Imaginez ceci : un employé a un compte SharePoint tout à fait normal. Pas d'admin. Pas de privilèges exotiques. Quelques semaines plus tard, les fichiers sont chiffrés et une note de rançon apparaît. Ce n'est pas de la science-fiction — c'est le type de chaîne que les défenseurs redoutent autour des failles SharePoint on-premises activement exploitées en 2026.
Le scénario, étape par étape
- L'organisation a encore un serveur SharePoint accessible (parfois depuis Internet « juste pour faciliter »).
- L'attaquant obtient un compte membre (hameçonnage, mot de passe faible, ancien employé…).
- Il exploite une vulnérabilité pour exécuter du code sur le serveur.
- Il pose une porte dérobée, explore le réseau, casse les sauvegardes connectées.
- Il déploie un rançongiciel (parfois associé à des acteurs déjà connus pour ce mode opératoire).
Trois mauvaises hypothèses
- « On est dans le cloud » — si un vieux SharePoint traîne encore sur un serveur, vous êtes concerné.
- « Il faudrait un admin » — pour certaines failles, un membre de site suffit.
- « On a des sauvegardes » — si elles sont sur le même réseau, elles peuvent partir aussi.
Plan simple pour les 48 premières heures
- Isoler le serveur suspect du reste du réseau (sans tout détruire avant d'avoir des preuves).
- Appliquer les correctifs Microsoft / suivre l'alerte du CCCS sur SharePoint.
- Vérifier qu'une sauvegarde hors ligne existe et peut être restaurée.
- Révoquer sessions et mots de passe des comptes sensibles.
- Communiquer en interne avec des faits ; contacter assurances cyber / autorités si données personnelles sont en jeu.
Le point de bascule n'est souvent pas un « génie » du piratage. C'est un serveur collaboratif oublié, un patch reporté, et la conviction que « chez nous, ça n'arrivera pas ».