Résumé

  • Le leurre RDP d’APNIC a reçu 25,6 millions de tentatives de connexion provenant de 6 637 adresses IP en une semaine, soit près de 3 900 tentatives par adresse en moyenne.
  • Le signal est celui d’un retour répété vers un service d’accès à distance. APNIC ne publie pas de décompte des authentifications réussies pour cet échantillon.

Un service laissé sans surveillance finit toujours par attirer quelqu’un qui prend l’insistance pour une stratégie. Le leurre RDP d’APNIC a vu passer 6 637 adresses IP distinctes. En sept jours, elles ont tenté 25,6 millions de connexions.

La mesure provient d’OpenCanary, un honeypot qui imite des services d’accès à distance et des bases de données. APNIC a réalisé cette observation du 21 au 27 septembre 2026 avec son honeynet reconstruit. RDP, le protocole Remote Desktop, a été le service OpenCanary le plus sollicité en nombre d’adresses sources. Microsoft SQL Server en a attiré 3 598 ; VNC, 3 179.

Le volume des tentatives rend le chiffre RDP plus parlant que le seul nombre d’adresses. Les 6 637 IP sources ont généré 25,6 millions de tentatives, soit environ 3 900 par adresse sur la semaine. VNC a enregistré 4,2 millions de tentatives avec moins de la moitié de ces adresses. Le leurre RDP a donc reçu environ six fois plus de connexions que celui de VNC, avec environ deux fois plus de sources. APNIC décrit un trafic persistant : après avoir trouvé un service exposé, les systèmes revenaient.

Ce chiffre ne compte pas les connexions réussies. Pour RDP, APNIC publie le total des tentatives, pas le nombre de sessions authentifiées. Les près de 3 900 tentatives constituent une moyenne par adresse source ; le rapport ne donne pas leur répartition détaillée. Une adresse IP peut aussi changer d’utilisateur, de réseau ou représenter plusieurs équipements derrière une infrastructure partagée. L’observation utile porte sur la pression reçue par le leurre, pas sur un recensement de personnes ou de machines.

Pourquoi s’intéresser à un faux bureau distant ? Parce que le leurre reproduit une porte d’administration bien réelle. RDP permet à une équipe de gérer un ordinateur à distance ; un service accessible depuis Internet devient une cible que les scanners peuvent trouver. Le guide #StopRansomware de la CISA recommande de ne pas exposer RDP au réseau public.

Quand l’accès distant est nécessaire, l’agence préconise notamment de limiter les réseaux sources, de placer un VPN ou une autre couche d’accès sécurisée en amont, d’exiger l’authentification multifacteur, de surveiller les journaux RDP et de définir un verrouillage de compte après un nombre déterminé de tentatives.

L’échantillon d’APNIC ne montre pas d’intrusion réussie. Il montre le coût d’une porte ouverte : les tentatives s’accumulent. Un tableau de bord utile séparerait quatre compteurs : adresses sources distinctes, tentatives de connexion, échecs d’authentification et sessions acceptées. Les deux premiers disent qui a atteint la porte et combien de fois. Les deux suivants indiquent si quelqu’un est entré. Les confondre dans un seul chiffre d’« attaques » transforme un journal bruyant en mauvais compte rendu d’incident.

La pièce manquante est précise : APNIC ne publie ni le nombre de connexions RDP authentifiées ni une deuxième semaine comparable. Un autre relevé, effectué avec les mêmes capteurs et la même fenêtre, pourrait montrer si ce rythme était une poussée ponctuelle ou le bruit de fond. Le résultat actuel suffit déjà à guider une décision : si une entreprise n’a pas besoin d’un RDP public, elle ferme l’accès. Si elle en a besoin, elle place une entrée contrôlée devant le service et mesure ce qui passe.

Sur Internet, personne ne tient la réception. Le pare-feu doit faire le travail.

Sources : rapport hebdomadaire du honeynet d’APNIC ; présentation du programme Honeynet d’APNIC ; guide #StopRansomware de la CISA.