Tous les cas ci-dessous ont été anonymisés sous NDA. Les chiffres, le secteur et le vecteur sont réels — le nom du client ne l'est pas.
Un point d'accès d'administration était exposé par une mauvaise configuration de la passerelle d'API. Combiné à un IDOR sur les routes de virement, il permettait d'atteindre n'importe quel compte. Détecté au 2e jour de la mission.
Le bucket de préproduction répliquait les données de production sans chiffrement ni contrôle d'accès. Corrigé avant l'audit ISO externe.
Mission Red Team partie d'un phishing. Rebond d'un poste d'ingénierie vers le réseau OT via un VPN aux identifiants par défaut. Corrigé par la segmentation, un rebond dédié et l'authentification multifacteur.
Un XSS réfléchi sur la page de recherche, associé à une politique de cookies trop permissive, permettait de voler la session administrateur. Détecté lors d'un pentest classique.
Publier le nom d'un client à côté de la faille qu'il a subie l'expose deux fois : une pendant l'incident, une pour toujours. Décrire le vecteur et l'impact enseigne quelque chose ; identifier la victime ne sert que de vitrine — et fausse l'incitation, car l'entreprise prête à autoriser la publication devient celle qui avait le moins à perdre.
Des secteurs différents, des architectures différentes, et pourtant les chemins qui fonctionnent se ressemblent. Voici ceux qui reviennent le plus souvent ; ils méritent un regard avant de commander le moindre test.
Recette avec copie de la production, ancienne interface d'administration, service lancé pour une démonstration et jamais éteint. Il manque souvent à l'inventaire et se retrouve donc hors de toute protection appliquée au reste.
Le système vérifie que vous êtes authentifié, mais pas que cet enregistrement est le vôtre. C'est la faille que l'outil automatique laisse le plus souvent passer, car la requête paraît parfaitement légitime.
Accès large accordé pour débloquer une livraison, avec la promesse de le resserrer ensuite. Des mois plus tard il est toujours là, désormais hérité par des gens qui n'ont jamais su l'avoir.
Une clé dans une variable d'environnement exposée, un identifiant dans l'historique du dépôt, un jeton dans un fichier de configuration versionné. C'est le chemin le plus court vers l'intérieur et le plus simple à refermer.
Deux applications qui s'authentifient par position réseau ou par un secret partagé. Compromettre la moins protégée livre la mieux protégée, et le cloisonnement censé contenir cela a rarement été testé.
L'événement a été journalisé, l'alerte a été levée — et elle a atterri dans une file que personne ne lit. Techniquement détecté, pratiquement invisible : la différence n'apparaît que lors d'un exercice sans préavis.
Parce que l'autorisation de publier viendrait de qui a le moins à perdre, et non de qui a connu le cas le plus instructif. Tout le matériel est anonymisé sous accord de confidentialité, et le vecteur technique — la partie utile — est conservé.
Oui, avec l'autorisation des parties concernées. Pour la plupart des processus, toutefois, ce qui tranche est la lettre de clôture de votre propre mission, émise après contre-test : c'est une preuve directe, et non l'avis d'un tiers sur le travail d'un autre.
Non. Le chemin dépend de l'architecture, des intégrations et de décisions qui n'apparaissent que dans votre environnement. Les cas montrent le genre de chose que l'on trouve d'ordinaire, pas un scénario qui se répète.
Jamais. Rien ne devient un texte public avant que la correction soit achevée et confirmée par contre-test, et encore faut-il une autorisation. Le même critère régit notre propre recherche, décrit dans la politique de divulgation responsable.
Premier appel de scoping gratuit et couvert par NDA. En 48 heures vous recevez proposition technique, portée et calendrier. Sans formulaires bureaucratiques.