Intelligence vivante EVALIR — Guerre hybride, prévention et organisations. Enquête documentaire arrêtée au 12 novembre 2026.
Le geste paraît anodin : un technicien ouvre une session de maintenance pour dépanner un ordinateur. Pourtant, dans une campagne détectée le 11 novembre 2026, ce geste de confiance pourrait devenir un relais de compromission. L’affaire ScreenConnect nous oblige à regarder autrement la cybersécurité : non plus comme la simple protection des ordinateurs d’une entreprise, mais comme la sécurité des relations entre entreprises, prestataires et services essentiels.
Le serrurier numérique a aussi les clés de la ville
Imaginez une petite société de services informatiques. À huit heures, un technicien consulte les alertes ; à neuf heures, il intervient dans une mairie ; à dix heures, dans un cabinet médical ; à onze heures, chez un commerçant. Son métier repose sur une évidence : lorsqu’un ordinateur ne fonctionne plus, il faut pouvoir entrer à distance pour le réparer. Cet accès, si précieux aux organisations, représente également une dépendance commune.
Il y a quelque chose de presque romanesque dans cette position : le professionnel ne possède ni l’entreprise ni les machines de ses clients, mais il tient parfois les clés de dizaines de lieux. Le danger ne vient pas de sa profession ; il vient de la concentration du pouvoir technique dans quelques outils et comptes, et de la possibilité qu’un adversaire détourne cette confiance.
11 novembre 2026 : ce que l’on sait réellement
La société de cybersécurité Huntress déclare avoir observé le 11 novembre une activité malveillante utilisant plusieurs environnements ScreenConnect, logiciel de prise en main à distance largement employé par les prestataires informatiques. Selon son enquête, au moins 288 terminaux répartis dans 48 organisations utilisant ses services ont été touchés. Les attaquants installaient des clients de prise en main à distance non autorisés et un ensemble d’outils baptisé SCKit.
Le fournisseur ConnectWise a publié le même jour un avis de sécurité : plusieurs extensions tierces seraient associées à la campagne ; leur désactivation préventive a concerné approximativement 400 environnements partenaires. Ces 400 environnements ne représentent pas 400 organisations compromises. ConnectWise précise que le mécanisme initial d’accès et la portée complète sont toujours à l’étude, et que l’enquête n’a pas établi une vulnérabilité nouvelle de ScreenConnect lui-même.
Les chiffres décrivent un état de l’enquête, pas une photographie définitive de la campagne. Aucun commanditaire étatique ne peut être désigné sur cette base. Si les actions techniques sont documentées, l’identité et les motivations des auteurs restent inconnues. C’est une règle de méthode fondamentale : une attaque contre une infrastructure importante n’est pas automatiquement une opération de guerre hybride.
Le phénomène essentiel n’est pas le virus : c’est le chemin qu’il emprunte
L’analyse EVALIR commence par un renversement de perspective. Au lieu de chercher uniquement le programme malveillant, elle cherche les relations dont ce programme peut se servir : relation du technicien à sa console, de la console aux clients, d’un même prestataire à plusieurs métiers, puis des métiers aux populations qui en dépendent.
Le mécanisme décrit par Huntress comporte des possibilités de transmission entre postes administrés et poste d’un technicien. Il faut ici distinguer ce qui a été observé dans les incidents et ce qui ressort de l’analyse du code malveillant : toutes les fonctions imaginables n’ont pas nécessairement été utilisées. Cette distinction technique a une conséquence de gouvernance : on ne construit pas un plan de crise sur la version la plus spectaculaire d’une hypothèse.
Dans notre bibliothèque EVALIR, les dossiers HYB-004 et CYB-V2-09 proposent d’observer les dépendances, les effets en cascade et les rétroactions. C’est exactement le problème rencontré ici. Un accès de support, conçu pour réduire les interruptions, peut devenir lui-même un facteur de multiplication des interruptions. Une fonction de secours cesse alors d’être indépendante du risque qu’elle doit résoudre.
Trois boucles qui fabriquent une crise
1. La boucle technique : une même clé pour plusieurs portes
La première boucle est celle des habilitations partagées. Un prestataire a besoin d’accéder à de nombreux systèmes ; son outil central donne de la rapidité, de la cohérence et du confort. Mais si ce point de passage est détourné, plusieurs clients peuvent être exposés presque simultanément. L’enjeu n’est pas seulement de disposer de plusieurs prestataires : deux solutions différentes peuvent dépendre du même compte, du même dispositif d’identification ou du même circuit de validation.
2. La boucle organisationnelle : les secours se mettent en travers
La deuxième boucle touche les décisions. Une organisation suspecte un accès illégitime et veut arrêter la télémaintenance ; mais ses informaticiens comptaient précisément sur cette télémaintenance pour résoudre le problème. Les appels augmentent, les déplacements s’accumulent, les responsables hésitent entre restaurer vite et conserver les éléments nécessaires à l’enquête. Les travaux de Crozier et Friedberg éclairent les marges de manœuvre et les dépendances ; ceux de Karl Weick invitent à étudier la construction collective du sens en situation d’incertitude.
3. La boucle sociale : la confiance circule avec les interventions
La troisième boucle est relationnelle. Un prestataire ne vend pas seulement un accès technique ; il vend la promesse qu’une personne compétente saura répondre lorsque l’ordinateur ou le service se bloque. Si les organisations ignorent ce qui s’est passé, si l’information tarde, des rumeurs d’exfiltration ou de sabotage peuvent circuler avant même que l’enquête dispose de faits. Une communication honnête, régulière et datée ne résout pas une compromission, mais elle peut empêcher la surcharge et la perte de confiance d’aggraver ses effets.
Pourquoi les territoires français sont concernés
En 2025, l’ANSSI a recensé 1 366 incidents de sécurité portés à sa connaissance, avec une exposition importante des administrations et collectivités territoriales, du secteur de la santé, de l’enseignement et des télécommunications. Il s’agit de son périmètre de signalement, non du nombre exhaustif d’incidents survenus en France. Ces secteurs ne sont pas indépendants : une collectivité dépend de prestataires pour son accueil, sa comptabilité, sa communication ; un établissement de santé dépend de fournisseurs pour ses logiciels ; une entreprise locale dépend de solutions de facturation, de gestion et de paiement.
À l’échelle d’un territoire, une bonne question est donc : quels services resteraient accessibles si notre prestataire principal devait interrompre toutes ses connexions à distance pendant une journée ? Cette interrogation n’accuse aucun prestataire : elle aide à mesurer ce qui tient réellement en cas de fonctionnement dégradé.
La réponse peut être préparée sans exposer publiquement les architectures internes : annuaire des contacts vérifiés, modalités alternatives de demande d’assistance, responsabilités préétablies, copies de documents essentiels, capacités de remplacement et exercices de décision. Pour les vérifications techniques, les organisations concernées doivent suivre les avis du fabricant et les recommandations de leurs professionnels de sécurité.
De la conformité à l’intelligence de la prévention
Une entreprise peut avoir signé des contrats, adopté des procédures et réalisé un audit, sans avoir jamais testé le jour où le prestataire de confiance doit être lui-même mis à l’écart. L’intelligence vivante propose un autre chemin : partir d’une situation vérifiable, reconstruire les relations entre acteurs, simuler plusieurs trajectoires et apprendre des écarts entre le plan et la réalité.
La prévention commence donc avant la cyberattaque. Elle passe par la gouvernance des accès, la connaissance des dépendances et la capacité à parler entre dirigeants, techniciens, métiers et partenaires. Le risque n’est plus rangé au fond du service informatique : il devient un sujet de continuité de l’activité et de responsabilité collective.
Ce travail rejoint directement notre Intelligence des crises pour les collectivités et territoires, notre formation à la veille et à la simulation, et les fondements scientifiques des intelligences vivantes.
Ce que nous apprend l’affaire ScreenConnect : les sociétés contemporaines ont beaucoup investi pour que tout soit connecté. Il faut maintenant apprendre à vérifier ce qui se passe quand l’outil conçu pour réparer devient, lui aussi, une source possible de perturbation.
Explorer — Le prestataire invisible : simulation interactive EVALIR
Exercice fictif inspiré de mécanismes documentés. Cliquez pour choisir votre parcours : les conséquences proposées sont pédagogiques, elles ne décrivent pas des victimes réelles.
8 h 17 — Votre prestataire vous appelle
Il vous informe qu’un de ses outils de prise en main à distance est sous investigation. Vous dirigez une organisation disposant de plusieurs sites. Que faites-vous en premier ?
A. Couper immédiatement tous les services informatiques
Le réflexe peut réduire une exposition dans certains cas, mais aussi interrompre des services essentiels sans diagnostic. Il faut déterminer les systèmes concernés, suivre les consignes de sécurité et activer une cellule de décision.
Et si l’accueil public ne fonctionne plus ?
Prévoir une procédure de fonctionnement dégradé : information aux usagers, numéros de contact fiables, services à prioriser, reprise documentée.
B. Vérifier les faits et réunir les responsables concernés
Bonne première approche : qualifier l’alerte, contacter le prestataire par un canal authentifié, préserver les traces, coordonner direction, métiers et sécurité ; prendre ensuite les mesures de confinement adaptées.
Qui doit être dans la pièce ?
Le décideur responsable, le référent informatique, le responsable de continuité, la communication, les métiers critiques et, si nécessaire, les autorités compétentes.
C. Attendre que le prestataire règle tout
Le prestataire demeure un partenaire essentiel, mais l’organisation garde la responsabilité de la continuité de ses missions, de la notification éventuelle et de la décision concernant ses propres activités.
11 h 40 — La surprise des dépendances
Un second prestataire résout-il forcément le problème ?
Non. Les deux peuvent dépendre du même fournisseur d’identité, du même accès d’administration ou du même hébergeur. La résilience demande une indépendance testée, pas seulement deux noms sur un contrat.
Une rumeur affirme que toutes les données ont été volées. Faut-il la démentir ?
Il faut distinguer ce qui est connu de ce qui ne l’est pas, sans promettre une absence de fuite que l’enquête ne peut pas encore garantir. Indiquer la prochaine heure de mise à jour, le canal officiel et les mesures prises.
16 h — Votre mini-tableau de bord
Afficher les six informations à suivre
- Services réellement indisponibles
- Accès administratifs révoqués ou vérifiés
- État des investigations et incertitudes
- Solutions de continuité effectivement testées
- Personnes et organisations à informer
- Prochaine décision et responsable désigné
Sources et prolongements
- Huntress, 11 novembre 2026 : enquête ScreenConnect
- ConnectWise, avis officiel du 11 novembre 2026
- ANSSI, Panorama de la cybermenace 2025 (publié en mars 2026)
- EVALIR, Intelligence des crises pour les territoires
- Knowledge EVALIR : HYB-004 (couplages cyber-information-économie), HYB-005 (crises et territoires), CYB-V2-09 (mécanismes scientifiques de crise).
Statut des informations : campagne observée et signalée par les entreprises de sécurité ; périmètre provisoire ; attribution de l’attaquant inconnue. Simulation expressément fictive.
