Une clé USB trouvée au bureau ou dans la boîte aux lettres : la brancher ou pas ?

Une clé USB inconnue traîne sur votre bureau, dans le hall d’accueil, ou pire, elle est arrivée directement dans votre boîte aux lettres professionnelle. La règle est simple et sans exception : ne la branchez jamais. Cybermalveillance.gouv.fr est formel — partez du principe que toute clé USB trouvée ou reçue sans explication est piégée, y compris quand rien ne le laisse deviner à l’œil nu.

Pourquoi une simple clé USB peut compromettre toute l’entreprise

Le danger ne vient pas forcément d’un fichier à ouvrir. Une clé USB piégée peut contenir un microprogramme modifié — la technique dite BadUSB, révélée dès 2014 — qui fait passer le périphérique pour un clavier aux yeux de l’ordinateur. Dès le branchement, il tape automatiquement des commandes à une vitesse impossible pour un humain, sans qu’aucune fenêtre suspecte ne s’ouvre ni qu’aucun fichier ne soit à double-cliquer. Le simple fait de brancher suffit à déclencher l’installation d’un accès distant, d’un rançongiciel, ou d’un vol de données — sur le poste, puis potentiellement sur le reste du réseau si ce poste y est connecté.

Le scénario qui vise spécifiquement les entreprises

Ce n’est pas un hasard si ces clés apparaissent dans un parking, une salle de réunion ou une boîte aux lettres professionnelle. La gendarmerie nationale a alerté sur une recrudescence de clés USB piégées déposées directement dans des boîtes aux lettres, parfois étiquetées de façon à attiser la curiosité (“Confidentiel”, “Salaires”, “Factures impayées”). L’objectif est précisément de cibler une entreprise identifiée à l’avance — pas de laisser faire le hasard.

Ce qu’il faut faire, dans l’ordre

1. Ne la branchez sur aucun appareil — ni ordinateur professionnel, ni ordinateur personnel, ni tablette, ni smartphone. Même “juste pour voir ce qu’il y a dessus” est déjà le geste qui déclenche l’infection.
2. Ne la jetez pas non plus telle quelle dans une poubelle où quelqu’un d’autre pourrait la récupérer et la brancher par curiosité.
3. Cherchez d’abord un propriétaire légitime si elle a été trouvée dans un lieu partagé (salle de réunion, hall) — un collègue qui l’aurait simplement perdue.
4. Sans propriétaire identifié, cybermalveillance.gouv.fr recommande de la détruire pour la rendre définitivement inutilisable, ou de la remettre à un service dédié (accueil, service objets perdus de l’établissement).
5. Si elle est arrivée par voie postale à l’entreprise, la gendarmerie est explicite : ne cherchez pas à savoir ce qu’elle contient, détruisez-la directement.

Et si quelqu’un l’a déjà branchée ?

Si un collaborateur a branché la clé avant de lire cet article, ne minimisez pas l’incident sous prétexte que “rien ne s’est affiché”. C’est justement le principe d’une attaque BadUSB : aucun signe visible n’accompagne l’infection. Débranchez le poste du réseau (câble ou wifi) sans l’éteindre — l’extinction peut effacer des traces utiles à l’analyse — et traitez la situation comme un poste potentiellement compromis : changement des mots de passe utilisés depuis ce poste, vérification des connexions et transferts inhabituels, et recours à un professionnel pour analyser la machine avant de la remettre en service.

Réduire le risque durablement, pas juste réagir une fois

L’ANSSI recommande dans son guide d’hygiène informatique de désactiver les ports USB inutilisés sur les postes qui n’en ont pas l’usage, et de fournir aux équipes des clés USB professionnelles dédiées plutôt que de laisser circuler des supports d’origine inconnue. Une politique simple — “aucune clé USB extérieure ne se branche sans passer par un poste dédié à l’analyse” — coûte peu à mettre en place et coupe court à la quasi-totalité de ce type de tentative, y compris pour les collaborateurs les plus vigilants sur le reste.

La leçon derrière ce scénario

Une clé USB trouvée n’est jamais un objet perdu comme un autre en entreprise — c’est, statistiquement, l’un des vecteurs d’attaque physique les plus simples et les moins coûteux à exécuter pour un attaquant, précisément parce qu’il mise sur la curiosité plutôt que sur une faille technique. La bonne nouvelle : contrairement à une vulnérabilité logicielle, ce risque se neutralise entièrement par un seul réflexe, sans compétence technique ni outil particulier. C’est ce type de règle simple, diffusée et comprise par toute l’équipe, qu’une infogérance managée aide à installer durablement — avant l’incident, pas après.