API : quand vos systèmes se parlent, qui surveille la conversation?

En septembre 2022, l'un des plus grands opérateurs télécoms d'Australie a vu les données de près de 10 millions de clients — le tiers de la population du pays — se faire aspirer en quelques jours. Noms, dates de naissance, adresses, numéros de passeport et de permis de conduire.

Le coupable? Pas un groupe de pirates d'élite. Une interface de programmation — une API — laissée accessible sur Internet, sans aucune authentification. Pire : les dossiers clients y étaient numérotés en séquence. 5567, 5568, 5569. L'attaquant a écrit un petit script qui additionnait 1 au numéro, encore et encore. Chaque requête retournait le dossier complet d'un client différent.

Aucune effraction. Aucun logiciel malveillant. Juste un guichet automatisé qui répondait poliment à toutes les demandes, sans jamais vérifier qui les faisait.

C'est quoi, une API, au juste?

Pensez à un commis invisible. Quand votre site web affiche votre inventaire, quand votre application mobile montre le solde d'un client, quand votre CRM pousse une facture vers votre logiciel comptable — c'est une API qui fait le travail. Un guichet numérique qui reçoit des demandes et retourne des réponses, 24 heures sur 24, sans intervention humaine.

Votre entreprise en utilise probablement des dizaines sans le savoir. Celles de vos outils infonuagiques. Celles de votre site transactionnel. Celles qui relient vos logiciels entre eux. La plupart ont été mises en place par vos fournisseurs ou votre développeur web, et personne à l'interne ne les a jamais vues. C'est exactement ça, le problème : on ne surveille pas ce qu'on ne voit pas.

Pourquoi les pirates les adorent

Les attaquants ont massivement déplacé leurs efforts vers les API ces dernières années, et les incidents s'accumulent : 37 millions de comptes chez T-Mobile en janvier 2023, 15 millions d'utilisateurs chez Trello en 2024, toujours par le même chemin. Trois raisons expliquent l'engouement.

D'abord, les API sont invisibles. Pas d'écran de connexion, pas de page web à regarder. Elles échappent au radar des équipes TI comme à celui des outils de sécurité traditionnels, conçus pour surveiller ce que font les humains.

Ensuite, elles sont bâties pour la performance. Une API répond vite, en grande quantité, sans poser de questions. Pour un attaquant qui veut extraire une base de données au complet, c'est un tapis roulant. Chez Dell, en 2024, quelqu'un a interrogé une API de portail partenaire à raison d'environ 5 000 requêtes par minute, pendant près de trois semaines, avant de repartir avec 49 millions de fiches clients. Aucune alarme n'a sonné.

Enfin, personne ne tient l'inventaire. Une version d'API remplacée mais jamais débranchée, un point d'accès de test oublié après un projet : ces API « zombies » restent en ligne des années, sans surveillance ni mises à jour. Dans le cas australien mentionné plus haut, l'API fautive était justement considérée comme inactive.

La communauté OWASP, référence mondiale en sécurité applicative, maintient un palmarès des risques propres aux API. Le numéro un, inchangé depuis 2019 : le guichet qui vérifie que vous êtes bien un client... mais pas que le dossier demandé est le vôtre. Changez un numéro dans la demande, et vous obtenez la facture du voisin. C'est précisément la faille exploitée en Australie, et elle représente à elle seule environ 40 % des attaques d'API.

Et la Loi 25 dans tout ça?

Au Québec, une API qui laisse fuir des renseignements personnels constitue un incident de confidentialité au sens de la Loi 25 — au même titre qu'un vol de portable ou un courriel envoyé au mauvais destinataire. Les obligations s'appliquent intégralement : inscription au registre des incidents, évaluation du risque de préjudice sérieux et, le cas échéant, avis à la Commission d'accès à l'information et aux personnes concernées.

Le fait que la fuite passe par un canal « technique » que personne ne connaissait ne change rien à votre responsabilité. Au contraire : la loi exige des mesures de sécurité raisonnables proportionnelles à la sensibilité des données. Une API exposée sans authentification, difficile de plaider que c'était raisonnable.

Le test d'intrusion d'API : faire parler vos guichets avant les pirates

Un balayage de vulnérabilités automatisé détecte les problèmes de configuration évidents — certificats expirés, versions désuètes. Mais la faille numéro un, celle qui consiste à demander le dossier d'un autre, lui échappe presque toujours. Pourquoi? Parce que la requête est techniquement parfaite. Le serveur répond « tout est beau ». Rien ne cloche... sauf que les données retournées n'auraient jamais dû sortir.

C'est là qu'intervient le test d'intrusion d'API. Un spécialiste adopte la posture d'un attaquant : il inventorie ce qui est réellement exposé (y compris les versions oubliées), crée deux comptes et tente d'accéder aux données de l'un avec l'autre, manipule les paramètres, pousse les limites de débit, cherche ce que l'API révèle de trop dans ses réponses. Bref, il teste la logique, pas juste la tuyauterie.

Quand en faire un? Avant de lancer un portail client ou une application mobile. Après une refonte majeure de votre site transactionnel ou l'ajout d'intégrations importantes. Et périodiquement si vos API touchent des données sensibles — financières, médicales, personnelles.

Par où commencer

Trois questions à poser à votre équipe TI ou à vos fournisseurs, dès cette semaine :

Quelles API notre entreprise expose-t-elle sur Internet — en comptant les anciennes versions et les environnements de test?
Qui les a testées, quand, et contre quels scénarios? « Le développeur a vérifié que ça fonctionne » n'est pas une réponse de sécurité.
Si l'une d'elles fuyait cette nuit, le saurions-nous? Journalisation, limites de débit, alertes sur les volumes anormaux : chez Dell, trois semaines à 5 000 requêtes par minute sont passées inaperçues.

Si les réponses sont floues, vous n'êtes pas seul — c'est le cas de la majorité des PME. Mais c'est exactement le genre de flou que les attaquants exploitent.

Pas besoin d'être une multinationale pour être concerné. Un portail client, une application, un site transactionnel : dès que vos systèmes parlent à Internet, la conversation mérite d'être surveillée. MMO Techno accompagne les PME québécoises pour inventorier ce qui est exposé, évaluer les risques et encadrer des tests d'intrusion adaptés à leur réalité. Parlez à un expert.