Tout le monde administrateur : le risque silencieux qui expose votre réseau

La plupart des ordinateurs vendus aux entreprises arrivent avec un compte administrateur activé par défaut. Le revendeur le configure rarement autrement, et personne ne pense à le changer. Résultat : dans la majorité des TPE et PME, chaque employé travaille au quotidien avec les droits les plus élevés du système.

C’est une erreur aux conséquences potentiellement désastreuses.

Ce que signifie travailler en compte administrateur

Un compte administrateur peut tout faire sur un poste : installer des logiciels, modifier les paramètres système, accéder à tous les fichiers, changer les droits d’autres utilisateurs, désactiver l’antivirus.

Quand un utilisateur ouvre un fichier, navigue sur le web ou clique sur un email, il le fait avec ce niveau d’accès. Si ce fichier contient un malware, ce malware hérite exactement des mêmes droits que l’utilisateur. Il peut donc faire tout ce que l’utilisateur peut faire — et souvent plus, parce qu’il le fait sans les hésitations humaines.

La propagation en réseau

Ce qui rend ce problème particulièrement grave en entreprise, c’est la dimension réseau. Un poste compromis avec des droits administrateur peut :

• Se propager aux lecteurs réseau partagés accessibles depuis ce compte
• Chiffrer les fichiers serveur auxquels le poste a accès — pas seulement les fichiers locaux
• Installer des outils de reconnaissance pour cartographier le réseau et identifier d’autres cibles
• Voler les identifiants mémorisés dans le navigateur ou le gestionnaire Windows

Un ransomware lancé depuis un compte administrateur sur un poste bien connecté peut chiffrer l’intégralité du partage réseau en quelques minutes. Le même ransomware lancé depuis un compte standard aux droits limités causera infiniment moins de dégâts.

Le dirigeant : la cible la plus dangereuse

Dans la majorité des PME, c’est le dirigeant lui-même qui travaille avec les droits les plus étendus — souvent parce que c’est lui qui a configuré la machine au départ, ou parce qu’il a besoin d’accès à tout.

C’est précisément pour ça qu’il est la cible privilégiée des attaques de spear phishing (emails ciblés se faisant passer pour un fournisseur, un client, ou l’administration). Compromettre le compte du dirigeant, c’est potentiellement accéder à toute la comptabilité, tous les contrats, et tous les accès cloud de l’entreprise.

La bonne pratique : comptes séparés

La solution est simple dans son principe : chaque utilisateur dispose d’un compte de travail standard (sans droits administrateur) pour ses activités quotidiennes. Un compte administrateur distinct existe pour les opérations qui le requièrent — installer un logiciel, modifier une configuration — et n’est utilisé que ponctuellement, avec mot de passe fort.

Ce modèle dit de “moindre privilège” réduit drastiquement la surface d’attaque. Un malware qui s’exécute dans un contexte standard est bloqué dès qu’il tente une action qui requiert des droits élevés — et Windows affiche une demande d’élévation que l’utilisateur peut refuser.

Mettre en place la gestion des droits

Appliqué manuellement sur quelques postes, ce changement est trivial. Sur un parc de 20, 50 ou 100 machines, il nécessite une gestion centralisée via un outil MDM (Intune, par exemple) qui permet de définir les droits à l’échelle du parc, de déployer des exceptions ciblées, et de superviser qui a accès à quoi. C’est précisément ce que couvre notre infogérance de parc informatique.

C’est un des premiers points que nous adressons lors de l’intégration d’un nouveau client en infogérance : audit des droits existants, remise en place des profils standards, et formation rapide des utilisateurs aux raisons de ce changement.

Le temps de mise en œuvre est court. La réduction de risque est immédiate et significative.

Si vous ne savez pas avec quels droits vos collaborateurs travaillent actuellement, c’est une bonne raison de faire un audit de votre parc. Contactez-nous pour un état des lieux gratuit — nous identifions les droits excessifs et proposons un plan de remise en conformité.