Les attaques par ransomware dans le secteur de la santé ont augmenté de 30 % en 2025. Pour les groupes de ransomware, Active Directory (AD) est une cible idéale. C’est le fondement de l’identité et de l’accès au sein du réseau. Si les attaquants parviennent à compromettre un contrôleur de domaine (DC), ils obtiennent une visibilité et un pouvoir considérables sur l’ensemble du système. Notre partenaire de la ZATAZ Community, Userlock, revient sur cette problématique.
Une fois dans AD, les attaquants peuvent exploiter cet accès pour se déplacer latéralement dans le réseau ou semer le chaos en chiffrant le DC.
Détecter ou stopper une telle compromission reste particulièrement difficile. AD ne dispose pas de capacités de surveillance intégrées, et les équipes de sécurité ne réalisent souvent qu’une intrusion a eu lieu que lorsqu’il est déjà trop tard pour agir.
Plusieurs groupes de ransomware de premier plan sont connus pour cibler spécifiquement AD, mais cela s’applique en réalité à la majorité des acteurs de ce type d’attaque. AD est une ressource réseau critique, et le sécuriser devrait constituer une priorité absolue pour toute organisation.
Ransomware et secteur de la santé
Face à cette dépendance, le secteur de la santé se trouve particulièrement vulnérable. Si AD tombe, les systèmes d’identité numérique et de gestion des soins aux patients tombent avec lui, paralysant totalement les opérations.
Dans le pire des cas, médecins et infirmiers peuvent perdre l’accès aux dossiers, aux résultats d’examens ou à la chaîne d’approvisionnement médicale pendant des jours, voire des semaines, les obligeant à revenir au papier.
La chaîne de compromission
Pour comprendre cette vulnérabilité, il faut examiner comment une attaque se déploie.
- Première étape : obtenir un accès initial, souvent en compromettant une interface publique comme un VPN, en utilisant des identifiants volés par hameçonnage sur un compte utilisateur, ou en exploitant une vulnérabilité dans un logiciel serveur couramment utilisé, comme SharePoint.
- Deuxième étape : effectuer une reconnaissance réseau à l’aide d’outils Windows standards pour cartographier l’environnement local.
Même les comptes utilisateurs non privilégiés disposent d’un accès en lecture à AD, ce qui permet aux attaquants de déployer des outils pour obtenir la liste des administrateurs de domaine et des comptes de service.
- Dernière étape : compromettre un compte privilégié, par exemple via des attaques par force brute sur les identifiants. Il arrive aussi qu’un administrateur se connecte à une machine compromise pour dépanner un problème, une action qui rend alors ses identifiants vulnérables à des outils de piratage en mémoire.
La première ligne de défense : l’authentification multifacteur (MFA)
La première ligne de défense d’AD consiste à s’assurer que les attaquants ne puissent pas franchir la sécurité périmétrique.
Pour établir un point d’ancrage, les groupes de ransomware exploitent les mêmes surfaces d’attaque que les autres pirates : identifiants faibles ou hameçonnés, interfaces publiques mal configurées (telles que VPN ou connexions RDP, ou serveurs IIS exposés).
La MFA pour Active Directory devrait être le minimum requis pour tous les identifiants. Personne ne devrait pouvoir s’authentifier sans utiliser une forme sécurisée de second facteur.
Combattre la « cécité » d’Active Directory
Il n’y a aucun mystère : les groupes de ransomware ciblent AD, précisément en raison de son rôle central dans la sécurité réseau. Pourtant, de nombreuses organisations échouent encore à le protéger correctement.
Une défense AD efficace repose sur plusieurs couches de sécurité :
- L’authentification MFA,
- Des contrôles d’accès contextuels,
- Une surveillance des comptes avec une granularité suffisante pour permettre aux administrateurs de définir des politiques avancées détectant les anomalies sans pénaliser les utilisateurs, et de réagir rapidement.
Cependant, mettre en œuvre de telles mesures dans des environnements sur site peut s’avérer complexe et contraignant.
L’éditeur français IS Decisions propose, avec UserLock, une approche visant à simplifier la protection d’AD : aucun besoin de migrer vers un nouveau fournisseur d’identité, la solution s’intègre directement aux politiques existantes d’AD. Il ajoute une couche de sécurité supplémentaire apportant la MFA et des politiques d’accès contextuelles.
Le plus important : UserLock offre aux organisations une visibilité en temps réel sur qui accède à AD, grâce à des alertes instantanées. Trop souvent, les victimes n’ont pas cette visibilité avant qu’il ne soit trop tard.
La leçon est simple : si les équipes de sécurité peuvent voir le problème, elles peuvent agir pour le résoudre.
