KillSwitch : quand la cybersécurité arrête d'être abstraite

Il y a un moment précis dans chaque formation que j'anime. Le moment où quelqu'un dans la salle réalise que ce dont je parle le concerne vraiment. Pas "les entreprises en général". Lui. Son réseau. Ses données.

Avant, j'attendais ce moment. Maintenant, je le provoque dès les premières minutes.

Le problème avec la sensibilisation classique

Parler de cyberattaques à un dirigeant de PME ou à un responsable administratif, c'est souvent parler dans le vide. Les statistiques glissent. Les schémas n'accrochent pas. Et les exemples de grandes entreprises attaquées ne font que renforcer une conviction tenace : "Nous, on est trop petits pour intéresser des hackers."

C'est faux. Et le prouver demande plus qu'un slide.

Le vrai problème, c'est que personne ne visualise concrètement comment une cyberattaque se déroule. On imagine un événement soudain, une intrusion brutale, un écran qui devient rouge. La réalité est bien différente. Une attaque, c'est un processus. Méthodique, patient, souvent invisible pendant des semaines. Et c'est précisément cette incompréhension qui rend la prévention abstraite et la réaction tardive.

Cinq phases, une réalité

Une cyberattaque suit presque toujours le même schéma en cinq phases.

La reconnaissance d'abord. Avant de toucher quoi que ce soit, l'attaquant observe. Il collecte des informations publiquement accessibles : votre site web, vos profils LinkedIn, vos offres d'emploi, les adresses email de vos collaborateurs. Aucune intrusion, aucune trace. Du renseignement pur.

Vient ensuite l'accès initial. Avec ces informations, il cherche une porte d'entrée. Un email de phishing soigneusement conçu. Un VPN non patché depuis six mois. Un mot de passe recyclé depuis une fuite de données LinkedIn de 2021. Une seule porte mal fermée suffit.

Une fois à l'intérieur, il ne frappe pas immédiatement. Il se déplace latéralement, de machine en machine, cherche à élever ses privilèges, cartographie le réseau. Cette phase peut durer des semaines. C'est là que tout se joue — et que la plupart des entreprises n'ont aucune visibilité.

L'exploitation arrive ensuite. Le ransomware se déploie. Les fichiers sont chiffrés. Les sauvegardes réseau détruites. En quelques heures, l'entreprise est paralysée.

Enfin, l'exfiltration. Souvent réalisée avant même le chiffrement, en silence. Les données clients, les bilans, les contrats — copiés vers un serveur externe. Ce qui suit s'appelle la double extorsion : payez, ou nous publions tout.

Ce que KillSwitch change

J'ai construit KillSwitch pour rendre ces cinq phases visibles, concrètes, impossibles à ignorer.

C'est un dashboard interactif qui anime ce processus en temps réel. Avant de commencer, je saisis le nom et le domaine de l'entreprise en face de moi. À partir de là, tout ce que l'outil affiche est personnalisé : les commandes, les résultats, les données simulées.

Quand les participants voient theHarvester remonter les adresses email de leurs collègues à partir de leur propre domaine, le silence change de nature. Ce n'est plus de la théorie.

Chacune des cinq phases contient trois points d'intérêt cliquables. Chaque point ouvre une explication concrète, un exemple ancré dans la réalité d'une PME, et une recommandation actionnable sans budget important. Et pour aller plus loin, un bouton lance une simulation technique : les vrais outils utilisés par les attaquants — nmap, BloodHound, evil-winrm, credmap — s'exécutent en simulation sur le domaine de l'entreprise, avec un output typewriter ligne par ligne.

Ce n'est pas de la magie. Ce sont les méthodes réelles, rendues lisibles.

Conçu pour l'animateur, pas pour l'écran

KillSwitch n'est pas un outil en libre-service. C'est un support de présentation. Chaque simulation gagne à être commentée — c'est là qu'intervient le rôle de l'animateur, pour traduire ce que l'outil montre en enjeux compréhensibles et en actions concrètes.

Le résultat, c'est une salle qui ne repart pas avec des slides oubliés dans une boîte mail. Elle repart avec une image mentale précise de comment une attaque progresse, et surtout avec des réponses à la question qui compte vraiment : qu'est-ce que je fais dès demain ?

Accessible maintenant

KillSwitch est disponible à l'adresse killswitch.beforensic.be. Vous pouvez l'explorer librement — mais si vous voulez en tirer le meilleur, contactez-moi pour organiser une session animée, en présentiel ou à distance.

La prévention, c'est toujours moins cher que la réparation.