« On a ouvert le bureau à distance, comme ça on travaille de la maison. » Dans le Bassin Genevois, c'est encore une phrase fréquente. Un port 3389 (RDP, le protocole de bureau à distance Windows) exposé sur la box, un mot de passe admin trop court, parfois le même depuis l'installation. Les robots scannent Internet en continu. Ils n'ont pas besoin de vous connaître. Ils ont besoin d'une porte.
Ce n'est pas un cours d'attaque. C'est un constat d'audit. Un RDP nu sur Internet n'est pas du télétravail. C'est une invitation. Le durcissement commence souvent par fermer cette porte, avant d'acheter le moindre EDR.
Pourquoi « ça marchait » n'est pas un argument
Ça marchait parce que personne n'était encore passé, ou parce que les tentatives restaient dans les journaux que personne ne lit. Un compte administrateur avec un mot de passe faible finit par céder. Ensuite l'attaquant a un bureau Windows, souvent avec des droits trop larges, et il voit le reste du réseau comme s'il était dans vos locaux.
Les variantes que nous croisons :
- RDP sur l'IP publique, sans VPN, « le temps du confinement », jamais refermé.
- Un outil du type AnyDesk / TeamViewer en accès permanent, mot de passe affiché au mur, sans liste blanche.
- Un NAS dont l'interface d'admin est joignable depuis le web « pour dépanner ».
- Un firewall dont les règles ont été posées par le cousin, sans documentation.
Le dirigeant voulait de la souplesse. Il a acheté du risque. Le profil technique le savait parfois, et n'osait pas couper « parce que le gérant se connecte le dimanche ». On pose alors un accès propre, pas une interdiction brutale du télétravail.
Ce que l'on met à la place
Le télétravail légitime passe par :
- Un VPN (ou une passerelle d'accès) : on s'authentifie, puis on atteint le bureau, pas l'inverse.
- Des comptes nominatifs et, dès que c'est possible, une double authentification.
- Pas d'admin au quotidien. Le compte qui ouvre le mail n'est pas celui qui installe les logiciels.
- Une prise en main infogérée (chez nous, Splashtop dans le contrat) pour le support, plutôt qu'un RDP grand ouvert.
L'EDR et l'antivirus aident après une session ouverte. Ils ne remplacent pas la fermeture du port. Les sauvegardes hors ligne restent le filet si quelqu'un est déjà entré.
Nous ne publions pas de recette pour scanner ou forcer un RDP. Nous disons : si votre IP répond sur 3389 depuis un café Wi-Fi, changez ça cette semaine, pas « au prochain comité ».
Dirigeant : comment vérifier sans être ingénieur
Demandez à votre prestataire, ou à nous : « le bureau à distance est-il visible depuis Internet ? » La réponse doit être non, ou « oui, derrière un VPN nommé, avec tel compte ». « Oui, mais on a un mot de passe complexe » n'est pas une réponse acceptable. Les attaques par force brute et les fuites de mots de passe se moquent de votre sentiment de sécurité.
Si vous avez déjà un doute (lenteurs, sessions inconnues, fichiers chiffrés), passez par l'urgence. Hors contrat : 230 HT de l'heure. Dans un contrat d'infogérance dès 120 HT par mois, le sujet est traité à l'audit, pas le jour J.
Facturation EUR ou CHF, déplacements dans le Genevois. Le DNS et le firewall se voient souvent à distance. Le placard réseau, parfois sur site.
Comment nous procédons
Audit court : expositions (RDP, admin NAS, ports de prise en main), comptes, sauvegardes. Puis plan : fermer, remplacer par un VPN, durcir, superviser les échecs de connexion. Bitdefender et le helpdesk viennent ensuite, sur un parc dont la porte d'entrée n'est plus le salon du monde entier.
Nous avons vu des journaux de firewall avec des milliers de tentatives par jour sur le 3389, « parce que ça n'avait jamais posé problème ». Jusqu'à la session ouverte à 4 h du matin depuis un pays où vous n'avez aucun salarié. À ce stade, on ne discute plus de confort de télétravail. On isole, on change les comptes, on regarde les sauvegardes. Moins spectaculaire qu'un film. Plus fréquent qu'on ne le croit.
Si vous vous connectez encore « directement sur l'IP du bureau », dites-le-nous. Nous vous disons comment travailler de chez vous sans offrir le serveur au premier scan venu.