Qui attaque et pourquoi ? Acteurs et motivations

Un attaquant n'est pas « un hacker » générique : c'est un acteur avec une motivation, des capacités et des ressources, trois critères qui décident de la cible choisie et de la persévérance. Cette page présente les cinq grandes familles d'acteurs de la menace (cybercriminels, hacktivistes, États, initiés, script kiddies), ce qui les pousse à agir et les moyens dont ils disposent. Elle s'adresse aux personnes qui découvrent la sécurité, sans prérequis : chaque terme est défini. Savoir qui vous attaque permet de dimensionner quelles défenses placer sur la kill chain. Le vocabulaire général (menace, risque, vulnérabilité) et celui d'EBIOS Risk Manager, où ces acteurs s'appellent des sources de risque et leurs motivations des objectifs visés, sont posés dans Menace, risque, vulnérabilité, attaque : cette page-ci détaille les acteurs.

Ce que vous allez apprendre

Le profil de l'attaquant explique le choix des cibles, du moment et des méthodes. Concrètement, vous saurez :

• Distinguer les cinq grandes familles d'acteurs de la menace.
• Associer à chaque famille sa motivation principale.
• Comparer les acteurs selon leurs capacités et leurs ressources.
• Déduire d'un profil d'attaquant le type de défense à privilégier.
• Situer la menace interne : un acteur qui n'a pas besoin de forcer la porte.

Quelles sont les grandes familles d'attaquants ?

Une famille d'attaquants se définit par ce qu'elle cherche et par les moyens qu'elle peut y consacrer, pas par l'outil qu'elle utilise. Un même outil, comme un kit de phishing (un ensemble prêt à l'emploi de fausses pages et de messages piégés), sert à des profils très différents. Le découpage ci-dessous est un découpage courant dans les rapports de menaces ; il est volontairement simple.

Les cybercriminels cherchent l'argent. Ils vendent des données volées, chiffrent des systèmes pour réclamer une rançon, détournent des virements. Ils vont des opportunistes isolés aux groupes organisés qui fonctionnent comme des entreprises, avec des spécialistes et des services loués à d'autres. Ils visent la cible la plus rentable et la plus facile, quelle que soit sa taille.

Les hacktivistes poursuivent une cause politique ou sociale. Ils veulent faire passer un message et attirer l'attention : défigurer un site, saturer un service par une attaque en déni de service distribué (DDoS), publier des données. Leur cible dépend de l'actualité et des tensions du moment.

Les États (on parle d'acteurs étatiques, souvent désignés par le sigle APT, Advanced Persistent Threat, menace persistante avancée, qui qualifie un mode d'action patient et ciblé et ne suppose pas toujours un État) travaillent pour un gouvernement : espionnage, vol de propriété intellectuelle, déstabilisation. Ils visent des infrastructures critiques, des administrations ou des entreprises stratégiques, avec de la patience et de gros moyens.

Les initiés (insiders) sont des personnes de l'intérieur : employé mécontent, prestataire, collaborateur imprudent. Ils disposent déjà d'accès légitimes, ce qui contourne les défenses périmétriques. Leur motivation varie : vengeance, appât du gain, ou simple erreur sans intention de nuire.

Les script kiddies sont des attaquants peu qualifiés qui utilisent des outils tout faits sans les comprendre. Ils cherchent la curiosité, le défi ou la reconnaissance. Leur niveau est faible, mais ils sont nombreux, et un outil automatisé tourne sans fatigue.

Et les chapeaux noirs, gris et blancs ?

Vous croiserez aussi des « chapeaux » : le chapeau noir (black hat) attaque dans un but malveillant, le chapeau blanc (white hat) teste des systèmes avec autorisation, le chapeau gris (gray hat) agit sans autorisation mais sans intention de nuire, par exemple en signalant une faille. Cette classification parle d'éthique et de légalité, pas de motivation : les familles ci-dessus restent plus utiles pour raisonner sur une défense.

Quelles sont les motivations des attaquants ?

Une motivation répond à la question « qu'est-ce que l'attaquant espère obtenir ? ». Elle est la clé de lecture la plus utile : elle indique quelles données ou quels systèmes il convoitera, quand il frappera et jusqu'où il persévérera.

Motivation	Acteurs concernés	Ce qui est convoité	Conséquence pour la défense
Gain financier	Cybercriminels, parfois initiés	Données revendables, accès à rançonner, virements	Protéger les sauvegardes, les comptes et les flux de paiement
Cause idéologique	Hacktivistes	Visibilité, image de l'organisation	Surveiller l'actualité, anticiper la saturation de services
Espionnage et influence	États	Secrets industriels, données stratégiques	Détecter la persistance, segmenter, durcir longtemps à l'avance
Vengeance ou profit personnel	Initiés	Données accessibles par son poste	Moindre privilège, journalisation, révocation rapide des accès
Défi et reconnaissance	Script kiddies	Cibles faciles et exposées	Éliminer les faiblesses évidentes : correctifs, mots de passe

Glissez pour voir

Le tableau se lit en deux sens. Par ligne, il dit ce que cherche chaque famille. Par colonne, il montre qu'une même ressource, comme une base de clients, attire plusieurs profils pour des raisons différentes : le cybercriminel la revend, l'initié la copie, l'État y cherche une personne précise.

Une motivation peut aussi se combiner : un groupe criminel peut travailler pour le compte d'un État, un hacktiviste peut publier des données volées pour de l'argent. Les catégories aident à raisonner, elles ne décrivent pas des cases étanches.

Capacités et ressources : comment comparer les acteurs ?

Deux acteurs animés par la même motivation peuvent être très différents face à votre défense. La capacité est le niveau de compétence technique : exploiter une faille inédite n'est pas à la portée de tous. Les ressources sont l'argent, le temps et le personnel disponibles : un acteur patient peut préparer une attaque pendant des mois.

Acteur	Capacité	Ressources	Persévérance
Script kiddie	Faible, outils existants	Très limitées	Faible : il passe à la cible suivante
Initié	Variable, connaît le terrain	Limitées, mais accès légitime	Selon la motivation
Hacktiviste	Faible à moyenne	Limitées à moyennes	Liée à l'actualité
Cybercriminel	Moyenne à élevée	Moyennes à importantes	Tant que c'est rentable
État	Élevée	Très importantes	Longue : mois, parfois années

Glissez pour voir

Ce classement est une tendance, pas une règle : un cybercriminel peut disposer d'outils plus avancés qu'un petit service étatique. Il sert à calibrer le niveau de défense raisonnable : contre un script kiddie, des correctifs appliqués et des mots de passe solides réduisent fortement le risque. Contre un acteur étatique, aucune barrière ne suffit seule, et c'est la capacité à détecter qui compte.

Ces profils se retrouvent dans la kill chain. Un cybercriminel qui loue un maliciel passe par l'armement en quelques clics, un État y investit des semaines de développement. Le niveau de ressources se lit donc aussi dans la qualité de l'outillage observé.

Pourquoi la menace interne est-elle différente ?

Un initié n'a pas à forcer la porte : il l'a déjà. Il connaît les systèmes, les horaires, les points aveugles de la surveillance, et ses actions ressemblent à son travail quotidien. C'est ce qui rend cette menace difficile à repérer et pourquoi les contrôles périmétriques (pare-feu, filtrage) ne la voient pas.

L'initié n'est pas toujours malveillant. Un cas très courant est la négligence : un collaborateur qui envoie un fichier au mauvais destinataire, clique sur un lien de phishing, ou conserve des droits qu'il n'utilise plus. La parade est commune aux deux cas : le moindre privilège limite ce qu'un compte peut faire, la journalisation permet de reconstituer ce qui s'est passé, et la révocation rapide des accès au départ d'une personne ferme la porte.

Comment adapter sa défense au profil de l'attaquant ?

Une défense se dimensionne sur le profil probable de l'adversaire, pas sur le pire scénario imaginable. Une petite association n'a pas à se préparer à une attaque étatique ; elle doit en revanche se protéger du rançongiciel opportuniste et du phishing. Une administration ou un opérateur d'infrastructure critique doit, lui, raisonner à plus long terme.

Trois questions guident ce choix. Qui aurait intérêt à m'attaquer ? Les données que vous détenez répondent en partie : paiements, dossiers personnels, secrets industriels. Avec quels moyens ? Cela fixe l'ambition des contrôles. Quelle phase de la kill chain puis-je couper ? Contre un acteur peu qualifié, les premières phases (réduire l'exposition, corriger les failles) suffisent. Contre un acteur patient, il faut ajouter des mesures détectives pour repérer ce qu'on n'a pas pu empêcher, selon la logique des types de mesures.

Pour suivre l'évolution des profils et des méthodes, le renseignement sur la menace (threat intelligence) rassemble les observations de la communauté : voir Cyber Threat Intelligence. Les menaces concrètes que ces acteurs emploient sont détaillées dans les pages sur les logiciels malveillants, le phishing et le rançongiciel.

À retenir

1. Un attaquant se décrit par trois critères : sa motivation, ses capacités et ses ressources.

2. Cinq familles principales : cybercriminels, hacktivistes, États, initiés, script kiddies.

3. La motivation indique ce qui est convoité : argent, message, secrets, vengeance ou défi.

4. Les ressources et la motivation fixent la persévérance : un script kiddie abandonne vite, un État peut s'installer des mois.

5. L'initié contourne le périmètre : moindre privilège, journalisation et révocation rapide des accès sont les parades.

6. Les « chapeaux » (noir, gris, blanc) parlent d'éthique, pas de motivation : ils ne remplacent pas les familles.

7. Une défense se dimensionne sur le profil probable de l'adversaire, puis se place sur les phases de la kill chain qu'on peut couper.

Contrôle de connaissances

Six questions tirées sur huit : les familles d'acteurs, leurs motivations, leurs capacités et la façon d'adapter la défense au profil.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →