La prise en main à distance est devenue l’un des premiers points d’entrée des attaquants dans les PME : un outil installé « pour dépanner » donne un accès complet au poste, souvent sans double authentification ni journal consulté. La bonne nouvelle : sept étapes simples, réalisables en une à deux semaines par votre équipe IT ou votre infogérant, suffisent à reprendre le contrôle de ces accès.
La faille TeamViewer inverse le sens de l’attaque
TeamViewer a corrigé une vulnérabilité, suivie sous l’identifiant CVE-2026-111585, qui permet à l’ordinateur pris en main d’attaquer celui du technicien qui s’y connecte. Il s’agit d’un dépassement d’entier : un poste « hôte » malveillant ou déjà compromis peut faire planter l’application du technicien et, selon la plateforme, exécuter du code sur sa machine (SecurityWeek).
Le scénario est concret pour une PME : votre technicien, ou celui de votre prestataire, se connecte à un poste utilisateur déjà infecté. L’attaquant rebondit alors sur l’ordinateur le plus précieux du parc, celui qui détient les accès d’administration à tous les autres. L’outil de dépannage devient un vecteur de propagation.
Ce n’est pas un cas isolé. La CISA documente depuis plusieurs années l’usage détourné de logiciels de prise en main légitimes dans des campagnes d’hameçonnage, précisément parce qu’ils passent sous le radar des antivirus (avis AA23-025A). Nous avons d’ailleurs décrit comment de faux techniciens sur Teams poussent leurs victimes à installer ces outils : voir bloquer l’arnaque au faux support IT sur Teams.
Sécuriser la prise en main à distance en 7 étapes
Étape 1 : inventoriez tous les outils installés
Commencez par savoir ce qui tourne réellement sur votre parc. Recherchez TeamViewer, AnyDesk, Splashtop, ScreenConnect, RustDesk, Chrome Remote Desktop et les agents RMM de votre infogérant. Votre console d’antivirus, votre EDR ou un simple script d’inventaire logiciel suffit. Il est fréquent de découvrir plusieurs outils concurrents, installés au fil des années par différents prestataires, dont certains ne sont plus sous contrat.
Étape 2 : choisissez un seul outil officiel
Désignez un outil de prise en main autorisé et désinstallez les autres. Un seul outil, c’est une seule version à maintenir, une seule console à surveiller et une règle claire pour vos utilisateurs : tout autre logiciel de ce type est suspect. Inscrivez cette règle dans votre charte informatique et prévenez vos équipes qu’aucun technicien légitime ne leur demandera d’installer autre chose.
Étape 3 : mettez à jour, côté technicien en priorité
Appliquez la dernière version publiée par l’éditeur sur tous les postes, en commençant par ceux de vos techniciens et de vos administrateurs. La faille TeamViewer le montre : c’est désormais l’application qui se connecte qui est visée, pas seulement celle qui reçoit la connexion. Consultez les bulletins de sécurité de l’éditeur et activez la mise à jour automatique lorsque l’outil la propose.
Étape 4 : verrouillez les comptes avec la double authentification
Activez la double authentification sur chaque compte capable d’ouvrir une session à distance, sans exception pour les comptes partagés du service informatique. Supprimez les comptes génériques (« support », « admin », « stagiaire ») au profit de comptes nominatifs : en cas d’incident, vous devez savoir qui s’est connecté. Récupérez les accès des anciens salariés et des prestataires sortants le jour même de leur départ.
Étape 5 : restreignez l’accès non surveillé
L’accès non surveillé, qui permet d’entrer sur un poste sans que personne ne valide la connexion, est la fonction la plus risquée. Réservez-le aux serveurs et aux postes qui en ont réellement besoin. Partout ailleurs, exigez qu’un utilisateur accepte la session. Lorsque l’outil le permet, limitez les connexions entrantes à une liste de comptes autorisés, ceux de votre équipe et de votre prestataire, plutôt qu’à toute personne disposant d’un identifiant et d’un mot de passe.
Étape 6 : séparez le poste du technicien
Le poste qui sert à dépanner les autres ne doit pas être celui qui lit les courriels et navigue sur Internet toute la journée. Idéalement, vos techniciens utilisent un poste ou une session dédiée à l’administration, avec des droits distincts. À défaut, évitez au moins de vous connecter avec un compte administrateur de domaine à un poste utilisateur dont vous ne connaissez pas l’état. Nous détaillons cette logique dans notre article sur la réduction des privilèges administrateurs.
Étape 7 : journalisez et relisez les connexions
Activez les journaux de connexion dans la console de l’outil et exportez-les vers votre outil de supervision. Fixez-vous une revue mensuelle simple : qui s’est connecté, à quelle heure, sur quel poste. Une session à 3 h du matin sur le poste de la comptabilité, ou un outil de prise en main qui apparaît sur un poste où il n’a jamais été installé, doit déclencher une alerte immédiate. Le guide de la CISA sur les logiciels d’accès distant recommande précisément ce type de surveillance comportementale.
Combien de temps et d’effort prévoir
Pour une PME de 50 à 200 postes, l’inventaire et la désinstallation des outils superflus prennent généralement quelques jours, surtout si un outil de déploiement logiciel est déjà en place. La mise à jour, la double authentification et la suppression des comptes génériques se traitent en une demi-journée dans la console de l’éditeur. La séparation des postes et la revue des journaux demandent plus de discipline que de budget : c’est une habitude à installer, pas un projet.
Si vous confiez votre parc à un infogérant, transmettez-lui cette liste et demandez-lui quel outil il utilise, avec quelle authentification, et s’il peut vous fournir l’historique des connexions du dernier mois. Sa réponse vous dira beaucoup sur la maturité de son propre dispositif.
Ce qu’il faut retenir
- Un outil de prise en main à distance donne un accès complet au poste : traitez-le comme un accès administrateur.
- La faille TeamViewer CVE-2026-111585 cible le poste du technicien : mettez-le à jour en premier.
- Un seul outil autorisé, des comptes nominatifs et la double authentification couvrent l’essentiel du risque.
- L’accès non surveillé doit rester l’exception, réservé aux serveurs.
- Des journaux de connexion relus chaque mois permettent de repérer une intrusion avant qu’elle ne se propage.
Une session de prise en main suspecte à 3 h du matin ne se repère que si quelqu’un surveille vos journaux en continu : découvrez notre SOC managé 24/7 pour PME et ETI.
Sources
- SecurityWeek — TeamViewer Flaw Could Let Malicious Hosts Take Over Support Technicians’ Machines
- The Hacker News — TeamViewer Flaw Lets Remote Computers Attack Users Who Connect to Control Them
- TeamViewer — Security Bulletins
- CISA — Guide to Securing Remote Access Software
- CISA — AA23-025A — Protecting Against Malicious Use of Remote Monitoring and Management Software