Menaces internes : types, détection et prévention

Que sont les menaces internes ?

Les menaces internes sont des risques de sécurité créés par des personnes qui disposent déjà d’un accès autorisé aux systèmes, aux données ou aux réseaux d’une organisation. Elles utilisent cet accès, en abusent ou exposent accidentellement ces ressources, causant ainsi des dommages. Il peut s’agir d’un collaborateur actuel, d’un ancien collaborateur dont les identifiants n’ont jamais été révoqués, d’un prestataire ou d’un fournisseur.

En 2023, Tesla a informé les autorités de régulation du Maine que des actes malveillants commis en interne avaient exposé les données personnelles de 75 735 collaborateurs actuels et anciens. Sa propre enquête a désigné deux anciens collaborateurs qui avaient transmis ces données à un média. Si vous dirigez un SOC, vous savez que vos outils de protection périmétrique n’ont jamais été conçus pour détecter ce type de menace.

Le lien entre menaces internes et cybersécurité

Les activités internes échappent aux contrôles périmétriques : elles sont authentifiées, autorisées et difficiles à distinguer des activités ordinaires au niveau du réseau. Pare-feu, filtrage des e-mails et inspection en périphérie reposent tous sur l’idée qu’un attaquant doit d’abord pénétrer dans le système. La définition des menaces internes de la CISA s’applique à toute personne qui utilise un accès autorisé, sciemment ou non, pour porter atteinte à la confidentialité, à l’intégrité ou à la disponibilité. Elle englobe donc les prestataires, les fournisseurs et les partenaires, aux côtés des collaborateurs.

3 types de menaces internes

Les personnes malveillantes, négligentes et compromises se distinguent par leur intention, leurs comportements et les contrôles nécessaires. Bien qualifier un incident révèle quel contrôle a échoué.

1. Menaces internes malveillantes

Une personne malveillante en interne utilise délibérément son accès autorisé contre l’organisation pour exfiltrer des données, vendre des accès ou endommager des systèmes. Elle agit généralement pour un gain financier, par ressentiment après une évaluation ou un licenciement, ou parce qu’un tiers l’a recrutée. Ces personnes progressent souvent lentement et restent dans les limites de leurs autorisations. Les seuls journaux d’accès suffisent donc rarement à établir les faits.Edward Snowden, qui a divulgué des informations classifiées de la National Security Agency (NSA) en 2013.

2. Menaces internes dues à la négligence

Les personnes négligentes en interne causent des dommages sans le vouloir, soit en ignorant une règle qu’elles connaissent, soit en commettant une erreur ordinaire sous la pression du temps. La CISA distingue la négligence de l’accident parmi les menaces internes involontaires. Le schéma est familier : un lien de phishing ouvert dans un e-mail convaincant, un espace de stockage laissé accessible parce que le travail devait être livré, ou un disque oublié dans un taxi.

3. Menaces internes liées à une compromission

Mettez en place des contrôles d'accès – Limitez l'accès aux données sensibles en vous basant sur le principe du moindre privilège. Utilisez l'authentification à deux facteurs, le contrôle d'accès basé sur les rôles et d'autres mécanismes de contrôle d'accès.

Surveillez et auditez l'activité des utilisateurs – Mettez en œuvre des solutions de journalisation et de surveillance pour détecter les comportements anormaux et identifier les menaces internes potentielles.

Appliquer les politiques de sécurité – Disposer de politiques de sécurité claires et les appliquer rigoureusement.

Une personne compromise en interne est un utilisateur légitime dont un attaquant externe contrôle désormais les identifiants ou l’appareil. L’utilisateur n’en a généralement aucune idée. Chaque action de l’attaquant est correctement authentifiée et bénéficie des véritables autorisations de cet utilisateur. L’attaquant applique un scénario classique de cyberattaque depuis une session de confiance. La validation des identifiants ne révèle donc aucune anomalie.

Exemples de menaces internes

Des poursuites fédérales et des témoignages devant le Congrès au cours des deux dernières années ont rendu publics des cas de menaces internes suffisamment détaillés pour montrer quel contrôle a échoué, et quand.

En outre, les menaces internes sont de plus en plus fréquentes et sophistiquées, ce qui rend difficile pour les organisations de suivre le rythme. Selon le rapport 2023 Insider Threat de Gurucul, en 2022, les attaques internes ont considérablement augmenté, 74 % des organisations déclarant que les attaques sont devenues plus fréquentes (soit une augmentation de 6 % par rapport à l'année dernière), 60 % ayant subi au moins une attaque et 25 % ayant subi plus de six attaques.
• Un compte compromis chez Change Healthcare, en 2024. Des attaquants se sont connectés à un portail d’accès à distance avec les identifiants légitimes d’un collaborateur, puis ont circulé dans les systèmes internes pendant neuf jours avant de déployer un ransomware. Le directeur général de UnitedHealth a confirmé, dans son témoignage devant la commission des finances du Sénat, que le portail ne disposait d’aucune MFA.
• Des infiltrés jamais réellement embauchés, 2025. Des agents opérant depuis l'étranger ont usurpé l'identité de citoyens américains pour obtenir des postes informatiques à distance dans plus de 100 entreprises américaines. Une fois salariés, ils ont accédé à du code source et à des données de défense soumises au contrôle des exportations. Le ministère de la Justice a annoncé des poursuites à l'échelle nationale en juin 2025.

La négligence donne rarement lieu à des procédures judiciaires. Elle est peu représentée dans la jurisprudence, mais fréquente dans les incidents réels. Dans chacun des cas ci-dessus, les enquêteurs ont reconstitué les faits après les dégâts. La détection des menaces internes vise à réduire ce délai.

Principaux indicateurs de menaces internes

Organiser régulièrement des formations de sensibilisation à la sécurité – Des formations régulières de sensibilisation à la sécurité peuvent aider les employés à comprendre les risques liés aux menaces internes et à les éviter. Les employés doivent être formés aux meilleures pratiques en matière de gestion des mots de passe, aux attaques d'ingénierie sociale et à la manière de signaler les activités suspectes.

Surveiller les activités des employés – La surveillance des activités des employés est essentielle pour détecter et prévenir les menaces internes. Cela peut inclure la surveillance des e-mails, des transferts de fichiers et de l'activité réseau des employés. Cependant, les organisations doivent trouver un équilibre entre la nécessité de la surveillance et les droits à la vie privée des employés et les exigences légales.

Mettre en place des contrôles d'accès – Les contrôles d'accès peuvent contribuer à limiter l'exposition des données et des systèmes sensibles aux initiés. Les organisations doivent mettre en place des contrôles d'accès basés sur les rôles, afin de s'assurer que les employés n'ont accès qu'aux données et aux systèmes nécessaires à l'exercice de leurs fonctions. Les contrôles d'accès doivent également être régulièrement revus et mis à jour pour rester efficaces.

Utiliser un logiciel XDR et anti-malware – XDR (Extended Detection and Response) est une technologie de sécurité de nouvelle génération qui assure la détection et la réponse en temps réel aux menaces sur plusieurs vecteurs, notamment les terminaux, les réseaux et les environnements cloud. Les logiciels anti-malware peuvent aider à détecter et à empêcher l'installation de logiciels malveillants sur les appareils des employés. Grâce à XDR, les entreprises peuvent identifier les accès et les comportements anormaux des utilisateurs, ce qui permet de détecter ces tentatives.

Effectuer des vérifications des antécédents – Les organisations doivent effectuer des vérifications approfondies des antécédents des employés, des sous-traitants et des partenaires tiers avant de leur accorder l'accès à des données et à des systèmes sensibles. Les vérifications des antécédents peuvent aider à identifier les menaces internes potentielles, telles que les personnes ayant des antécédents de vol ou de fraude.

Mettre en œuvre des procédures de réponse aux incidents – Les organisations doivent disposer de procédures de réponse aux incidents afin de réagir rapidement et efficacement aux menaces internes. Ces procédures doivent inclure des étapes pour signaler et enquêter sur les incidents, identifier leur cause profonde et mettre en œuvre des mesures correctives afin d'éviter que des incidents similaires ne se reproduisent à l'avenir.

Une compromission de vos systèmes peut révéler une menace interne. Des connexions à des heures inhabituelles et une hausse de l'utilisation des données sur plusieurs appareils sont d'autres signaux. Voici comment repérer les indicateurs d'une menace interne :

Conclusion
• Repérer les accès à distance - Surveillez l'utilisation malveillante éventuelle d'outils comme TeamViewer, ainsi que l'activité des serveurs physiques, notamment des appareils Synology.
• Surveiller les changements de mots de passe  - Des changements trop fréquents ou des mots de passe qui cessent soudainement de fonctionner peuvent annoncer une attaque interne. Vérifiez qui dispose de droits d'accès, leur étendue et les ressources concernées.
• Repérer les modifications non autorisées des antivirus et pare-feu - Toute modification des paramètres de votre antivirus ou de votre pare-feu peut signaler une attaque interne.  Si vous détectez un nouveau malware, recherchez immédiatement son origine et neutralisez-le avant que la situation ne s'aggrave.
• Repérer les tentatives d'accès excessives  - Des tentatives répétées d'accès aux zones sensibles de votre réseau peuvent signaler une tentative d'exfiltration de données hors de l'organisation. Examinez-les et vérifiez l'activité associée.

Exemples concrets de menaces internes

Plusieurs affaires de menaces internes très médiatisées ont fait la une ces dernières années. Par exemple, la fuite de données chez Equifax en 2017 a été causée par une personne interne qui a exploité une vulnérabilité de l'application web de l'entreprise pour voler les données sensibles de 143 millions de clients. Autre exemple : l'affaire Edward Snowden, qui a divulgué des informations classifiées de la National Security Agency (NSA) en 2013.

Prévenir les menaces internes

Prévenir les menaces internes exige une approche à plusieurs niveaux, associant personnes, processus et technologies. Voici des mesures concrètes pour protéger votre organisation :

• Sensibiliser les collaborateurs – Formez régulièrement les collaborateurs, les sous-traitants et les fournisseurs tiers aux enjeux de sécurité.
• Mettre en place des contrôles d'accès – Limitez l'accès aux données sensibles selon le principe du moindre privilège. Utilisez l'authentification à deux facteurs, le contrôle d'accès basé sur les rôles et d'autres mécanismes de contrôle d'accès.
• Surveiller et auditer l'activité des utilisateurs – Déployez des outils de journalisation et de surveillance pour détecter les comportements anormaux et identifier les menaces internes potentielles.
• Faire appliquer les politiques de sécurité – Définissez des politiques de sécurité claires et veillez à leur application rigoureuse.

Comment stopper les menaces internes

D'autres mesures peuvent prévenir les attaques internes. Voici comment réduire davantage le risque de menaces internes :

• Utiliser des outils UEBA - Les outils de surveillance du comportement des utilisateurs et des entités établissent des profils d'activité de référence pour les collaborateurs. Ils déclenchent automatiquement des alertes en cas de comportement anormal, comme des transferts de données non autorisés, des accès en dehors des heures habituelles ou des téléchargements de fichiers inhabituels.
• Imposer l'authentification multifacteur - Ne vous limitez pas à un ou deux facteurs d'authentification. Combinez reconnaissance faciale, codes à usage unique, biométrie et autres méthodes pour empêcher l'utilisation de comptes compromis.
• Effectuez des vérifications régulières des collaborateurs - Qu'ils viennent d'arriver, soient en poste ou sur le point de partir, rendez ces vérifications obligatoires et régulières. Mettez également en place un processus complet de gestion des départs. Effectuez des audits réguliers et séparez les responsabilités pour réduire les risques de fraude dans l'organisation.

Pourquoi les menaces internes sont-elles importantes ?

Les menaces internes peuvent être particulièrement préjudiciables aux organisations, car les personnes concernées ont déjà accès aux données et systèmes sensibles. Elles n'ont donc pas besoin de contourner les contrôles de sécurité pour causer des dommages, ce qui rend ces menaces plus difficiles à détecter et à prévenir.

De plus, les personnes internes peuvent porter gravement atteinte à la réputation, à la stabilité financière et à la situation juridique d'une organisation. Par exemple, le vol de propriété intellectuelle ou de données clients sensibles peut nuire à sa réputation et à sa crédibilité. La perturbation des opérations réseau peut entraîner des pertes financières importantes et compromettre sa capacité à fournir des services à ses clients.

En outre, les menaces internes deviennent plus fréquentes et plus sophistiquées, ce qui complique la tâche des organisations. Selon le rapport 2023 de Gurucul sur les menaces internes, les attaques internes ont fortement augmenté en 2022 : 74 % des organisations déclarent qu'elles sont devenues plus fréquentes (soit une hausse de 6 % par rapport à l'année précédente), 60 % ont subi au moins une attaque et 25 % en ont subi plus de six.

Comment se protéger contre les menaces internes

Pour protéger votre organisation contre les attaques internes, vous devez comprendre précisément les risques auxquels vous faites face. Suivez ces recommandations pour agir sur vos actifs, vos collaborateurs et vos outils :

Protégez les actifs critiques

Commencez par identifier ce qui compte le plus. Repérez les systèmes clés, les données sensibles, les sites physiques et le personnel concerné. Classez ces actifs par ordre d'importance. Appliquez ensuite vos mesures de sécurité les plus strictes aux éléments prioritaires. Cette approche ciblée garantit la meilleure protection à vos ressources les plus précieuses.

Établissez une référence des comportements habituels

Pour repérer les comportements inhabituels, vous devez connaître les comportements habituels. Utilisez des logiciels pour suivre l'activité des utilisateurs et des appareils. Collectez les données des journaux d'accès, des connexions VPN et des systèmes d'authentification. Établissez un profil de comportement habituel pour chaque utilisateur et chaque fonction. Cette référence vous aide à signaler rapidement les anomalies à examiner, comme le téléchargement de fichiers volumineux à des heures inhabituelles.

Renforcez la visibilité

Déployez des outils de surveillance qui observent les actions des utilisateurs et recoupent les données de différentes sources. Vous pouvez utiliser la technologie de tromperie, par exemple en plaçant des pièges pour les personnes internes malveillantes. Ces pièges peuvent révéler leurs méthodes et leurs objectifs. Transmettez ces renseignements à vos autres systèmes de sécurité pour bloquer les attaques.

Faites appliquer les politiques

Définissez vos règles de sécurité. Consignez-les et communiquez-les à tous. Les collaborateurs, les prestataires et les partenaires doivent comprendre quels comportements sont acceptables. Éliminez toute ambiguïté. Précisez que le partage d'informations privilégiées sans autorisation est interdit.

Faites évoluer la culture de sécurité

Mieux vaut stopper une menace que la détecter. Découragez les actes préjudiciables avant qu'ils ne se produisent. Instaurez une culture où la sécurité est une responsabilité partagée. Des formations régulières y contribuent. Mesurez aussi la satisfaction des collaborateurs pour repérer les premiers signes de mécontentement susceptibles de créer des risques.

Comment gérer le risque de menaces internes

1. Élaborez un programme complet de gestion des menaces internes – Pour faire face aux menaces internes, les organisations doivent élaborer un programme complet associant politiques, procédures et technologies. Ce programme doit couvrir tous les aspects du risque interne, notamment la surveillance des collaborateurs, le contrôle des accès et la réponse aux incidents.
2. Organisez régulièrement des formations de sensibilisation à la sécurité – Des formations régulières de sensibilisation à la sécurité aident les collaborateurs à comprendre les risques liés aux menaces internes et à les éviter. Formez-les aux bonnes pratiques de gestion des mots de passe, aux attaques par ingénierie sociale et au signalement des activités suspectes.
3. Surveillez les activités des collaborateurs – La surveillance des activités des collaborateurs est essentielle pour détecter et prévenir les menaces internes. Elle peut porter sur leurs e-mails, leurs transferts de fichiers et leur activité réseau. Toutefois, les organisations doivent concilier cette surveillance avec le respect de la vie privée des collaborateurs et les obligations légales.
4. Mettez en place des contrôles d'accès – Les contrôles d'accès limitent l'exposition des données et systèmes sensibles aux personnes internes. Les organisations doivent appliquer des contrôles d'accès fondés sur les rôles afin que les collaborateurs accèdent uniquement aux données et systèmes nécessaires à leurs fonctions. Ces contrôles doivent également être réexaminés et mis à jour régulièrement pour rester efficaces.
5. Utilisez XDR et des logiciels anti-malware – XDR (détection et réponse étendues) est une technologie de sécurité qui détecte les menaces et y répond en temps réel sur plusieurs vecteurs, notamment les endpoints, les réseaux et les environnements cloud. Les logiciels anti-malware détectent et empêchent l'installation de logiciels malveillants sur les appareils des collaborateurs. Avec XDR, les entreprises repèrent les accès et les comportements inhabituels des utilisateurs afin de détecter ces tentatives.
6. Effectuez des vérifications des antécédents– Les organisations doivent vérifier soigneusement les antécédents des collaborateurs, des prestataires et des partenaires tiers avant de leur donner accès aux données et systèmes sensibles. Ces vérifications peuvent révéler des menaces internes potentielles, notamment des personnes ayant des antécédents de vol ou de fraude.
7. Mettez en place des procédures de réponse aux incidents – Les organisations doivent disposer de procédures de réponse aux incidents pour répondre rapidement et efficacement aux menaces internes. Ces procédures doivent prévoir le signalement et l'examen des incidents, l'identification de leur cause profonde et la mise en œuvre de mesures correctives pour éviter qu'ils ne se reproduisent.

Obtenir des informations plus approfondies sur les menaces

Découvrez comment WatchTower, le service de chasse aux menaces de SentinelOne, peut vous apporter de meilleures informations et vous aider à déjouer les attaques.

En savoir plus

Conclusion

Les menaces internes représentent un risque important et croissant pour les organisations de toutes tailles et de tous secteurs. Les personnes internes ayant accès aux données et systèmes sensibles d'une organisation peuvent causer des dommages considérables, volontairement ou non. Face à leurs conséquences potentielles, les organisations doivent prendre des mesures pour réduire ce risque.

Un programme complet associant politiques, procédures et technologies pour détecter et prévenir les menaces internes est essentiel. Les organisations doivent également organiser régulièrement des formations de sensibilisation à la sécurité, surveiller les activités des collaborateurs, mettre en place des contrôles d'accès, utiliser le chiffrement et les technologies DLP, vérifier les antécédents et établir des procédures de réponse aux incidents.

Ces mesures réduisent le risque de menaces internes et protègent les données sensibles, les systèmes et la réputation des organisations. Une défense efficace contre les menaces internes repose sur une approche proactive et complète qui mobilise tous les niveaux de l'organisation, de la direction aux équipes sur le terrain.