Audit d'exposition
Dans le cadre d'une acquisition ou d'un partenariat stratégique, les vérifications financières et juridiques sont un standard. Le volet cyber, lui, reste encore trop souvent absent ou traité superficiellement. C'est précisément là que le risque s'installe.
Intégrer une entité dont l'infrastructure est exposée et à risque, dont des données sensibles circulent sur le darkweb, ou dont des vulnérabilités critiques n'ont jamais été adressées, c'est hériter de ces problèmes sans les avoir anticipés. Dans un contexte M&A, cela peut représenter un coût de remédiation significatif, une exposition légale, ou une menace directe sur l'entité absorbante dès les premières semaines d'intégration.
Notre service Due Diligence produit une analyse structurée de l'exposition cyber de l'entité cible avant la décision. Le périmètre couvert repose exclusivement sur des contrôles passifs — aucune interaction directe avec les systèmes de la cible. Actifs externes exposés, fuites de données associées et présence sur nos sources sur le Deep/DarkWeb: l'ensemble de ces éléments est consolidé et traduit en une note de risque globale, conçue pour aider à la prise de décision sans nécessiter de compétences techniques particulières.
L'objectif n'est pas de bloquer une opération, mais d'en connaître les conditions réelles. Négocier le prix d'une acquisition sans connaître l'état cyber de la cible, c'est avancer avec une information incomplète. Notre rapport vient combler cet angle mort et, selon les résultats, peut devenir un levier concret dans la négociation ou déclencher un plan de remédiation conditionné à la finalisation de l'opération.
Third Party Risk
La même logique s'applique à votre écosystème de tiers au quotidien. Une fois les partenariats établis et les fournisseurs intégrés, le risque ne disparaît pas — il évolue. Les attaques par rebond via un prestataire sont aujourd'hui l'un des vecteurs les plus exploités : un accès VPN compromis chez un tiers, des credentials d'un partenaire qui circulent sur un forum underground, une infrastructure exposée sans que personne ne l'ait détecté. Le risque ne s'arrête pas à votre périmètre, mais votre responsabilité, si.
Notre service Third Party Risk vous donne une visibilité concrète sur l'exposition de vos tiers en continu. Cela couvre l'exposition externe de leurs actifs, les fuites de données les concernant — identifiants compromis, données métier, informations techniques — ainsi que leur présence sur le darkweb et Telegram. Des identifiants exposés chez un fournisseur ayant accès à votre SI représentent une menace directe, souvent invisible sans surveillance dédiée.
Les cas concrets sont nombreux : un sous-traitant dont les accès RDP sont en vente sur un forum cybercriminel, un partenaire dont les emails professionnels et mots de passe associés ont été exfiltrés lors d'une compromission tierce, ou encore un fournisseur critique exposant une interface d'administration sans authentification. Ces situations constituent la majorité des points d'entrée observés dans les incidents majeurs ces dernières années.
Selon le niveau d'exigence, la prestation s'adapte : une analyse à la demande avec une note de risque synthétique pour un contrôle ponctuel, un audit d'exposition sur 15 jours avec un rapport complet pour aller plus loin, ou une intégration dans un dispositif de CTI pour une surveillance continue de l'ensemble de votre écosystème.