Qu'est-ce que le hacking ? Bases, types et premiers pas 2026

Qu'est-ce que le hacking ?

Qu'est-ce que le hacking ? Le hacking est la pratique consistant à identifier les faiblesses des systèmes informatiques et à les utiliser pour obtenir un accès, un contrôle ou des informations que le système n'était pas conçu pour fournir. L'acte en lui-même est moralement neutre. Qu'une instance spécifique de hacking soit criminelle, légale ou bénéfique dépend entièrement de l'autorisation et de l'intention.

Le mot décrivait à l'origine toute solution créative ou non orthodoxe à un problème technique. Au fil des décennies, l'usage populaire l'a restreint pour signifier l'effraction informatique. Les deux définitions s'appliquent encore en pratique. Un développeur qui écrit un pipeline shell d'une seule ligne pour analyser un fichier journal fait du "hacking" au sens originel. Un criminel qui exploite un bug d'injection SQL pour voler une base de données clients fait du "hacking" au sens moderne. Les professionnels de la cybersécurité utilisent le terme pour les deux, et le contexte rend la signification claire.

Ce n'est pas un phénomène marginal. Le Data Breach Investigations Report 2026 de Verizon a analysé plus de 22 000 violations confirmées, et pour la première fois, le point d'entrée le plus fréquent était l'exploitation d'une vulnérabilité logicielle (31 % des accès initiaux), devant les identifiants volés et le phishing. Autrement dit, une grande partie des intrusions réelles commencent par les techniques que les hackers éthiques pratiquent tous les jours.

Trois choses distinguent le hacking de l'usage normal d'un logiciel. D'abord, le système cible ne se comporte pas comme l'attaquant le souhaite, alors l'attaquant manipule les entrées ou l'environnement pour changer ce comportement. Ensuite, les techniques impliquent de comprendre comment un système a été implémenté, pas seulement comment il a été documenté. Enfin, les hackers testent leurs hypothèses contre le système et s'adaptent en fonction de ce que fait le système. Cette dernière partie, la boucle itérative d'hypothèse et de vérification, est ce qui sépare un hacker compétent de quelqu'un qui exécute simplement des outils automatisés.

Un bref historique du hacking

Le mot "hacker" a été utilisé pour la première fois dans son sens technique moderne au MIT à la fin des années 1950, à l'intérieur du Tech Model Railroad Club. Les membres décrivaient les solutions élégantes aux problèmes de câblage comme des "hacks". Lorsque les étudiants du MIT ont obtenu l'accès aux premiers ordinateurs en temps partagé dans les années 1960, ils ont apporté le mot avec eux. Un "hack" est devenu toute utilisation astucieuse, non autorisée ou non orthodoxe d'un système.

L'histoire la plus célèbre de cette époque vient du phreaking téléphonique plutôt que de l'informatique. En 1971, un article du magazine Esquire rend John Draper, surnommé « Captain Crunch », célèbre pour une astuce découverte par les phreakers : un sifflet offert dans les boîtes de céréales Cap'n Crunch produisait une tonalité de 2600 Hz que le réseau longue distance d'AT&T utilisait pour sa signalisation interne, ce qui permettait de prendre la main sur la ligne et d'appeler gratuitement. L'ère du phreaking a montré qu'un amateur déterminé, qui comprenait un système mieux que ses propres opérateurs, pouvait le faire plier.

Les années 1980 et 1990 ont vu le hacking passer des systèmes téléphoniques aux ordinateurs connectés à internet. Le ver Morris de 1988 a infecté environ 10 % de toutes les machines connectées à internet à l'époque, ce qui a conduit à la création de la première Computer Emergency Response Team (CERT) à Carnegie Mellon. Les années 1990 ont introduit les exploits publics, les conventions de hackers comme DEF CON (fondée en 1993), et les premiers services commerciaux de test d'intrusion.

Dans les années 2000, le hacking s'est scindé en deux. D'un côté, des groupes criminels organisés et des acteurs étatiques ont industrialisé les attaques contre les banques, les commerçants et les administrations. De l'autre, tout un écosystème de sécurité légitime s'est construit autour des programmes de bug bounty, des certifications et des cabinets de conseil. L'étude 2024 d'ISC2 sur les effectifs en cybersécurité estimait la main-d'œuvre mondiale à environ 5,5 millions de personnes, avec un déficit de 4,8 millions de postes non pourvus.

Types de hackers : White, Black et Gray Hat

L'industrie de la cybersécurité utilise une nomenclature à code couleur pour décrire l'éthique des hackers. Les catégories importent parce qu'elles correspondent directement à la légalité, à l'emploi et à la façon dont le reste du monde traite votre travail. Pour une décomposition approfondie de chaque rôle, lisez notre article compagnon sur les white hat vs. black hat hackers.

White Hat Hackers

Les hackers white hat, aussi appelés hackers éthiques ou testeurs d'intrusion, travaillent avec la permission explicite des propriétaires de systèmes pour trouver des vulnérabilités avant que les criminels ne le fassent. Ils signent des contrats, suivent des périmètres définis et rapportent les découvertes en privé. Leur travail est entièrement légal. La plupart des white hats sont employés comme testeurs d'intrusion, ingénieurs en sécurité applicative ou chercheurs en bug bounty.

Une journée type pour un white hat peut consister à tester les mécanismes d'authentification d'une application bancaire, rédiger un rapport sur ce qu'il a trouvé et accompagner les développeurs dans la correction. La rémunération suit le niveau d'expertise : aux États-Unis, les pentesters expérimentés gagnent couramment plus de 100 000 $ par an, et notre guide des salaires de pentester détaille les chiffres par niveau, sources à l'appui. Si c'est la voie qui vous attire, notre feuille de route pour devenir pentester en détaille les étapes.

Black Hat Hackers

Les hackers black hat attaquent les systèmes sans autorisation, pour gain personnel, motif politique ou sabotage. Ce sont les criminels. Leurs outils sont souvent identiques à ceux utilisés par les white hats, mais leur absence de permission transforme les mêmes actions en délits sous des lois comme le Computer Fraud and Abuse Act américain.

Les opérations black hat vont du fraudeur isolé qui utilise un kit de phishing aux groupes de ransomware-as-a-service organisés comme des entreprises. Le rapport Cost of a Data Breach 2025 d'IBM estime le coût moyen mondial d'une violation de données à 4,44 millions de dollars, et à 10,22 millions aux États-Unis.

Gray Hat Hackers

Les hackers gray hat occupent le terrain juridiquement trouble du milieu. Ils accèdent souvent à des systèmes sans permission, mais divulguent ce qu'ils trouvent plutôt que de l'exploiter. Certains publient les vulnérabilités publiquement sans coordination avec le fournisseur affecté. D'autres notifient discrètement le propriétaire et s'en vont.

L'activité gray hat reste illégale dans la plupart des juridictions, même lorsque l'intention est bienveillante. Plusieurs cas bien connus se sont terminés par des poursuites où le hacker pensait faire la bonne chose. Si vous vous retrouvez dans cette catégorie, les programmes de bug bounty structurés offrent la même satisfaction avec une couverture juridique.

Autres codes couleurs que vous entendrez

Red team, blue team et purple team décrivent des rôles à l'intérieur des organisations plutôt qu'un alignement éthique. Les red teams simulent des adversaires contre les systèmes de leur propre employeur. Les blue teams défendent. Les purple teams coordonnent entre les deux. Green hat fait référence aux débutants apprenant le métier. Les script kiddies, un terme moins flatteur, sont des personnes qui exécutent des outils d'attaque pré-construits sans comprendre les mécaniques sous-jacentes.

Les 5 phases de la méthodologie d'un hacker

Toute mission professionnelle suit une méthodologie, et l'ordre compte parce que chaque phase produit les informations dont la suivante a besoin. Les cinq phases ci-dessous sont adaptées du modèle enseigné dans le Certified Ethical Hacker d'EC-Council (reconnaissance, scan, obtention d'accès, maintien de l'accès, effacement des traces), avec l'escalade de privilèges traitée à part parce que c'est là que se joue une grande partie du vrai travail. Chaque phase correspond à des tactiques du framework MITRE ATT&CK. Pour voir ces étapes appliquées à une intrusion réelle, consultez notre guide de la cyber kill chain.

Phase 1 : Reconnaissance

La reconnaissance est la phase de collecte d'informations. L'attaquant, ou le testeur autorisé agissant comme tel, apprend autant que possible sur la cible avant d'envoyer la moindre sonde. La reconnaissance passive utilise des sources publiques : registres WHOIS, données DNS, dépôts GitHub, profils LinkedIn d'employés, identifiants divulgués lors de violations passées. La reconnaissance active touche la cible directement avec des sondes peu bruyantes comme des requêtes DNS et des scans de port basiques.

En pratique, la recon détermine souvent si l'engagement réussit. Un attaquant qui trouve un serveur de staging oublié avec des identifiants par défaut dans la phase de reconnaissance a déjà gagné, avant qu'aucun code d'exploit ne soit exécuté.

Phase 2 : Scan et énumération

Le scan cartographie la surface d'attaque de la cible. Nmap et des outils similaires identifient les ports ouverts, les services en cours d'exécution, les versions de logiciels et les systèmes d'exploitation. Une commande comme nmap -sV -p- target.example énumère chaque port TCP et tente d'identifier le service exécuté sur chacun. L'énumération va plus loin, interrogeant chaque service pour obtenir des noms d'utilisateur, des noms de partage et des détails de configuration.

Pour une application web, l'énumération inclut la découverte de contenu (trouver les répertoires et points de terminaison cachés), la découverte de paramètres et la cartographie d'API. Des outils comme Gobuster, ffuf et la carte du site de Burp Suite font le gros du travail.

Phase 3 : Exploitation

L'exploitation est le moment où l'attaquant utilise une vulnérabilité découverte pour obtenir un accès ou effectuer des actions non autorisées. L'exploit peut être un CVE public avec du code de preuve de concept disponible, une charge utile personnalisée pour une application non patchée, ou une faille logique enchaînée à partir de plusieurs bugs plus petits. Une exploitation réussie produit généralement une forme d'accès : un shell sur le système, une session authentifiée dans l'application, ou des données lisibles qui auraient dû être protégées.

L'exploitation moderne repose rarement sur des zero-days inédits visant spécifiquement votre cible. La plupart des intrusions réelles commencent par des vulnérabilités connues mais non corrigées à temps, des identifiants faibles ou volés, ou de l'ingénierie sociale. Le DBIR 2026 indique que les organisations mettaient en médiane 43 jours à corriger une vulnérabilité déjà exploitée dans la nature, une fenêtre très confortable pour un attaquant.

Phase 4 : Élévation de privilèges

L'accès initial est rarement suffisant. Un web shell s'exécutant en tant qu'utilisateur www-data peut lire les fichiers web mais ne peut pas extraire la base de données. L'attaquant élève les privilèges pour obtenir un accès root, administrateur ou de niveau domain-admin. L'élévation de privilèges sous Linux exploite souvent des binaires SUID mal configurés, des permissions sudo ou des vulnérabilités du noyau. L'élévation de privilèges sous Windows cible des chemins de service non guillemetés, l'usurpation de jetons ou les mauvaises configurations d'Active Directory.

C'est la phase où l'énumération minutieuse des phases précédentes paie. Savoir exactement quels binaires sont installés, quelles tâches planifiées s'exécutent en tant que root, et quels identifiants sont stockés dans les variables d'environnement transforme un point d'appui à faible privilège en contrôle complet du système.

Phase 5 : Persistance et effacement des traces

La phase finale assure un accès continu et échappe à la réponse aux incidents. Les mécanismes de persistance incluent les tâches planifiées, les clés de démarrage du registre, les scripts de démarrage modifiés et les modules d'authentification backdoorés. L'effacement des traces signifie supprimer les entrées de journal, modifier les horodatages et retirer les artefacts de télémétrie.

Lors d'engagements légaux, les testeurs white hat s'arrêtent au stade de la preuve de concept. Ils documentent que la persistance et le nettoyage des journaux étaient possibles sans les déployer réellement. Le but d'un test autorisé est de démontrer l'impact, pas de laisser le client avec une véritable compromission à nettoyer.

Catégories de hacking par cible

Les spécialisations du hacking divergent fortement selon ce qui est attaqué. Les cinq catégories ci-dessous couvrent la grande majorité du travail professionnel en sécurité, et chacune correspond à un parcours d'apprentissage distinct.

Hacking d'applications web

Le hacking web cible les applications web exposées, les API et l'infrastructure qui les supporte. L'OWASP Top 10 catalogue les classes de vulnérabilités les plus courantes : contrôle d'accès défaillant, injection (y compris l'injection SQL et l'injection de commandes), défaillances cryptographiques, conception non sécurisée et mauvaise configuration de sécurité. Le hacking web est le point d'entrée le plus précieux dans les organisations modernes parce que la plupart des entreprises exposent des applications web sur internet.

Les hackers web professionnels passent leurs journées dans Burp Suite. Commencez par notre tutoriel d'injection SQL pour voir la méthodologie en action, puis passez aux leçons structurées du cours Web Attacks de HackerDNA.

Hacking réseau

Le hacking réseau cible les protocoles, les services et l'infrastructure qui connectent les systèmes. Le travail couvre le scan de ports, l'exploitation de services, le mouvement latéral entre machines et les attaques contre Active Directory dans les environnements d'entreprise. Les hackers réseau doivent maîtriser Nmap, Wireshark, Metasploit et comprendre comment fonctionnent réellement les protocoles comme SMB, LDAP, Kerberos et NTLM.

Le parcours de carrière mène souvent vers les tests d'intrusion internes ou les opérations red team. Notre cours Network Penetration Testing couvre les fondations, et notre guide de test d'intrusion d'applications web montre comment la méthodologie se chevauche avec le travail web.

Hacking système et élévation de privilèges

Le hacking système se concentre sur les hôtes individuels après l'obtention de l'accès initial. Le travail concerne largement la compréhension approfondie du système d'exploitation cible : comment les processus s'exécutent, où les identifiants sont mis en cache, quels services sont mal configurés et comment enchaîner ces mauvaises configurations en accès root ou administrateur.

La plupart des challenges CTF (Capture The Flag) se concentrent fortement sur cette phase parce qu'elle enseigne les internals approfondis de Linux et Windows.

Hacking sans fil et mobile

Le hacking sans fil cible le Wi-Fi, le Bluetooth et d'autres protocoles radio. Le cassage WPA2 et WPA3 avec des outils comme aircrack-ng et hashcat est une spécialité. Les attaques Bluetooth contre les appareils IoT en sont une autre. Le hacking mobile couvre l'analyse d'applications Android et iOS, l'instrumentation à l'exécution avec Frida et la rétro-ingénierie de bibliothèques natives.

Ces spécialités paient bien mais nécessitent un investissement significatif en outillage (équipement radio, appareils de test rootés) par rapport au hacking web, qui ne nécessite qu'un navigateur.

Ingénierie sociale

L'ingénierie sociale pirate les personnes plutôt que les logiciels. La catégorie couvre le phishing, le prétexte, le vishing (phishing vocal) et les techniques d'intrusion physique. Et ça marche : le DBIR 2025 de Verizon relève un facteur humain, comme un clic sur un lien de phishing ou un identifiant mal utilisé, dans environ 60 % des violations.

L'ingénierie sociale pure est une spécialité de niche. La plupart des testeurs d'intrusion intègrent des scénarios de phishing basiques dans des engagements plus larges plutôt que de se concentrer exclusivement sur cette discipline.

Outils de hacking courants

Les outils ci-dessous sont ceux que les hackers professionnels utilisent réellement. Vous n'avez pas besoin de 40 outils pour être efficace. Vous avez besoin de cinq ou six et d'une familiarité approfondie avec chacun. Pour une liste plus longue avec cas d'usage, voyez notre tour d'horizon des outils de test d'intrusion.

Nmap

Nmap est le scanner réseau par défaut. Il identifie les ports ouverts, prend les empreintes des services et systèmes d'exploitation, et exécute des scripts qui sondent des vulnérabilités spécifiques. Presque chaque engagement commence par un scan Nmap, même lorsque le reste de la chaîne d'outils diffère. Notre aide-mémoire Nmap couvre les drapeaux qu'il vaut la peine de mémoriser.

Burp Suite

Burp Suite est le proxy d'interception au centre de chaque engagement d'application web. Community Edition est gratuit et gère 80 % des flux de travail typiques. Professional Edition ajoute un scanner automatisé et Intruder en pleine vitesse. Nouveau sur Burp ? Travaillez d'abord à travers notre tutoriel Burp Suite.

Metasploit et Msfvenom

Le framework Metasploit fournit des centaines d'exploits préconstruits, de modules de post-exploitation et de générateurs de charges utiles. Msfvenom, le générateur de charges utiles autonome, crée du shellcode personnalisé pour délivrer des reverse shells à travers les plateformes. Notre aide-mémoire Msfvenom documente les modèles de syntaxe que vous utiliserez réellement.

Hashcat et John the Ripper

Le cassage de mots de passe se produit après l'obtention d'un hash, soit à partir d'un dump de base de données, d'un handshake réseau capturé, ou d'un stockage local d'identifiants. Hashcat utilise l'accélération GPU pour la vitesse contre les formats de hash modernes. John the Ripper reste utile pour les petits travaux et les environnements CPU uniquement. Le cours Password Cracking de HackerDNA et notre guide de cassage de hash traversent les deux.

Outils à éviter

Oubliez DirBuster : son interface Java est lente comparée à Gobuster ou ffuf, et il n'est quasiment plus maintenu depuis des années. Utilisez Nikto comme un premier survol rapide plutôt que comme un verdict, car sa sortie est bruyante et pleine de constats génériques sur les applications web modernes. Pour du scan web automatisé, le scanner de Burp Suite Professional ou un scanner commercial dédié donne des résultats bien plus exploitables.

Le hacking est-il légal ? L'autorisation et la CFAA

La légalité de tout acte spécifique dépend de trois facteurs : qui possède la cible, quelle autorisation vous avez, et ce que vous faites avec ce que vous trouvez. Tester votre propre ordinateur portable est légal. Tester l'ordinateur d'un ami avec sa permission verbale pourrait quand même vous exposer à des poursuites s'il change d'avis plus tard. Tester un système de production d'entreprise, même un système avec des défauts évidents, sans document de périmètre signé est presque toujours un délit.

Le hacking autorisé se déroule dans trois cadres juridiques. Le premier est le test d'intrusion rémunéré sous un Statement of Work signé qui définit le périmètre, le timing et la méthodologie. Le deuxième est les programmes de bug bounty gérés par des entreprises comme HackerOne, Bugcrowd et Intigriti, où les participants acceptent les conditions de service de la plateforme qui autorisent les tests dans des règles définies. Le troisième est les environnements de pratique en bac à sable, comme les plateformes CTF et les fournisseurs de laboratoires, où les cibles sont possédées par la plateforme et explicitement disponibles pour l'attaque.

La divulgation responsable est le principe qui guide le reporting white hat. Lorsque vous trouvez une vulnérabilité dans un système que vous êtes autorisé à tester, documentez-la, notifiez le propriétaire en privé, et donnez-lui un délai raisonnable pour corriger le problème avant de divulguer publiquement. La plupart des calendriers de divulgation coordonnée durent 90 jours. Pour les vulnérabilités trouvées en dehors d'un engagement actif, consultez le fichier /.well-known/security.txt de la cible pour leur politique de divulgation.

Deux garde-fous pratiques vous gardent dans la légalité. Premièrement, ne testez jamais rien que vous ne possédez pas ou que vous n'avez pas la permission écrite d'accéder. Deuxièmement, lorsque vous avez la permission, restez strictement dans le périmètre documenté. Le moyen le plus rapide de perdre une carrière en sécurité est de découvrir quelque chose d'intéressant en dehors de votre périmètre et de décider de "juste vérifier" si c'est exploitable.

Comment apprendre le hacking

Le hacking est un métier. Il s'apprend par la pratique structurée, pas par la lecture seule. La feuille de route ci-dessous est celle que la plupart des testeurs d'intrusion en activité ont suivie sous une forme ou une autre. Pour plus de profondeur sur le parcours d'apprentissage, voyez notre article compagnon sur how hackers learn to hack.

Construire les fondations

Vous avez besoin de connaissances pratiques de trois choses avant de pouvoir hacker efficacement : le réseau (TCP/IP, DNS, HTTP), les systèmes d'exploitation (ligne de commande Linux et fondamentaux Windows), et au moins un langage de scripting (Python est le standard). Le cursus de certification Network+ couvre adéquatement la partie réseau si vous préférez l'étude structurée. Pour Linux, commencez par la ligne de commande elle-même : notre guide des commandes Kali Linux couvre la trentaine que vous utiliserez au quotidien. Une fois Kali installé, notre guide pour mettre à jour Kali Linux vous évite qu'il vous lâche en plein lab.

Choisir une spécialité et l'approfondir

Le hacking est trop vaste pour être appris de façon uniforme. La plupart des testeurs d'intrusion en activité se spécialisent soit dans les applications web, soit dans le réseau et Active Directory. Le web est plus rapide à aborder parce que vous n'avez besoin que d'un navigateur et de Burp Suite. Le réseau et AD nécessitent plus d'outillage et bénéficient d'une configuration de laboratoire à domicile.

Quelle que soit la direction choisie, le modèle d'apprentissage est le même : lire sur une classe de vulnérabilité, puis l'exploiter dans un laboratoire, puis écrire ce que vous avez appris, puis passer à la suivante. La théorie sans temps de laboratoire pratique ne produit pas de hackers compétents.

Pratiquer sur des cibles en bac à sable

Vous ne pouvez pas vous entraîner légalement sur des systèmes de production : il vous faut des cibles explicitement autorisées. Quatre options fonctionnent bien. Les défis CTF sont des énigmes conçues pour l'exercice, souvent limitées dans le temps, qui développent des compétences précises : voir notre guide des CTF pour débutants. Les jeux de hacking transforment ces mêmes compétences en sessions courtes, à caser pendant une pause déjeuner, et notre sélection de jeux de hacking qui enseignent de vraies compétences fait le tri entre les utiles et les gadgets. Les labs d'entraînement permanents comme HackerDNA gardent des applications et des machines vulnérables disponibles jour et nuit. Enfin, une fois les bases acquises, les programmes de bug bounty vous permettent de tester de vrais systèmes de production dans un cadre strict.

Obtenir une certification quand vous êtes prêt

Les certifications ne sont pas un but en soi, mais elles aident à se faire embaucher. L'OSCP d'OffSec (délivrée sous le nom OSCP+ depuis novembre 2024) est la certification pratique en test d'intrusion la plus reconnue : un examen pratique de 23 h 45 contre trois machines indépendantes et un ensemble Active Directory de trois machines, suivi de 24 heures pour rédiger le rapport. Notre guide de préparation à l'OSCP détaille la méthode.