Comment savoir quels serveurs et services de mon entreprise sont exposés à Internet ?

Par un scan réalisé depuis l'extérieur, exactement du point de vue de l'attaquant : adresses IP publiques, sous-domaines, ports ouverts, interfaces d'administration et services qui répondent. Le résultat ne coïncide presque jamais avec la liste mentale de l'équipe — serveurs de test oubliés, interfaces de gestion publiées par erreur et services lancés pour un projet terminé depuis longtemps apparaissent régulièrement.

À quelle vitesse une nouvelle vulnérabilité est-elle exploitée après sa publication ?

Bien plus vite qu'il y a quelques années : de plus de 700 jours en 2020 à environ 44 jours en 2025, tandis que les rapports de 2026 montrent 28,3 % des vulnérabilités exploitées dans les premières 24 heures suivant la publication. Pour les nouvelles vulnérabilités critiques des équipements de périmètre, l'intervalle médian avant exploitation massive était de zéro jour — pratiquement simultané à l'annonce.

J'ai un pare-feu et un VPN — ne suis-je pas déjà protégé ?

Seulement s'ils sont mis à jour au rythme du périmètre, et non à celui du bureau. C'est précisément cette catégorie qui est devenue la plus attaquée : dans le DBIR 2026, les équipements de périmètre et les VPN sont passés de 3 % à 22 % des compromissions par exploitation, et dans les analyses de Mandiant, les quatre vulnérabilités les plus fréquemment exploitées se trouvaient toutes dans ce type d'équipements. Un pare-feu non corrigé n'est pas une défense, c'est une porte avec une adresse publique.

À quelle fréquence dois-je scanner mon infrastructure exposée à Internet ?

De façon récurrente, idéalement mensuelle. La surface d'attaque évolue à chaque nouveau projet, intégration ou fournisseur disposant d'un accès, et un scan annuel décrit une infrastructure qui a changé entre-temps. Ce qui suit le scan compte tout autant : un rapport priorisé selon CVSS et un retest confirmant que le problème a bien été refermé.

Serveurs exposés à Internet : pas si, mais quand

Faites un exercice rapide : énumérez tout ce qui, dans votre entreprise, répond en ce moment à une requête venue d'Internet. Le pare-feu. Le concentrateur VPN. Le serveur de messagerie. Le portail web de l'ERP. La passerelle RDP ouverte « temporairement » en 2021 pour quelqu'un en télétravail. Le serveur de test resté allumé après la fin d'un projet. Si cette liste vous a pris plus de deux minutes, ou si vous n'êtes pas certain qu'elle soit complète, vous détenez déjà la moitié de la réponse de cet article.

Personne ne vous a attaqué aujourd'hui pour ce que vous êtes. Les réseaux de capteurs qui écoutent le trafic de scan sur Internet ont enregistré environ 218 millions d'événements en janvier 2026, provenant de 248 608 hôtes uniques — 32 % de plus que le mois précédent, dont 113 millions de tentatives visant les seuls serveurs de bases de données MSSQL. Ce sont des tentatives automatisées et du trafic de scan, non des compromissions réussies ; la distinction compte. Mais à ce volume, l'exposition cesse d'être une question de probabilité. Ce n'est pas si, mais quand — et la variable qui compte vraiment, c'est ce qui se passe dans les heures qui suivent.

Ce qui est réellement exposé à Internet dans votre entreprise

La plupart des petites et moyennes entreprises ne peuvent pas répondre à cette question en une journée de travail. Non par négligence, mais parce que la liste n'existe nulle part : elle vit dans la tête d'un administrateur parti il y a deux ans, dans une configuration de pare-feu que personne n'a relue depuis sa rédaction, et dans la mémoire collective de trois personnes qui se souviennent de choses différentes. Or ce qui ne figure sur aucune liste ne figure dans aucun plan de correctifs.

Des interfaces web d'administration accessibles publiquement — dans une étude portant sur 3 000 surfaces d'attaque, 60 % exposaient de tels panneaux.
Des ports risqués ouverts directement sur Internet — 49 % dans la même étude.
Des bases de données accessibles depuis l'extérieur — 42 % ; exactement la catégorie visée par ces 113 millions de tentatives de janvier.
Des équipements de périmètre (pare-feu, VPN, passerelle) traités comme du matériel « qui fonctionne », et non comme un logiciel à mettre à jour.
Des serveurs de test, de démonstration ou de préproduction laissés allumés, toujours présents dans le DNS, sans propriétaire désigné.
Personne ne détient la liste : l'inventaire n'est pas un document versionné, c'est un souvenir.

Le schéma n'est pas un serveur mal configuré. C'est que la surface d'attaque croît à chaque nouveau projet et ne décroît jamais, parce que personne n'a explicitement pour mission de la réduire. Chaque intégration, chaque fournisseur disposant d'un accès, chaque « on laisse ouvert jusqu'à la semaine prochaine » ajoute quelque chose qui ne se referme plus. On ne peut pas défendre ce qu'on ne peut pas énumérer — et le plus inconfortable, c'est que l'attaquant, lui, énumère votre infrastructure chaque semaine, automatiquement et gratuitement.

L'exploitation de vulnérabilités est devenue la porte principale

Le rapport Verizon DBIR 2026 a consigné un basculement qui se préparait depuis des années : l'exploitation de vulnérabilités a dépassé les identifiants volés et est devenue le vecteur d'accès initial numéro un, pour la première fois en dix-neuf ans d'existence du rapport. Il s'agit de 31 % des vecteurs d'accès initial analysés, contre 20 % l'année précédente — un bond de 55 % d'une année sur l'autre. Ce chiffre ne signifie pas que 31 % des entreprises ont été attaquées ainsi ; il signifie que, parmi les intrusions réussies analysées, près d'une sur trois est passée par l'exploitation d'une vulnérabilité plutôt que par des mots de passe volés ou du phishing.

Là où ces exploitations atterrissent devrait vous intéresser davantage encore. Toujours dans le DBIR 2026, les équipements de périmètre et les VPN sont passés de 3 % à 22 % des compromissions dues à l'exploitation — un facteur sept en une seule année. Les analyses de Mandiant vont dans le même sens : sur la période analysée, les quatre vulnérabilités les plus fréquemment exploitées se trouvaient toutes dans des équipements de périmètre (Palo Alto PAN-OS, Ivanti Connect Secure, Ivanti Policy Secure et Fortinet FortiClient EMS). Autrement dit, le boîtier même que vous aviez acheté pour défendre le périmètre en est devenu l'élément le plus attaqué.

Ce que l'IA change réellement du côté de l'attaquant

Il vaut la peine d'être précis ici, car le récit public s'est fixé sur des e-mails de phishing impeccablement rédigés. C'est la partie visible et, très honnêtement, la moins intéressante. Le vrai changement ne se situe pas au début de la chaîne d'attaque mais en son milieu : l'IA a retiré l'humain des étapes qui consommaient auparavant des heures d'opérateur qualifié.

Les preuves commencent à devenir publiques. En novembre 2025, Anthropic a révélé une campagne de cyberespionnage attribuée à un acteur lié à la Chine, suivie sous le nom GTG-1002 et enregistrée comme MITRE ATT&CK Campaign C0062 : menée en septembre 2025 contre une trentaine de cibles, elle est considérée comme la première campagne orchestrée en grande partie de façon autonome par un agent IA, lequel a exécuté environ 80 à 90 % des tâches opérationnelles — reconnaissance, découverte de vulnérabilités, exploitation, mouvement latéral, collecte d'identifiants et exfiltration. Séparément, en mai 2026, la première attaque de post-exploitation entièrement autonome pilotée par un modèle de langage a été documentée en conditions réelles, achevée en moins d'une heure.

La conséquence est économique, pas technologique. Le choix de la cible était jusqu'ici une décision humaine : quelqu'un vous sélectionnait et passait un après-midi sur vous, et le coût de ces heures constituait, de fait, votre protection. Être petit était réellement une défense. Lorsque le scan, le tri, l'exploitation et le mouvement latéral deviennent un seul pipeline automatisé au lieu de quatre tâches humaines, « nous ne valons l'effort de personne » cesse d'être une catégorie — puisque l'effort de personne n'est plus dépensé.

Vous n'êtes plus choisi comme cible. Vous êtes simplement énuméré.

Les trois horloges

Être compromis ou non relève, au fond, d'une course entre trois chronomètres. La plupart des entreprises n'en regardent qu'un seul, et généralement pas celui sur lequel elles peuvent agir.

1L'horloge de l'attaquant — le délai entre la publication d'une vulnérabilité et l'existence d'un exploit réellement utilisé. Il est passé de plus de 700 jours en 2020 à environ 44 jours en 2025, et les rapports Mandiant de 2026 montrent que 28,3 % des vulnérabilités publiées sont exploitées dans les premières 24 heures. Pour les nouvelles vulnérabilités critiques des équipements de périmètre, l'intervalle médian avant exploitation massive était de zéro jour : l'exploitation démarre pratiquement en même temps que la publication, parfois avant le correctif.
2Votre horloge — le délai entre la publication et le moment où vous avez réellement appliqué le correctif. La médiane est passée de 32 à 43 jours, alors que les organisations doivent traiter 50 % de vulnérabilités du catalogue KEV de plus qu'il y a un an. Votre horloge ralentit précisément quand la charge augmente.
3L'horloge de détection et de réponse — le temps qu'il vous faut pour remarquer qu'un problème existe et agir. C'est la seule des trois que vous pouvez modifier en mois plutôt qu'en années, et la seule qui dépende presque entièrement de vous et non du calendrier d'un fabricant.

Mettez les deux premières horloges côte à côte et vous obtenez l'arithmétique de tout cet article : vous ne pouvez pas corriger en 43 jours ce qui est exploité en zéro. Ce n'est pas un problème de discipline — aucune équipe informatique, aussi bonne soit-elle, ne gagne une course avec un tel handicap. C'est un problème structurel. La prévention parfaite a cessé d'être un plan complet pour tout ce qui se trouve sur le périmètre.

L'idée n'est pas de vendre de la peur, mais de la proportion. « Pas si, mais quand » n'est pas une formule marketing, c'est le résultat d'une soustraction que chacun peut refaire. Et sa conclusion pratique est rassurante plutôt qu'accablante : si vous ne pouvez pas gagner la course aux correctifs, alors deux autres choses comptent, et vous les maîtrisez toutes les deux. Combien d'horloges se déclenchent — c'est-à-dire ce qui est exposé — et à quelle vitesse vous apprenez que l'une d'elles a sonné.

Concrètement : réduire la surface, raccourcir l'horloge

Ce n'est pas un programme de sécurité, c'est une séquence. Les deux premières étapes ne coûtent rien d'autre que de l'attention et peuvent commencer lundi matin.

1Établissez le véritable inventaire d'exposition. Non pas la liste dans la tête de quelqu'un, mais ce qui répond effectivement à une requête venue de l'extérieur : adresses IP publiques, sous-domaines, ports ouverts, interfaces d'administration, services oubliés. Le résultat doit être un document versionné avec un propriétaire nommé, pas un e-mail.
2Fermez tout ce qui n'a aucune raison métier d'être public. Interfaces d'administration, RDP, bases de données, interfaces de gestion — placées derrière le VPN ou restreintes par adresse IP. C'est là que disparaît généralement l'essentiel de la surface d'attaque, sans le moindre budget.
3Traitez le périmètre comme un logiciel critique, pas comme du matériel. Abonnez-vous aux avis de sécurité de vos fabricants de pare-feu, VPN et passerelles, et désignez quelqu'un qui les lit réellement. Ce sont ces équipements qui figurent en tête des classements d'exploitation, pas vos serveurs applicatifs.
4Tenez deux calendriers de correctifs, pas un seul. Un calendrier mensuel pour l'infrastructure interne. Un calendrier d'urgence, mesuré en heures, pour tout ce qui est exposé à Internet et apparaît au catalogue KEV. Ce second calendrier n'existe que parce que l'horloge de l'attaquant est à zéro sur le périmètre.
5Scannez de façon récurrente, pas annuelle. La surface change à chaque nouveau projet, chaque intégration, chaque fournisseur ajouté. Un scan datant de six mois décrit une entreprise qui n'existe plus.
6Instrumentez la détection sur les actifs exposés. L'objectif est simple et vérifiable : apprendre une anomalie par une alerte, et non par un client qui ne parvient pas à passer commande ou un salarié qui appelle parce que « ça rame ».
7Rédigez et répétez la réponse avant d'en avoir besoin. Qui décide d'isoler un système, qui informe la direction, qui parle aux clients, et dans quels délais. Un exercice sur table de deux heures vaut mieux qu'un plan de 40 pages que personne n'a lu. La restauration et la sauvegarde testée viennent après cette couche, pas à sa place.

À quoi cela ressemble avec un partenaire externe

Les deux premières étapes, vous pouvez les mener en interne en une semaine, et elles valent la peine même si vous ne travaillez jamais avec un prestataire. Les étapes 3 à 7, en revanche, échouent presque toujours pour la même raison : elles n'ont ni récurrence ni propriétaire. Ce n'est pas un problème de compétence mais d'attention continue, dans une entreprise où chacun a déjà une charge complète. C'est exactement cette couche que nous couvrons dans le cadre de notre pratique de cybersécurité.

Scan mensuel externe et interne, avec rapport priorisé selon le score CVSS, recommandations concrètes de remédiation et retest après correction — l'offre Vulnerability Scanning mensuel, dimensionnée au nombre d'hôtes.
Supervision 24/7 et alerting en temps réel sur Zabbix et Grafana, avec tableaux de bord pour la direction et rapport mensuel de disponibilité et d'incidents. D'après l'expérience de nos projets, environ 80 % des incidents sont détectables de façon proactive, avant que quiconque n'appelle.
Un plan de réponse aux incidents avec des playbooks pour les rançongiciels, l'exfiltration de données et la compromission de messagerie professionnelle, ainsi que des exercices sur table avec la direction — pour que les décisions difficiles soient prises en amont, et non dans la première heure de crise.
Un responsable, même s'il n'est pas votre salarié : le CISO as a Service, pour les entreprises qui ont besoin d'une stratégie et d'un interlocuteur face aux autorités, mais ne justifient pas un spécialiste à temps plein.

Le dimensionnement suit le nombre d'hôtes et d'équipements, et l'ampleur réelle se décide après le premier inventaire — bien souvent, la surface se révèle plus petite que la crainte et plus grande que la liste dont l'entreprise disposait au départ.

Conclusion

L'exposition à Internet n'est pas une erreur, c'est la conséquence naturelle du fait de faire des affaires en ligne. Ce qui a changé, c'est que l'automatisation a supprimé le coût de la sélection pour l'attaquant, et l'arithmétique entre son horloge et la vôtre ne s'inversera pas. La différence entre un incident et une crise reste, presque toujours, la petitesse de votre surface et la rapidité avec laquelle vous l'apprenez. Si vous ne pouvez pas dire maintenant, en deux minutes, ce qui dans votre entreprise répond à un scan venu d'Internet, c'est précisément par là que nous commençons — parlons-en 30 minutes et vous repartez avec la liste, quelle que soit votre décision ensuite.