Pourquoi la clé USB reste une menace sous-estimée en cybersécurité...

Clé USB : un outil qui peut devenir une arme

Ce petit dispositif peut contenir des fichiers malveillants, des logiciels espions, ou des scripts d’exécution automatique. Le simple fait de la brancher à un ordinateur peut suffire à infecter tout un réseau. Et contrairement à un courriel d’hameçonnage, aucun clic n’est requis de la part de l’utilisateur dans certains cas. Des clés programmées pour agir comme un clavier (USB Rubber Ducky, par exemple) peuvent taper des commandes en quelques secondes, sans que la victime comprenne ce qu’il se passe.

Le piège de l’ingénierie sociale : quand la curiosité devient une faille

Certaines attaques utilisent la technique du “drop USB” : des clés volontairement abandonnées dans des lieux publics (stationnement, ascenseur, salle de repos), dans l’espoir qu’une personne curieuse ou serviable la ramasse et la branche à son poste de travail. Ce type d’attaque repose entièrement sur la psychologie humaine, et plus précisément sur l’ingénierie sociale. Les fraudeurs ne cherchent pas toujours à forcer l’entrée d’un système… ils attendent qu’on leur ouvre la porte. Et c’est aussi ça, la prévention des fraudes : apprendre à repérer ces situations piégées et à y résister.

Des exemples bien réels et inquiétants

En 2022, un groupe de cybercriminels a envoyé des clés USB infectées par la poste à plusieurs organisations ciblées aux États-Unis. À l’intérieur : un maliciel s’installait automatiquement, donnant un accès à distance aux attaquants.

• Certaines clés embarquent des composants électroniques permettant de contourner les systèmes de sécurité en imitant un clavier ou une souris.
• D’autres sont capables d’effacer tout un disque dur ou de lancer une attaque dès la connexion, sans interaction humaine.

Une menace amplifiée par la mobilité du travail

Avec le télétravail, les déplacements fréquents, et les équipes hybrides, les clés USB sont encore largement utilisées pour transférer des fichiers, souvent de façon non sécurisée.

Résultat : des documents sensibles passent d’un environnement contrôlé à un ordinateur personnel mal protégé… puis reviennent en entreprise, avec des risques d’infection ou de fuite accrus.

Et la Loi 25 dans tout ça ?

Depuis son entrée en vigueur, la Loi 25 impose des obligations claires en matière de gouvernance de l’information et de protection des données personnelles.

Utiliser une clé USB non chiffrée, partagée entre plusieurs employés ou laissée sans surveillance constitue une faille grave de conformité.

Votre organisation doit pouvoir démontrer :

• quelles données sont conservées et transférées,
• qui y a accès,
• et avec quels mécanismes de sécurité (chiffrement, contrôle d’accès, etc.)

Quelles bonnes pratiques mettre en place ?

Voici quelques réflexes à adopter pour réduire les risques :

• Utilisez uniquement des clés USB chiffrées, fournies et enregistrées par votre organisation.
• Désactivez l’exécution automatique des périphériques USB sur tous les postes.
• Interdisez le branchement de clés personnelles ou inconnues sur les ordinateurs professionnels.
• Mettez en place une politique claire sur l’utilisation des supports amovibles.
• Privilégiez les services sécurisés de partage de fichiers (cloud chiffré, intranet d’organisation, etc.)
• Sensibilisez vos équipes aux risques associés à ce petit outil qu’on oublie trop souvent.

Et surtout, tenez une liste des rôles et des accès. Qui peut manipuler ce type de support ? Dans quelles situations ? Ce suivi est essentiel pour limiter les abus et respecter vos obligations légales.

Besoin d’aide ?

Vous n’êtes pas seuls. Nous pouvons vous aider avec nos formations en cybersécurité adaptées aux besoins spécifiques de votre organisation.

Et si vous souhaitez aller plus loin, nous offrons aussi des formations sur l’intelligence artificielle, les nouvelles tendances en cybersécurité, et les outils de protection moderne. La clé USB est petite, mais les conséquences peuvent être immenses.

Et c’est aussi ça, la prévention des fraudes.

QUI SOMMES-NOUS ?

Notre mission est de former les entreprises à adopter de meilleures pratiques en ligne, pour repousser les fraudeurs et les pirates informatiques, et éviter que tant d’années d’efforts ne s’évaporent en un clic!

Quand on pense à la cybersécurité, on pense aux technologies et aux infrastructures. Pourquoi oublie-t-on que l’utilisateur joue un rôle dans 90 % des attaques et des escroqueries ? Nous sommes spécialisés en formation cybersécurité en entreprise et prévention des fraudes.

Pour plus d’informations, visitez notre section Formations.