Les cyberattaques sont des actes criminels délibérément commis par des pirates informatiques, voire des organisations criminelles.
Une attaque de hackers est accomplie toutes les…39 secondes !
(source : informatiquenews.fr).
Au cours des dernières années, les attaques informatiques se sont multipliées de manière exponentielle. Et cette tendance risque de s’aggraver avec le développement de l’IoT (Internet des objets), responsable de l’accroissement exponentiel du volume de données (big data).
D’après son 1er rapport d’activité 2019, Cybermalveillance.gouv.fr : le nombre de victimes de cyberattaques a augmenté de 210% (particuliers inclus).
Concernant les entreprises, collectivités et associations, 23% de l’assistance de cybermalveillance concerne le phishing. L’hameçonnage reste donc la menace prédominante. Et 16% sur le piratage de compte.
Le rapport du CESIN indique que 65% des entreprises françaises ont déclaré une cyberattaque en 2019 contre 80% en 2018. Toutefois, 57% de ces cyberattaques ont provoqué de graves conséquences sur leur activité : arrêt de la production, site web hors service, retard sur la livraison et, par conséquent, perte financière.
Selon La Tribune, la moitié des organisations révèle avoir été victime d’au moins 4 cyberattaques sur l’année 2019. RSM (réseau mondial d’audit) témoigne également de la vulnérabilité de grandes entreprises européennes : 39% admettent avoir été touchées par ce fléau et 3/4 de ces cyberattaques n’ont pas été rendues publiques.
Le CESIN s’accorde avec Cybermalveillance.gouv.fr sur le fait que le phishing ou spear phishing reste en tête des cyberattaques les plus répandues, avant l’arnaque au Président. Et pour cause : 1 utilisateur sur 3 ouvre un e-mail de phishing. 79% des entreprises françaises ont, en effet, signalé avoir été victime d’hameçonnage. 47% victime d’Arnaque au Président en 2019. (source : statista.com).
La motivation des attaquants varie. Une étude menée par Wavestone, en octobre 2019, indique que 43% des pirates informatiques sont motivés par l’appât du gain. Plus d’⅓ sont des cyberattaques par rançongiciel. Une étude que confirme les chiffres de ZDNet : “2019 a été une année record en terme de cyberattaques sur les cryptomonnaies”. Les hackers auraient volé plus de 283 millions de dollars de devises dont plus de 6,6 millions de dollars en paiements de ransomware. Un chiffre, selon Chainalysis, “sous-estimé”.
Les autres incidents sont le vol de données (34%) et la volonté de nuire à l’image (4%). 15% des motifs de cyberattaques restent indéterminés. (source : l’Usine Digitale). Enfin l’étude de Wavestone révèle qu’une intrusion n’est en moyenne détectée qu’au bout de 167 jours (6 mois). L’une des entreprises interrogées n’a d’ailleurs découvert une intrusion qu’au bout de 6 ans !!
Les dirigeants ont conscience de cette problématique, en constante évolution. 41% estiment le risque cyber comme le 1er risque couru par leur entreprise. Néanmoins, les stratégies mises en oeuvre en terme de cybersécurité ne correspondent pas aux inquiétudes. De plus, elles ne concernent bien souvent que l’aspect technique.
Cela ne suffit plus !
Avec l’accroissement des cyberattaques et le renforcement de la réglementation (RGPD), les entreprises doivent faire preuve de transparence en matière de vol ou fuite de données à caractère personnel.
Une étude menée par ProofPoint (source maddyness.com) révèle que pour 48% des cadres interrogés, les failles humaines figurent parmi les trois principaux facteurs d’attaques. Les hackers attaquent notamment via les clients (48%), leurs employés (43%) et les travailleurs temporaires (38%). La famille, en 6e position des failles de sécurité, prouve que le problème ne se limite pas à la sphère professionnelle. De ce fait, l’étude présente également les solutions envisagées. Parmi les process proposés par les dirigeants et cadres engagés, celui de “renforcer l’information sur les enjeux liés à la sécurité” ressort. L’efficacité des formations des collaborateurs pour les impliquer et mieux les responsabiliser est, par ailleurs, soulignée.
De nombreux canaux permettent de les propager : ordinateurs, tablettes, téléphone portable, consoles de jeux, réseaux ou infrastructures, clés USB “égarées”…mais aussi : le télétravail.
Récemment le confinement lié à la pandémie de coronavirus a précipité la mise en place du télétravail massif. Sans scrupule, les hackers ont profité de la soudaineté de la situation pour perpétrer leurs méfaits de façon plus virulente. En effet, selon siecledigital.fr, sur 200 organisations interrogées, 24% affirment que des frais imprévus, liés aux incidents de cybersécurité, ont été engagés. Pendant cette période, cybermalveillance.gouv.fr a vu sa fréquentation augmenter de 300% (source : LaCroix). En effet, le télétravail s’avère un terreau fertile pour les cyberattaques. D’autant plus que employés ne disposent pas toujours d’ordinateurs portables professionnels. Obligés d’utiliser leur matériel personnel, les pirates exploitent les failles potentielles techniques liées à l’environnement de travail du salarié :
Mais aussi le manque d’expérience des utilisateurs peu ou pas préparés à ce mode travail.
Effectivement, mettre en place le télétravail ne consiste pas simplement à apporter son ordinateur professionnel à la maison mais aussi à :
Quelque soit le domaine, les enjeux sont conséquents : le big data, l’argent sont les principales motivations des fraudeurs. Toutes les organisations quels que soient leur taille et secteur sont concernées.
…et la liste reste non exhaustive !
Les e-mails frauduleux sont le moyen le plus répandu pour lancer une cyberattaques. Ils sont composés le plus souvent de pièces jointes et/ou liens corrompus cachant un site web ou un logiciel malveillant (malware). Ce type de menace est également le vecteur privilégié pour lancer un phishing ou une cyberattaque par rançongiciel.
Certains encarts publicitaires cachent en réalité un site web ou un lien frauduleux, lesquels sont truffés de malwares.
Mal ou peu protégés, les ordinateurs et serveurs d’une organisation peuvent être le point d’entrée de logiciels malveillants.
Internet est truffé de pièges. Par exemple, une cyberattaque Watering Hole permet de cibler précisément les utilisateurs en compromettant les sites web qu’ils consultent régulièrement. Souvent associé au phishing, il s’agit de piéger la victime par la ruse, en espionnant ses habitudes de navigation par ingénierie social.
Les applications frauduleuses sont un réel danger pour les téléphones, tablettes et, par conséquent, les données. Connectés aux ordinateurs, ces programmes malveillants sont de véritables menaces pouvant introduire un malware.
Les bornes non sécurisées (wifi gratuit dans les lieux publics par exemple) permettent aux hackers de lancer facilement leurs cyberattaques.
Ces objets peuvent être détournés pour lancer, par exemple, des cyberattaques de type déni de service au sein d’un open space.
Elle reste l’un des outils privilégiés des pirates informatiques. Discrète, accessible, le hacker “égare”, par exemple, plusieurs clés USB au sein d’une organisation. Cette technique s’appuie sur le manque de vigilance et la curiosité des utilisateurs. Une fois connectée sur leur ordinateur, la clé USB lance alors un malware dans le réseau informatique.
Si un des maillons de la chaîne est mal protégé, il peut rapidement devenir facteur de cyberattaques pour l’écosystème.
Une pratique répandue consiste à usurper l’identité d’un supérieur hiérarchique pour lancer, par exemple, une cyberattaque de type “fraude au président”. De nombreuses informations circulent sur le web via les réseaux sociaux par exemple. Il est, par conséquent, aisé pour les hackers de se faire passer pour une personne, après avoir mené leurs investigations.
Le gouvernement a répertorié les cyberattaques en 4 catégories : cybercriminalité, atteinte à l’image, espionnage et sabotage.
Perte financière (suite, en outre, à un rançongiciel), arrêt de l’activité, de la production, dégradation de l’image et de la réputation, perte de confiance. Mais aussi vol ou extorsion de données, usurpation d’identité…Une cyberattaque génère toujours une crise sur les plans juridique, financier et réputationnel.
Les conséquences sont toujours néfastes et peuvent, dans le pire des cas, conduire au drame : mise en péril de la pérennité de l’organisation, réclamations, poursuites…faillite !
Vous êtes Responsable Informatique, DSI, RSSI, DPO ? Votre fonction est liée à la gestion des risques ? Des solutions existent :
En matière de sécurité, la CNIL préconise de “faire prendre conscience à chaque utilisateur des enjeux en matière de sécurité et de vie privée”.
En effet, impliquer l’Homme dans sa stratégie de cybersécurité consiste à prendre conscience que les êtres humains sont tout aussi importants que les technologies.
Formez vos collaborateurs à la cybersécurité, aux bonnes pratiques.
Par ailleurs, 80% des cyberattaques ont pour origine un e-mail de phishing qu’un individu ouvrira par inadvertance. La prévention auprès des utilisateurs pour réduire le nombre de cas d’hameçonnage revêt donc un caractère stratégique.
Organisez une campagne de sensibilisation pour se protéger du phishing.