Une clé USB oubliée, un câble dont on ne connaît pas la provenance, un accessoire promotionnel récupéré sur un salon, une borne de recharge publique: tous ces objets peuvent représenter un vrai risque de sécurité.
Le message des autorités et des chercheurs en cybersécurité est désormais assez clair: tout appareil non vérifié doit être considéré comme potentiellement hostile. Il peut servir de point d’entrée à un malware, à de l’espionnage ou à une attaque matérielle.
Les chiffres montrent que la menace prend de l’ampleur. D’ici 2026, 51 % des attaques par logiciels malveillants devraient viser des appareils USB, contre 9 % en 2019. Dans le même temps, 52 % des cybermenaces sont conçues pour se propager via des supports amovibles comme les clés USB.
Et si ces campagnes marchent si bien, c’est aussi pour une raison très humaine: la curiosité. Des recherches montrent que 48 % des personnes branchent une clé USB trouvée dans un lieu public. Pour un attaquant, il suffit souvent d’en laisser quelques-unes sur un parking, dans un hall d’accueil ou dans un espace de coworking.
En pratique, les appareils à éviter sont assez faciles à repérer: toute clé USB inconnue, tout câble ou adaptateur non vérifié, tout accessoire “gratuit” reçu lors d’un salon, ainsi que les périphériques prêtés sans certitude sur leur origine. Même un objet qui ressemble à un support de stockage tout à fait banal peut avoir été conçu pour exécuter des commandes malveillantes dès qu’on le branche.
Les attaques via USB n’ont plus grand-chose du scénario de laboratoire. Mandiant a signalé un triplement des attaques de ce type en 2023, avec des campagnes utilisant SOGU, SNOWYDRIVE et PlugX dans des opérations d’espionnage attribuées à des acteurs liés à la Chine.
Les secteurs visés comprenaient notamment les administrations, la santé et les transports. En clair, l’USB reste une méthode d’intrusion discrète et efficace, surtout dans les environnements où l’on échange encore facilement des fichiers sans passer par Internet.
Le danger ne vient d’ailleurs pas seulement des clés USB. Le Federal Bureau of Investigation (FBI), la Federal Communications Commission (FCC) et la Transportation Security Administration (TSA) ont déjà alerté sur le “juice jacking”, une technique qui consiste à compromettre une borne de recharge USB pour voler des données ou installer un malware.
Des variantes plus récentes, parfois appelées “choice jacking”, chercheraient même à contourner certains écrans d’autorisation sur smartphone. La règle la plus simple reste donc la meilleure: utiliser son propre chargeur secteur ou une batterie externe plutôt qu’un port USB public.
Certaines menaces ne cherchent même pas à infecter. Elles cherchent à détruire. Les “USB killer” ressemblent à de simples clés, mais envoient des surtensions capables d’endommager physiquement un PC via son port USB.
Dans l’industrie, le risque est encore plus critique: dans les environnements de technologies opérationnelles (OT), 51 % des malwares détectés peuvent se propager via USB, soit près de six fois le niveau de 2019. Et 82 % de ces malwares sont capables de provoquer des perturbations opérationnelles.
Mieux vaut donc rester prudent. La première défense est évidente: ne branchez jamais une clé USB trouvée quelque part, ni un accessoire inconnu.
Il est aussi recommandé de désactiver l’Autorun, d’analyser tout support amovible avec un antivirus, de restreindre ou de désactiver les ports inutilisés, et de sensibiliser les employés dans les entreprises. Sur le plus long terme, de nouveaux mécanismes d’authentification autour de l’USB-C sont en cours de développement pour mieux bloquer le matériel malveillant. En attendant, le bon réflexe reste simple: considérer chaque périphérique USB non vérifié comme un risque potentiel.
