Sur un réseau local, une machine qui veut joindre une adresse IP de son sous-réseau ne parle jamais directement à cette IP : elle doit d'abord demander à voix haute quelle carte réseau la possède, et fait confiance à la première réponse reçue. Ce mécanisme, appelé ARP, tourne en permanence et sans bruit sur tous les réseaux d'entreprise — et personne ne vérifie jamais qui a réellement répondu.
L'ARP Spoofing, aussi appelé empoisonnement de cache ARP, exploite directement cette confiance aveugle : un attaquant présent sur le même segment répond à la place de la passerelle légitime, et détourne ainsi vers sa propre machine tout le trafic destiné à la victime. Comme le DNS Spoofing, ce n'est pas une faille corrigeable par un correctif : c'est une conséquence directe de la conception du protocole ARP, qui ne prévoit aucune authentification des réponses.
Sur un réseau commuté, l'ARP Spoofing est la porte d'entrée classique vers une position d'interception : une fois le cache ARP de la victime et de la passerelle empoisonné, l'attaquant voit passer l'ensemble du trafic, peut le lire, le modifier ou le rejouer. C'est le socle de la plupart des attaques de l'homme du milieu menées en interne.
Cet article détaille le mécanisme technique de l'ARP Spoofing, les conditions nécessaires à son exploitation, la manière dont l'équipe Piirates l'utilise lors de ses missions de test d'intrusion, la méthodologie de détection appliquée en mission, et les contre-mesures qui permettent d'en réduire durablement l'impact.
L'essentiel en 30 secondes
Classification : MITRE ATT&CK T1557.002 (ARP Cache Poisoning), sous-technique de l'Adversary-in-the-Middle.
Prérequis attaquant : une simple présence sur le même segment réseau que la cible. Aucune faille logicielle à exploiter.
Ce qu'il rend possible : capture et modification du trafic, puis enchaînement vers un DNS Spoofing ou un relais d'authentification NTLM.
Ce qui l'arrête : Dynamic ARP Inspection, DHCP Snooping, segmentation stricte et chiffrement de bout en bout. Jamais une mesure seule.
Chez Piirates : exploité en pentest d'infrastructure interne pour mesurer l'impact d'un réseau plat et la capacité de détection réelle.
L'ARP Spoofing, ou empoisonnement de cache ARP, désigne l'ensemble des techniques permettant à un attaquant de falsifier les entrées de la table ARP des machines d'un réseau local, afin d'associer sa propre adresse MAC à l'adresse IP d'un autre équipement, typiquement la passerelle par défaut. Contrairement à une vulnérabilité logicielle ponctuelle, l'ARP Spoofing exploite une caractéristique structurelle du protocole ARP (Address Resolution Protocol), défini en 1982 : il ne prévoit aucun mécanisme d'authentification, et une machine accepte les réponses ARP même lorsqu'elle n'a émis aucune requête.
Le MITRE ATT&CK référence cette technique sous l'identifiant T1557.002 (ARP Cache Poisoning), rattachée à la technique parente T1557 (Adversary-in-the-Middle), qui couvre le détournement des protocoles de résolution réseau pour positionner un attaquant entre deux systèmes communicants. L'ARP Spoofing est ainsi le mécanisme de mise en position d'interception le plus courant sur un réseau local commuté.
Cet article détaille le mécanisme technique de l'ARP Spoofing, les conditions nécessaires à son exploitation, la manière dont l'équipe Piirates l'utilise dans le cadre de ses missions de test d'intrusion, la méthodologie de détection appliquée en mission, et les mesures de défense qui permettent d'en réduire durablement l'impact.
1. L'ARP Spoofing, une faiblesse aussi ancienne que le réseau local commuté, toujours d'actualité
Le protocole ARP assure une fonction indispensable sur un réseau local : traduire une adresse IP en adresse MAC, l'identifiant physique de la carte réseau, seul niveau auquel les trames circulent réellement sur un segment Ethernet. Quand une machine veut joindre une adresse IP de son sous-réseau, elle diffuse une requête ARP demandant quelle carte possède cette adresse, et met en cache la réponse reçue.
La faiblesse est structurelle : le protocole ne vérifie ni l'origine ni la légitimité d'une réponse ARP. Une machine accepte et met en cache une réponse même si elle n'a jamais émis la requête correspondante, un comportement connu sous le nom de gratuitous ARP. Un attaquant présent sur le segment peut donc envoyer en continu de fausses réponses affirmant que l'adresse IP de la passerelle correspond à sa propre adresse MAC, forçant la victime à lui adresser tout son trafic sortant.
Cette faiblesse est documentée depuis les années 1990 et n'a jamais perdu de sa pertinence. Les réseaux locaux d'entreprise restent très majoritairement commutés sans protection ARP active, et un simple accès au réseau, une prise réseau accessible, un poste compromis ou un point d'accès Wi-Fi mal cloisonné, suffit à un attaquant pour se positionner. Tant que cette configuration reste la norme, l'empoisonnement de cache ARP demeure un vecteur d'attaque pleinement opérationnel, et seul un test d'intrusion mené en conditions réelles permet de vérifier si le réseau interne y résiste.
Toutes nos missions sont spécifiques
Parce que vos enjeux le sont !
Le test d'intrusion est avant tout une philosophie qui, couplé avec nos compétences techniques multiples peut s'adapter aux différentes cibles.
2. Comment fonctionne une attaque d'ARP Spoofing : mécanisme technique
Une attaque d'ARP Spoofing vise toujours le même objectif : faire croire à une ou plusieurs machines du réseau local que l'adresse MAC de l'attaquant est celle d'un autre équipement, afin de recevoir un trafic qui ne lui est pas destiné. Le déroulement suit généralement les mêmes étapes.
Découverte du segment réseau. L'attaquant identifie d'abord les machines présentes sur le sous-réseau, leur adresse IP et leur adresse MAC, ainsi que l'adresse de la passerelle par défaut. Cette cartographie repose sur des requêtes ARP légitimes et l'observation du trafic de diffusion, sans rien émettre d'anormal à ce stade.
Empoisonnement bidirectionnel des caches ARP. L'attaquant envoie ensuite de fausses réponses ARP à la victime, affirmant que l'adresse IP de la passerelle correspond à sa propre adresse MAC, et symétriquement de fausses réponses à la passerelle, affirmant que l'adresse IP de la victime correspond elle aussi à son adresse MAC. Les deux extrémités mettent à jour leur cache et adressent désormais leur trafic à l'attaquant. Cet empoisonnement doit être rafraîchi en continu, car les entrées ARP légitimes finissent par réécraser les fausses.
Relais du trafic et position d'interception. Pour rester invisible, l'attaquant active le routage sur sa machine et relaie le trafic entre la victime et la passerelle. La communication continue de fonctionner normalement du point de vue de la victime, mais chaque paquet transite désormais par l'attaquant, qui se trouve en position d'homme du milieu.
Exploitation de la position obtenue. À partir de cette position, l'attaquant peut capturer le trafic en clair, tenter de casser le chiffrement faible, injecter ou modifier des paquets, rediriger la victime, ou enchaîner sur d'autres techniques comme le DNS Spoofing pour renforcer le détournement. L'ARP Spoofing n'est presque jamais une fin en soi : c'est le point d'appui qui rend possibles les attaques suivantes.
Variantes proches sur le même principe. Le MAC flooding, qui sature la table d'adresses du commutateur pour le forcer à diffuser le trafic à tous les ports, et le port stealing poursuivent le même but d'interception par abus du plan de commutation, avec des mécanismes distincts.
3. Conditions nécessaires à l'exploitation
L'ARP Spoofing ne fonctionne pas dans n'importe quel contexte. Plusieurs conditions doivent être réunies pour qu'un empoisonnement de cache ARP aboutisse.
Une présence sur le même segment de diffusion que la victime. ARP est un protocole de niveau 2 dont la portée se limite au domaine de diffusion. L'attaquant doit donc se trouver sur le même VLAN que sa cible : via une prise réseau physique, un poste compromis, une machine virtuelle sur le réseau, ou un accès Wi-Fi rattaché au même segment.
L'absence de protections au niveau du commutateur. Le Dynamic ARP Inspection (DAI), couplé au DHCP Snooping, vérifie la cohérence des réponses ARP par rapport aux baux DHCP légitimes et bloque les réponses falsifiées. En son absence, le commutateur relaie sans contrôle les fausses associations IP-MAC.
Un réseau insuffisamment segmenté. Un réseau plat, où postes de travail, serveurs et équipements sensibles partagent le même VLAN, offre une surface d'interception étendue. Une segmentation stricte réduit le nombre de cibles atteignables depuis une position donnée.
L'absence de chiffrement de bout en bout. L'ARP Spoofing donne accès au trafic, mais son impact réel dépend de ce que ce trafic révèle. Des protocoles en clair ou mal protégés exposent directement des identifiants et des données. Un chiffrement de bout en bout correctement validé, avec vérification stricte des certificats, limite la portée de l'interception, même si l'attaquant voit passer les paquets.
4. Comment Piirates utilise l'ARP Spoofing en mission de pentest
L'ARP Spoofing occupe une place précise dans la méthodologie de test d'intrusion de Piirates, en particulier lors des missions de pentest d'infrastructure interne et des campagnes de red team simulant un attaquant déjà positionné sur le réseau de l'entreprise.
Démonstration de l'impact d'un réseau plat. Lorsqu'un client souhaite évaluer la robustesse de son architecture réseau, nos pentesters utilisent l'ARP Spoofing pour démontrer concrètement qu'un simple accès à une prise réseau ou un poste compromis sur un segment insuffisamment cloisonné permet d'intercepter le trafic d'autres collaborateurs, sans qu'aucune alerte ne soit levée par défaut.
Un point d'appui vers l'interception et le vol d'identifiants. La position d'homme du milieu obtenue par ARP Spoofing est le socle des attaques de l'homme du milieu que nous rejouons : capture d'authentifications réseau, relais de protocoles, et récupération de secrets qui alimentent ensuite l'exploitation. Ces identifiants recueillis en clair ou par relais peuvent conduire à l'extraction de credentials plus sensibles, une étape que nous documentons par exemple dans notre analyse de l'exploitation de DPAPI.
Un tremplin vers la compromission de l'Active Directory. Sur un domaine Windows, l'interception réseau ouvre la voie aux attaques de relais d'authentification NTLM, un enchaînement que nos équipes exploitent régulièrement lors d'un pentest Active Directory, où le détournement du trafic devient le point de départ d'une élévation de privilèges vers le contrôleur de domaine.
Évaluation de la capacité de détection de l'organisation. Au-delà de la faisabilité technique, l'enjeu principal d'une mission intégrant de l'ARP Spoofing est d'évaluer si l'organisation cliente est en mesure de détecter une activité d'empoisonnement de cache ARP sur son réseau, via ses outils de supervision, son EDR, ou ses équipes internes.
Un usage strictement encadré contractuellement. Cette technique n'est jamais mise en œuvre par Piirates en dehors du périmètre et de la fenêtre temporelle définis contractuellement avec le client. Le déroulé exact des scénarios, les outils utilisés et les preuves de concept précises sont documentés dans le rapport de mission remis au client, mais ne sont jamais publiés ni partagés en dehors de ce cadre contractuel strict.
5. Méthodologie de détection en mission
Détecter une tentative d'ARP Spoofing suppose de surveiller des signaux spécifiques, à la fois réseau et système.
Détection des incohérences dans les tables ARP. Le signal le plus direct est une même adresse MAC associée à plusieurs adresses IP, ou une adresse IP dont la MAC change anormalement souvent. La surveillance des entrées ARP des équipements réseau et des postes permet de repérer ces anomalies.
Surveillance des réponses ARP non sollicitées. Un volume anormal de réponses ARP gratuites, ou des réponses ne correspondant à aucune requête émise, constitue un indicateur classique d'empoisonnement en cours. Des outils de supervision réseau dédiés savent lever une alerte sur ce comportement.
Corrélation avec les journaux du commutateur. Lorsque le DHCP Snooping et le Dynamic ARP Inspection sont activés, les réponses ARP incohérentes rejetées par le commutateur sont journalisées et constituent une preuve directe de tentative d'empoisonnement.
Détection d'un enchaînement vers d'autres techniques. Un ARP Spoofing précède souvent un DNS Spoofing ou un relais NTLM. La corrélation des anomalies ARP avec les journaux d'authentification s'inscrit dans une démarche plus large de supervision de l'Active Directory, où le détournement réseau apparaît comme le premier maillon d'une chaîne d'attaque.
Corrélation des alertes réseau et EDR. Nos pentesters recommandent systématiquement une corrélation entre les alertes réseau (ARP, DHCP) et les événements remontés par l'EDR sur les postes, car un empoisonnement ARP isolé génère rarement une alerte suffisamment explicite à elle seule.
6. Contre-mesures
Activer le Dynamic ARP Inspection et le DHCP Snooping sur l'ensemble des commutateurs, afin de vérifier la légitimité des réponses ARP et de bloquer les associations IP-MAC falsifiées.
Segmenter strictement le réseau interne en VLANs cohérents, afin de limiter la portée d'un empoisonnement de cache ARP à un segment restreint plutôt qu'à l'ensemble du système d'information.
Recourir à des entrées ARP statiques pour les équipements critiques, notamment les passerelles et serveurs sensibles, afin qu'une fausse réponse ARP ne puisse pas réécraser leur association légitime.
Chiffrer les communications de bout en bout avec une validation stricte des certificats (HSTS, certificate pinning), pour que la sécurité des échanges ne dépende pas de l'intégrité de la couche réseau.
Contrôler l'accès physique et logique au réseau via le contrôle d'accès au réseau (802.1X), afin d'empêcher qu'une prise ou un poste non autorisé rejoigne un segment sensible.
Aucune de ces mesures ne suffit isolément à éliminer le risque d'ARP Spoofing. C'est leur combinaison, associée à une supervision réseau active, qui permet de réduire durablement la surface d'exploitation de cette technique. C'est exactement la logique qu'applique l'équipe Piirates lors d'un test d'intrusion sur votre infrastructure interne, en priorisant les correctifs selon leur effet réel sur la chaîne d'attaque.
Votre réseau interne résiste-t-il vraiment à une interception ARP ?
Ce que nous ne faisons pas
(Liste non exhaustive)
Piratage de boite mail
Piratage comptes réseaux sociaux
Espionnage
Exfiltration de sms
Récupération de Cryptomonnaies
Prise en main à distance de véhicules
Suivi GPS de véhicule
Envoyez nous un ping
L'ARP Spoofing, ou empoisonnement de cache ARP, consiste à falsifier les associations entre adresses IP et adresses MAC sur un réseau local afin de détourner le trafic d'une victime vers une machine contrôlée par l'attaquant. Il exploite l'absence d'authentification du protocole ARP, qui accepte des réponses même non sollicitées.
L'ARP Spoofing agit au niveau 2 du réseau local en falsifiant la correspondance IP-MAC pour intercepter le trafic. Le DNS Spoofing agit au niveau de la résolution de noms pour rediriger un domaine vers une mauvaise adresse IP. L'ARP Spoofing sert souvent de préalable au DNS Spoofing, en donnant d'abord la position d'interception nécessaire.
Oui. Tant qu'un réseau local reste commuté sans Dynamic ARP Inspection, sans DHCP Snooping et sans segmentation stricte, l'empoisonnement de cache ARP reste pleinement exploitable. C'est l'une des techniques d'interception les plus fiables sur un réseau interne d'entreprise.
Nos pentesters utilisent l'ARP Spoofing, dans un cadre contractuel strict, pour démontrer l'impact d'un réseau plat, se placer en position d'homme du milieu, capturer des identifiants, et évaluer la capacité de détection de l'organisation. Cette technique s'intègre à nos missions de pentest interne.
En combinant Dynamic ARP Inspection et DHCP Snooping sur les commutateurs, segmentation stricte en VLANs, entrées ARP statiques pour les équipements critiques, contrôle d'accès réseau 802.1X, et chiffrement de bout en bout avec validation des certificats. Un audit de cybersécurité permet de vérifier que ces protections sont réellement en place et efficaces.
ARP Spoofing : comment l’empoisonnement de cache ARP place un attaquant en interception sur un réseau local.
