Une clé USB branchée sur un poste de travail peut compromettre un réseau entier en quelques secondes. Ce périphérique anodin reste l’un des vecteurs d’infection les plus efficaces contre les systèmes d’information d’entreprise, y compris ceux que l’on croit isolés du reste du monde.
Firmware USB et charge malveillante : ce qui se joue avant l’ouverture d’un fichier
La plupart des scénarios d’attaque par clé USB ne reposent pas sur un simple fichier vérolé qu’un employé ouvrirait par mégarde. Le danger se situe souvent en amont, dans le firmware du périphérique lui-même.
A voir aussi : Réseau interne intranoo : la clé de la communication en entreprise
Un dispositif de type BadUSB ou Rubber Ducky modifie son micrologiciel pour se faire passer auprès du système d’exploitation pour un clavier. Dès l’insertion, il injecte des séquences de commandes préenregistrées, parfois en moins de trois secondes, sans qu’aucune fenêtre d’alerte ne s’affiche sous Windows.
Ce type de charge ne déclenche pas les antivirus classiques. L’ordinateur considère qu’un périphérique d’entrée légitime vient de se connecter. Les commandes tapées automatiquement peuvent télécharger un logiciel malveillant depuis un serveur distant, créer un compte administrateur caché ou exfiltrer des fichiers vers un service cloud.
A lire aussi : L'utilisation d'un VPN protège les données lors du télétravail
Des câbles piégés comme le O.MG Cable reprennent le même principe sous une apparence encore plus banale : un simple câble de charge. Branché sur un port USB, il embarque un microcontrôleur Wi-Fi qui permet à un attaquant distant d’envoyer des commandes au poste cible.
Clé USB et réseau industriel air-gapped : un faux sentiment de sécurité
Les réseaux industriels (SCADA, systèmes de contrôle ICS) sont souvent considérés comme protégés parce qu’ils ne sont pas connectés à Internet. Ce cloisonnement physique, appelé air gap, repose sur une hypothèse fragile : aucun support amovible ne franchira la frontière.
En pratique, la clé USB est devenue le vecteur principal de malware ciblant les environnements OT. Un technicien de maintenance qui branche une clé contenant une mise à jour logicielle, un prestataire qui transfère un rapport de diagnostic : ces gestes routiniers suffisent à introduire un code malveillant dans un système isolé.
Le cas le plus documenté reste Stuxnet, mais les campagnes plus récentes montrent que ce vecteur d’attaque n’a rien de marginal. Les données du rapport Honeywell sur la cybersécurité industrielle indiquent que les menaces conçues pour exploiter les supports USB sont passées de 37 % à 52 % des menaces détectées dans ces environnements.
Le problème est structurel. Un réseau air-gapped ne reçoit pas de mises à jour de signatures antivirales en temps réel. Un malware introduit par USB peut donc rester indétecté pendant des semaines, le temps de cartographier le réseau interne et d’atteindre les automates programmables.
Fuite de données par USB : le risque interne que les pare-feu ne voient pas
La menace USB ne se limite pas à l’introduction de logiciels malveillants. Elle fonctionne aussi dans l’autre sens : l’exfiltration de données sensibles par un utilisateur interne.
Un employé mécontent ou un prestataire indélicat peut copier en quelques minutes des bases clients, des documents stratégiques ou du code source sur un support amovible. Contrairement à un transfert par email ou par service cloud, cette opération ne laisse aucune trace dans les journaux réseau si le poste n’est pas équipé d’un agent de contrôle des périphériques.
Selon CrowdStrike, les compromissions liées à l’USB ont augmenté de 8 % d’une année sur l’autre et représentent désormais près d’un tiers de l’ensemble des incidents analysés par l’éditeur. Une part significative de ces incidents concerne du vol de données, pas uniquement de l’infection par malware.
Les outils de gestion des périphériques USB (parfois intégrés aux solutions EDR) permettent de définir des politiques granulaires :
- Autoriser uniquement les clés USB chiffrées dont le numéro de série est enregistré dans l’annuaire de l’entreprise
- Bloquer toute écriture vers un support amovible pour les postes ayant accès à des données classifiées
- Journaliser chaque opération de copie de fichier vers un périphérique externe, avec horodatage et identifiant utilisateur
Sans ce niveau de contrôle, la protection périmétrique (pare-feu, proxy, segmentation réseau) reste aveugle à un canal de fuite physique.
Politique de sécurité USB en entreprise : au-delà de la simple interdiction
Interdire totalement les clés USB semble radical, mais cette approche génère du shadow IT. Les collaborateurs contournent la règle avec des services de partage non approuvés, ce qui déplace le risque sans le supprimer.
Une politique efficace repose sur trois piliers complémentaires :
- Le contrôle technique des ports USB via une solution de sécurité endpoint qui filtre les périphériques autorisés par classe, fabricant ou identifiant unique
- La mise en place de bornes de décontamination (ou stations blanches) dans les zones d’accueil, qui analysent chaque support amovible avec plusieurs moteurs antivirus avant de le laisser entrer dans le réseau
- La formation régulière des employés aux scénarios d’attaque concrets, notamment le USB drop attack, où des clés piégées sont volontairement déposées sur un parking ou dans un hall d’accueil
La désactivation de l’exécution automatique (AutoRun) sur l’ensemble du parc Windows reste un prérequis. Cette fonctionnalité, héritée d’une époque où la commodité primait sur la sécurité informatique, permet à un fichier malveillant de s’exécuter dès l’insertion du support sans aucune action de l’utilisateur.
Les environnements les plus sensibles combinent ces mesures avec un système d’enrôlement des clés USB. Chaque support amovible autorisé est enregistré, chiffré et associé à un utilisateur. Tout périphérique non enrôlé est automatiquement bloqué par le système.
Le risque USB ne disparaîtra pas avec la montée du cloud. Tant que des postes de travail disposeront de ports physiques, et tant que des réseaux industriels dépendront de supports amovibles pour leurs mises à jour, la clé USB restera un point d’entrée à surveiller avec la même rigueur qu’une connexion réseau distante.
