Lorsque la nouvelle du vol au Louvre a éclaté, l’attention s’est portée sur les bijoux volés et l’entrée spectaculaire par une fenêtre du deuxième étage. Pourtant, sous la surface se cache une histoire plus discrète sur la manière dont la technologie obsolète peut transformer n’importe quelle institution en son maillon le plus faible.

Selon les audits de cybersécurité rapportés par les médias français, les systèmes internes du musée fonctionnaient encore sous Windows 2000 et Windows XP bien dans les années 2010. En 2014, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a signalé des faiblesses critiques, notamment des systèmes d’exploitation obsolètes, des mots de passe simples tels que « LOUVRE » et « THALES », ainsi que des serveurs non corrigés.

Un deuxième audit en 2017, réalisé par l’Institut national des hautes études de la sécurité et de la justice (INHESJ), a révélé que les mêmes risques persistaient. Certains postes de travail fonctionnaient encore sans protection antivirus, sans verrouillage de session et sans complexité de mot de passe imposée. Un avertissement notait même qu’une compromission du réseau de surveillance pourrait faciliter un vol physique. L’alerte s’est révélée prophétique.

Lorsque l’héritage devient une vulnérabilité

Ce schéma dépasse largement le cadre des musées. Dans tous les secteurs, de nombreuses organisations dépendent encore de systèmes vieillissants qui ne reçoivent plus de mises à jour de sécurité. Chaque serveur non maintenu, chaque identifiant oublié ou chaque application obsolète augmente la surface d’exposition. Les attaquants modernes n’ont pas toujours besoin de nouvelles vulnérabilités lorsque les anciennes restent non corrigées.

La leçon sous-jacente à cette histoire

La cybersécurité ne consiste pas à réagir, mais à être prêt. Le Louvre a peut-être perdu des œuvres d’art, mais ce qu’il a véritablement perdu, c’est du temps. La même érosion de la résilience se produit chaque fois que les mises à jour sont retardées, que l’authentification est négligée ou que la gouvernance devient une réflexion secondaire.

Le vol était physique. La faiblesse était numérique.