par Quand on parle de cybersécurité, on pense spontanément à l’attaquant extérieur : le pirate, le rançongiciel, l’hameçonnage. Les budgets suivent cette intuition. On renforce les pare-feu, on filtre la messagerie, on sensibilise les utilisateurs. Tout cela est nécessaire. Mais un angle mort subsiste dans la plupart des organisations : les comptes qui ont déjà tous les droits.
Le piratage de Binance, le 29 octobre 2026, en donne une démonstration spectaculaire. Environ 6,3 milliards de dollars ont quitté les portefeuilles de la plateforme en quelques heures, le plus gros vol jamais enregistré dans le secteur des cryptoactifs. Le rapport publié par Binance le 3 novembre montre que l’attaque n’a forcé aucune porte. Elle a emprunté des clés.
1. Ce qui s’est passé chez Binance
Les premières annonces évoquaient l’ordinateur portable compromis d’un ingénieur. Le rapport post-incident décrit une opération beaucoup plus longue, qui a visé trois ingénieurs sur cinq mois.
| Date | Étape | Ce que cela révèle |
| Juin 2026 | Un ingénieur DevOps installe une version piégée d’un gestionnaire de logiciels en cherchant un outil d’IA pour développeurs. Son poste est remplacé et ses identifiants changés. | L’incident est traité, mais les attaquants ont déjà appris son rôle et le nom de ses collègues. |
| Septembre 2026 | Un autre ingénieur, contacté sur un site d’emploi, passe de faux entretiens puis télécharge un « test technique » sur son ordinateur professionnel. | Le code contient un logiciel malveillant inconnu, que la protection des postes ne détecte pas. |
| 20 octobre 2026 | Depuis ce poste, et à l’aide d’un outil interne d’IA, les attaquants prennent le contrôle des postes de deux autres ingénieurs. | Sur l’un d’eux se trouve un jeton permettant de déployer des conteneurs. |
| 29 octobre 2026 | Avec ces identifiants, ils déploient un conteneur qui atteint le service interne de signature des portefeuilles. Les retraits sont signés par les systèmes de Binance. | Environ 6,3 milliards de dollars sortis, sans qu’aucune clé privée n’ait été volée. |
| 1er novembre 2026 | Reprise progressive des retraits. Binance annonce avoir reconstitué 98 % des actifs ; près de 3 milliards de dollars ont été gelés avec l’aide des émetteurs de stablecoins. | Le FBI attribue l’attaque au groupe nord-coréen TraderTraitor. |
Changpeng Zhao, cofondateur de Binance, l’a résumé ainsi : « aucune plateforme n’est impossible à pirater, mais cela ne peut pas être une excuse ». La phrase vaut pour toute organisation qui gère des fonds ou des données sensibles.
2. Qu’est-ce qu’un accès à privilèges ?
Un accès à privilèges est un accès qui permet d’agir au-delà de l’usage normal d’un système. Ce sont notamment :
- les comptes d’administration des serveurs, des bases de données et des équipements réseau ;
- les comptes des prestataires qui assurent la maintenance à distance ;
- les comptes techniques utilisés par les applications pour communiquer entre elles ;
- les comptes d’urgence, prévus pour les situations exceptionnelles et souvent oubliés le reste du temps ;
- les jetons et clés d’accès qui permettent de déployer, de signer ou d’automatiser, et qui se retrouvent souvent sur les postes des développeurs ;
- les outils internes d’automatisation, y compris les assistants d’IA, lorsqu’ils peuvent agir sur d’autres systèmes.
Ces accès peuvent lire n’importe quelle donnée, modifier des paramètres, créer ou supprimer des utilisateurs et, dans bien des cas, désactiver les journaux qui permettraient de reconstituer ce qui s’est passé. Les deux derniers sont les plus récents et les moins inventoriés. Chez Binance, ce sont eux qui ont fait la différence.
3. Pourquoi c’est la menace que l’on regarde le moins
Plusieurs raisons expliquent cet angle mort.
La confiance. Les administrateurs sont des personnes de confiance, souvent anciennes dans la maison. Proposer de tracer leurs actions peut être perçu comme une marque de défiance, et peu de responsables veulent ouvrir ce débat.
L’habitude. Les comptes partagés, comme un compte « admin » utilisé par toute l’équipe, sont pratiques. Ils survivent aux départs, aux réorganisations et aux audits. Il en va de même d’un jeton copié sur un ordinateur portable pour gagner du temps.
L’invisibilité. Un abus de privilèges ne déclenche aucune alerte s’il n’existe aucun dispositif pour le détecter. L’absence d’incident connu est alors interprétée, à tort, comme l’absence de risque.
4. Les trois visages de la menace interne
| Forme | Exemple | Conséquence typique |
| Malveillance | Un agent ou un prestataire qui détourne des données ou modifie des opérations | Fraude, fuite de données, atteinte à la réputation |
| Erreur | Une commande exécutée sur le mauvais serveur, une suppression accidentelle | Interruption de service, perte de données |
| Usurpation | Un attaquant qui vole les identifiants ou les jetons d’un administrateur, comme chez Binance | L’attaquant agit avec tous les droits, sans éveiller de soupçon |
La troisième forme est la plus fréquente dans les attaques graves, et le cas Binance en est l’illustration parfaite. Aucun employé n’était malveillant, et pourtant ce sont des accès internes qui ont servi au vol. C’est pourquoi la gestion des accès à privilèges est autant une protection contre l’extérieur que contre l’intérieur.
5. Ce qu’apporte une solution de gestion des accès à privilèges
Une solution de gestion des accès à privilèges, souvent désignée par l’acronyme anglais PAM (Privileged Access Management), place un point de passage obligé entre les utilisateurs et les systèmes sensibles. Concrètement, elle permet :
- de stocker les mots de passe et les secrets des comptes sensibles dans un coffre, sans que les administrateurs aient à les connaître, plutôt que sur leurs postes ;
- de renouveler automatiquement ces mots de passe après chaque usage ou à intervalle régulier ;
- d’autoriser l’accès selon des règles précises : qui, sur quel système, à quel moment, avec quelle validation ;
- d’enregistrer les sessions, pour pouvoir reconstituer ce qui a été fait en cas d’incident ou d’audit ;
- d’encadrer les prestataires, avec des accès limités dans le temps plutôt que des connexions ouvertes en permanence.
Appliqués au cas Binance, ces principes auraient changé la donne : un jeton de déploiement conservé dans un coffre et accordé pour une tâche précise ne se trouve pas sur un ordinateur portable le jour où celui-ci est compromis.
6. Au-delà des comptes : protéger le poste de celui qui administre
Le cas Binance montre qu’un coffre-fort ne suffit pas si le poste qui l’ouvre est compromis. Quatre mesures complètent la gestion des accès à privilèges.
- Séparer le poste d’administration du poste bureautique. Un poste dédié à l’administration, sans messagerie ni navigation, réduit fortement la surface d’attaque.
- Exiger une authentification forte sur tous les accès d’administration, de préférence par clé matérielle, et supprimer les privilèges permanents au profit de droits accordés pour une tâche et une durée précises.
- Interdire l’exécution de code reçu de l’extérieur sur un poste professionnel. Les faux recruteurs et les faux tests techniques sont désormais une méthode d’attaque établie ; tout code inconnu s’ouvre dans un environnement isolé et jetable.
- Cloisonner développement, test et production, et considérer qu’une transaction techniquement valide n’est pas forcément légitime : plafonds, doubles validations et alertes sur les volumes anormaux sont la dernière barrière quand tout le reste a cédé.
7. Retour d’expérience
J’ai piloté le déploiement d’une solution de gestion des accès à privilèges dans une institution financière, et j’ai suivi et réussi la certification professionnelle de l’éditeur retenu. Plusieurs leçons se dégagent.
L’inventaire est le vrai projet. Avant d’installer quoi que ce soit, il faut recenser tous les comptes à privilèges. Cet inventaire révèle presque toujours des comptes dont personne ne connaît plus l’usage exact, des comptes techniques aux mots de passe jamais changés, et des accès de prestataires dont le contrat est terminé.
La communication conditionne l’adhésion. Les administrateurs doivent comprendre que la traçabilité les protège aussi. En cas d’incident, un enregistrement de session permet de démontrer ce qui a été fait, et surtout ce qui ne l’a pas été. Présentée ainsi, la mesure est beaucoup mieux acceptée. Il faut toutefois s’attendre à des résistances. Les premiers jours, certains administrateurs et prestataires habitués à se connecter directement par bureau à distance m’ont affirmé que la solution « ne marchait pas ». Les journaux de connexion montraient une autre réalité. La règle a été maintenue, et l’usage s’est installé.
Il faut avancer par étapes. Commencer par les systèmes les plus critiques et les accès des prestataires, puis étendre progressivement. Vouloir tout couvrir dès le premier jour bloque l’exploitation et nourrit les résistances.
8. Par où commencer, même sans budget
Une solution dédiée est l’objectif, mais plusieurs mesures peuvent être prises immédiatement :
- dresser la liste des comptes à privilèges et de leurs détenteurs ;
- recenser les jetons, clés d’accès et mots de passe présents sur les postes des administrateurs et des développeurs, et les retirer ;
- supprimer les comptes partagés ou, à défaut, en changer le mot de passe à chaque départ ;
- désactiver les comptes des prestataires en dehors des interventions planifiées ;
- activer l’authentification à plusieurs facteurs sur les accès d’administration ;
- diffuser une consigne claire : aucun code reçu de l’extérieur ne s’exécute sur un poste professionnel ;
- organiser une revue trimestrielle des droits, signée par les responsables métiers.
Conclusion
Les accès à privilèges sont les clés de la maison. On peut construire les murs les plus solides : si les clés circulent sans contrôle, la protection reste fragile. Binance l’a appris au prix de 6,3 milliards de dollars, après une attaque qui a passé cinq mois sur les personnes et quelques heures sur les systèmes.
Maîtriser ces accès n’est pas un acte de défiance envers les équipes. C’est la condition pour que la confiance qu’on leur accorde puisse être démontrée, à l’auditeur, au régulateur et aux partenaires. Les institutions de notre région ont un avantage : elles peuvent tirer les enseignements de cet incident avant d’en vivre un.
Sources : rapport post-incident de Binance (3 novembre 2026) via Help Net Security, TRM Labs, The Hacker News, TechCrunch, FBI via Associated Press — informations arrêtées au 6 novembre 2026
