Spécial - Panel Bsides Montreal 2026
19 septembre 2026
Parce que... c'est l'épisode 0x351!
Vincetopia - Deux fois sur le métier remettez votre ouvrage
06 octobre 2026
Parce que... c'est l'épisode 0x350!
SéQCure - La sécurité appliquée pour les praticiens de l'IA
16 septembre 2026
Parce que... c'est l'épisode 0x34F!
Teknik - Série l'IA dans les CtF - BreizhCTF
11 septembre 2026
Parce que... c'est l'épisode 0x34E!
Actu - 04 octobre 2026
04 octobre 2026
Parce que... c'est l'épisode 0x34D!
Teknik - Série l'IA dans les CtF - FCSC
27 août 2026
Parce que... c'est l'épisode 0x34C!
SéQCure - Souveraineté Numérique - La réalité, au-delà des campagnes de peurs
11 avril 2026
Parce que... c'est l'épisode 0x34B!
Teknik - Sécurité de l'univers OT
11 juin 2026
Parce que... c'est l'épisode 0x34A!
Actu - 27 septembre 2027
27 septembre 2026
Parce que... c'est l'épisode 0x349!
Spécial - Sur l'équilibre à trouver en entreprise autour du "Do more with less" avec l'IA et l'enjeu de la taille des modèles de langage utilisés
19 août 2026
Parce que... c'est l'épisode 0x348!
SéQCure - Faut-il porter une toge pour vraiment protéger un secret ?
24 mars 2026
Parce que... c'est l'épisode 0x347!
Quand le pervers se cache dans les lunettes par Cyber Citoyen et PolySécure
15 septembre 2026
Parce que... c'est l'épisode 0x346!
Actu - 20 septembre 2026
20 septembre 2026
Parce que... c'est l'épisode 0x345!
Teknik - Série l'IA dans les CtF - Northsec
09 juillet 2026
Parce que... c'est l'épisode 0x344!
SéQCure - Quantique - Les opportunités d'un risque, les risques d'une opportunité
19 mars 2026
Parce que... c'est l'épisode 0x343!
Teknik - Finding the Needle in the Haystack with Dicozorus - A New Companion for Advanced Web Fuzzing (PTS)
02 juillet 2026
Parce que... c'est l'épisode 0x342!
Actu - 13 septembre 2026
13 septembre 2026
Parce que... c'est l'épisode 0x341!
SéQCure - Faillite et reconstruction - décisions rationnelles dans un marché changeant
09 mars 2026
Parce que... c'est l'épisode 0x340!
Vincetopia - First thing first!
07 septembre 2026
Parce que... c'est l'épisode 0x33F!
Teknik - Série l'IA dans les CtF - SSTIC
01 juillet 2026
Parce que... c'est l'épisode 0x33E!
Actu - 06 septembre 2026
06 septembre 2026
Parce que... c'est l'épisode 0x33D!
Teknik - CAIDO, le proxy offensif, ou la complexité de coder un proxy
24 août 2026
Parce que... c'est l'épisode 0x33C!
Teknik - CVE-2025-54068 - Deep dive into Livewire, from weak typing to pre-authenticated remote command execution (Pass the Salt)
01 juillet 2026
Parce que... c'est l'épisode 0x33B!
Teknik - L'IA en pratique ou comment ne pas se bruler dans nos expérimentations
09 juillet 2026
Parce que... c'est l'épisode 0x33A!
Actu - 30 août 2026
30 août 2026
Parce que... c'est l'épisode 0x339!
PME - CyberBBQ part 5 - La place de la gouvernance durant un incident
22 août 2026
Parce que... c'est l'épisode 0x338!
PME - CyberBBQ part 4 - La place du red teaming durant un incident
22 août 2026
Parce que... c'est l'épisode 0x337!
PME - CyberBBQ part 3 - La place de la protection des courriels durant un incident
22 août 2026
Parce que... c'est l'épisode 0x336!
PME - CyberBBQ part 2 - La place de la des postes et des serveurs durant un incident
22 août 2026
Parce que... c'est l'épisode 0x335!
PME - CyberBBQ part 1 - La place de la protection web durant un incident
22 août 2026
Parce que... c'est l'épisode 0x334!
Parce que… c’est l’épisode 0x334!
Shameless plug
- 19 septembre 2026 - Montréal Canada - Bsides Montréal 2026
- 22 septembre 2026 - Belgique - BE-Cyber
- 24 au 25 septembre 2026 - Belgique - BruCON
- 1er au 3 octobre 2026 - Krakow, Pologne - AligatorCon
- 13 et 14 novembre 2026 - Worldwide - DEATHCon
- 16 au 19 novembre - Rennes, France - European Cyber Week 2026
- I.A. Café - Enquête au cœur de la recherche sur l’intelligence artificielle
- 16 novembre 2026 - Paris, France - CNIL - Convaincre ou manipuler ? L'éthique du numérique à l'épreuve des urnes
- 13 au 16 septembre 2026 - Montréal, Canada - MTL Connecte
Description
Cette description a été faite à l’aide de GLM 5.3 Flash, à partir de la transcription qui a été effectuée par ElevenLabs Scribev2. Aucune vérification humaine n’a été faite. Si vous découvrez des erreurs ou des inexactitudes, vous pouvez m’en faire part afin que je procède aux modifications appropriées.
Le concept de la série Cyber Barbecue
Le podcast Polysecure ouvre une série spéciale de cinq épisodes consacrée à la gestion d’un incident de sécurité dans une PME. Claude a imaginé cette mise en situation fictive mais réaliste et réuni chez lui un panel d’experts autour de Cyber Barbecue, une entreprise d’une trentaine d’employés qui organise des événements de barbecue au Québec et en France. Elle exploite un portail de loyauté où transitent des informations nominatives et financières. Un employé a mordu à l’appât d’un piège, ce qui a permis à des attaquants de soutirer une identité, de pivoter à l’intérieur de l’organisation et de publier de l’information sur le dark web. L’entreprise ne l’apprend que quelques jours plus tard, lorsqu’une participante furieuse appelle pour signaler que ses données personnelles se retrouvent sur le dark web. La réputation est clairement en jeu et les obligations légales s’accumulent, puisque l’entreprise opère sur deux continents et doit composer avec le RGPD en Europe ainsi qu’avec la loi 25 au Québec.
Six experts se partagent ensuite la parole, chacun disposant d’environ dix minutes dans un format proche du buzzer. Mickael Nadeau couvre le web, Steve Lavoie les postes et les serveurs MSP, Martin Dubé le red team, Cédric l’échange courriel sécurisé, Dominique Derrier la gouvernance et Thomas Veynachter agit comme objecteur de conscience. Ce premier volet porte sur le web, porte d’entrée des attaquants.
Les priorités et l’état des lieux
L’animateur, qui incarne la PME, évoque deux urgences, la fuite effective de données et la perte de confiance envers des systèmes compromis. Dominique Derrier demande d’ailleurs ce qui compte vraiment pour l’entreprise, le prochain concours ou les recettes secrètes, car identifier son urgence guide la réponse. Mickael dresse ensuite l’état des lieux. Dans une PME de cette taille, le manque d’expertise complique tout, la conformité et les sauvegardes étant rarement en place. Les premières étapes consistent à identifier l’hébergement, la plateforme et le MSP éventuel, car la réalité rejoint souvent le site monté par le beau-frère ou la plateforme clé en main vendue par une entreprise disparue. Ici, le site WordPress gère aussi des transactions, avec un formulaire développé par un étudiant du cégep qui ne maintient plus ses plugins. La première question concerne le niveau de compromission, les clés de chiffrement à changer et les détenteurs d’accès. La personne en charge de l’incident finit par jouer au shérif sur une plateforme que le client ne connaît pas vraiment.
Tirer la plogue sans effacer les preuves
Le premier réflexe consiste à arrêter le feu, donc à tirer la plogue et fermer le serveur, une stratégie que Mickael compare aux pratiques du gouvernement. L’animateur rappelle toutefois que les PME n’ont pas le réflexe de préserver les preuves, qu’un arrêt brutal détruit pourtant. Fermer tous les accès et installer une page de maintenance constituent un bon point de départ, avant d’enclencher les sauvegardes et d’évaluer l’étendue des pertes. Machines, bases de données, clés d’environnement, tout doit être vérifié pour délimiter le périmètre pendant que le site est hors ligne.
Gouvernance, fiche réflexe et inventaire
Dominique Derrier prend ensuite son chapeau de gouvernance et rappelle que, comme chacun possède un plan d’évacuation à la maison, une PME devrait au minimum avoir une fiche réflexe indiquant les premiers appels quand quelque chose va mal. En pratique, cette fiche se résume souvent à appeler le MSP ou la firme conseil. Dans l’ISO, la gestion des tiers vise exactement cela, soit savoir quoi demander pour obtenir un vrai partenaire. On évoque aussi les chasseurs d’ambulances à éviter, car une fois l’ambulance arrivée, la facture suit. Sur l’inventaire, qui permettrait de gagner du temps, les experts constatent qu’il n’existe presque jamais dans les PME et qu’il n’est jamais à jour, même dans les grandes entreprises. L’absence de gouvernance y ajoute une fluidité entre les appareils personnels et professionnels.
Revenir en ligne sans se refaire défoncer
Une fois le feu contrôlé, la tentation est grande de remettre le site en production rapidement, d’autant que des concours s’en viennent. Mickael insiste sur la nécessité d’analyser d’abord le problème, ce qui exige souvent une firme externe, malgré les signes de dollars pour une PME dépassée. Reconstruire le site au complet sans savoir où tout a commencé serait une perte de temps. Il faut chercher le patient zéro, accumuler les évidences et vérifier si les systèmes connectés, comme les plateformes de paiement, ont aussi été compromis, sachant que l’information fuit vite vers le dark web. Pour éviter une deuxième attaque, il propose d’installer un pare-feu web afin d’obtenir un minimum de visibilité sur le trafic et son origine, notion méconnue de bien des entreprises. La stratégie peut inclure une page statique pendant l’analyse, puis le blocage géographique des régions sans lien avec la clientèle, comme l’Asie d’où viennent les attaques. Le délai avant la remise en ligne dépend du cas.
Le courriel, angle mort des PME
Mickael soulève un point souvent oublié, soit les accès administrateur échangés par courriel en clair. Ces pratiques permettent parfois d’élever des droits pour lancer l’attaque. La piste devra être approfondie dans l’épisode sur l’échange courriel sécurisé.
Des mesures accessibles pour se prémunir
Enfin, Mickael recommande aux PME des outils à très bas coût, voire gratuits comme Uptime Robot, qui offrent une visibilité de base, ainsi que des pare-feu abordables couvrant le strict minimum. Il dénonce aussi une croyance tenace, celle de croire que GoDaddy ou l’hébergeur assume la responsabilité de la sécurité. Le timer sonne alors, et l’animateur conclut avec humour que chacun pourra enfin aller manger.
Contributeurs
|
|
|
|
|
|
|
Nicolas-Loïc Fortin
|
Thomas Veynachter
|
Dominique Derrier
| Cédric Boivin |
Martin Dubé
|
Steve Lavoie
|
Mickael Nadeau
|
Crédits
- Montage par Intrasecure inc
- Locaux réels par Claude
Tags: incident, waf
