Quand votre télémaintenance ouvre la porte aux pirates : la faille que vous laissez derrière vous

Le discours habituel sur la cybersécurité pointe l'utilisateur négligent qui clique sur un lien piégé. Mais dans une partie des incidents, le point d'entrée n'est pas un salarié distrait : c'est une porte technique laissée ouverte par le prestataire. Et ce prestataire, c'est parfois vous.

Le scénario est familier. Pour dépanner rapidement, vous ouvrez un accès distant, vous désactivez temporairement une règle de pare-feu, vous créez un compte d'administration avec un mot de passe simple "le temps de l'intervention". L'intervention se termine, le ticket se clôture, mais la configuration de circonstance reste en place. Le port reste ouvert sur Internet. Le compte temporaire survit. Vous êtes passé à l'urgence suivante.

Quelques semaines plus tard, un scan automatisé repère ce port exposé. Le compte faible est forcé. Et la PME se réveille un matin avec ses fichiers chiffrés et une demande de rançon. La question qui suit immédiatement est : par où sont-ils entrés ? Si la réponse est "par l'accès que le technicien a laissé ouvert", votre responsabilité entre en scène.

Votre métier comporte une obligation implicite de sécurité. On n'attend pas seulement de vous que vous résolviez le problème pour lequel on vous appelle ; on attend que vous ne laissiez pas le système dans un état plus vulnérable qu'avant votre passage.

Laisser une configuration exposée relève de la faute professionnelle dès lors qu'elle s'écarte des règles de l'art que tout technicien diligent est censé respecter. Quelques exemples qui caractérisent la faute :

• Un port d'administration ouvert sur Internet sans restriction d'adresse ni tunnel chiffré.
• Un compte par défaut non désactivé ou un mot de passe trivial laissé en place.
• Une règle de pare-feu désactivée et jamais rétablie.
• Un logiciel de prise en main à distance installé sans authentification renforcée et oublié sur le poste.

Ce ne sont pas des erreurs exotiques : ce sont les portes d'entrée les plus banales des attaques contre les TPE et PME. Et comme elles découlent directement d'un geste que vous avez posé, le lien avec votre prestation est facile à établir.

Pour engager votre responsabilité, le client doit démontrer trois choses : une faute (la faille que vous avez introduite), un préjudice (l'attaque et ses conséquences) et un lien de causalité entre les deux. C'est ce dernier point qui fait l'objet de toutes les batailles d'experts.

Une attaque a souvent plusieurs causes possibles. Démontrer que c'est précisément votre porte qui a servi d'entrée, et non un e-mail piégé ouvert par un salarié, suppose une analyse forensique des journaux.

D'où l'importance vitale de la journalisation. Si les logs montrent que l'intrusion provient de l'accès que vous avez configuré, le lien est établi et votre responsabilité engagée. Si, à l'inverse, vous pouvez prouver que votre accès a été correctement refermé et que l'attaque est venue d'ailleurs, vous êtes hors de cause.

C'est pourquoi votre intérêt et celui du client convergent sur un point : tout doit être tracé. Chaque ouverture, chaque fermeture, chaque modification de configuration, horodatée. Ce journal est à la fois la preuve de votre diligence et, le cas échéant, la démonstration de votre innocence.

Face à ce risque, deux briques d'assurance se complètent et il est utile de comprendre ce que chacune fait.

La RC Professionnelle répond à votre responsabilité envers le client : si la faille que vous avez introduite est la cause de l'attaque, c'est elle qui indemnise le préjudice subi par le client (perte de données, perte d'exploitation, frais de remise en état) dans la limite de votre faute.

La garantie cyber couvre un périmètre différent et souvent négligé : les frais de réponse à incident. Concrètement, lorsqu'une attaque survient, il faut financer une cellule de crise, un expert forensique pour analyser l'origine, la notification éventuelle des personnes concernées et la remédiation technique. Ces frais existent indépendamment de la question "qui est responsable" et tombent dès l'incident.

Pour un technicien support qui manipule des systèmes en production et des données sensibles, combiner les deux est la réponse cohérente. Notre comparatif des garanties cyber pour les métiers de l'informatique détaille ce que chaque brique prend réellement en charge.

Le meilleur sinistre est celui qui n'arrive pas. Et dans ce métier, la prévention passe par la sécurisation de vos propres outils d'accès distant, devenus la cible privilégiée des attaquants qui savent qu'un prestataire détient les clés de plusieurs clients à la fois.

• Authentification multifacteur (MFA) sur tous vos accès de télémaintenance, sans exception.
• Accès temporaires : ouvrez ce dont vous avez besoin pour la durée de l'intervention, et programmez la fermeture automatique plutôt que de compter sur votre mémoire.
• Pas de comptes partagés : un compte nominatif par technicien, pour savoir qui a fait quoi.
• Journalisation activée côté technicien comme côté client, conservée assez longtemps pour couvrir le délai entre une faille et son exploitation.
• Check-list de fin d'intervention incluant la vérification que toute configuration temporaire a été rétablie.

Ces mesures ne sont plus des bonnes pratiques facultatives : elles deviennent le standard attendu d'un professionnel, et leur absence pèsera lourd dans l'appréciation de votre responsabilité. Pour aller plus loin sur les couvertures adaptées à votre profil, consultez notre page assurance du technicien support informatique.

Vous apprenez qu'un client a été attaqué et qu'on évoque votre intervention. Les premières heures comptent :

1. Ne touchez à rien sur les systèmes concernés : l'analyse forensique a besoin des traces intactes. Effacer ou "réparer" en panique peut détruire la preuve qui vous innocenterait.
2. Rassemblez vos journaux d'intervention : tickets, horodatages, configurations posées et retirées.
3. Déclarez à votre assureur sans reconnaître de responsabilité, et activez la protection juridique.
4. Laissez l'expertise établir le lien de causalité : c'est elle qui dira si la faille venait de vous ou d'ailleurs.

Dans bien des cas, l'analyse révèle que l'origine est multiple ou étrangère à votre prestation. Votre meilleure assurance reste alors la qualité de votre traçabilité — et, pour le reste, une couverture qui finance à la fois la défense et la réponse à incident.