Quel rôle joue l’INCIBE espagnol en cybersécurité

Quel rôle joue l’INCIBE espagnol en cybersécurité

L’INCIBE (Instituto Nacional de Ciberseguridad de España) est l’organisme espagnol à suivre pour la sensibilisation des citoyens, des familles et des petites organisations face aux risques numériques. Il complète le CCN-CERT (Centro Criptológico Nacional Computer Emergency Response Team), centré sur les administrations publiques et leurs systèmes : confondre les deux revient à confier une campagne de prévention routière à l’équipe qui reconstruit les ponts.

Explication de la marmotte

L’INCIBE ressemble à un service public qui aide à reconnaître les pièges avant de tomber dedans, puis indique quoi faire quand le problème est déjà là. Son rôle n’est pas de réparer chaque ordinateur à distance, mais de rendre les personnes moins faciles à tromper et moins seules face à une fraude.

→ Lire l’explication complète de la marmotte

INCIBE et CCN-CERT : deux périmètres, deux publics

L’INCIBE est l’Institut national espagnol de cybersécurité. Il porte des services destinés au grand public, aux mineurs, aux parents, aux travailleurs indépendants et aux petites et moyennes entreprises. Ses canaux les plus visibles sont l’OSI (Oficina de Seguridad del Internauta), dédiée à la sécurité des internautes, le dispositif Internet Segura for Kids, ou IS4K, consacré aux mineurs, et le numéro d’assistance 017.

Le CCN-CERT traite une autre surface : les administrations espagnoles, leurs opérateurs rattachés et les systèmes classifiés ou sensibles relevant de son périmètre. Cette séparation est saine. Une administration a besoin de guides de durcissement, de qualification de produits, de réponses coordonnées aux incidents et de règles d’architecture. Un particulier confronté à une arnaque au faux support a besoin d’identifier la fraude, de préserver les preuves et de savoir quels comptes protéger. Ce ne sont pas les mêmes délais, ni les mêmes gestes, ni les mêmes erreurs coûteuses.

Le compromis central est net : l’INCIBE gagne en portée grâce à des messages accessibles et des canaux publics, mais paie cette portée par une contextualisation limitée. Un conseil grand public doit rester valable sans connaître l’architecture, les journaux ou les contrats de sous-traitance de la victime. Il ne peut donc pas remplacer une équipe de réponse à incident, un centre opérationnel de sécurité ou une analyse juridique.

La recommandation est de traiter l’INCIBE comme une source de prévention et d’orientation externe, jamais comme une fonction de sécurité déléguée. Pour une organisation espagnole, le contenu de sensibilisation de l’INCIBE peut alimenter des campagnes internes. Pour une administration, il faut le compléter par le référentiel du CCN-CERT. Pour une organisation hors d’Espagne, l’intérêt réside dans la structure des campagnes et des parcours d’assistance, pas dans l’importation aveugle des consignes nationales. Les frontières administratives ont la fâcheuse habitude de survivre aux présentations sur le cloud sans frontières.

Le panorama des organismes de cybersécurité aide à distinguer les autorités nationales des producteurs de normes et des structures de coordination. Pour le niveau européen, la fiche ENISA apporte le pendant institutionnel de l’Union européenne.

Sensibilisation INCIBE : contenus, relais et conditions d’usage

Les ressources de l’INCIBE couvrent notamment l’hameçonnage, les rançongiciels, les mots de passe, les réseaux sociaux, la fraude en ligne, la protection des mineurs et les incidents affectant les petites entreprises. Elles sont utiles lorsqu’elles sont intégrées à un dispositif qui possède un propriétaire, des canaux de remontée et des exercices. Envoyer un lien vers une campagne externe sans prévoir la suite transforme la sensibilisation en décoration murale numérique.

Avant de relayer un contenu INCIBE dans une organisation, quatre prérequis doivent exister :

1. Un inventaire des populations concernées : salariés, prestataires, administrateurs, équipes métier, mineurs ou publics vulnérables. Un message identique pour tous masque les scénarios réellement dangereux.
2. Un canal interne de signalement : boîte dédiée, portail, outil de ticketing ou numéro d’astreinte. Former à signaler sans définir qui reçoit le signalement produit surtout du silence.
3. Une procédure de qualification : distinguer le courriel suspect, le compte compromis, la fuite d’informations et l’incident affectant un poste géré.
4. Un processus de communication validé par la sécurité, les ressources humaines et, si nécessaire, la communication de crise. La sensibilisation ne doit pas pousser les victimes à exposer publiquement des données ou des preuves.

Le matériel grand public est particulièrement adapté aux campagnes courtes : reconnaître une usurpation, vérifier une URL (Uniform Resource Locator, adresse d’une ressource sur le Web), refuser la divulgation d’un code à usage unique, ou signaler une facture suspecte. Il devient insuffisant dès qu’une procédure nécessite la lecture de journaux techniques, l’isolement d’un terminal administré ou la révocation d’identifiants fédérés.

Le seuil de bascule doit être explicite. Dès qu’un compte professionnel, une donnée personnelle, un équipement administré ou une identité à privilèges est concerné, le circuit interne prime. L’assistance publique peut orienter, mais elle ne possède ni les traces d’authentification ni l’autorité pour suspendre un compte. Aucun numéro de téléphone ne remplace un journal d’audit exploitable. C’est moins romantique qu’une affiche de sensibilisation, mais les attaquants respectent assez peu les affiches.

Surface d’attaque des campagnes de sensibilisation

La sensibilisation elle-même crée une surface d’attaque. Un attaquant peut imiter la charte de l’INCIBE, détourner un thème de campagne récent, diffuser un faux numéro d’assistance ou publier un document présenté comme une alerte officielle. La confiance dans une marque publique réduit la vigilance, ce qui est précisément l’objectif recherché par l’usurpation.

Les contre-mesures doivent être opérationnelles. Ne diffuser que des liens vers des domaines vérifiés, conserver une liste interne des sources autorisées et faire transiter les communications organisationnelles par des canaux déjà authentifiés. Un message externe demandant un mot de passe, un code reçu par message ou l’installation d’un logiciel doit être traité comme suspect, même lorsqu’il porte un logo officiel. Le logo est une image, pas une preuve cryptographique. Un attaquant sait aussi faire des rectangles bleus.

Le 017 constitue un canal d’aide et d’orientation, non un mécanisme d’authentification. Une conversation téléphonique ne prouve pas l’identité de l’appelant, ne protège pas automatiquement les informations divulguées et ne déclenche pas, par elle-même, la mise sous contrôle d’un poste compromis. Une organisation doit interdire la transmission de secrets, de jetons de session, de codes à usage unique, de clés privées ou d’extraits complets de journaux à un canal non validé.

Les campagnes contre l’hameçonnage échouent souvent sur un point banal : elles demandent de « vérifier l’expéditeur » alors que le champ visible peut être falsifié. La vérification doit porter sur le domaine réel, le lien cible, la demande effectuée et le contexte métier. Pour les messageries administrées, les contrôles SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) et DMARC (Domain-based Message Authentication, Reporting and Conformance) réduisent l’usurpation de domaine, sans empêcher les domaines ressemblants ni les comptes légitimes compromis.

Vérifier une ressource INCIBE avant diffusion

Avant d’intégrer une ressource externe à une campagne, contrôler le domaine, la redirection et le certificat TLS (Transport Layer Security). Cette vérification ne garantit pas que le contenu réponde au besoin interne, mais elle évite de relayer une imitation triviale.

# Vérifier que l'URL officielle répond en HTTPS et afficher les redirections.
curl --proto '=https' --tlsv1.2 --location --head \
  https://www.incibe.es/

# Afficher le sujet, l'émetteur et les dates du certificat présenté.
openssl s_client -connect www.incibe.es:443 \
  -servername www.incibe.es </dev/null 2>/dev/null \
  | openssl x509 -noout -subject -issuer -dates

La commande doit être exécutée depuis un poste disposant d’OpenSSL et de curl. Elle contrôle le certificat présenté à cet instant et depuis ce réseau. Un proxy TLS d’entreprise peut présenter un certificat interne, ce qui est attendu seulement si son autorité de certification est connue et déployée explicitement. Accepter n’importe quel certificat parce qu’un filtrage HTTPS existe quelque part est une mauvaise pratique classique : le proxy devient alors un magicien, et les certificats une opinion.

La validation doit également couvrir le contenu téléchargé. Un document PDF (Portable Document Format) peut contenir des liens sortants, des formulaires ou des instructions périmées. Conserver la date de récupération, l’URL source et le propriétaire interne de la campagne permet de retirer rapidement un support devenu obsolète.

Exploitation : signalement, conservation et reprise

L’INCIBE ne garantit pas la détection d’une compromission, la restauration d’une sauvegarde, la récupération d’un compte ou l’effacement d’une donnée divulguée. Ces capacités doivent venir de l’organisation ou du particulier concerné. La sensibilisation réduit la probabilité de certains échecs humains, elle ne fournit ni journalisation centralisée ni sauvegarde immuable. Le facteur humain n’est pas un pare-feu avec des jambes.

Un processus d’exploitation minimal doit prévoir la conservation des preuves : message original au format brut, en-têtes de courriel, URL complète, horodatage, captures d’écran et identifiant du compte concerné. Modifier ou supprimer immédiatement le message peut détruire les éléments nécessaires à la qualification. En revanche, cliquer pour « vérifier si c’est dangereux » reste une méthode expérimentale dont le résultat est parfois très personnel.

La rotation des secrets relève du système touché. Après une divulgation de mot de passe, changer le secret ne suffit pas si l’attaquant possède déjà une session active, un jeton de rafraîchissement ou un mécanisme d’authentification secondaire. Il faut invalider les sessions, revoir les facteurs enregistrés, analyser les connexions et rechercher les règles de messagerie ajoutées par l’attaquant. La révocation d’un certificat ne se propage pas aux sessions déjà établies, et le changement de mot de passe ne remonte pas le temps.

La reprise impose des sauvegardes testées, séparées des identités d’administration et protégées contre la suppression par un compte compromis. Les conseils de prévention doivent donc renvoyer vers des procédures de restauration documentées. La page gouvernance complète cette approche sur la répartition des responsabilités, tandis que la rubrique identités couvre les mécanismes à prévoir lorsque le compte est la porte d’entrée de l’incident.

🐝 Ce qui arrive si on s’en passe

Sans canal interne de signalement ni procédure de qualification, chaque message suspect reste un événement isolé chez la personne qui le reçoit. L’équipe de sécurité ne peut pas rapprocher plusieurs réceptions du même envoi : elle ne mesure donc ni l’ampleur ni la cible réelle d’une campagne. Les copies encore présentes dans d’autres boîtes ne sont ni recherchées ni retirées. Le domaine ou l’URL malveillante n’est pas bloqué sur la passerelle de messagerie ou sur le proxy. Un clic reste ainsi possible chez les autres destinataires, alors qu’un collègue avait déjà repéré le piège. L’orientation fournie par l’assistance publique ne comble pas ce manque, puisqu’elle ne voit que les cas qui la contactent et n’agit sur aucune infrastructure interne.

🦫 Explication de la marmotte 🍫

L’Institut national espagnol de cybersécurité aide les personnes, les familles et les petites entreprises à éviter les fraudes et à réagir lorsqu’un problème numérique survient. Il publie des conseils, des alertes et des ressources sur les faux messages, le vol de compte, les logiciels malveillants et la protection des mineurs. Il propose aussi un numéro d’aide pour orienter les personnes concernées.

Son rôle n’est pas le même que celui du service espagnol qui protège les administrations. Ce dernier travaille sur les systèmes informatiques publics et leurs règles de sécurité. L’Institut national s’adresse surtout aux personnes qui utilisent des services numériques au quotidien.

Dans une organisation, ses contenus peuvent servir à expliquer comment reconnaître un piège. Il faut toutefois prévoir avant cela une adresse ou un outil pour signaler un message suspect, des personnes capables d’examiner le signalement et une procédure pour bloquer un compte compromis. Sinon, la personne formée sait qu’un problème existe mais ne sait pas où l’envoyer.

Les fraudeurs peuvent copier le nom, les couleurs ou les documents de l’Institut national. Il faut donc vérifier l’adresse du site, ne jamais donner de mot de passe ou de code reçu par téléphone, et signaler les messages douteux. Si un compte professionnel est touché, il faut conserver les preuves, fermer les accès actifs, changer les moyens de connexion et rechercher les actions déjà réalisées par l’attaquant.

À lire aussi

• CCN-CERT Espagne : rôle, guides CCN-STIC et ENSFiche du CCN-CERT espagnol et du Centro Criptológico Nacional, leur mandat sur la sécurité du secteur public espagnol, les guides CCN-STIC, le Schéma national de sécurité et la coopération avec les CERT européens.
• Comment former contre le phishing sans culpabiliserFormer sans culpabiliser réduit le phishing quand la formation s'appuie sur des contrôles techniques, des signalements sans sanction et des exercices mesurables.
• Mener une simulation de phishing interne éthique avec GoPhishGuide pas-à-pas pour conduire une simulation de phishing interne éthique, de l'autorisation de la direction à la formation ciblée, avec GoPhish, un domaine de simulation dédié et des résultats jamais nominatifs.
• CERT-EU réponse aux incidents des institutions européennesCERT-EU est le service opérationnel de réponse aux incidents des institutions, organes et agences de l’Union européenne, distinct d’ENISA et d’Europol.

Pages voisines

La citent

• CCN-CERT Espagne : rôle, guides CCN-STIC et ENS

Quel rôle joue l’INCIBE espagnol en cybersécurité

Elle cite

• ENISA
• Comment préparer un plan de communication de crise
• Déployer SPF DKIM DMARC jusqu'à reject
• Pourquoi le phishing fonctionne malgré la formation