(Interview) Audit, Supply Chain, FIDO2 : l'expert Ron Mukherjee dégaine la feuille de route CyberSec 2027

Identités compromises, dépendance aux tiers, usage incontrôlé de l'IA … Pointée du doigt pour sa sécurité numérique, la Belgique passe au galop pour rattraper son retard. Dans cet entretien exclusif, Ron Mukherjee, Cyber Security Consultant chez Eset Research, décortique la montée en puissance de la maturité numérique belge, dévoile les failles ignorées par les PME et livre une feuille de route pour mieux se défendre avec des budgets limités. Une réflexion opérationnelle indispensable pour combler le fossé entre les exigences réglementaires et la réalité des menaces à venir.

Entre l'essor incontrôlé du Shadow AI, la fragilité critique de nos chaînes d'approvisionnement et des ransomwares qui déjouent désormais les authentifications fortes, le paysage de la sécurité en Belgique est en pleine mutation. Face à cette industrialisation des attaques, les stratégies défensives d'hier ne suffisent plus. Nous avons interrogé l’expert en cybersécurité Ron Mukherjee, chez Eset Research, pour décrypter ces nouvelles réalités. De l'audit pragmatique des fournisseurs IT aux stratégies de défense concrètes pour les PME, cet entretien livre une feuille de route opérationnelle indispensable pour transformer votre posture de sécurité et protéger vos infrastructures face aux menaces de 2027.

-Cyber Security News Belgium : Comment évaluez-vous la maturité cyber de la Belgique face à nos voisins européens, comme la France, les Pays-Bas ou l'Allemagne ?

Ron Mukherjee, Managing Director Bridge10X & Cyber Security Consultant chez Eset Research : Globalement, la Belgique -avec son tissu de PME très hétérogène- n’est pas encore au niveau des pays les plus matures comme l’Allemagne ou les Pays‑Bas en matière de gouvernance et d’industrialisation de la sécurité. Toutefois, on constate une montée en puissance ces 3 dernières années portée par NIS2, le CCB et la pression réglementaire européenne. Ce qui manque la plupart du temps, ce n’est pas la technologie, mais la capacité à la gérer de manière continue. Le contrôle des identités, la supervision ou la réponse aux incidents restent, par exemple trop souvent réactives plutôt que structurées.

-CSNB: Quelle est l'attaque la plus complexe observée récemment en Belgique et en Europe ? 

Ron Mukherjee : En Europe, les attaques les plus « raffinées » sont celles qui combinent des vulnérabilités réseau, de la persistance intelligente et l’exploitation de la chaîne d’approvisionnement logicielle ou de services managés. L’affaire des vulnérabilités Fortinet (SSL‑VPN) est un bon exemple : les attaquants ont exploité plusieurs CVE critiques sur les firewalls FortiGate et FortiProxy, puis ont implanté des mécanismes de persistance (symlinks, fichiers malveillants) capables de survivre même aux mises à jour. Plus de 14.000 firewalls Fortinet auraient été compromis dans le monde, avec des organisations européennes, y compris belges, parmi les victimes, via l’exploitation de vulnérabilités comme CVE‑2022‑42475, CVE‑2023‑27997, CVE‑2024‑21762 ou encore CVE‑2024‑55591. Les attaquants se sont servis de ces équipements réseau comme porte d’entrée, ont créé des comptes VPN, modifié des politiques de filtrage et ont placé des artefacts permettant un accès discret et durable. 

-CSNB: Est-il possible de prévenir des intrusions comme celles qui ont frappé les portails Fortinet ?

 Ron Mukherjee : Je pense qu’il est possible de prévenir de telles attaques, mais pas juste en installant un antivirus. Ce qu’il aurait fallu faire ? Ne jamais exposer directement l’interface d’administration des firewalls sur Internet, appliquer les correctifs Fortinet dès les premiers avis, surveiller les logs d’authentification VPN et auditer régulièrement la configuration et la présence d’artefacts suspects sur les équipements.

 -CSNB: La Belgique, avec ses institutions internationales, est-elle un « maillon faible » ou une cible stratégique pour les attaquants ?

Ron Mukherjee : Avec l’OTAN, les institutions européennes et une forte concentration de diplomates et d’ONG, la Belgique est clairement une cible stratégique, et non pas seulement un « petit pays » au milieu de l’UE. Notre situation attire naturellement les opérations de cyber‑espionnage, des campagnes d’influence et des attaques contre les opérateurs de services essentiels, même si une partie de ces opérations reste en dessous du radar médiatique.

Cette situation pousse la Belgique à se renforcer via une collaboration étroite avec les partenaires OTAN et UE, des échanges de threat intel, une participation à des exercices comme Locked Shields dans lesquels les équipes ESET ont également été engagées. La Belgique n’est donc pas un « maillon faible », mais plutôt un maillon très exposé. Ce qui exige un niveau de vigilance supérieur à la taille de notre marché.

 -CSNB : Quelles sont les faiblesses les plus souvent ignorées par les organisations ?

 Ron Mukherjee : Il s’agit généralement des comptes « techniques » partagés entre plusieurs personnes, jamais renouvelés, souvent sans MFA. Mais également des mises à jour d’applications métier totalement dépendantes d’un prestataire, sans validation de sécurité ni test de régression. Ou encore l’absence de plan de sortie lorsque, par exemple, le prestataire est lui‑même compromis. Dans un tel cas de figure, l’entreprise ne sait généralement pas comment reprendre le contrôle de son environnement.

-CSNB : Comment une PME belge peut-elle auditer efficacement ses fournisseurs IT sans les moyens d'un grand groupe ?

 Ron Mukherjee : Le risque lié au « supply chain » est réel pour une PME, surtout avec la dépendance croissante aux MSP, aux intégrateurs et aux fournisseurs cloud. On voit souvent des environnements où le prestataire dispose des droits d’admin étendus, des accès VPN permanents, alors que la PME n’a jamais audité sérieusement les pratiques de sécurité du prestataire. Une PME peut pourtant faire plusieurs choses efficaces sans disposer d’un budget de multinationale.

Elle peut, par exemple, exiger des preuves de conformité (ISO 27001, SOC 2, NIS2 là où c’est pertinent) et des rapports d’audit indépendants. Encadrer les accès des prestataires avec des contrats clairs (MFA obligatoire, journaux d’accès, principe du moindre privilège, revue régulière des comptes et des droits). Tout comme elle doit également mettre en place une supervision minimale pour assurer la corrélation des journaux, les alertes sur les connexions d’admin en dehors des plages horaires normales, ainsi qu’une revue trimestrielle des configurations critiques.

-CSNB : Face à l'industrialisation du phishing par l'IA, quelles mesures prioritaires les PME belges aux budgets limités doivent-elles adopter ?

Ron Mukherjee : Les attaquants utilisent déjà l’IA pour générer des campagnes de phishing massives, parfaitement localisées, dans un français ou un néerlandais quasi natif, avec des scénarios crédibles. Une PME ne pourra jamais « gagner » sur le volume, elle doit donc se concentrer sur la qualité de sa défense : filtrer au maximum en amont, limiter les privilèges et préparer les équipes à réagir vite. 

Concrètement, cela signifie qu’une PME doit mettre un filtrage anti‑phishing robuste et à jour devant la messagerie (et pas seulement le moteur de l’éditeur de mail), par exemple via une solution de protection cloud comme celles intégrées dans ESET Protect Cloud Office Security.

Elle doit également compléter la protection par une formation régulière, courte et pragmatique, avec des simulations de phishing. En effet, toute la différence réside dans la capacité des utilisateurs à douter et à signaler. Il est en outre primordial de durcir les identités via MFA systématique, segmentation des droits, et surveillance des connexions anormales avec un EDR/XDR léger mais bien configuré.

Mais l’IA peut aussi devenir une alliée précieuse. Chez ESET, l’IA est intégrée depuis longtemps dans les moteurs de détection. Les nouveaux modules (ESET AI Advisor) ou les fonctions d’analyses comportementales aident les PME à bénéficier d’un niveau d’analyse qui était réservé autrefois aux grands SOC.

-CSNB: Des rapports récents montrent que 79 % des ransomwares commencent par une compromission d'identité malgré une MFA active. S'agit-il d'une limite technologique ou d'un défaut de gouvernance des accès ?

Ron Mukherjee : Le chiffre est cohérent avec ce que nous voyons : la plupart des attaques modernes commencent par l’usurpation ou le détournement d’un compte légitime, même quand la MFA est activée. Le problème n’est pas que la MFA ne sert à rien, mais qu’elle est souvent mal mise en œuvre ou contournée par de l’ingénierie sociale, des attaques de « MFA fatigue » ou des erreurs de configuration. 

 -CSNB : Quels sont les principaux problèmes que vous observez dans une mauvaise mise en œuvre de la MFA et comment y remédier ? 

Ron Mukherjee : Les problèmes typiques se trouvent dans une MFA activée uniquement pour certains comptes, ou seulement pour l’accès externe. Mais pas pour des mouvements latéraux internes. Nous voyons également des MFA basées sur des SMS ou des appels, et qui sont beaucoup plus faciles à détourner que des mécanismes matériels ou des applications modernes. Il y a aussi le manque de contrôle sur les sessions persistantes : une fois que le token est compromis ou réutilisé, la MFA ne joue plus son rôle.

On se trouve donc souvent face à un double problème. La technologie est parfois insuffisante ou mal choisie, mais la gouvernance des accès (gestion du cycle de vie des comptes, revue des droits, politiques de session, supervision) reste souvent le véritable talon d’Achille. Les environnements qui résistent le mieux sont ceux qui combinent MFA robuste, segmentation, détection comportementale (EDR/XDR) et une politique claire de gestion des identités.

-CSNB : Un rapport a récemment dénoncé un nouveau danger lié à une faille Microsoft des "shims" UEFI. Quel est le risque réel d’une telle faille pour nos infrastructures critiques belges, et est-elle déjà exploitée sur le terrain ?

Ron Mukherjee : La découverte des 11 shims UEFI vulnérables signés Microsoft touche à la racine de confiance des machines, pas à une simple appli au-dessus. Le risque théorique est élevé : un attaquant qui a déjà un certain niveau de contrôle sur une machine peut contourner Secure Boot et installer un bootkit UEFI persistant, même là où l’on pensait être « blindé ».

En pratique, ce type d’attaque en Belgique reste surtout confiné à des acteurs avancés (APT, attaques étatiques), et n’est pas apparu dans la cybercriminalité opportuniste qui est classique pour les PME. Microsoft a révoqué les binaires vulnérables via ses listes de révocation UEFI et les systèmes Windows se mettent à jour automatiquement, ce qui réduit fortement le risque pour les organisations qui gèrent correctement leur parc et leurs mises à jour. À ma connaissance, il n’y a pas encore eu de campagne documentée en Belgique exploitant directement ces shims, mais ce serait naïf de penser que des attaquants ne vont pas essayer de capitaliser sur cette découverte, notamment sur des environnements sensibles et peu surveillés.

-CSNB : Comment évolue le risque de "Shadow AI" avec l'adoption massive des agents autonomes dans les entreprises ? Est-il principalement interne ou externe, et comment les entreprises peuvent-elles limiter efficacement ce danger ?

 Ron Mukherjee : Le « Shadow AI » est comparable au « shadow IT » que nous avons découvert il y a quelques années : des outils d’IA générative ou des agents autonomes utilisés sans validation, parfois avec des données sensibles, dans des environnements non maîtrisés. Aujourd’hui, le danger vient surtout de l’usage irresponsable au sein des entreprises lorsque des employés copient du code, des contrats, des dossiers patients ou des plans stratégiques dans des services d’IA publics sans comprendre où partent ces données. Il existe bien sûr des menaces externes comme les modèles malveillants, des agents autonomes d’attaque, etc. Mais le risque le plus immédiat pour une entreprise belge de taille moyenne, c’est la fuite de données et la décision prise sur la base d’une IA non vérifiée.

-CSNB : Avez-vous des conseils à partager pour limiter le risque lié au Shadow IA ? 

Ron Mukherjee : Mon conseil pour limiter ce danger serait d’adopter une politique claire au sein des organisations : quels outils d’IA sont autorisés, pour quels usages, avec quels types de données, et lesquels sont interdits. Il est donc primordial de mettre en place des garde‑fous techniques, comme le filtrage web, DLP, journalisation des accès à certains services d’IA ; et bien entendu offrir des solutions approuvées, idéalement hébergées en Europe ou on‑premise.

-CSNB: Il est également important de former les équipes à ce danger en expliquant les risques de fuite, les biais, et imposer une validation humaine systématique pour les décisions critiques.

Ron Mukherjee : Le groupe ESET travaille déjà avec des clients pour intégrer l’IA de façon responsable, notamment via des services de conseil et des solutions qui restent dans la sphère juridique européenne, sans backdoors, conformément à notre position « Cybersecurity Made in Europe ».

 -CSNB : Selon vos observations, la réglementation NIS2 améliore-t-elle réellement le niveau de sécurité en Belgique, ou assiste-t-on à une simple culture du "cochage de cases" ?

Ron Mukherjee : La NIS2 est un levier sérieux pour améliorer la sécurité, à condition de ne pas la réduire à un exercice de « compliance minimaliste ». Dans notre pratique en Belgique et au Luxembourg, on voit deux types d’organisations : celles qui veulent vraiment renforcer leur posture grâce à NIS2, et celles qui se contentent de cocher des cases pour éviter les sanctions. Pour les opérateurs de services essentiels et importants, NIS2 oblige à structurer la gestion des risques, la continuité, la supply chain, la formation, et la détection/réponse, ce qui est clairement positif pour la maturité générale. Mais le texte ne sécurise pas tout seul : si la mise en conformité se fait sur PowerPoint sans changement réel de pratiques, on restera vulnérable.

-CSNB: Quelle serait la priorité cyber sécurité absolue pour les entreprises en 2027 ?  

 Ron Mukherjee : En 2027, la priorité absolue sera de réduire au maximum la dépendance à des secrets réutilisables (mots de passe, tokens faciles à voler), dans un monde où les attaques sont totalement automatisées. Autrement dit, il faut sécuriser les identités, segmenter les environnements et rendre l’attaque coûteuse pour l’adversaire, même s’il dispose de scanners et de bots IA qui tournent 24/7. 

-CSNB : Vos conseils aux responsables cybersécurité pour 2027 ?

Ron Mukherjee : Je leur conseille d’accélérer la transition vers l’authentification robuste sans mot de passe classique, avec du FIDO2 et des mécanismes matériels, là où c’est possible. Et d’investir dans une visibilité continue (EDR/XDR, threat intelligence), plutôt que dans une accumulation de produits isolés. Il faut voir et comprendre ce qui se passe pour réagir à l’automatisation des attaques.

FIDO2 est un excellent candidat pour réduire le risque, mais il n’est pas magique. ll est donc impératif de gérer le cycle de vie des clés, les pertes, les scénarios de récupération, et éviter les dérogations « temporaires » qui se transforment en failles permanentes.

À ce jour, je n’ai pas connaissance de cas documentés en Belgique où une authentification FIDO2 a été directement contournée de manière systémique ; quand des incidents surviennent, c’est généralement via des processus de récupération trop permissifs ou des erreurs de configuration, pas via une rupture cryptographique du protocole lui‑même. Pour un responsable sécurité belge, la feuille de route réaliste serait donc d’implémenter FIDO2 là où c’est mûr, une MFA forte ailleurs, une gouvernance des identités et visibilité renforcée, le tout aligné sur NIS2 et les bonnes pratiques européennes.

Ron Mukherjee est Managing Director & Cybersecurity Consultant de Bridge10X et Cyber Security Consultant chez Eset Research.