Glossaire

Compromission obtenue en visant un prestataire, un éditeur ou un sous-traitant plutôt que la cible finale. Vos données peuvent être publiées sans qu’aucun de vos systèmes n’ait été touché.

Voir aussi Rançongiciel (ransomware)Site de fuiteSurface d’attaque

Vérification de l’identité par au moins deux éléments de nature différente : un mot de passe et un code temporaire, une clé physique, une empreinte. Elle bloque la réutilisation d’un mot de passe volé, mais pas le vol d’une session déjà ouverte.

Voir aussi Identifiant (credential)Cookie de sessionDétournement de session

Essai automatisé de couples adresse/mot de passe issus de fuites sur d’autres services, en pariant sur leur réutilisation. Peu coûteux, il produit des connexions parfaitement légitimes du point de vue des journaux.

Voir aussi Identifiant (credential)Authentification multifacteur (MFA)

Registres publics où sont consignés les certificats TLS émis. Leur consultation permet de repérer très tôt un certificat délivré pour un domaine imitant le vôtre, souvent avant la publication de la moindre page.

Voir aussi Domaine sosieHameçonnage (phishing)

Suite d’éléments reliés, parfois appelée chaîne d’attaque, qui ensemble rendent un accès possible : un appareil infecté, les identifiants qu’il a laissé fuir, une session encore valide, le service qu’elle ouvre. La chaîne porte une origine probable, une confiance, ses impacts possibles et l’action qui la coupe.

Voir aussi PlaybookPrise de contrôle de compteLogiciel voleur d’informationsCookie de session

Groupe de comptes qui partagent la même action recommandée : sensibilisation recommandée, poste à réinstaller, accès à durcir, à surveiller ou sans exposition. Une cohorte se lit comme une liste d’actions de sécurité à organiser, jamais comme un classement de personnes.

Voir aussi Chaîne d’expositionRisque humainPlaybookIdentifiant (credential)

Jeton déposé par un site dans le navigateur pour maintenir une session authentifiée. Volé et rejoué, il donne accès au compte sans mot de passe ni second facteur, tant qu’il n’a pas expiré ou été invalidé.

Voir aussi Détournement de sessionLogiciel voleur d’informationsAuthentification multifacteur (MFA)

Acteur spécialisé dans l’obtention et la revente d’accès à des organisations, sans mener lui-même l’attaque finale. Sa présence sur un marché explique le délai fréquent entre le vol d’un accès et son exploitation.

Voir aussi Web clandestin (dark web)Identifiant (credential)Rançongiciel (ransomware)

Ce qui change sur la surface exposée d’une organisation d’une synchronisation à l’autre : hôtes et ports qui apparaissent, changent ou disparaissent, certificats qui arrivent à expiration. Un nouveau service joignable compte plus qu’un inventaire figé.

Voir aussi Surface d’attaqueScore d’exposition

Prise de contrôle d’un compte par le rejeu d’un cookie de session volé, sans mot de passe ni second facteur. La seule remédiation efficace est l’invalidation des sessions, pas le changement de mot de passe.

Voir aussi Cookie de sessionLogiciel voleur d’informationsAuthentification multifacteur (MFA)

Publication délibérée d’informations privées sur une personne, adresse, téléphone, famille, habitudes, dans le but de nuire, d’intimider ou de faciliter une attaque ciblée.

Voir aussi Renseignement de sources ouvertes (OSINT)Retrait (takedown)

Politique publiée dans le DNS indiquant aux serveurs destinataires comment traiter un courriel prétendant venir de votre domaine sans en réussir les contrôles. Une politique de rejet réduit fortement l’usurpation directe de votre domaine.

Voir aussi SPFHameçonnage (phishing)Domaine sosie

Nom de domaine construit pour être confondu avec le vôtre : caractère ajouté ou doublé, tiret inséré, extension différente, homoglyphe. Support privilégié du hameçonnage et de la fraude au virement.

Voir aussi TyposquattageHomoglypheRetrait (takedown)

Pratique consistant à combiner le chiffrement des systèmes et la menace de publication des données volées. Elle rend la restauration des sauvegardes insuffisante à elle seule pour clore l’incident.

Voir aussi Rançongiciel (ransomware)Site de fuite

Résultat d’une fonction à sens unique appliquée à une donnée, par exemple un mot de passe. Une empreinte mal choisie ou non salée peut être retrouvée par calcul : sa présence dans une fuite doit être traitée comme une exposition réelle.

Voir aussi Identifiant (credential)Logiciel voleur d’informations

Détection signalée à tort : un domaine légitime pris pour un sosie, un homonyme confondu avec votre organisation, un jeton d’exemple pris pour un secret. Le taux de faux positifs détermine si une surveillance est utilisée ou ignorée.

Voir aussi Score d’expositionGestion de l’exposition aux menaces

Démarche continue consistant à identifier ce qu’une organisation expose au dehors, à qualifier ce qui est réellement exploitable et à traiter en priorité ce qui l’est. Elle complète la protection interne au lieu de la remplacer.

Voir aussi Surface d’attaqueScore d’expositionFaux positif

Niveau attribué à une détection (critique, élevée, moyenne, faible, informative) à partir de la fraîcheur de l’information, de la nature des données et de la criticité de l’actif. Elle détermine le canal et le délai de notification.

Voir aussi Score d’expositionFaux positif

Message ou page imitant un tiers de confiance pour obtenir des identifiants, un paiement ou l’exécution d’un fichier. Les kits modernes interceptent aussi le second facteur et le cookie de session en temps réel.

Voir aussi Domaine sosieDétournement de sessionDMARC

Caractère visuellement identique à un autre mais de code différent, souvent issu d’un autre alphabet. Utilisé dans un nom de domaine, il produit une imitation indétectable à l’œil nu.

Voir aussi Domaine sosieTyposquattage

Couple formé d’un nom d’utilisateur, souvent une adresse électronique, et d’un moyen d’authentification. Exposé dans une fuite, il reste dangereux tant que le mot de passe n’a pas été changé partout où il a été réutilisé.

Voir aussi Bourrage d’identifiantsEmpreinte (hash)Logiciel voleur d’informations

Archive produite par un logiciel voleur sur une machine infectée : mots de passe enregistrés, cookies, fichiers, empreinte du système. C’est l’unité de revente la plus courante sur les marchés d’accès.

Voir aussi Logiciel voleur d’informationsCookie de sessionIdentifiant (credential)

Droit d’usage annuel, sous un nom, composé service par service : chaque service y figure avec son prix, ses frais d’activation et son quota, jamais en pack. Une organisation, entreprise ou particulier, peut tenir plusieurs licences, par exemple une par filiale ou une par dirigeant protégé.

Voir aussi Gestion de l’exposition aux menacesScore d’expositionPlaybook

Programme malveillant conçu pour copier en une seule exécution les secrets présents sur une machine : mots de passe du navigateur, cookies, portefeuilles, fichiers de configuration. Il ne persiste pas nécessairement après le vol.

Voir aussi Journal de logiciel voleurCookie de sessionIdentifiant (credential)

Les six à huit premiers chiffres d’une carte de paiement, qui désignent l’émetteur. Déclaré à VesperID, un BIN permet de reconnaître les cartes d’un émetteur dans les lots mis en vente sur les marchés illicites, sans conserver aucun numéro complet : une carte s’affiche masquée, BIN et quatre derniers chiffres.

Voir aussi Journal de logiciel voleurWeb clandestin (dark web)Courtier en accès initiaux

Marche à suivre écrite et ordonnée pour un type de cas : isoler un appareil, réinitialiser des identifiants, répondre à un domaine sosie, questionner un fournisseur. Chaque étape ferme d’abord l’accès, puis documente ; le playbook désigné s’affiche sur le finding et dans l’alerte.

Voir aussi Chaîne d’expositionCohorteRetrait (takedown)

Utilisation d’un compte par quelqu’un d’autre que son titulaire, par un mot de passe fuité, une session rejouée ou un second facteur contourné. VesperID classe chaque identité selon la probabilité de cette prise de contrôle : possible, probable ou immédiate.

Voir aussi Bourrage d’identifiantsDétournement de sessionAuthentification multifacteur (MFA)Chaîne d’exposition

Attaque consistant à chiffrer ou à exfiltrer les données d’une organisation pour exiger un paiement. La plupart des groupes exfiltrent avant de chiffrer, afin de conserver un moyen de pression même sur une victime capable de restaurer ses sauvegardes.

Voir aussi Site de fuiteDouble extorsionAttaque par la chaîne de fournisseurs

Collecte et analyse d’informations accessibles publiquement. Appliqué à une personne, il permet de reconstituer des habitudes, un entourage et des coordonnées, la matière première du hameçonnage ciblé et du doxing.

Voir aussi Divulgation de données personnelles (doxing)Web clandestin (dark web)

Demande adressée à un registrar, un hébergeur ou une plateforme pour faire suspendre un domaine ou retirer un contenu frauduleux. Son issue dépend de la décision du tiers saisi, jamais du demandeur.

Voir aussi Domaine sosieDivulgation de données personnelles (doxing)Hameçonnage (phishing)

Part du risque cyber qui tient aux comptes des personnes plutôt qu’aux systèmes : mot de passe réutilisé, poste personnel infecté, session volée, réponse à un hameçonnage. Il se réduit par une sensibilisation ciblée et par des mesures sur le poste et les accès, jamais par une sanction.

Voir aussi CohorteHameçonnage (phishing)Bourrage d’identifiantsJournal de logiciel voleur

Indicateur agrégé, de 0 à 100, résumant les détections ouvertes d’un périmètre, pondérées par gravité, fraîcheur et criticité des actifs. Il sert au suivi dans le temps d’une même organisation, pas à la comparaison entre organisations.

Voir aussi Gestion de l’exposition aux menacesFaux positif

Site publié par un groupe de rançongiciel pour annoncer ses victimes et diffuser progressivement les données volées. La revendication publique précède presque toujours la mise en ligne effective des fichiers.

Voir aussi Rançongiciel (ransomware)Double extorsionAttaque par la chaîne de fournisseurs

Enregistrement DNS listant les serveurs autorisés à envoyer du courrier pour votre domaine. Combiné à DMARC, il limite l’usurpation directe, mais reste sans effet sur un domaine sosie qui, lui, publie ses propres enregistrements.

Voir aussi DMARCDomaine sosie

Ensemble des points par lesquels une organisation peut être atteinte depuis l’extérieur : domaines, services exposés, comptes, personnes, fournisseurs. Elle s’étend souvent par des voies légitimes et sans décision explicite.

Voir aussi Gestion de l’exposition aux menacesAttaque par la chaîne de fournisseurs

Enregistrement de domaines correspondant à des fautes de frappe courantes sur un nom légitime. Technique la plus ancienne de la famille des domaines sosies, et toujours l’une des plus rentables.

Voir aussi Domaine sosieHomoglyphe

Ensemble de sites et de services accessibles uniquement via des réseaux d’anonymisation. En pratique, l’économie cybercriminelle déborde largement ce périmètre : forums accessibles publiquement et canaux de messagerie en constituent aujourd’hui une part importante.

Voir aussi Site de fuiteCourtier en accès initiauxRenseignement de sources ouvertes (OSINT)

Protocoles de consultation des données d’enregistrement d’un nom de domaine : registrar, dates, contacts lorsqu’ils sont publiés. Éléments de preuve utiles pour une demande de retrait, même partiellement masqués.

Voir aussi Domaine sosieRetrait (takedown)