Une red team attaque votre entreprise comme un vrai pirate. Une blue team la défend. Une purple team met les deux dans la même pièce : chaque attaque devient une leçon, et chaque leçon, un correctif. Pour la plupart des PME, c’est le purple team qui donne le plus de valeur, pas le red team. Voici pourquoi, et comment choisir.
Trois équipes en une phrase
| Équipe | Ce qu’elle fait | La question à laquelle elle répond |
|---|---|---|
| Red team (équipe rouge) | Simule un vrai attaquant, avec un objectif précis et sans prévenir vos défenseurs. | Peut-on nous compromettre? |
| Blue team (équipe bleue) | Défend : surveille les alertes, détecte et réagit. | Le verrait-on venir? |
| Purple team (équipe mauve) | Attaquants et défenseurs travaillent ensemble, une attaque à la fois. | Les deux à la fois, et comment s’améliorer tout de suite. |
Le NIST, l’organisme américain de référence en cybersécurité, définit la red team comme un groupe autorisé à imiter les capacités d’attaque d’un adversaire, et la blue team comme le groupe responsable de défendre les systèmes. Le NIST n’a pas de définition officielle du purple team; la Banque centrale européenne le décrit comme une activité collaborative entre les deux équipes.
Une red team n’est pas un test d’intrusion
On confond souvent les deux, même dans l’industrie. La différence est simple :
- Le test d’intrusion cherche le plus de failles possible dans un périmètre défini : vos serveurs, votre réseau, votre Microsoft 365. Vos équipes sont généralement au courant.
- La red team poursuit un objectif, par exemple « atteindre les données de paie », par n’importe quel chemin réaliste, en restant discrète. Vos défenseurs ne sont pas prévenus.
Le cadre TIBER-EU de la Banque centrale européenne le dit clairement : un test d’intrusion n’évalue pas le scénario complet d’une attaque ciblée contre toute l’organisation. La red team, oui. Pour choisir entre un test d’intrusion et un audit, voir notre guide Test d’intrusion ou audit de sécurité.
Le vrai problème : la plupart des attaques passent inaperçues
Avoir un antivirus et un pare-feu ne dit pas si quelqu’un verrait entrer un intrus. Les chiffres de 2026 sont durs :
- 14 jours. C’est le temps médian qu’un attaquant passe dans un réseau avant d’être découvert, selon le rapport M-Trends 2026 de Mandiant (Google).
- Une fois sur trois, l’entreprise apprend l’attaque de l’extérieur (34 %). Dans 14 % des cas, c’est l’attaquant lui-même qui la prévient, souvent avec une demande de rançon.
- 124 jours pour détecter, 57 pour contenir. C’est la moyenne canadienne du rapport IBM 2026 sur le coût d’une fuite de données, qui chiffre le coût moyen d’une fuite au Canada à 7,11 millions de dollars. Cette moyenne vient surtout de grandes organisations, mais les délais parlent pour tout le monde.
- 31 % des intrusions commencent par l’exploitation d’une faille, et le rançongiciel est présent dans 48 % des fuites, selon le rapport DBIR 2026 de Verizon, qui note que les petites organisations sont touchées de façon disproportionnée.
Une red team mesure si vous voyez l’attaquant. Un purple team vous apprend à le voir.
Scénario : ce qu’une red team trouve en une semaine
Scénario composite, inspiré de situations courantes dans les PME. L’entreprise, les noms et les détails sont inventés.
Une firme de services de 45 employés à Laval. Antivirus sur tous les postes, pare-feu récent, sauvegardes chaque nuit. La direction se croit bien protégée. L’objectif donné à la red team : atteindre le dossier de paie.
- Jour 1. Dans une liste de mots de passe volés sur un site sans lien avec l’entreprise, l’équipe trouve celui d’un ancien employé. Son compte Microsoft 365 n’a jamais été désactivé.
- Jour 2. Le compte n’a pas de double authentification. L’équipe se connecte. Aucune alerte.
- Jour 3. Dans ses fichiers, un Excel nommé « mots de passe », envoyé par un ancien technicien il y a des années. Il contient l’accès administrateur au serveur de fichiers.
- Jour 4. Le dossier de paie est ouvert. L’antivirus n’a rien vu : aucun logiciel malveillant n’a été utilisé, seulement de vrais mots de passe.
- Jour 5. Débriefing. Le dirigeant voit le chemin complet, d’un compte oublié jusqu’à la paie, sur une seule page.
Ce qui frappe, ce n’est pas la technique : c’est qu’aucune des quatre étapes n’a déclenché d’alerte. Un exercice purple team reprend ce même chemin, étape par étape, jusqu’à ce que chacune soit détectée.
Le purple team : là où ça fait « wow »
Dans un test classique, vous recevez un rapport des semaines plus tard. Dans un exercice purple team, vous voyez l’attaque et la défense se répondre en direct. Voici à quoi ressemble une journée type (exemple illustratif, pas un mandat réel) :
| Ce que l’attaquant tente | Vu par la défense? | Ce qu’on corrige sur-le-champ |
|---|---|---|
| Un courriel d’hameçonnage vole la session Microsoft 365 d’une employée | Non : aucune alerte | Activer l’alerte de connexion inhabituelle et l’accès conditionnel |
| Une règle transfère les courriels du dirigeant vers l’extérieur | Non | Bloquer le transfert externe automatique et alerter sur les nouvelles règles |
| Le même mot de passe est essayé sur le serveur de fichiers | Oui, mais l’alerte arrive dans une boîte que personne ne lit | Envoyer l’alerte au bon endroit, avec une personne responsable |
| On rejoue les trois attaques en fin de journée | Oui, les trois | Un plan d’action écrit pour le reste |
C’est ça, le « wow » : en fin de journée, les mêmes attaques qui passaient inaperçues le matin déclenchent des alertes. Vous ne repartez pas avec une liste de problèmes, mais avec des défenses testées.
C’est aussi l’approche recommandée par le SANS Institute : faire du purple team avant le red team. Une fois qu’on sait tester, mesurer et s’améliorer, on peut passer aux exercices furtifs de red team.
Pourquoi la plupart des entreprises ne le font pas
- Elles pensent que l’antivirus suffit. Personne ne vérifie si les alertes sont vues, ni par qui.
- Elles confondent avec un audit ou un scan. Un audit vérifie sur papier; un scan liste des failles. Aucun des deux ne simule un attaquant.
- Le red team coûte cher et vise les organisations matures. Au Canada, le BSIF encadre des exercices de red team pour les grandes banques et assureurs d’importance systémique. Pour une PME sans surveillance en place, une red team confirme surtout que personne ne voit rien.
- La peur de casser quelque chose. Un exercice bien encadré définit à l’avance ce qui est permis, quand, et comment arrêter.
- Peu de fournisseurs savent faire les deux côtés. Selon notre expérience, beaucoup de firmes TI font seulement la défense, et beaucoup de firmes de tests font seulement l’attaque. Le purple team demande les deux.
Laquelle choisir selon votre situation
| Votre situation | Ce qu’on recommande | Prix |
|---|---|---|
| Vous n’avez jamais rien testé | Scan automatisé, puis test d’intrusion | 500 $ à 1 500 $, puis dès 4 000 $ |
| Vous avez une surveillance (antivirus avancé, alertes) sans savoir si elle fonctionne | Un exercice purple team | Sur soumission |
| Vos failles sont corrigées et une équipe surveille vos alertes | Un exercice red team | Dès 12 000 $ |
| Vous devez prouver votre diligence (assureur, client, Loi 25) | Test d’intrusion avec rapport, puis purple team | Dès 4 000 $ |
Le prix dépend de la portée : nombre d’adresses IP ou de sites, interne ou externe, durée et retest. Détails dans notre guide Combien coûte un test d’intrusion.
Pourquoi UpSystems le fait
- Une équipe interne qui fait les deux côtés. Les mêmes spécialistes qui gèrent et surveillent des réseaux de PME tous les jours mènent les attaques. On sait comment un attaquant pense, et ce que vos outils peuvent réellement voir.
- Pas de sous-traitant anonyme. L’équipe est basée dans la région de Montréal et travaille au Québec et en Ontario, à distance ou sur place.
- Des prix affichés. Scan de 500 $ à 1 500 $, test d’intrusion dès 4 000 $, red team dès 12 000 $. Le purple team se fait sur soumission, selon la portée.
- Un débriefing en personne. On vous explique chaque attaque en langage clair et on bâtit le plan d’action avec vous. Vous ne restez jamais seul avec un PDF.
Vous voulez savoir si votre équipe verrait une attaque? Réservez un appel de 30 minutes ou voyez notre page test d’intrusion .
Questions fréquentes
Quelle est la différence entre une red team et une blue team?
La red team attaque, comme un vrai pirate, pour voir si elle peut atteindre un objectif. La blue team défend : elle surveille, détecte et réagit.
Une PME a-t-elle besoin d’une red team?
Rarement en premier. Sans surveillance en place, une red team confirme surtout que personne ne voit rien. Un test d’intrusion, puis un purple team, donnent plus de valeur pour le même budget.
Le purple team dérange-t-il les opérations?
Non, s’il est bien encadré. On définit à l’avance les systèmes visés, les heures et la façon d’arrêter un test à tout moment.
Combien coûte une red team?
Chez UpSystems, à partir de 12 000 $, selon la portée et la durée. Le purple team se fait sur soumission.
Sources : glossaire du NIST CSRC; Banque centrale européenne, cadre TIBER-EU (2025) et Purple Teaming Best Practices (2022); Mandiant M-Trends 2026; IBM Cost of a Data Breach 2026 (Canada); Verizon DBIR 2026; SANS Institute; BSIF.