquelle une personne non autorisée entre dans une zone à accès restreint en suivant de près une personne autorisée à un point d'accès sécurisé. L'attaquant exploite le comportement humain, et non des vulnérabilités techniques, pour contourner entièrement les contrôles d'accès physique.

Une technique proche, le piggybacking, présente une différence majeure : la personne autorisée laisse entrer l'intrus en connaissance de cause. Dans le cas du talonnage, elle ne s'en aperçoit pas. Dans le cas du piggybacking, la pression sociale ou la tromperie l'amène à participer activement, en tenant la porte ou en partageant son accès.

Cette distinction compte pour votre stratégie de défense. Un tourniquet pleine hauteur empêche le talonnage, mais ne peut empêcher deux personnes d'entrer ensemble dans un compartiment. Une politique encourageant la vérification des accès répond au piggybacking, mais reste inefficace face à un intrus discret dans un hall bondé.

Pourquoi les attaques par talonnage comptent en cybersécurité 

Une attaque par talonnage contourne tous les contrôles numériques que vous avez déployés. Une fois le lecteur de badges franchi, l'attaquant peut accéder physiquement aux ports du réseau interne, aux postes de travail sans surveillance, aux salles serveurs et aux locaux de câblage. Vos pare-feu périmétriques, votre segmentation réseau et vos politiques d'accès ne servent plus à rien lorsqu'une personne se tient à côté de la ressource visée.

MITRE ATT&CK reconnaît directement ce risque. La tactique TA0043 (Reconnaissance) inclut la collecte par l'adversaire de données sur la localisation physique de la victime pour préparer son ciblage. La chaîne d'attaque se poursuit avec des techniques comme T1200 (ajout de matériel) et T1091 (réplication par support amovible). Une seule intrusion physique peut ainsi mener à une compromission informatique complète.

Une fois à l'intérieur, l'attaquant dispose du même accès qu'un initié malveillant. Votre couche de sécurité des endpoints constitue la dernière ligne de défense efficace. Cette convergence des risques physiques et cybernétiques exige de traiter le talonnage avec la même rigueur défensive que toute attaque passant par le réseau.

Les éléments clés d'une attaque par talonnage

Chaque incident de talonnage ou de piggybacking repose sur les mêmes éléments exploitables. Les connaître vous aide à repérer les failles de vos défenses.

• Un point de contrôle d'accès fréquenté. Les portes sécurisées, les entrées équipées de lecteurs de badges, les halls à tourniquets et les quais de chargement offrent tous des occasions d'entrer. Plus le passage est fréquent, plus l'attaquant peut facilement se fondre dans la foule.
• Une personne autorisée qui facilite l'accès à son insu. L'attaquant a besoin d'une personne disposant d'un accès légitime pour ouvrir la porte, présenter son badge au lecteur ou simplement passer devant lui. Dans les scénarios de piggybacking, il la manipule pour qu'elle participe activement.
• Un ressort psychologique. Les recommandations de la CISA en décrivent plusieurs : le réflexe de rendre service, la déférence envers une autorité supposée, l'évitement de la confrontation et l'urgence. Les attaquants les combinent. Une personne en tenue de technicien, portant du matériel lourd et invoquant un délai serré exploite simultanément trois ressorts psychologiques.
• Un prétexte ou une histoire de couverture. L'attaquant peut se présenter comme un nouveau collaborateur dont le badge n'est pas encore activé, un livreur, un technicien de maintenance ou un visiteur dont l'accompagnateur est en retard. Des accessoires comme un porte-documents, une sacoche à outils ou un tour de cou emprunté renforcent la tromperie.
• Une faille dans les contrôles physiques ou les procédures. Il peut s'agir d'une porte battante qui ne limite pas le passage à une personne, d'un poste de garde vulnérable à l'ingénierie sociale ou d'une politique qui existe sur le papier, mais n'est pas appliquée.

Ces éléments forment un système. Supprimer l'un d'eux, au moyen de barrières physiques, d'une formation ou de l'application des procédures, suffit à interrompre la chaîne d'attaque.

Comment fonctionnent les attaques par talonnage

Les attaquants combinent ces éléments selon des méthodes récurrentes. Voici les techniques que les testeurs d'intrusion et les attaquants utilisent régulièrement.

• La méthode des « mains pleines ». L'attaquant arrive les bras chargés de cartons, de plateaux-repas ou de matériel. Par politesse, votre collaborateur lui tient la porte.
• Usurpation d'identité. Habillé en technicien, en livreur ou en agent d'entretien, l'attaquant s'approche d'une entrée avec assurance.
• Le prétexte du « nouvel employé ». L'attaquant prétend que son badge n'est pas encore activé et demande à un collaborateur de l'aider à franchir la porte. Cette variante exploite la serviabilité et la crédibilité des retards d'intégration.
• Exploitation des espaces fumeurs et des salles de pause. Les attaquants se placent près des lieux de rassemblement informels, où les collaborateurs rentrent dans les bâtiments sans vérification formelle.
• Manipulation des agents de sécurité. Certains attaquants évitent complètement la porte et ciblent le poste de sécurité.

Chaque méthode cible une faille précise dans les contrôles physiques ou les procédures. C'est pourquoi ces attaques réussissent si souvent.

Pourquoi les intrusions par suivi réussissent

Les intrusions par suivi restent efficaces pour des raisons structurelles, psychologiques et organisationnelles.

1. La politesse l'emporte sur la formation à la sécurité. Vos collaborateurs savent que la politique interdit de tenir la porte. Ils le font quand même. Sur le moment, interpeller une personne qui pourrait être un collègue semble socialement plus risqué qu'une faille de sécurité abstraite. La formation seule ne suffit pas à changer cette norme de comportement profondément ancrée.
2. Les organisations sous-investissent souvent dans les contrôles qu'elles savent nécessaires. Ce décalage entre prise de conscience et action laisse souvent absentes les mesures les plus efficaces contre ces intrusions, précisément aux entrées où elles comptent le plus.
3. Les organisations ne recensent pas toujours les intrusions par suivi. Vous ne pouvez pas vous défendre contre ce que vous ne mesurez pas. Sans données sur les incidents à présenter à la direction, vous ne pouvez pas non plus justifier le budget des contrôles.
4. Les systèmes traditionnels de contrôle d'accès ont un angle mort. La plupart des systèmes physiques de contrôle d'accès installés sur des portes battantes ne peuvent pas confirmer qu'un utilisateur est réellement entré dans le bâtiment après avoir présenté son badge. Sans contrôles imposant le passage d'une seule personne à la fois, il est difficile de savoir avec certitude qui se trouve à l'intérieur.
5. L'entrée accompagnée exploite les relations de confiance. Quand la personne autorisée participe activement, même les systèmes d'identification sophistiqués peinent à intervenir. Deux personnes entrant ensemble dans un sas déjouent le principe du passage individuel sur lequel reposent de nombreux contrôles physiques.

Ces facteurs se cumulent : sans suivi des incidents, les organisations ne peuvent pas justifier l'installation de barrières. Les collaborateurs restent ainsi soumis à une pression sociale constante aux entrées non contrôlées.

Les défis de la prévention des intrusions par suivi

Même les organisations conscientes du risque d'intrusion par suivi rencontrent de réels obstacles lorsqu'elles mettent en place des défenses.

1. Fluidité du passage ou sécurité. Les sas et les portes tournantes de sécurité imposent un passage individuel, mais ralentissent les entrées. Aux heures de pointe, ces contraintes opérationnelles poussent à assouplir les contrôles, précisément quand le risque d'intrusion par suivi est le plus élevé.
2. L'entrée accompagnée exige un changement de culture. Les barrières physiques peuvent arrêter une personne qui suit discrètement quelqu'un, mais pas empêcher un collaborateur de tenir volontairement la porte. Pour contrer l'entrée accompagnée, les collaborateurs doivent se sentir légitimes à vérifier l'identité des personnes inconnues et savoir que c'est attendu d'eux. C'est un changement organisationnel, pas un achat technologique.
3. Les équipes de sécurité physique et de cybersécurité travaillent en silos. Dans la plupart des entreprises, la sécurité physique relève des services généraux, tandis que la cybersécurité relève du directeur informatique ou du CISO. Cette séparation structurelle fait que les données sur les intrusions physiques alimentent rarement les évaluations des risques cyber, et que les renseignements sur les cybermenaces éclairent rarement les décisions concernant la posture de sécurité physique. Il en résulte une réponse fragmentée à un risque convergent.
4. Détecter n'est pas empêcher. Les portiques optiques et les capteurs de détection des intrusions par suivi déclenchent une alarme après l'entrée. Savoir qu'une personne s'est introduite en suivant quelqu'un ne revient pas à l'en empêcher.

Ces défis structurels expliquent pourquoi même les organisations sensibilisées à la sécurité commettent des erreurs prévisibles dans leurs programmes de défense contre les intrusions par suivi.

Erreurs courantes dans la défense contre les intrusions par suivi

Ces erreurs documentées reviennent régulièrement dans les programmes de sécurité des entreprises.

1. Traiter l'intrusion par suivi et l'entrée accompagnée comme un même problème. Elles exigent des contre-mesures différentes. Installer des tourniquets sans former les collaborateurs réduit les intrusions par suivi, mais laisse la voie libre aux entrées accompagnées.
2. Laisser des passages non sécurisés autour des entrées contrôlées. Une organisation peut investir dans le contrôle des entrées tout en laissant des accès alternatifs qui contournent ces contrôles et compromettent l'ensemble du dispositif.
3. Supposer que les lecteurs de badges empêchent les intrusions par suivi. Les systèmes traditionnels vérifient les identifiants, mais ne peuvent pas confirmer qu'une deuxième personne n'a pas franchi la porte. Présenter un badge ne garantit pas un passage individuel.
4. Compter principalement sur les alarmes signalant une porte maintenue ouverte. Les alarmes se déclenchent après l'entrée. Si le personnel les ignore ou ne réagit pas, l'intrus circule librement.
5. Négliger les tests red team des contrôles d'accès physiques. Sans tests, vous avancez à l'aveugle.
6. Ignorer les conséquences cyber d'une intrusion physique. Sans relier l'accès physique aux risques liés aux endpoints, au réseau et aux identités, vous laissez une partie de la chaîne d'attaque sans réponse.

Éviter ces erreurs ouvre la voie à une défense multicouche contre le tailgating et le piggybacking.

Comment prévenir les attaques par tailgating

Construisez une défense multicouche, avec des contrôles adaptés à la sensibilité de chaque zone.

• Déployez des barrières physiques qui imposent le passage d'une seule personne à la fois. Les portes tournantes de sécurité et les sas individuels offrent la meilleure prévention. Installez-les en priorité dans les salles serveurs,les centres de données et les espaces de direction.
• Instaurez une culture du contrôle, pas seulement une politique. Les consignes écrites interdisant aux collaborateurs de tenir les portes sont nécessaires, mais insuffisantes. Formez-les aux scénarios de tailgating et de piggybacking. Prévoyez une formation ciblée pour la direction et les administrateurs système.
• Mettez en place une gestion des visiteurs conforme à l'annexe A 7.2 de la norme ISO 27001. Conservez des registres vérifiables pour chaque visiteur. Limitez l'accès des prestataires aux zones et aux plages horaires autorisées. Reliez votre système de gestion des visiteurs aux bases de données RH et aux lecteurs de badges.
• Soumettez régulièrement vos contrôles physiques à des tests red team. NIST SP 800-53 exige des tentatives inopinées de contournement des contrôles d'accès physiques pour les niveaux de sécurité HIGH. Les tests d'intrusion physique révèlent les écarts entre vos contrôles documentés et votre posture de sécurité réelle.
• Reliez les données d'accès physique à vos opérations de sécurité. Transmettez les journaux des lecteurs de badges, les alertes de tailgating et les données de gestion des visiteurs à votre SIEM ou à votre plateforme d'opérations de sécurité. Lorsqu'une alerte de tailgating coïncide avec un comportement anormal d'un endpoint au même étage, votre SOC peut répondre à l'ensemble de la chaîne d'attaque plutôt que de traiter chaque événement isolément.
• Appliquez les principes Zero Trust à la présence physique. La présence dans un bâtiment ne doit donner aucun accès implicite au réseau. La vérification continue de l'état des appareils, l'application du moindre privilège et la microsegmentation garantissent que même un intrus atteignant un port réseau ne peut accéder aux ressources de l'organisation sans satisfaire aux exigences d'identité et de sécurité des appareils.

Ces contrôles multicouches réduisent considérablement le risque de tailgating, mais aucune défense physique n'est parfaite. Si un attaquant parvient à entrer, l'attaque passe du monde physique au numérique, où d'autres contrôles prennent le relais.

La chaîne d'attaque, du physique au numérique

L'accès physique ouvre des voies d'attaque cyber précises. Les connaître vous aide à prioriser les contrôles des endpoints et des identités.

1. Introduction de malware par USB (MITRE T1091). Un intrus atteint un poste de travail sans surveillance, insère un périphérique USB préparé à l'avance et déclenche son exécution sans aucune interaction avec le réseau. Vos pare-feu périmétriques ne voient jamais ce trafic.
2. Extraction d'identifiants (MITRE T1003.001). Depuis un endpoint auquel il accède physiquement, un attaquant exécute des outils de collecte d'identifiants dans la mémoire locale. Il en résulte une élévation de privilèges qui, depuis un seul poste de travail, donne accès à des identifiants suffisants pour atteindre une infrastructure critique.
3. Installation d'un appareil non autorisé (MITRE T1200). Un intrus branche un point d'accès sans fil non autorisé sur un port du réseau interne, dans une salle de réunion ou un local de câblage non verrouillé. L'attaquant dispose alors d'un accès sans fil persistant à votre réseau interne depuis l'extérieur du bâtiment.

Dans chaque scénario, l'endpoint constitue la dernière couche de contrôle. Les pare-feu périmétriques et les contrôles d'accès réseau n'inspectent pas l'activité lancée depuis une machine interne légitimement connectée, ce qui fait de la sécurité des endpoints la dernière ligne de défense après une intrusion physique.

Réduire les risques liés à l'identité dans l'ensemble de votre organisation

Détecter et répondre aux attaques en temps réel grâce à des solutions globales pour Active Directory et Entra ID.

Obtenir une démonstration

À retenir

Les attaques par tailgating et piggybacking contournent l'ensemble de votre dispositif de sécurité numérique en exploitant les comportements humains aux points d'accès physiques. 

Se défendre contre le tailgating exige des barrières physiques multicouches, des équipes formées au contrôle des accès, des tests red team et une sécurité des endpoints qui constitue la dernière ligne de défense lorsque les contrôles physiques échouent.