Cas MGM : identité et gouvernance des accès

En septembre 2023, MGM Resorts a détecté un problème de cybersécurité dans certains de ses systèmes. Quelques jours plus tard, à Las Vegas, des salles de casino étaient fermées et des clients de l'hôtel voyaient leurs clés de chambre ne plus ouvrir. Le 5 octobre, l'entreprise a informé la Commission des valeurs mobilières des États-Unis (SEC) d'un impact négatif d'environ 100 millions de dollars sur un indicateur clé de ses résultats de septembre [1]. MGM n'a pas décrit le vecteur d'entrée dans son 8-K. Selon la presse, l'attaque a commencé dans un service d'assistance ; MGM ne l'a pas confirmé [4]. Cet article se concentre sur les contrôles de gouvernance applicables.

Il s'adresse à celles et ceux qui signent : direction générale, finances, opérations, systèmes. Il n'apporte pas de liste d'outils. Il apporte ce que le cas enseigne en langage d'entreprise, trois questions pour votre prochain comité et une idée qu'il vaut la peine de retenir : aujourd'hui, l'identité de vos employés est le périmètre de votre entreprise.

Une précision avant de commencer : Hábil n'a pas participé à ce cas. Nous le racontons à partir de ce que l'entreprise a déclaré à la SEC, de ce que les autorités des États-Unis ont publié et de ce qu'a rapporté la presse sérieuse, chaque élément avec sa source. Lorsqu'il s'agit d'une affirmation des attaquants ou d'une source anonyme, nous le disons.

D'abord, un terme

Pour que tout le monde autour de la table comprenne la même chose :

• Fournisseur d'identité : le système qui décide qui vous êtes lorsque vous accédez à la messagerie, à l'ERP ou à la paie. Exemples connus : Microsoft Entra ID, Okta, Google Workspace, Keycloak. Son administration exige des contrôles renforcés.

Dix jours de septembre

Avant : un avertissement que presque personne n'a lu comme le sien

Un guide d'Okta d'août 2023 recommande de protéger tout particulièrement les comptes à privilèges [3]. Ce guide n'attribue pas l'incident de MGM.

Les sources publiques ne permettent pas de déterminer le vecteur de MGM. Les attributions de la presse et des attaquants non confirmées ne sont pas utilisées ici pour le reconstituer.

Ce qu'ont vu les clients

MGM a ensuite informé la SEC que, dès qu'elle a détecté le problème, elle a éteint ses systèmes pour protéger les informations de ses clients, et que cela a provoqué des interruptions dans certains de ses établissements [1]. C'est une décision qui a un coût : couper la lumière pour que le feu n'atteigne pas l'entrepôt.

Vu de l'extérieur, cela s'est présenté ainsi. NBC News a rapporté le 15 septembre des salles de casino fermées, des clients de l'hôtel qui ne pouvaient pas entrer dans leur chambre avec la clé électronique et des employés sans accès à la messagerie de l'entreprise [5]. L'entreprise, pendant ce temps, disait que la grande majorité de ses services continuaient de fonctionner, puis a confirmé auprès de la SEC les interruptions dans certains établissements [1].

À côté, une autre maison

Caesars Entertainment, l'autre grand exploitant de Las Vegas, a déposé son propre rapport auprès de la SEC le 14 septembre [8]. Elle y disait quelque chose qui mérite d'être lu lentement : elle avait détecté une activité suspecte sur son réseau à la suite d'une attaque d'ingénierie sociale contre un prestataire externe de support informatique qu'elle utilisait. L'intrus a emporté une copie de la base de données de son programme de fidélité, avec des numéros de permis de conduire ou de sécurité sociale d'un nombre important de membres. Son activité face aux clients n'a pas été interrompue [8]. (L'ingénierie sociale est le nom technique de la tromperie qui pousse une personne à livrer un accès.)

Deux entreprises, le même mois, la même ville. Le cas Caesars est différent et ne permet pas d'inférer le vecteur de MGM.

Le calcul

Le 5 octobre 2023, MGM a déposé un Form 8-K, le rapport que les sociétés cotées aux États-Unis remettent lorsqu'un événement important survient [1]. Voici ce qu'il dit, en langage d'entreprise :

• Environ 100 millions de dollars d'impact négatif en septembre sur son EBITDAR ajusté par propriété, l'indicateur avec lequel elle mesure l'exploitation de ses complexes hôteliers, en additionnant Las Vegas et ses opérations régionales.
• Moins de 10 millions de dépenses ponctuelles en conseil technologique, en avocats et en autres conseillers.
• Le taux d'occupation de septembre a été de 88 %, contre 93 % l'année précédente, en raison de la baisse des réservations sur son site et ses applications.
• Les attaquants ont obtenu des données personnelles de certains clients ayant effectué des transactions avant mars 2019 : nom, coordonnées, date de naissance, numéro de permis de conduire et, pour un nombre limité, numéro de sécurité sociale ou de passeport.
• L'entreprise a dit qu'elle ne croyait pas que des mots de passe de clients, des comptes bancaires ou des données de cartes aient été obtenus, et qu'elle s'attendait à ce que son assurance cybersécurité soit suffisante, tout en précisant que l'ampleur totale du coût n'était pas déterminée. Les deux étaient des évaluations préliminaires au 5 octobre 2023.

Autrement dit : même avec une réponse rapide —éteindre à temps, protéger le plus sensible, avoir une assurance—, l'incident s'est traduit par des clients touchés, des interruptions et un impact estimé sur l'indicateur déclaré à la SEC.

L'épilogue

En juillet 2024, la police britannique, en coordination avec le FBI et l'Agence nationale de lutte contre la criminalité du Royaume-Uni, a arrêté un jeune de 17 ans dans le cadre d'une enquête mondiale sur une communauté de piratage qui avait attaqué plusieurs grandes entreprises, dont MGM [9]. L'enquête s'est poursuivie. L'avis de la CISA et du FBI a été mis à jour en 2025 parce que le groupe qu'il décrit continuait de changer de méthode [2].

Ce qu'un dirigeant doit retenir

1. L'identité est le périmètre

Pendant des années, la sécurité a été pensée comme une muraille : ce qui est dedans est fiable, ce qui est dehors ne l'est pas. Cette muraille s'est peu à peu effacée. Vos employés se connectent depuis chez eux, depuis leur téléphone et depuis le cloud d'un tiers ; vos fournisseurs entrent dans vos systèmes ; vos systèmes se parlent entre eux. Le réseau, les équipements et les sauvegardes continuent de compter, mais de plus en plus, ce qui sépare un intrus de votre exploitation est la question « qui êtes-vous ? » et la qualité de la réponse que votre entreprise y apporte.

Chez MGM, le vecteur n'a pas été détaillé publiquement dans le 8-K ; le cas ne permet de l'attribuer ni à un appel ni à une procédure précise.

2. Le point faible est le processus d'exception, pas celui de tous les jours

Les processus d'accès exceptionnels exigent une autorisation, des preuves et des contrôles proportionnés au privilège. Vérifiez que leur conception ne dépend pas d'une seule décision difficile à vérifier.

3. Le support externalisé exige une gouvernance

Le 8-K de Caesars confirme un cas distinct chez un prestataire [8]. Si vous avez externalisé le support, examinez le contrat, la procédure et les preuves sans inférer le vecteur de MGM.

4. Éteindre à temps coûte, mais ne pas savoir qui est entré coûte plus

MGM a éteint et a malgré tout estimé un impact négatif d'environ 100 millions de dollars sur un indicateur clé d'un seul mois [1]. Imaginez maintenant le scénario inverse : ne pas savoir quels comptes ont été utilisés, à quoi ils ont accédé et depuis quand. Une trace suffisante des comptes, des accès et des horaires aide à circonscrire un incident et à répondre devant l'audit, les régulateurs et les clients. La preuve de qui est entré dans quoi n'est pas seulement une exigence d'audit : c'est ce qui aide à savoir quand arrêter d'éteindre.

5. Le chiffre qui compte n'est pas celui de l'attaque

Personne ne peut vous promettre qu'on ne vous attaquera pas. Ce que l'on peut gouverner, c'est l'ampleur des dégâts d'un incident. Trois leviers de gouvernance : des contrôles renforcés pour les exceptions à privilèges, un accès minimal et des journaux consultables des accès et des modifications de permissions.

Aucun des trois n'est un produit que l'on achète et que l'on installe. Les trois sont des décisions de conception que quelqu'un ayant de l'autorité doit prendre et tenir dans la durée.

Ce que ce cas ne dit pas

Pour ne pas tirer de conclusions excessives :

• Il ne dit pas que le fournisseur d'identité a failli. Le 8-K de MGM ne permet pas de conclure qu'un fournisseur d'identité a failli ni d'identifier la procédure d'accès.
• Il ne dit pas que la formation est inutile. La CISA et le FBI continuent de la recommander [2]. Il dit qu'elle ne suffit pas : une procédure qui repose sur le fait qu'une seule personne détecte un mensonge bien raconté, sous pression, concentre le risque ; c'est pourquoi il convient d'y ajouter des contrôles vérifiables.
• Il ne dit pas que cela ne peut pas vous arriver parce que vous êtes plus petit. Les entreprises de toute taille doivent gouverner leurs exceptions d'accès.

Trois questions pour votre prochain comité

1. Comment les exceptions d'accès sont-elles autorisées, documentées et revues, en particulier celles qui portent sur les plus hauts privilèges et celles réalisées par des tiers ?
2. Notre prestataire de support suit-il la même procédure que celle que nous exigerions de notre propre personnel, et comment le vérifions-nous ?
3. Si nous soupçonnions aujourd'hui qu'un compte a été volé, combien de temps nous faudrait-il pour savoir à quoi il a accédé et depuis quand ? Des heures, des jours ou des semaines ?

Si une réponse est « je ne sais pas » ou « cela dépend de qui répond », le comité a déjà un sujet à confier : un responsable, une date de revue et la preuve qu'il attend de voir.

Par où commencer cette semaine

Demandez à votre service des systèmes la procédure écrite des exceptions d'accès, celle qui est réellement appliquée, pas celle du manuel. Vérifiez que la procédure a un responsable, une autorisation renforcée pour les privilèges et des preuves vérifiables. Demandez ensuite la liste des comptes à privilèges d'administrateur dans votre fournisseur d'identité. Si la liste est plus longue que vous ne l'espériez, vous avez votre premier constat.

Ce que fait Hábil

Hábil est un cabinet d'ingénierie mexicain, fondé en 2006, qui connecte les systèmes de votre entreprise à une seule identité d'entreprise, avec les permissions de chaque personne et une trace de chaque accès. Nous travaillons avec le fournisseur d'identité que vous avez déjà —Microsoft Entra ID, Okta, Google ou Keycloak, entre autres— et nous le connectons un système à la fois, en commençant par le plus risqué, pour ne pas interrompre ceux qui travaillent déjà.

Dans ce que ce cas enseigne, cela se traduit par trois choses : des contrôles renforcés pour les exceptions d'accès, surtout pour les comptes les plus puissants ; un accès minimal pour chaque personne, partenaire et prestataire ; et un journal consultable de qui est entré dans quoi et de chaque changement de permissions, pour la Sécurité et l'Audit. Consultez la page Maîtriser les accès.

Lors d'une première conversation, votre Direction, vos Systèmes et votre Sécurité peuvent repartir avec quatre choses claires : quels processus d'accès exigent davantage de contrôle, quels comptes ont besoin d'un traitement renforcé, quelle preuve vous manque pour répondre à l'Audit et quelle serait une prochaine étape délimitée.

Demandez votre première conversation, sans frais. Vous repartez avec cette revue des accès. Écrivez-nous sur WhatsApp.

Questions fréquentes

Que s'est-il passé chez MGM Resorts en septembre 2023 ?

MGM a détecté un problème de cybersécurité dans certains de ses systèmes aux États-Unis et les a éteints pour protéger les informations de ses clients, ce qui a interrompu une partie de son activité. Le 8-K ne détaille pas le mécanisme d'entrée. L'entreprise a informé la SEC d'un impact négatif d'environ 100 millions de dollars sur son EBITDAR ajusté par propriété de septembre [1].

Quel impact financier MGM a-t-elle déclaré ?

Selon son Form 8-K du 5 octobre 2023 : environ 100 millions de dollars d'impact négatif en septembre sur son EBITDAR ajusté par propriété, plus moins de 10 millions de dépenses ponctuelles de conseil, d'avocats et de conseillers. Ce n'est ni une perte nette ni un coût total, même si la presse l'a résumé comme un coup de 100 millions [7]. L'entreprise s'attendait à ce que son assurance soit suffisante, sans avoir encore déterminé le coût total [1].

Qui est Scattered Spider ?

C'est le nom sous lequel l'industrie et les autorités des États-Unis identifient un groupe criminel qui, selon l'avis conjoint de la CISA et du FBI, cible de grandes entreprises en se faisant passer pour des employés ou pour du personnel informatique [2]. Le 8-K de MGM n'attribue pas l'incident à ce groupe.

Un second facteur n'aurait-il pas évité cela ?

Les contrôles d'identité doivent inclure un processus d'exception gouverné ; le 8-K de MGM ne permet pas de conclure quel contrôle a manqué.

Cela s'applique-t-il à une entreprise mexicaine non cotée en bourse ?

L'obligation de déclaration peut varier ; la nécessité de gouverner les exceptions d'accès s'applique aussi en dehors des sociétés cotées. Les questions pour le comité de cet article servent aussi bien à une entreprise cotée qu'à une entreprise qui ne l'est pas.

Hábil a-t-elle participé au cas MGM ?

Non. Cet article repose uniquement sur des sources publiques : les rapports de MGM et de Caesars auprès de la SEC, les avis de la CISA, du FBI et d'Okta, et la presse citée dans les références.

Sources consultées le 20 octobre 2026. Les citations sont traduites de l'anglais. Les affirmations des attaquants et de sources anonymes sont signalées comme telles dans le texte.