Ransomware 2025 : anatomie d'une attaque et rôle de l'EASM
Les groupes ransomware ont considérablement évolué. En 2025, ils opèrent comme des entreprises : équipes spécialisées, tooling professionnel, ciblage chirurgical. Mais leurs vecteurs d'entrée restent remarquablement constants — et détectables avec l'EASM.
Les 6 vecteurs d'entrée ransomware les plus fréquents en 2025
1. VPN vulnérables (32% des incidents)
Les VPN non mis à jour sont la première porte d'entrée des ransomwares. CVE-2024-24919 (Check Point), CVE-2023-46805 (Ivanti), CVE-2024-3400 (Palo Alto) : chaque année apporte son lot de CVE critiques sur les VPN.
Détection EASM : Scan automatique des versions VPN exposées et alerte sur les CVE critiques.
2. RDP exposé sur Internet (24% des incidents)
Le Remote Desktop Protocol exposé directement sur Internet est une invitation ouverte aux attaquants. Les attaques par force brute sur le port 3389 sont automatisées et permanentes.
Détection EASM : Détection de tout service RDP exposé sur Internet avec alerte critique immédiate.
3. Emails de phishing + credential stuffing (18% des incidents)
Combinant phishing sophistiqué et credentials volés dans des fuites de données, les attaquants obtiennent des accès légitimes sans exploit technique.
Détection EASM : Monitoring des credentials de votre organisation dans les bases de fuites.
4. Vulnérabilités dans les applications web exposées (14%)
Sites web, portails clients, applications métier exposés : les groupes ransomware scannent en continu pour trouver des CMS non mis à jour (WordPress, Drupal) ou des frameworks vulnérables.
Détection EASM : Scans hebdomadaires CVE Critical/High et OWASP Top 10 sur toutes les apps exposées.
5. Supply chain / fournisseurs compromis (8%)
Compromettre un prestataire IT ou un fournisseur de logiciel pour accéder à ses clients : la technique utilisée dans SolarWinds, Kaseya, MOVEit.
Détection EASM : Surveillance de la surface d'attaque de vos prestataires critiques.
6. Services cloud mal configurés (4%)
Buckets S3 ouverts, interfaces d'administration non protégées, APIs sans authentification : les erreurs de configuration cloud sont une mine d'or pour les ransomwares.
La timeline d'une attaque ransomware et où l'EASM intervient
J-30 : Reconnaissance (Shodan, crt.sh, OSINT)
|-> EASM détecte les mêmes choses que l'attaquant
J-20 : Achat d'accès initial (forums underground)
J-10 : Intrusion et persistance
|-> EASM détecte les nouvelles connexions suspectes
J0 : Déploiement ransomware + chiffrement
J+1 : Notification + demande de rançon
Objectif EASM : intervenir avant J-30
Conclusion
La grande majorité des ransomwares exploitent des actifs exposés mal connus ou mal surveillés. L'EASM donne aux équipes sécurité la visibilité nécessaire pour colmater ces brèches avant qu'elles soient exploitées.
Mots-clés : ransomware vecteurs entrée 2025, VPN vulnérable ransomware, RDP exposé cyberattaque, prévention ransomware EASM, ransomware supply chain