VPN et accès distant

Le VPN (virtual private network, réseau privé virtuel) d'accès distant est la passerelle qui relie un poste extérieur au réseau interne de l'entreprise par un tunnel chiffré, après authentification. Le 7 mai 2021, Colonial Pipeline arrête son oléoduc. Son directeur général, Joseph Blount, expliquera au Sénat en juin que les attaquants étaient entrés par un ancien compte VPN resté actif, protégé par un mot de passe seul, sans MFA (authentification multi-facteurs). Le boîtier lui-même est l'autre faiblesse. Un VPN SSL est exposé à Internet par construction, et chaque faille critique publiée sur un équipement de grand constructeur est balayée par les attaquants en quelques jours. Ces boîtiers figurent parmi les premiers vecteurs d'entrée des rançongiciels en 2023 et 2024 dans les rapports des équipes de réponse à incident. Citrix Bleed, en octobre 2023, laissait même voler un jeton de session déjà authentifié : la MFA n'arrêtait plus rien. Le questionnaire de souscription demande si tout accès distant passe par la MFA, prestataires compris, et dans quel délai les correctifs critiques des équipements exposés sont appliqués. La réponse se contrôle de l'extérieur. Un balayage de la surface d'attaque voit la page de connexion du boîtier, sa marque, souvent sa version, et la confronte au catalogue des vulnérabilités exploitées. Depuis 2021, beaucoup de marchés traitent l'absence de MFA sur l'accès distant comme une question bloquante ; d'autres cotent quand même, avec une sous-limite ou une coassurance plus lourde sur le rançongiciel. Réserve de praticien : la case « MFA sur le VPN » ne dit rien des comptes oubliés, et celui de Colonial était un compte dormant que personne ne croyait encore utilisable.