Informatique fantôme (shadow IT)

Au printemps 2024, Mandiant prévient environ 165 organisations que leurs comptes clients Snowflake ont été consultés avec des identifiants volés ; Ticketmaster, AT&T et Santander sont du nombre. La plateforme n'avait pas été percée. Les attaquants entraient dans des comptes sans authentification multifacteur, avec des mots de passe récupérés par des voleurs d'informations, parfois des années plus tôt, y compris sur des postes de prestataires. Le cas montre ce que coûte l'informatique fantôme : un compte en nuage que l'équipe de sécurité ne pilote pas, donc privé des règles qu'elle impose ailleurs. Le terme désigne les outils, applications et comptes SaaS utilisés par les équipes hors du contrôle de la DSI. On y trouve un espace de stockage ouvert par un commercial, une base de données en nuage payée par carte bancaire, un outil de signature électronique branché sur la messagerie. L'intention est rarement malveillante. Le résultat est un actif que personne n'inventorie, ne corrige ni ne surveille, et sur lequel la politique d'authentification ne s'applique pas. Pour l'assureur, le défaut est de méthode : le questionnaire décrit le parc déclaré, pas celui qu'utilisent les équipes. Une réponse « MFA sur tous les accès distants » est sincère pour les outils que la DSI connaît. Les balayages de surface d'attaque et les notations externes rattrapent une partie de l'écart (domaines, sous-domaines, services exposés), alors que les comptes SaaS ouverts sous une adresse de l'entreprise leur échappent en grande partie. Au sinistre, l'écart entre le déclaré et le réel ouvre une discussion sur la déclaration du risque, rarement simple à trancher quand l'assuré ignorait lui-même l'outil. À ne pas confondre avec le shadow AI, l'usage d'assistants d'IA générative hors du cadre de l'entreprise : c'en est une variante récente, avec un risque propre, la fuite par ce que les salariés saisissent.