Spécial - RETEX sur une première expérience en pentest physique
11 mai 2025
Parce que... c'est l'épisode 0x613!
Parce que… c’est l’épisode 0x613!
Shameless plug
- 12 au 17 octobre 2025 - Objective by the sea v8
- 10 au 12 novembre 2025 - IAQ - Le Rendez-vous IA Québec
- 17 au 20 novembre 2025 - European Cyber Week
- 25 et 26 février 2026 - SéQCure 2065
Description
Ce podcast présente le témoignage d’Antoine Vacher, auditeur technique chez Cyblex Consulting, qui partage son retour d’expérience sur ses premières missions d’intrusion physique. Cette discussion révèle les défis, apprentissages et méthodologies d’un professionnel de la cybersécurité découvrant un nouveau domaine d’expertise.
Contexte et approche initiale
Antoine Vacher travaille comme pentester dans une petite société française de cybersécurité. Lorsqu’un client manifeste son intérêt pour une mission d’intrusion physique, l’équipe décide de se lancer malgré leur manque d’expérience dans ce domaine. Cette transparence avec le client constitue un élément clé de leur approche : ils informent clairement qu’il s’agit de leur première expérience tout en exprimant leur motivation à relever ce défi.
Première mission : société de développement monétique
La première mission concerne une entreprise de développement de systèmes monétiques répartie sur deux bâtiments. Les objectifs sont clairement définis et géographiquement précis : accéder à différents étages, prendre un café au troisième étage, visiter le bureau du directeur, accéder aux salles serveurs, passer un appel depuis un téléphone interne et évaluer la possibilité de vol de modules HSM (Hardware Security Modules).
Phase de reconnaissance et préparation
L’équipe commence par une phase d’OSINT (Open Source Intelligence) pour collecter des informations utiles. Ils recherchent des noms d’employés, des événements, des marques d’équipements informatiques ou de machines à café, toute information pouvant servir de prétexte pour justifier leur présence. Bien que cette recherche ne produise pas énormément de résultats exploitables, ils parviennent à identifier et vérifier la présence en ligne du facility manager, information qu’ils comptent utiliser.
Première approche : reconnaissance nocturne et tentative matinale
L’équipe adopte une approche en deux phases. La première consiste en une reconnaissance nocturne pour évaluer la sécurité physique des bâtiments. Ils découvrent que la barrière de sortie du parking est cassée en position ouverte, facilitant l’accès véhiculaire. Cependant, toutes les portes et fenêtres sont correctement sécurisées.
Le lendemain matin, ils exploitent une particularité architecturale : un des bâtiments appartient entièrement au client, mais un étage est loué à une société tierce. En sonnant à cette société sous prétexte de livraison, ils obtiennent un accès immédiat au bâtiment sans argumentation. Une fois à l’intérieur, ils découvrent qu’ils peuvent accéder aux cages d’escalier grâce aux normes de sécurité incendie, et qu’une porte d’étage n’est pas correctement verrouillée.
Cette intrusion leur permet de valider plusieurs objectifs : photographier des HSM abandonnés, passer un appel au donneur d’ordre depuis un téléphone interne. Pour accéder à un autre étage, ils utilisent l’ingénierie sociale en tapant à une vitre séparant la cage d’escalier d’une salle de pause. Un employé leur ouvre après qu’ils aient inventé une histoire de mesures WiFi.
Deuxième approche : professionnalisation du prétexte
Sur le second bâtiment, l’équipe se fait remarquer et décide de reporter l’intrusion. Pour la deuxième tentative, ils développent un scénario plus élaboré en exploitant le passé professionnel d’un collègue, ancien ingénieur en acoustique. Équipés de véritables micromètres de mesure sonore, ils se présentent à l’accueil comme une équipe de mesures acoustiques mandatée par le facility manager.
Cette approche s’avère remarquablement efficace. La réceptionniste leur délivre des badges temporaires sans vérification préalable, révélant un défaut procédural majeur. Quand elle tente de contacter le facility manager, celui-ci ne répond pas comme convenu, et elle s’absente pour le chercher, leur laissant le champ libre.
L’expertise technique du collègue ajoute une crédibilité naturelle à leur couverture. Pendant qu’il effectue de véritables mesures acoustiques dans chaque bureau, Antoine note fictement les résultats. Cette méthode leur permet d’accéder systématiquement à tous les espaces, y compris un bureau gérant les badges où Antoine parvient à subtiliser des badges (qui s’avéreront malheureusement désactivés).
Pour la salle serveur, ils demandent simplement à un employé de leur ouvrir l’accès pour effectuer des mesures, requête qui est satisfaite sans difficulté. Cependant, leur succès trouve ses limites quand un employé plus vigilant vérifie effectivement auprès du facility manager, mettant fin à leur mission sur cet étage.
Deuxième mission : structures publiques départementales
La seconde mission concerne des bâtiments publics : les archives départementales et un centre de solidarité avec PMI (Protection Maternelle et Infantile). Les objectifs sont plus larges, incluant une dimension informatique légère avec l’accès à une session utilisateur et l’installation d’un C2 (Command and Control).
Reconnaissance dans les espaces publics
L’équipe commence par une reconnaissance dans les zones accessibles au public. Un collègue visite la PMI en prétextant chercher des informations sur les modes de garde pour sa femme enceinte. Cette visite révèle une information cruciale : l’imprimante est en panne. Parallèlement, la visite des toilettes (décrite comme “la base” en reconnaissance) permet de découvrir une salle technique contenant des équipements réseau non sécurisée.
Exploitation de l’information collectée
Antoine exploite l’information sur l’imprimante défaillante en appelant l’accueil en se faisant passer pour le service technique départemental. Non seulement il obtient un rendez-vous, mais la réceptionniste lui propose spontanément de venir le lundi matin pendant la fermeture au public, facilitant considérablement leur mission.
Le jour J, l’accès se déroule sans encombre. Antoine demande à la réceptionniste d’ouvrir sa session informatique et de lui prêter son badge, requêtes satisfaites sans questionnement. Cette complaisance permet de valider immédiatement les objectifs informatiques : accès session et installation du C2 sans résistance du système de sécurité.
Pour justifier leur déplacement dans le bâtiment, ils utilisent des antennes WiFi basiques, prétextant effectuer des mesures de qualité réseau. Cette couverture leur permet d’explorer l’intégralité des locaux sans être questionnés, découvrant une seconde salle technique non sécurisée.
Enseignements et apprentissages
Variabilité des réactions humaines
L’expérience révèle la grande diversité des réactions humaines face aux intrus. Certaines personnes ouvrent immédiatement sans poser de questions, d’autres appliquent spontanément des procédures de vérification inexistantes mais efficaces. Cette variabilité suggère qu’une approche patiente, avec plusieurs tentatives à différents moments et avec différentes personnes, peut surmonter les refus initiaux.
Importance du prétexte et de la crédibilité
La différence d’efficacité entre les approches improvisées et préparées est frappante. L’expertise technique réelle du collègue en acoustique apporte une crédibilité naturelle impossible à simuler par de simples recherches internet. Cette expérience souligne l’importance de s’appuyer sur de véritables compétences techniques pour construire des scénarios crédibles.
Exploitation des informations collectées
Les missions démontrent l’importance de la phase de collecte d’informations, même apparemment anodines. L’information sur l’imprimante en panne, recueillie lors d’une visite publique légitime, devient le pilier d’une intrusion réussie. Cette approche illustre comment transformer des détails opérationnels en opportunités d’accès.
Défaillances procédurales systémiques
Les missions révèlent des défaillances procédurales récurrentes : délivrance de badges sans vérification, absence de procédures claires pour les employés face à des visiteurs suspects, complaisance excessive des personnels. Ces failles suggèrent que les problèmes de sécurité physique relèvent souvent plus de l’organisation que de la technologie.
Aspects légaux et déontologiques
Antoine insiste sur l’importance du cadre légal et déontologique. Chaque mission nécessite des autorisations formelles, une notification aux forces de l’ordre, et les auditeurs portent une lettre de mission attestant de la légitimité de leur présence. Le donneur d’ordre doit être disponible pour confirmation en cas de contrôle. Cette approche professionnelle protège à la fois les auditeurs et les organisations testées.
Communication des résultats
Les rapports adoptent une approche narrative, racontant chronologiquement le déroulement des intrusions avec photos à l’appui. Cette méthode, qualifiée “d’article de magazine”, permet aux clients de comprendre concrètement les techniques utilisées et les failles exploitées. Les recommandations portent sur la sensibilisation, la définition de procédures claires, et l’adaptation des mesures de sécurité physique aux menaces réelles.
Réception par les clients
Les réactions clients varient selon leur niveau de conscience préalable des vulnérabilités. Le premier client, bien que déçu, n’était pas surpris par certaines défaillances. Le département public montrait plus d’inquiétude concernant l’accès aux archives sensibles, mais restait pessimiste sur la sécurité de la PMI.
Recommandations pour les futurs praticiens
Antoine encourage la prise de risque mesurée et l’exploration de nouveaux domaines, tout en insistant sur la transparence avec les clients concernant le niveau d’expertise. Il souligne l’importance de l’honnêteté professionnelle : mieux vaut avouer son manque d’expérience que de se présenter faussement comme expert.
L’expérience démontre qu’un niveau d’expertise modeste peut suffire à révéler des vulnérabilités significatives. Si des novices parviennent à atteindre leurs objectifs, cela révèle un niveau de sécurité préoccupant nécessitant des améliorations.
Cette expérience illustre parfaitement comment aborder un nouveau domaine professionnel avec méthode, transparence et éthique, tout en tirant des enseignements précieux pour l’amélioration continue de la cybersécurité organisationnelle.
Collaborateurs
Crédits
- Montage par Intrasecure inc
- Locaux réels par BreWskey Pub
Tags: intrusion, pentest, physique
Tweet
