Matériel d’occasion : les risques cachés pour une PME

Acheter du matériel d’occasion ou reconditionné est un choix rationnel pour une PME, à condition de le traiter comme un fournisseur à risque et non comme une simple bonne affaire. Le danger ne vient pas de l’usure, mais de ce que l’appareil transporte sans le dire : un firmware ancien, une configuration héritée, des données d’un ancien propriétaire, voire une modification volontaire.

Deux événements récents rendent le sujet concret. Le fabricant Trezor a signalé un implant matériel suspecté dans un appareil vendu par un revendeur tiers, et une faille critique dans le code UEFI open source utilisé par la plupart des serveurs, CVE-2026-97631, présente depuis 16 ans, ne se corrige que par une mise à jour du firmware fournie par le constructeur. Un serveur racheté sans suivi constructeur reste donc vulnérable, quel que soit le soin apporté au système d’exploitation.

Pourquoi le matériel d’occasion échappe à vos contrôles habituels

La plupart des PME ont des réflexes pour le logiciel : antivirus ou EDR, mises à jour Windows, sauvegardes. Le matériel, lui, est supposé sain dès qu’il s’allume. Or plusieurs couches d’un ordinateur, d’un serveur ou d’un pare-feu fonctionnent sous le système d’exploitation : le BIOS/UEFI, le contrôleur de gestion à distance (iDRAC, iLO, IPMI), le firmware des disques et des cartes réseau. Un EDR ne voit presque rien de ces couches.

Quand vous achetez neuf auprès d’un distributeur agréé, vous héritez d’une chaîne de garde connue et d’un droit aux mises à jour. Sur une place de marché ou chez un revendeur non référencé, cette chaîne disparaît. L’affaire Trezor l’illustre : le fabricant n’était pas en cause, c’est le circuit de distribution qui l’était.

Les quatre risques concrets pour une PME

Un firmware hors support ou jamais mis à jour

C’est le risque le plus fréquent et le moins spectaculaire. Un serveur ou un pare-feu reconditionné arrive souvent avec le firmware de sa dernière mise en service. Si le modèle est en fin de support, plus aucun correctif ne sortira. La faille UEFI citée plus haut ne touche que les machines qui démarrent par le réseau (PXE), mais elle montre le mécanisme : le correctif existe chez l’éditeur du firmware, encore faut-il que le constructeur le publie pour votre modèle et que vous l’appliquiez.

Une configuration héritée de l’ancien propriétaire

Comptes d’administration locaux, contrôleur de gestion à distance resté actif avec un mot de passe par défaut, tunnel VPN préconfiguré, règles de pare-feu permissives : un équipement réseau d’occasion peut conserver des accès que personne chez vous ne connaît. Nous avons déjà décrit comment des accès SSH cachés persistent sur des routeurs MikroTik ; un équipement racheté sans remise à zéro pose exactement le même problème.

Des données résiduelles, dans les deux sens

Les disques d’occasion contiennent parfois des données de l’ancien propriétaire, ce qui crée un risque juridique si vous les exploitez. L’inverse est plus courant : une PME revend ou rend en fin de leasing des postes dont les disques n’ont pas été effacés correctement. Le guide NIST SP 800-88 sur l’effacement des supports distingue l’effacement logique, la purge et la destruction ; un simple formatage ne relève d’aucune des trois.

Une modification volontaire du matériel

C’est le scénario rare mais grave : un composant ajouté ou un firmware altéré avant la revente. Il vise surtout des cibles de valeur (portefeuilles de cryptomonnaies, équipements d’accès distant), mais une PME qui achète ses pare-feu ou ses clés d’authentification sur une place de marché grand public s’expose au même circuit. La protection n’est pas technique d’abord : elle passe par le choix du vendeur.

Ce qui distingue un achat d’occasion maîtrisé

Le reconditionné n’est pas à proscrire. Pour des postes bureautiques ou des écrans, le risque est faible et l’économie réelle. La règle utile est de graduer l’exigence selon la position de l’appareil dans votre réseau :

• Postes de travail : reconditionné acceptable chez un revendeur identifié, avec réinstallation complète du système et mise à jour du BIOS avant mise en service.
• Serveurs et stockage : occasion possible si le modèle est encore couvert par les mises à jour firmware du constructeur, vérifié sur son site avant l’achat.
• Pare-feu, VPN, routeurs, commutateurs de cœur : neuf ou reconditionné certifié par le constructeur uniquement, avec licence et support transférables.
• Clés d’authentification et cartes à puce : neuf, acheté directement chez le fabricant ou un distributeur agréé, sans exception.

Le référentiel NIST SP 800-161 sur la gestion des risques de la chaîne d’approvisionnement formalise la même logique pour les grandes organisations : plus un composant est critique, plus sa provenance doit être traçable. Une PME n’a pas besoin de ce niveau de formalisme, mais la gradation reste la bonne. Elle prolonge aussi la démarche décrite dans notre article sur la fin de support Windows quand on ne peut pas migrer : un équipement hors support doit être isolé, pas ignoré.

Que faire maintenant

1. Recensez les équipements d’occasion ou reconditionnés déjà en service, en commençant par les pare-feu, routeurs et serveurs.
2. Vérifiez sur le site de chaque constructeur que le modèle reçoit encore des mises à jour firmware, et appliquez la dernière version disponible.
3. Réinitialisez aux paramètres d’usine tout équipement réseau racheté, puis désactivez ou sécurisez son contrôleur de gestion à distance.
4. Rédigez une règle d’achat d’une page qui fixe, par catégorie d’appareil, le circuit autorisé (neuf, reconditionné certifié, occasion).
5. Exigez un certificat d’effacement conforme à une méthode reconnue pour chaque poste ou disque qui quitte l’entreprise.

Un équipement compromis sous le système d’exploitation se trahit surtout par son comportement réseau : connexions sortantes inhabituelles, accès d’administration à des heures anormales. C’est ce que surveille notre SOC managé 24/7 pour PME et ETI, en corrélant les journaux de vos pare-feu, serveurs et postes.

Ce qu’il faut retenir

• Le risque du matériel d’occasion tient au firmware, à la configuration héritée et à la provenance, pas à l’usure.
• Une faille de firmware ne se corrige que si le constructeur publie encore des mises à jour pour votre modèle.
• Graduez l’exigence : reconditionné acceptable pour les postes, neuf ou certifié pour la sécurité réseau et l’authentification.
• Remettez à zéro tout équipement réseau racheté avant de le brancher sur votre SI.
• Un formatage n’est pas un effacement : exigez une méthode documentée à chaque sortie de matériel.

Sources

• BleepingComputer — Trezor warns of suspected crypto-theft implant in hardware wallet
• Ars Technica — Code execution flaw in UEFI firmware threatens most servers
• NIST SP 800-161 Rev. 1 — Cybersecurity Supply Chain Risk Management Practices
• NIST SP 800-88 Rev. 1 — Guidelines for Media Sanitization
• ANSSI — Guide d’hygiène informatique