Évaluation gratuite de pentest : ce que nous trouvons avant un attaquant

Nous passons une bonne partie de notre temps de travail à trouver comment entrer dans des systèmes que quelqu’un pensait verrouillés : un formulaire de connexion qui fait confiance au mauvais en-tête, un sous-domaine de test que personne n’a pensé à retirer, une API qui renvoie plus d’informations que l’écran en face n’en demande jamais. Toujours sous autorisation signée, pour un client qui nous l’a demandé, avant que quelqu’un qui n’en a pas ne l’atteigne le premier.

Ceci est une invitation à faire la même chose pour vous. Cela commence par une évaluation gratuite, et l’ensemble de la mission se déroule intégralement à distance — depuis l’Espagne, où que vous soyez.

Presque personne n’est testé avant qu’il ne soit trop tard

L’INCIBE , l’institut national espagnol de cybersécurité, a géré 122 223 incidents de cybersécurité en 2025 — soit 26 % de plus qu’en 2024 (97 348 cas), le chiffre le plus élevé jamais enregistré par l’organisme. Parmi eux : 55 411 relevaient de logiciels malveillants, 45 445 de la fraude en ligne (en hausse de 19 % sur un an), 25 133 du hameçonnage, et 3 849 d’accès non autorisé ou de vol de données. Par ailleurs, les propres analyses de l’INCIBE ont identifié 237 028 systèmes vulnérables exposés sur les réseaux espagnols au cours de l’année.

Ce sont des incidents traités, pas un recensement de toutes les attaques — l’INCIBE elle-même précise que le chiffre réel est nécessairement plus élevé. Ce que montre la tendance ne souffre pas d’ambiguïté : l’exposition augmente, elle ne diminue pas, et dans la plupart des cas, c’est l’attaquant qui la trouve avant le propriétaire.

Ce que cela coûte quand personne n’a testé

British Airways, 2018-2020. Des attaquants ont redirigé le trafic de ba.com vers un faux site et intercepté les données de paiement d’environ 400 000 clients. L’autorité britannique de protection des données (ICO) a enquêté et, dans sa décision, a été précise sur ce que BA n’avait pas fait : la compagnie n’avait pas mené de tests rigoureux — « sous forme de simulation de cyberattaque » — sur ses propres systèmes, et ne disposait d’aucune surveillance de l’intégrité des fichiers qui aurait détecté les modifications de l’attaquant. L’amende initialement proposée par l’ICO s’élevait à 183 millions de livres sterling ; après les observations de l’entreprise, elle a été ramenée à 20 millions de livres — l’une des plus lourdes sanctions en matière de protection des données de l’histoire britannique, pour une défaillance qu’un programme de tests existe précisément pour détecter.

Le titre de Computer Weekly sur cette affaire a résumé l’asymétrie sans détour : « un bug bounty à 4 000 livres aurait pu éviter à BA une amende record de l’ICO ». Nous ne vous promettrions pas un chiffre aussi précis sur vos propres systèmes — personne d’honnête ne le peut, sans avoir d’abord regardé —, mais la forme de ce rapport de coûts est celle qu’il faut garder en tête.

L’IA n’a pas créé cette menace : elle l’a industrialisée

Les propres chiffres de l’INCIBE pour 2025 portent déjà cette signature : les cas de fraude par hameçonnage et par SMS frauduleux (smishing) ont augmenté de 25 % en Espagne cette année-là, concentrés dans la banque, la logistique et la santé. Le vieux conseil consistant à repérer une mauvaise grammaire ou une formule de politesse maladroite perd son utilité, pour une raison précise et documentée.

Le National Cyber Security Centre britannique a estimé, en janvier 2024, une évaluation réaffirmée depuis , que l’IA « augmentera presque certainement le volume et renforcera l’impact des cyberattaques » — précisément parce qu’elle supprime la compétence et l’effort qui limitaient auparavant qui pouvait mener une attaque efficace. L’agence européenne de cybersécurité, l’ENISA, a chiffré une partie de ce constat dans son rapport Threat Landscape 2025 : parmi les e-mails d’hameçonnage identifiés entre septembre 2024 et février 2025, plus de 80 % présentaient un recours à l’IA.

Il n’y a pas que le courrier électronique. En janvier 2024, un employé du service financier du cabinet d’ingénierie Arup a rejoint ce qui ressemblait à une visioconférence de routine avec le directeur financier de l’entreprise et plusieurs collègues, et a autorisé quinze virements pour un total de 200 millions de dollars de Hong Kong — environ 25,6 millions de dollars au cours de ce seul appel. Toutes les personnes présentes sur l’appel, sauf lui, étaient des deepfakes, construits à partir de vidéos et d’enregistrements audio où ces dirigeants réels étaient déjà apparus lors de réunions ordinaires de l’entreprise. Personne ne s’en est aperçu avant qu’il n’appelle ensuite le siège d’Arup pour vérifier.

Et il n’y a pas que des criminels qui expérimentent. En février 2024, Microsoft et OpenAI ont révélé avoir identifié et fermé des comptes utilisés par cinq groupes de pirates liés à des États — rattachés à la Russie, à l’Iran, à la Corée du Nord et à la Chine — qui se servaient des modèles d’OpenAI pour la reconnaissance, la traduction et une aide de base à la programmation. Rien d’inédit pour l’instant, de leur propre aveu : le même travail de reconnaissance et de script que ces groupes menaient déjà, simplement plus vite.

Rien de tout cela ne change à quoi sert un test d’intrusion. Cela change la rapidité avec laquelle la faille que vous n’avez pas testée est découverte, et par qui.

Pourquoi le « consentement » n’est pas une politesse : c’est la loi

Tout ce que fait un test d’intrusion — entrer dans un système pour lequel son propriétaire n’a pas construit de porte à votre intention — est, sans autorisation, un délit en Espagne. L’article 197 bis.1 du Code pénal , en vigueur depuis la réforme de 2015 (Ley Orgánica 1/2015), punit quiconque, « vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado » — en contournant les mesures de sécurité mises en place pour l’empêcher, et sans y être dûment autorisé —, accède ou facilite à autrui l’accès à un système d’information, d’une peine de six mois à deux ans d’emprisonnement. La seule chose qui transforme ce même acte en un service de sécurité légitime est la formule du milieu : dûment autorisé.

C’est pourquoi chaque mission que nous menons commence avant même l’envoi de la première requête contre vos systèmes : une autorisation signée précisant exactement le périmètre couvert, la fenêtre temporelle, les actifs concernés, et un contact chez vous capable de répondre de nous si votre propre supervision se déclenche. Ce n’est pas de la paperasse pour la forme. C’est le fait précis qui maintient ce même travail technique du bon côté de la loi.

Ce que la loi exige déjà, de toute façon

Même là où personne ne le demande encore, la tendance est constante :

• L’article 32.1.d) du RGPD exige *« un processus visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles » * pour assurer la sécurité du traitement. Cela s’applique en pratique à quasiment toute entreprise traitant des données personnelles dans l’UE — ce n’est pas une obligation de niche réservée aux secteurs réglementés.
• NIS2 (directive (UE) 2022/2555) inscrit les tests de sécurité parmi les mesures de gestion des risques que doivent appliquer ses entités « essentielles » et « importantes ». L’Espagne a manqué l’échéance de transposition du 17 octobre 2024, et le 8 juillet 2026 la Commission européenne a saisi la Cour de justice de l’UE contre l’Espagne pour ne pas avoir encore notifié une transposition complète — près de deux ans de retard. L’obligation de fond n’attend pas que l’Espagne mette à jour sa propre paperasse.
• DORA (règlement (UE) 2022/2554), en vigueur depuis le 17 janvier 2025, impose aux entités financières que leur autorité de contrôle désigne comme suffisamment importantes de réaliser des tests de pénétration pilotés par la menace (TLPT) au moins tous les trois ans , selon la méthodologie TIBER-UE.
• L’ENS, le référentiel national de sécurité espagnol (Real Decreto 311/2022 ), impose un audit de sécurité formel au moins tous les deux ans pour les systèmes de catégorie MOYENNE ou ÉLEVÉE, ou plus tôt en cas de changement important — une auto-évaluation selon le même cycle biennal s’applique même à la catégorie de base. Toute entreprise qui vend des logiciels ou des services à l’administration publique espagnole entre très probablement dans ce périmètre.

Ce qu’est réellement l’évaluation gratuite

Un premier regard externe et non intrusif sur ce que vous exposez réellement sur internet : cartographie, comparaison avec les erreurs de configuration connues et les logiciels non corrigés, et un examen manuel des zones les plus susceptibles de compter pour une entreprise comme la vôtre. Vous recevez une synthèse en langage clair de ce que nous avons trouvé, et une réponse honnête à la seule question qui compte : un audit complet vaut-il votre argent, maintenant. Si ce n’est pas le cas, c’est ce que nous vous dirons.

Ce qu’apporte l’audit complet

La mission complète est menée principalement à la main, ce n’est pas un rapport de scanner avec notre logo. La méthodologie suit l’OWASP Testing Guide et le Penetration Testing Execution Standard ; le périmètre et les règles d’engagement sont convenus et signés avant le début des tests, exactement comme décrit plus haut ; les résultats sont rédigés en langage clair, classés selon le risque qu’ils représentent réellement plutôt que selon un score de gravité générique ; et une fois que vous avez corrigé ce que nous avons trouvé, nous le retestons. Le prix est établi après l’évaluation, ajusté à ce que vous exploitez réellement — prétendre que deux entreprises coûtent le même prix à tester correctement serait la première chose malhonnête que nous vous dirions.

Livré à distance, depuis l’Espagne

Les tests eux-mêmes se déroulent à distance contre vos systèmes accessibles depuis l’extérieur et dont le périmètre est convenu, si bien que la distance n’a jamais vraiment été la contrainte qu’elle semble être. Une entreprise, où qu’elle soit, peut être cadrée, évaluée et testée sans que personne ne réserve de billet d’avion. Mener cette pratique depuis l’Espagne place la mission sous juridiction de l’UE, et tout ce que nous touchons pendant les tests est traité avec la même rigueur alignée sur le RGPD que le reste de ce que nous construisons.

Si vous voulez savoir où vous en êtes réellement

Dites-nous ce que vous aimeriez faire évaluer, et où envoyer les résultats.

Demandez votre évaluation gratuite

Cet article décrit notre propre pratique de tests en termes généraux ; le périmètre exact, la méthodologie et les obligations légales qui s’appliquent à vous dépendent de vos systèmes, de votre secteur et de votre juridiction. Il s’agit d’une information générale, non d’un conseil juridique ou de conformité — si vous opérez dans un secteur réglementé, confirmez vos obligations de tests précises auprès de vos propres conseillers en conformité.