Les vecteurs d'attaque traditionnels ne suffisent plus à masquer la réalité : l'offensive se déplace vers des couches que nos outils de surveillance classiques ignorent. Si les EDR et les pare-feu renforcent la défense applicative, ils restent aveugles face à une compromission qui s'installe avant même le chargement du système d'exploitation.

Un ciblage chirurgical des secteurs critiques

Les statistiques de l'Anssi pour l'année 2025 dressent un constat sans appel sur la cartographie des menaces. Sur les 1366 incidents de sécurité traités, une tendance lourde se dégage : l'éducation et la recherche sont en première ligne, représentant 34% des attaques, suivies de près par les ministères et les collectivités territoriales avec 24%. Ce ciblage n'est pas le fruit du hasard ; il vise des infrastructures où la donnée est massive et souvent mal protégée au niveau de ses couches de base.

Cette vulnérabilité sectorielle s'accompagne d'une explosion des violations de données. La Cnil a notifié 6167 violations en 2025, avec une accélération marquée dès le premier trimestre de 2026 qui dépasse déjà les 2730 signalements. Le piratage demeure la cause principale, concentrant 50% des incidents via des rançongiciels ou du phishing, mais la menace la plus insidieuse réside dans ce que nous appelons l'angle mort de la sécurité : la couche basse.

L'UEFI et le firmware : le terrain de jeu des menaces persistantes

L'attaque ne se joue plus seulement sur le système d'exploitation, mais directement dans le matériel. L'UEFI (Unified Extensible Firmware Interface), successeur du BIOS, est la première brique logicielle exécutée à l'allumage. Si cette couche est compromise, l'attaquant prend le contrôle de la machine avant toute détection par un EDR classique. C'est une stratégie de counterattack où l'adversaire a déjà gagné la partie avant que nous ayons pu aligner nos défenseurs.

Le malware LoJax en est l'exemple type : capable de s'installer dans le BIOS, il persiste même après un remplacement de disque dur ou une réinstallation complète de Windows. Ce type de menace transforme la ransomware en arme de guerre de précision, rendant les mesures de remédiation traditionnelles totalement inefficaces. Un environnement cloud hybride, où chaque couche agit comme un joueur de défense en équipe, ne peut faire l'économie d'une surveillance de ces composants critiques.

La sécurité 'by design' : une nécessité matérielle

Le Cyber Resilience Act (CRA), entré en vigueur fin 2024, impose désormais une approche de security by design. Cette réglementation exige que la cybersécurité soit intégrée dès la conception du matériel et tout au long de son cycle de vie. Pour les constructeurs, cela signifie que la résilience ne peut plus être un ajout optionnel, mais doit être ancrée dans le hardware.

Pour contrer ces attaques de firmware, des mécanismes de protection de la couche basse deviennent indispensables :

• Le Secure Boot : intégré au standard UEFI, il vérifie la signature numérique des composants pour bloquer tout programme non autorisé dès le démarrage.
• La surveillance de l'intégrité du BIOS : des technologies comme Sure Start permettent de surveiller en permanence le firmware et de restaurer automatiquement une version saine en cas de modification malveillante.
• La protection des échanges cryptographiques : face aux attaques interceptant les données entre le module de sécurité et le CPU, des solutions comme TPM Guard créent un canal de communication chiffré pour sécuriser les secrets du système.

Sécuriser la chaîne d'approvisionnement

La défense ne commence pas au premier démarrage, mais bien avant. L'ENISA classe la sécurité de la chaîne d'approvisionnement parmi les défis les plus critiques. Un attaquant peut compromettre un composant ou un mécanisme de mise à jour bien avant que l'équipement n'atteigne son utilisateur final.

La réponse réside dans l'établissement d'une racine de confiance matérielle (Hardware Root of Trust). Chaque machine doit pouvoir présenter une identité cryptographique associée à un ensemble de mesures d'intégrité (versions de l'UEFI, configuration matérielle, pilotes). Lors du premier démarrage, un mécanisme d'attestation compare cet état de référence à la machine pour détecter toute modification non autorisée au cours de la chaîne logistique. Sans cette vérification rigoureuse, nos défenses restent fragiles face à une supply chain de plus en plus complexe.

La cyberdéfense doit impérativement passer d'une vision purement logicielle à une approche intégrée où le matériel est un acteur de la défense. Si nous ne sécurisons pas les couches basses, les attaquants continueront de jouer dans les zones d'ombre de nos infrastructures.