Les cambrioleurs modernes ne fracturent plus les serrures. Ils empruntent les clés.

L’essentiel

  • Un accès non autorisé aux systèmes de WestJet a exposé environ 1,2 million de personnes.
  • L’attaquant n’a pas forcé une serrure : il est entré avec des accès légitimes.
  • Les accès et les identités sont aujourd’hui la première surface à verrouiller.
  • Trois mesures ferment l’essentiel du scénario, et aucune ne demande de budget.

Que s’est-il passé chez WestJet ?

Le 13 juin 2025, un acteur criminel a obtenu un accès non autorisé aux systèmes internes et à l’application mobile de WestJet. Noms, adresses, dates de naissance, pièces d’identité émises par le gouvernement et informations de voyage ont été dérobés. Environ 1,2 million de personnes sont touchées.

L’entreprise a offert vingt-quatre mois de surveillance de crédit aux personnes concernées. Le détail du vecteur d’intrusion n’a pas été rendu public, et nous nous gardons de le supposer : ce qui est établi suffit à la leçon.

Ce qui frappe dans ce dossier n’est pas la sophistication supposée de l’attaque, mais la nature des données parties. Une pièce d’identité gouvernementale ne se change pas comme un mot de passe. Sa divulgation alimente des fraudes d’usurpation pendant des années, bien après que l’incident a quitté l’actualité.

Pourquoi l’identité est-elle devenue la première surface d’attaque ?

Parce que les défenses de périmètre se sont nettement améliorées, alors que les accès sont restés largement inchangés. Un attaquant qui dispose d’un identifiant valide n’a plus rien à contourner : il se présente comme un utilisateur légitime, et les outils de sécurité le voient comme tel.

Des systèmes et une application exposés, sans authentification suffisamment forte ni cloisonnement, deviennent une porte d’entrée. Une fois à l’intérieur, l’attaquant circule et se sert, sans déclencher les alertes conçues pour repérer une intrusion violente.

flowchart LR A[Acces non autorise] --> B[Systemes internes + app mobile] B --> C[Vol d'identites: noms, dates, pieces ID] C --> D[1,2 million de personnes touchees]

C’est aussi pourquoi le Centre canadien pour la cybersécurité place l’authentification multifacteur en tête de ses mesures de base : elle neutralise le scénario le plus courant, celui du mot de passe volé ailleurs et réutilisé chez vous.

Comment verrouiller vos accès sans lancer un projet lourd ?

Trois mesures ferment l’essentiel du scénario. Généraliser l’authentification multifacteur, y compris pour les comptes d’administration. Cloisonner le réseau pour qu’un intrus ne circule pas librement. Passer en revue les comptes actifs et révoquer ceux qui n’ont plus de titulaire.

  • L’authentification à plusieurs facteurs, partout et sans exception. Un mot de passe volé ne suffit alors plus à entrer. C’est le contrôle au meilleur rapport entre coût et réduction de risque, et il est souvent déjà inclus dans vos licences.
  • Le cloisonnement. Un intrus qui entre quelque part ne doit pas pouvoir aller partout. La question à se poser est simple : depuis un poste de la comptabilité, qu’est-il possible d’atteindre ?
  • La revue des accès. Combien de comptes « fantômes » (anciens employés, prestataires partis, comptes de service d’un projet clos) restent actifs chez vous ? Personne ne surveille leur usage, et leur exploitation ne demande aucune compétence particulière.

Chez RISS, nous verrouillons les accès, déployons l’authentification multifacteur et cloisonnons les réseaux pour qu’une clé volée n’ouvre pas toute la maison.

FAQ

Nous ne détenons pas de pièces d’identité. Sommes-nous concernés ?

Oui, parce que le mécanisme ne dépend pas de la nature des données. Ce qui a été exploité ici, c’est un accès, et toute organisation en accorde. Une liste de clients, un dossier d’employé ou un historique de facturation ont une valeur marchande suffisante pour justifier une intrusion. La question utile n’est pas « nos données valent-elles la peine ? » mais « qui peut accéder à quoi, et le saurions-nous ? ».

L’authentification multifacteur gêne-t-elle les équipes ?

Les premières semaines, oui, modérément. Ensuite la pratique devient invisible, surtout si l’on autorise la mémorisation de l’appareil de confiance pour une durée raisonnable. L’erreur habituelle est de l’activer d’abord sur les comptes du personnel et de l’oublier sur les comptes d’administration et les accès distants, qui sont précisément ceux qui intéressent un attaquant.

Comment savoir si nos identifiants circulent déjà ?

Des services de surveillance des fuites permettent de vérifier si des adresses de votre domaine apparaissent dans des jeux de données divulgués. C’est un point de départ utile, mais partiel : une fuite non publiée n’y figure pas. La mesure qui protège réellement reste l’authentification multifacteur, parce qu’elle rend un identifiant volé insuffisant, qu’il ait fuité ou non.

Sources