Badge cloné, porte tenue : ce que révèle un test d'intrusion physique

On investit beaucoup dans la sécurité du réseau, puis on laisse une porte de service entrouverte pour les livraisons. Un test d'intrusion physique vérifie, sur le terrain, si quelqu'un peut entrer dans vos locaux et atteindre ce qui compte : une salle serveur, une prise réseau active, un poste déverrouillé.

Ce que nous testons

Chaque mandat est adapté au site et aux objectifs convenus. On y retrouve souvent :

• le talonnage : suivre un employé à travers une porte contrôlée par badge ;
• le prétexte : se présenter comme technicien, livreur ou nouvel employé ;
• les badges : vérifier si les cartes utilisées peuvent être lues et copiées à distance ;
• les serrures et les issues : portes de secours, accès techniques, quais de chargement ;
• le dépôt d'un appareil sur une prise réseau, pour mesurer le lien entre sécurité physique et cybersécurité.

Ce que nous observons

L'intrusion elle-même n'est qu'une partie du résultat. Ce qui intéresse surtout nos clients, c'est la réaction de l'organisation :

1. Quelqu'un a-t-il remarqué une personne inconnue sans badge visible ?
2. A-t-elle été interpellée, ou signalée ?
3. Le signalement est-il arrivé à la bonne personne, et dans quel délai ?

Un employé qui interpelle poliment un « technicien » et appelle la sécurité est un constat positif, et nous le documentons comme tel.

Un cadre strict

Ces tests se déroulent sous une autorisation écrite et détaillée : sites, horaires, actions permises et interdites, personnes informées. Nos testeurs ont sur eux la lettre d'autorisation et un contact d'urgence joignable en tout temps. Ils s'arrêtent immédiatement sur demande.

Les constats ne visent jamais des personnes nommément. L'objectif est d'améliorer des processus, pas de sanctionner quelqu'un qui a tenu la porte par politesse.

Et ensuite

Le rapport présente les chemins d'attaque physiques avec les preuves recueillies, puis un programme de remédiation priorisé : ajustement des lecteurs de badges, procédures d'accueil des visiteurs, sensibilisation ciblée, contrôle des prises réseau dans les espaces ouverts.

Combiné à une campagne d'ingénierie sociale ou à un exercice red team, le test physique donne une image complète de la façon dont un attaquant déterminé pourrait atteindre vos actifs critiques.