MSP : la cible invisible qui expose toutes vos données

Votre entreprise n'a pas été piratée directement. C'est votre prestataire informatique qui a été compromis. Et maintenant, ses 200 clients sont tous exposés simultanément. Ce scénario n'est plus une hypothèse : c'est le modèle d'attaque dominant de 2026.

Le MSP : un point d'entrée unique vers des centaines de réseaux

Un MSP — Managed Service Provider, ou prestataire de services managés — est l'entreprise à qui vous déléguez tout ou partie de la gestion de votre infrastructure informatique. Supervision des serveurs, administration des postes de travail, gestion des sauvegardes, déploiement des patches, helpdesk : le MSP dispose d'un accès permanent et étendu à vos systèmes, souvent avec des droits administrateurs locaux ou de domaine. Ce niveau d'accès est nécessaire pour qu'il puisse faire son travail. C'est aussi exactement ce qui le rend si attrayant comme cible.

Du point de vue d'un attaquant, compromettre un MSP n'est pas une fin en soi : c'est l'accès au portefeuille. Un MSP de taille moyenne gère 50 à 300 clients. Un MSP régional spécialisé dans les collectivités territoriales peut avoir accès aux systèmes d'information de dizaines de communes, d'hôpitaux ou d'établissements publics. La valeur de la compromission d'un seul serveur de supervision se multiplie par le nombre de clients managés — c'est le levier d'attaque en cascade.

Les outils qu'utilisent les MSP — les plateformes RMM (Remote Monitoring and Management) — sont devenus des cibles prioritaires. N-able N-central, Kaseya VSA, ConnectWise Automate, Datto RMM : ces solutions gèrent des millions d'endpoints chez des milliers de prestataires dans le monde, et constituent une surface d'attaque d'une densité remarquable. Compromettre la plateforme RMM, c'est compromettre le tableau de bord depuis lequel le technicien administre tous ses clients — sans avoir à pénétrer chaque réseau client individuellement.

En août 2026, CVE-2026-18577 dans N-able N-central illustre parfaitement ce mécanisme. Un bypass d'authentification CVSS 8.2 permet d'obtenir des droits admin sur le serveur N-central, d'utiliser la fonctionnalité Take Control pour se connecter aux endpoints de n'importe quel client du MSP, et de déployer des tunnels cloudflared pour maintenir une persistance indétectable. Une vulnérabilité dans un seul outil, et des centaines de systèmes clients sont à portée.

L'histoire se répète : Kaseya, SolarWinds, et maintenant N-central

L'attaque MSP par la chaîne logistique IT n'est pas un phénomène nouveau. Elle est devenue une stratégie établie, affinée méthodiquement depuis 2019, avec un taux de succès qui pousse les groupes cybercriminels et les acteurs étatiques à continuer à l'employer.

En mai 2019, le groupe REvil commence à cibler les MSP via leurs outils RMM. La technique : compromettre le compte d'accès du MSP sur des plateformes comme Webroot, LogMeIn ou Kaseya VSA, puis utiliser ces accès légitimes pour déployer des ransomwares sur les endpoints clients. Plusieurs dizaines de MSP américains sont touchés en quelques semaines, entraînant des centaines de PME victimes d'un chiffrement simultané.

En décembre 2020, la compromission de SolarWinds Orion marque un tournant : des acteurs attribués au SVR russe (Cozy Bear/APT29) insèrent la backdoor SUNBURST directement dans la chaîne de build de SolarWinds. 18 000 organisations téléchargent la mise à jour malveillante, dont des agences gouvernementales américaines et des dizaines de MSP qui supervisent les réseaux de leurs clients avec cet outil.

En juillet 2021, REvil frappe via Kaseya VSA. Un zero-day dans le portail web déploie un ransomware sur l'ensemble des endpoints managés par les MSP utilisant Kaseya. En quelques heures : 1 500 entreprises dans 17 pays chiffrées, une rançon de 70 millions de dollars demandée. L'attaque exploitait le prestataire comme vecteur de distribution massif — sans avoir à cibler chaque victime individuellement.

Cinq ans après Kaseya, le vecteur MSP reste aussi efficace. Les techniques évoluent : CVEs dans les RMM, abus de fonctionnalités légitimes (Take Control, scripts supervisés), persistance via tunnels Cloudflare et Living Off The Land Binaries. La sophistication croissante allonge la durée de présence non détectée et complique la réponse à incident.

Pourquoi les PME sont les plus exposées

Les grandes entreprises disposent d'équipes sécurité internes, d'EDR sur tous les postes, de SOC qui surveillent 24h/24, et de contrats MSP avec des clauses sécurité contraignantes. Elles peuvent exiger des audits, des rapports d'accès, des journaux de toutes les connexions effectuées dans leur périmètre.

Les PME n'ont pas ces ressources. Elles font confiance à leur MSP parce qu'elles n'ont pas d'alternative crédible — elles n'ont ni le budget ni les compétences pour internaliser ces fonctions. Cette dépendance est légitime économiquement, mais elle crée une asymétrie d'information critique : la PME ne sait généralement pas quelle version de quel outil son MSP utilise, si ses RMM sont patchés, combien de techniciens ont accès à son infrastructure, ou si des connexions inhabituelles ont eu lieu cette nuit.

Dans une attaque MSP, la PME est souvent la dernière à l'apprendre. Le MSP découvre l'incident, évalue la situation, et communique selon un calendrier dicté par ses propres contraintes : crainte pour sa réputation, couverture d'assurance, évaluation juridique. Dans le cas Kaseya 2021, certains clients n'ont appris la compromission que plusieurs heures après que leurs systèmes étaient déjà entièrement chiffrés.

Les chiffres confirment cette vulnérabilité structurelle. Selon Coveware, les MSP sont impliqués dans 15 à 20% des incidents de ransomware touchant des PME, soit comme vecteur d'entrée direct, soit comme pivot d'accès latéral. Le rapport Verizon DBIR 2025 identifie les partenaires de la chaîne logistique avec accès privilégié comme le deuxième vecteur d'intrusion le plus fréquent dans les incidents PME, derrière le phishing. La tendance est à la hausse.

Ce que vous devez exiger de votre MSP — sans attendre

La relation MSP-client ne devrait pas être une relation de confiance aveugle : c'est une relation contractuelle qui doit inclure des obligations de sécurité explicites et mesurables.

La transparence sur les outils utilisés. Votre MSP doit pouvoir vous indiquer quelles solutions RMM sont déployées dans votre périmètre, quelles versions sont en production, et quel est son SLA de patching des vulnérabilités critiques. Si la réponse est floue, c'est insuffisant.

Un journal d'accès sur demande. Vous devez pouvoir obtenir la liste des connexions effectuées par le MSP dans votre infrastructure sur les 30 derniers jours : qui s'est connecté, depuis quelle IP, à quelle heure, sur quel système. Un MSP incapable de fournir ce journal n'a pas de supervision correcte de ses propres accès.

Des notifications d'incident dans les 24 heures. Tout incident affectant les outils du MSP doit vous être notifié dans les 24h, que l'impact sur votre périmètre soit avéré ou non. Un MSP qui attend d'avoir tout compris avant de prévenir ses clients vous expose à des délais inacceptables.

Un audit de sécurité externe annuel. Exigez qu'un tiers indépendant audite les outils de gestion à distance du MSP, ses pratiques d'authentification (MFA obligatoire sur tous les comptes admin) et sa segmentation réseau. Demandez à voir les conclusions — pas une simple attestation de réalisation.

Des clauses de responsabilité contractuelle claires. Si la compromission du MSP conduit à un incident dans votre périmètre, qui prend en charge les coûts de réponse à incident, la notification RGPD, l'éventuelle amende CNIL ? Ces questions se tranchent avant l'incident, pas après. Un MSP qui refuse ces clauses vous dit quelque chose d'important sur sa priorité accordée à votre protection.

Les signaux d'alerte d'un MSP insuffisamment sécurisé

Comment détecter, avant un incident, que votre MSP présente des lacunes critiques ? Voici les signaux que j'observe le plus fréquemment dans mes missions d'audit.

Absence de MFA sur les accès à votre périmètre. Si les techniciens MSP se connectent à vos serveurs avec un simple mot de passe sans second facteur, vous êtes exposé à toute compromission de compte — phishing, credential stuffing, fuite d'identifiants. Le MFA sur les accès privilégiés n'est plus une option en 2026.

Comptes de service partagés. Quand tous les techniciens utilisent le même compte générique, vous perdez toute traçabilité individuelle. En cas d'incident, impossible de déterminer qui a fait quoi. Les MSP sérieux utilisent des comptes nominatifs avec droits au strict minimum nécessaire.

Absence de segmentation entre clients. Un MSP gérant son infrastructure de supervision dans un réseau plat, sans isolation entre clients, est un risque systémique pour tout le portefeuille. Si un client est compromis et que l'attaquant pivote dans l'infra MSP, il peut potentiellement atteindre tous les autres clients.

Non-réactivité face aux CVEs critiques dans les RMM. Un MSP qui met plus de 72 heures à patcher une vulnérabilité critique dans ses outils de gestion à distance expose l'ensemble de ses clients pendant cette fenêtre. Demandez son SLA de patching. S'il n'en a pas formalisé, c'est un signal d'alerte.

Ce qui change avec la directive NIS2

La directive NIS2, transposée en droit français depuis début 2025, inclut explicitement les MSP dans son périmètre en tant que « fournisseurs de services gérés ». Ils sont soumis à des exigences de sécurité propres, indépendamment du statut NIS2 de leurs clients.

Concrètement, les MSP doivent désormais : notifier leurs incidents à l'ANSSI dans les délais réglementaires (alerte initiale 24h, rapport intermédiaire 72h) ; mettre en place des mesures de gestion des risques documentées ; réaliser des tests de sécurité réguliers sur leurs systèmes de gestion ; assurer la traçabilité des accès effectués chez leurs clients.

Pour les clients des MSP, NIS2 crée un levier contractuel nouveau : vous pouvez exiger que votre prestataire démontre sa conformité NIS2 dans le cadre de votre relation contractuelle. Les entreprises soumises à NIS2 doivent d'ailleurs s'assurer que leurs prestataires respectent eux-mêmes les exigences de la directive — la responsabilité remonte dans la chaîne.

En pratique, NIS2 n'a pas encore transformé les comportements de fond dans la majorité des MSP français de taille intermédiaire. Beaucoup attendent une application plus stricte ou un premier dossier de sanction spectaculaire avant d'investir sérieusement dans leur propre sécurité. L'ANSSI a annoncé que les contrôles allaient s'intensifier en 2026. Les MSP qui n'ont pas commencé leur mise en conformité jouent avec le feu — et avec la confiance de leurs clients.

Conclusion

Les attaques par les MSP sont structurellement efficaces parce qu'elles exploitent la confiance, la délégation et les économies d'échelle qui rendent le modèle MSP attractif en premier lieu. Tant que les prestataires de services managés resteront des cibles de haute valeur sans contraintes contractuelles de sécurité robustes, les groupes cybercriminels et les acteurs étatiques continueront à les cibler en priorité.

La réponse n'est pas d'abandonner le modèle MSP : c'est d'en recadrer les termes. Un prestataire de confiance accepte d'être audité, notifie proactivement ses incidents, documente ses accès et se soumet à des exigences sécurité mesurables. Un prestataire qui refuse ces conditions vous transmet une information utile sur la priorité qu'il accorde à votre protection.

Dans les prochains mois, à mesure que NIS2 sera appliqué plus strictement et que les cyberassureurs intégreront la posture sécurité des MSP dans leurs critères de souscription, le marché va se segmenter. En attendant, c'est à vous de poser les bonnes questions — et d'exiger des réponses documentées, pas des promesses verbales.