PCPJack rappelle une vérité désagréable : dans le cloud, un secret oublié vaut parfois plus qu’un serveur entier.
Ce qui frappe dans cette campagne, ce n’est pas seulement l’exploitation de plusieurs CVE ni la capacité de propagation façon ver. C’est la logique économique derrière l’attaque. L’attaquant ne cherche plus seulement une machine vulnérable. Il cherche le jeton, la clé, l’identifiant qui ouvre la porte suivante. Le serveur exposé devient un simple marchepied. La vraie cible, ce sont les droits qui y traînent, souvent laissés là par commodité, par urgence, ou parce que personne n’a osé toucher à une vieille intégration qui marche encore. Le grand classique de l’informatique d’entreprise : fragile, mais en production.
Pour un dirigeant, le sujet n’est donc pas une nouvelle alerte technique de plus dans le brouillard quotidien. PCPJack illustre un basculement : les secrets cloud sont devenus des actifs monnayables. Un accès volé peut permettre de scanner l’environnement, pivoter vers d’autres services, créer de nouvelles ressources, lire des données, modifier des configurations, parfois déposer d’autres charges. On ne parle plus d’un incident isolé, mais d’une compromission qui suit les chemins que l’entreprise a elle-même dessinés au fil des projets. Les attaquants adorent les architectures organiques. Elles ont souvent été conçues par comités successifs, budgets contraints et vendredis soir pressés.
Le paradoxe est là. Les entreprises investissent dans des pare-feu applicatifs, des sondes, des journaux, des tableaux de bord assez colorés pour illuminer une salle de crise. Mais un fichier de configuration avec une clé persistante, un rôle trop permissif ou un dépôt mal nettoyé peut suffire à rendre tout cela décoratif. Dans le cloud, la frontière n’est plus un mur. C’est une chaîne d’autorisations. Si chaque maillon a été accordé avec un petit excès raisonnable, la somme devient déraisonnable. Le risque ne vient pas toujours de l’erreur spectaculaire. Il vient de l’accumulation de permissions pratiques, jamais révoquées.
On a déjà vu ce film. L’incident Code Spaces en 2014 avait montré qu’un accès mal protégé à l’environnement cloud pouvait aller jusqu’à la destruction d’une entreprise. Ce n’était pas une faille exotique réservée aux laboratoires. C’était une question de contrôle des accès, de sauvegarde, de séparation des pouvoirs. Vingt-cinq ans de cybersécurité m’ont appris une chose assez simple : les attaques changent de costume, mais elles reviennent souvent réclamer la même facture. Tacite écrivait déjà que les désirs grandissent avec les moyens de les satisfaire. Dans le cloud, les permissions grandissent exactement comme cela.
La bonne réponse n’est pas d’acheter une solution miracle qui promet de découvrir tous les secrets avant le café de 9 heures. Les miracles, en cybersécurité, ont généralement une clause de renouvellement annuelle. Il faut revenir aux gestes sobres : inventorier les secrets, réduire leur durée de vie, supprimer les clés statiques quand c’est possible, appliquer le moindre privilège, surveiller les créations anormales de ressources, corréler les accès humains et machines, tester les chemins de compromission réels. Pas sur un schéma d’architecture. Dans l’environnement vivant.
PCPJack ne dit pas que le cloud est dangereux. Il dit que le cloud rend visibles, exploitables et revendables les négligences que l’on enterrait autrefois dans un serveur au fond d’une baie. La maturité ne consiste pas à tout verrouiller. Elle consiste à savoir quels secrets existent, qui peut les utiliser, pendant combien de temps, et ce qui se passe quand ils tombent entre de mauvaises mains.