La fin de mission, angle mort du pentester : backdoor oubliée et données mal détruites
Le danger n'est pas toujours pendant le test, mais après. Un shell oublié, un export de base mal effacé, et c'est vous qui devenez la faille. Guide de clôture de mission.
- La clôture de mission est le moment le plus négligé et le plus risqué : artefacts oubliés et données collectées mal détruites.
- Une backdoor de test laissée en place peut être exploitée par un vrai attaquant : votre responsabilité est alors directement engagée.
- Les données personnelles collectées pendant l'audit font de vous un sous-traitant au sens du RGPD, avec obligation de destruction tracée.
- La garantie cyber couvre la violation de données, les frais de notification CNIL et la défense ; complétez avec une RC Pro pour la faute professionnelle.
Pourquoi la fin de mission est plus dangereuse que le test lui-même
Toute l'attention du pentester se concentre sur la phase offensive : trouver la faille, l'exploiter, rédiger le rapport. Mais les sinistres les plus graves et les plus durables ne naissent pas pendant le test. Ils naissent après, dans le relâchement de la clôture.
Pendant l'audit, vous avez créé des artefacts : comptes de test, shells, tunnels, exports de bases de données, captures de trafic, copies de fichiers de configuration. Vous avez aussi collecté, parfois sans l'avoir prémédité, des données personnelles appartenant à des tiers. Tout cela vit sur vos machines, dans le système du client, dans vos sauvegardes temporaires.
Si une partie de ce matériel n'est pas proprement neutralisée et détruite, vous laissez derrière vous une bombe à retardement dont vous êtes l'artificier. Et contrairement au crash de production, ce risque-là est silencieux : il peut exploser des mois plus tard, quand vous avez oublié la mission.
La backdoor oubliée : quand votre porte de test devient la faille
C'est le cauchemar classique. Pour faciliter vos tests, vous créez un compte administrateur temporaire, ou vous déposez un webshell pour maintenir un accès. La mission se termine, le rapport part, mais l'artefact reste en place. Des semaines plus tard, un véritable attaquant trouve cette porte dérobée et compromet le système.
L'enquête remonte la chaîne et découvre que la porte porte votre signature, créée pendant votre audit. Le client vous tient pour responsable de la compromission : selon lui, votre négligence a directement ouvert la voie à l'intrusion. La réclamation peut couvrir le coût complet de l'incident, parfois sans commune mesure avec vos honoraires.
Tout ce que vous créez pour entrer doit être inventorié pour être retiré. Un artefact non listé est un artefact qui restera.
Le réflexe protecteur : tenir un journal des modifications pendant toute la mission, chaque compte créé, chaque fichier déposé, chaque règle ouverte, et valider leur suppression une à une à la clôture, avec confirmation écrite du client.
Données d'audit : vous êtes un sous-traitant au sens du RGPD
Beaucoup de consultants l'ignorent : dès lors que vous manipulez des données personnelles appartenant au client ou à ses utilisateurs pendant un audit, vous agissez comme sous-traitant au sens de l'article 28 du RGPD. Cela emporte des obligations précises, dont la destruction ou la restitution des données à la fin de la prestation, et la capacité à le prouver.
Un export de base contenant des e-mails, des mots de passe hachés ou des données clients, oublié sur un disque externe ou une machine virtuelle non chiffrée, constitue une violation de données si ce support fuite. Les conséquences : notification à la CNIL sous 72 heures, information des personnes concernées, et risque de sanction.
Ce risque spécifique est précisément ce que couvre une assurance cyber : frais de notification, accompagnement juridique face à la CNIL et indemnisation des personnes concernées. Pour mémoire, la nature des données manipulées et les risques propres au métier sont détaillés sur la page assurance pentest et sécurité des systèmes.
La checklist de clôture qui vous évite le sinistre silencieux
Une clôture de mission rigoureuse se déroule comme un protocole, pas comme une intuition. Voici la séquence à systématiser :
- Inventorier les artefacts : reprendre le journal de mission et lister chaque élément créé côté client.
- Retirer et faire valider : supprimer chaque artefact et obtenir une confirmation écrite du client que le retrait est effectif.
- Détruire les données collectées : effacer de manière sécurisée tous les exports, captures et copies sur vos propres supports.
- Chiffrer ce qui doit transiter : le rapport et les preuves doivent voyager et reposer chiffrés.
- Tracer la destruction : produire une attestation de destruction datée, conservée comme preuve de conformité.
- Restituer ou détruire selon le contrat : appliquer la clause RGPD de votre contrat de sous-traitance.
Cette traçabilité a une double vertu : elle réduit drastiquement le risque, et le jour où une réclamation survient malgré tout, elle constitue la preuve de votre diligence qui permettra à votre assureur de vous défendre efficacement.
Articuler RC Pro et cyber pour couvrir toute la chaîne
Ces risques de fin de mission appellent deux logiques de couverture complémentaires. La RC Pro répond à la faute professionnelle : la backdoor oubliée qui a permis l'intrusion relève d'un défaut de diligence dans l'exécution de votre prestation. La garantie cyber répond à la violation de données : exfiltration mal détruite, fuite d'un export, manquement RGPD.
Un consultant qui n'aurait que la RC Pro serait démuni face aux frais de notification CNIL ; un consultant qui n'aurait que le cyber serait mal couvert sur le terrain de la responsabilité contractuelle. Les deux fonctionnent ensemble : la première sur l'erreur de prestation, la seconde sur l'atteinte aux données.
Pour un pentester, à partir de 19,90 €/mois, ce socle combiné transforme la clôture de mission d'un angle mort anxiogène en un processus maîtrisé et assuré. Le vrai professionnalisme se mesure autant à la propreté de votre sortie qu'à l'élégance de votre intrusion.
Questions fréquentes
Oui, potentiellement. Si l'enquête démontre que la porte dérobée a été créée pendant votre audit et laissée en place par négligence, le client peut engager votre responsabilité pour le préjudice de la compromission. C'est une faute professionnelle relevant de la RC Pro.
Dès que vous manipulez des données personnelles du client ou de ses utilisateurs, vous agissez comme sous-traitant au sens de l'article 28 du RGPD. Vous avez alors l'obligation de détruire ou restituer ces données en fin de mission et de pouvoir le prouver.
Si le support contenant l'export fuite, c'est une violation de données : notification à la CNIL sous 72 heures, information des personnes concernées et risque de sanction. La garantie cyber prend en charge les frais de notification, la défense et l'indemnisation.
Tenez un journal des artefacts créés, faites valider leur retrait par écrit, détruisez vos données de manière sécurisée et produisez une attestation de destruction datée. Cette traçabilité réduit le risque et constitue votre preuve de diligence en cas de réclamation.
Les deux sont complémentaires. La RC Pro couvre la faute professionnelle, comme une backdoor oubliée ayant permis une intrusion. La garantie cyber couvre la violation de données et les frais de notification CNIL. Ensemble, elles couvrent toute la chaîne de risques de fin de mission.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Sécurité des systèmes d'information et tests d'intrusion — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Sécurité des systèmes d'information et tests d'intrusion →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.