L’extranet RATP, accessible via le portail Urbanweb, repose sur une authentification par matricule et mot de passe. Depuis un poste professionnel connecté au réseau interne, cette combinaison suffit à ouvrir la messagerie et les services RH. Depuis un ordinateur personnel, le niveau de confiance accordé à la machine chute, et les risques de compromission augmentent proportionnellement.
Accès extranet RATP depuis un PC personnel : ce qui change côté sécurité
Un poste maîtrisé par la DSI de la RATP bénéficie d’un antivirus centralisé, de politiques de groupe et de mises à jour contrôlées. Un ordinateur personnel échappe à tout cela. Le navigateur peut être obsolète, des extensions douteuses peuvent intercepter les frappes clavier, et le réseau Wi-Fi domestique n’offre aucun filtrage comparable au réseau interne.
A lire aussi : Préparer un audit efficacement : conseils et bonnes pratiques à suivre !
Cette différence explique pourquoi la connexion hors site passe par un VPN ou un accès conditionnel. Le VPN RATP chiffre le trafic entre le PC et le réseau de l’entreprise, mais il ne vérifie pas l’état de santé de la machine elle-même. Un poste infecté par un infostealer transmettra les identifiants au serveur malveillant avant même que le VPN ne s’active.
Préparer son poste personnel avant toute connexion à la messagerie RATP n’est pas une précaution facultative. C’est la première ligne de défense quand l’environnement technique n’est plus garanti par l’employeur.
Lire également : Travail collaboratif : principe, enjeux et bonnes pratiques à connaître
Zero Trust appliqué à l’extranet RATP : vérifier chaque connexion, pas seulement la première
L’approche Zero Trust part d’un principe simple : aucun appareil ni utilisateur n’est considéré comme fiable par défaut. Chaque tentative d’accès est évaluée selon plusieurs critères simultanés, y compris après l’authentification initiale.
Contraintes de terrain des agents RATP
Les agents travaillent en horaires décalés, accèdent à leur messagerie depuis des équipements hétérogènes et changent fréquemment de lieu de connexion. Un conducteur qui consulte son planning à 4 h du matin depuis une tablette personnelle ne présente pas le même profil de risque qu’un cadre connecté depuis un bureau fixe à 10 h.
Un système Zero Trust adapté au contexte RATP évaluerait en continu la localisation, l’heure, le type d’appareil et le comportement de navigation. Une connexion inhabituelle (nouveau terminal, géolocalisation incohérente, horaire atypique pour le profil) déclencherait une vérification supplémentaire plutôt qu’un blocage immédiat.
Exigences ANSSI pour les opérateurs de transport
L’ANSSI considère le couple identifiant/mot de passe comme insuffisant pour accéder à des systèmes d’information critiques depuis des postes non maîtrisés. Ses recommandations récentes insistent sur l’usage d’un second facteur matériel ou applicatif, comme une application d’authentification ou une clé FIDO2.
Pour un opérateur de transport de la taille de la RATP, le déploiement de clés physiques à grande échelle pose des questions logistiques évidentes. Une application d’authentification installée sur le téléphone professionnel de l’agent représente un compromis réaliste entre sécurité et déployabilité.
Messagerie RATP : bonnes pratiques concrètes sur ordinateur personnel
Avant de saisir votre matricule sur la page d’authentification extranet, plusieurs vérifications réduisent considérablement la surface d’attaque.
- Vérifier que l’URL affichée dans la barre d’adresse correspond exactement au domaine officiel (urbanweb.ratp.net). Un caractère modifié ou un sous-domaine inhabituel signale une page de phishing.
- Utiliser un navigateur à jour avec JavaScript activé et les cookies autorisés pour le domaine RATP. Désactiver ou supprimer les extensions de navigateur non vérifiées avant la session.
- Activer le VPN RATP avant d’ouvrir la page d’authentification, et non après. L’ordre compte : le tunnel chiffré doit être établi avant la transmission des identifiants.
- Ne jamais enregistrer le mot de passe extranet dans le gestionnaire de mots de passe du navigateur sur un PC partagé ou familial.
Ces gestes ne remplacent pas une politique de sécurité côté serveur, mais ils neutralisent les vecteurs d’attaque les plus courants sur un poste personnel.
Phishing ciblant les agents RATP
Les tentatives de phishing visant les comptes extranet imitent les notifications de la messagerie interne : alerte de planning modifié, bulletin de paie disponible, demande urgente de la hiérarchie. Le réflexe à acquérir est de ne jamais cliquer sur un lien dans un mail prétendant venir de la RATP sans vérifier l’adresse de l’expéditeur et le domaine du lien.
En cas de doute, accéder manuellement à Urbanweb en tapant l’adresse dans le navigateur. Si un mail suspect a été ouvert, le signaler immédiatement à la DSI constitue une obligation, pas une option.
Récupération d’accès et compte bloqué depuis un poste personnel
La hausse des connexions depuis des PC personnels, liée au télétravail et aux horaires décalés, a provoqué une augmentation notable des blocages de comptes et des réinitialisations de mots de passe dans les grandes entreprises publiques. La RATP ne fait pas exception.
Le verrouillage intervient généralement après plusieurs tentatives échouées. Depuis un ordinateur personnel, les causes les plus fréquentes sont un clavier configuré en QWERTY, un verrouillage des majuscules non détecté, ou un ancien mot de passe mémorisé par le navigateur qui s’auto-remplit à la place du nouveau.
- Vérifier la disposition du clavier et l’état de la touche Caps Lock avant chaque tentative.
- Effacer les données de formulaire du navigateur pour le domaine RATP afin d’éviter les auto-complétions erronées.
- Utiliser la procédure de réinitialisation officielle via le numéro de mobile professionnel ou l’application dédiée, plutôt qu’un mail secondaire personnel, pour limiter l’exposition des identifiants.
Si le compte reste bloqué après la procédure automatisée, le support IT RH de la RATP nécessite généralement le matricule, le nom complet et une description précise de l’erreur affichée.
Sécurité des données personnelles et obligations CNIL sur un poste non maîtrisé
Accéder à la messagerie professionnelle depuis un PC personnel implique que des données à caractère personnel transitent sur un équipement hors du périmètre de gestion de l’employeur. Bulletins de salaire, plannings nominatifs, échanges internes : ces informations relèvent du RGPD.
Côté agent, la bonne pratique consiste à ne pas télécharger de documents RH sur le disque dur du PC personnel. Si un téléchargement est nécessaire, le fichier devrait être supprimé après consultation. Côté employeur, la mise en place d’un accès web sans téléchargement possible (lecture seule dans le navigateur) réduit le risque de fuite de données en cas de compromission du poste.
La combinaison d’un accès Zero Trust, d’une authentification multifacteur conforme aux recommandations de l’ANSSI et d’une politique de non-persistance des données sur les postes personnels forme un socle technique cohérent. Pour les agents RATP qui consultent leur messagerie depuis chez eux, la vigilance sur l’état du poste et la vérification systématique de l’URL restent les deux gestes qui bloquent la majorité des attaques avant même que la technique ne prenne le relais.
