Les accès que personne n'a révisés : prestataires, accès à distance et applications connectées

Un intégrateur a eu besoin d'un compte administrateur pour la migration du logiciel de gestion, il y a trois ans. Le prestataire TI a installé un outil de prise en main à distance « pour le soutien ». Une représentante a connecté un assistant de clavardage au CRM, en acceptant d'un clic les autorisations demandées. Chaque fois, le besoin était réel et l'accès légitime. Chaque fois, personne n'a fixé de date de fin.

Notre position : votre accès fournisseur le plus risqué a probablement été accordé en un clic, et personne ne l'a revu depuis. Il ne figure ni dans la revue des comptes, ni dans le questionnaire de sécurité du fournisseur, ni dans l'inventaire de ce que vous exposez. Il passe entre les trois.

Ce que l'incident Salesloft Drift a montré

Drift est un assistant de clavardage pour les sites web, édité par Salesloft. Pour faire son travail, il se connecte au CRM Salesforce de ses clients par un jeton OAuth : une autorisation durable, accordée une fois, qui permet à l'application de lire et d'écrire dans le CRM sans redemander de mot de passe.

• Du 8 au 18 août 2025 au moins, un acteur que Google suit sous le nom UNC6395 a utilisé des jetons OAuth volés de l'application Drift pour exporter de grands volumes de données depuis de nombreuses instances Salesforce : dossiers de soutien, comptes, utilisateurs, occasions de vente. Il a ensuite fouillé ces données à la recherche de clés d'accès AWS, de mots de passe et de jetons Snowflake. Statut : confirmé par le Google Threat Intelligence Group, dans son avis du 26 août 2025.
• Des jetons de l'intégration « Drift Email » ont aussi servi, le 9 août, à lire les courriels d'un très petit nombre de comptes Google Workspace reliés à Drift. Statut : confirmé par Google.
• Le 20 août, Salesloft et Salesforce ont révoqué tous les jetons actifs de l'application. Statut : confirmé.
• Plus de 700 organisations étaient potentiellement touchées, selon le Google Threat Intelligence Group cité par The Hacker News. Statut : rapporté.
• À l'origine : un accès au compte GitHub de Salesloft de mars à juin 2025, puis à l'environnement AWS de Drift, d'où les jetons ont été tirés, selon la mise à jour de Salesloft du 6 septembre 2025 après l'enquête de Mandiant. Statut : confirmé par l'entreprise, rapporté par The Register.

Ce que ça change : les organisations touchées n'ont pas été piratées au sens habituel. Aucun mot de passe d'employé volé, aucune authentification multifacteur contournée. Le jeton était valide : il avait été accordé, parfois longtemps avant, souvent avec des droits larges, et il fonctionnait exactement comme prévu, pour quelqu'un d'autre. Le Google Threat Intelligence Group précise d'ailleurs que l'incident ne vient pas d'une faille de la plateforme Salesforce. Et ce que le CRM contenait de plus précieux pour l'attaquant n'était pas la liste des clients : c'étaient les mots de passe et les clés collés dans des dossiers de soutien, qui ouvraient d'autres portes.

Trois familles d'accès qui vieillissent mal

Les comptes de prestataires. Le compte créé pour l'intégrateur, le consultant, l'ancien prestataire TI. Souvent partagé entre plusieurs personnes du fournisseur, parfois administrateur, rarement désactivé quand le projet se termine. La fin du contrat met fin à la facturation, pas à l'accès.

Les accès à distance. Comptes VPN, outils de prise en main à distance, agents de gestion installés sur les postes et les serveurs par un prestataire. La CISA, avec la NSA, le FBI et leurs partenaires, a consacré un guide entier à ces outils : ils donnent souvent des droits élevés, ils sont légitimes, donc rarement bloqués par les outils de sécurité, et les attaquants les détournent pour entrer et rester. Un outil installé par un ancien prestataire est une porte dont vous n'avez plus la clé.

Les applications connectées. Le connecteur entre votre messagerie et un outil de signature, entre votre CRM et un assistant, entre vos fichiers et un service de numérisation. Un jeton OAuth ne repasse pas par l'authentification multifacteur à chaque usage, et il survit souvent à un changement de mot de passe : il faut le révoquer explicitement. Nous avons traité le cas particulier des assistants IA grand public et de leurs connecteurs dans l'épisode du 29 octobre de notre série IA.

Le point commun des trois : une date de création, presque jamais une date de fin, et rarement un propriétaire chez vous.

Pourquoi personne ne les revoit

Chaque revue existante regarde ailleurs.

• La revue des comptes porte sur les employés, à partir de la liste de paie. Le compte du prestataire n'y figure pas, l'application connectée encore moins.
• Le questionnaire de sécurité fournisseur demande au fournisseur comment il protège ses systèmes. Il ne demande pas quels accès vous lui avez donnés chez vous, ni ce que vaut un jeton s'il est volé chez lui. C'est exactement ce qui s'est joué avec Drift.
• L'inventaire de l'exposition liste ce qui est joignable d'Internet. Un jeton OAuth ne l'est pas : il vit dans la plateforme SaaS, pas sur votre périmètre.

Résultat : l'accès relève à la fois de la TI, des achats et du service qui l'a demandé, donc de personne. Le jour où le fournisseur est compromis, on découvre qu'on ne sait ni quels accès il avait, ni qui peut les couper.

La règle des trois champs

Un accès accordé à un tiers, qu'il s'agisse d'un compte, d'un accès à distance ou d'une application connectée, ne devrait exister qu'avec trois champs remplis :

1. Un propriétaire chez vous, nommé, qui répond de cet accès et peut le couper.
2. Un besoin et une portée : pourquoi cet accès existe et ce qu'il permet de lire ou de modifier. « Accès complet » n'est pas une portée.
3. Une date de fin, ou à défaut une date de revue. Un accès sans échéance se renouvelle en silence, indéfiniment.

Ajoutez une ligne à votre procédure de fin de contrat : la fin d'une relation avec un fournisseur déclenche la révocation de ses comptes, de ses accès à distance et de ses applications connectées, avec une date. Le NIST Cybersecurity Framework 2.0 en fait une attente explicite : les plans de gestion du risque de la chaîne d'approvisionnement prévoient ce qui se passe après la fin d'un partenariat ou d'un contrat de service (GV.SC-10).

Le test de la fin de semaine : trente minutes, trois listes

Prenez la personne qui administre votre messagerie et votre CRM.

1. Les applications connectées. Dans Microsoft Entra ID, la liste des applications d'entreprise et des autorisations accordées ; dans Google Workspace, la page des contrôles des API, qui liste les applications tierces ayant accès aux données. Repérez celles qui lisent les courriels, les fichiers ou le calendrier.
2. Les accès à distance. Listez les comptes VPN et les outils de prise en main à distance utilisés par des tiers, avec la date de dernière utilisation de chacun.
3. Votre SaaS le plus critique. Ouvrez la liste des applications connectées de votre CRM ou de votre logiciel de gestion, et notez pour chacune la date d'autorisation et les droits accordés.

Trois résultats doivent vous alerter. Une application qui lit les courriels ou les fichiers et que personne ne reconnaît : c'est un accès permanent sans propriétaire. Un compte ou un accès à distance encore actif chez un fournisseur dont le contrat est terminé : votre procédure de fin de contrat s'arrête à la facture. Une application connectée avec un accès complet, autorisée il y a plus d'un an : personne ne sait plus ce qu'elle fait, ni ce que donnerait son jeton entre d'autres mains.

Ce test ne voit que les accès qui passent par vos consoles. Les comptes créés directement dans une application métier par un fournisseur lui échappent : c'est un plancher, pas un plafond.

Ce que vous devriez avoir dans une semaine

Une page : chaque accès accordé à un tiers, avec son propriétaire, son besoin, sa portée et sa date de fin. Les accès sans propriétaire sont coupés ou attribués. Et une ligne de plus dans la procédure de fin de contrat. C'est un travail d'une demi-journée, à refaire chaque trimestre pour les fournisseurs critiques.

Le vocabulaire est dans notre fiche sur la gestion du risque tiers.

Sources : Google Threat Intelligence Group, Widespread Data Theft Targets Salesforce Instances via Salesloft Drift (26 août 2025, mis à jour le 28 août) · The Hacker News, plus de 700 organisations potentiellement touchées · The Register, l'entrée par le compte GitHub de Salesloft (8 septembre 2025) · CISA, Guide to Securing Remote Access Software · Microsoft Learn, examiner les autorisations accordées aux applications d'entreprise · Google Workspace, contrôler l'accès des applications tierces aux données · NIST, Cybersecurity Framework 2.0 (CSWP 29)