Accessible, offerte ou prêtée, la clé USB est devenu un petit dispositif de stockage du quotidien. Elle existe sous différentes formes et différentes capacités de stockage. En “goodies” personnalisable, elle peut même devenir un objet de communication. Légère, portable et mobile, celle-ci tient même dans la poche ! Utilisée pour stocker et transporter les données (documents, photos, etc), la clé USB n’en demeure pas moins fragile et facilement égarable. De plus, son usage étant massivement répandu, elle fait partie des “gadgets” privilégiés des hackers pour piéger les individus et organisations. La clé USB est un vecteur d’attaque qui arrive deuxième du classement des cybermenaces les plus dangereuses (source : Orange.fr. )
La clé USB, outil de prédilection des hackers ?
La clé USB en chiffres
Dans le rapport DG Data Trends (étude menée entre le 1er janvier au 15 avril 2020), Digital Guardian alerte sur l’augmentation de l’usage des clés USB. En effet, le volume de données sauvegardées sur des clés USB a augmenté de 123%. (source : IT Social)
A savoir :
30% des infections ont pour origine des supports USB (clés, câbles…).
Le dernier rapport d’Honeywell indique par ailleurs que “40% des clés USB contiendraient au moins un dossier présentant des risques”. (source : stormshield.com).
Concernant le cadre professionnel :
90% d’employés utilisent des clés USB. 80% d’entre eux utilisent des clés non chiffrées.
Parmi ces salariés, 87% des personnes interrogées reconnaissent ne pas avoir révélé la perte d’une clé USB utilisée dans le cadre professionnel. (source : les echos “savoir dire non aux clés USB”).
Par ailleurs, de nombreux collaborateurs négligents continuent de connecter des clés USB provenant de l’extérieur sur leurs ordinateurs professionnels.
Sans compter le nombre d’endroits peu ou pas sécurisés où des clés USB “traînent” et sont, de ce fait, facilement accessibles. (tiroirs de bureaux, bureaux, banettes de rangement…).
Quelques exemples de clés USB “piégées”
La clé “perdue” : la clé semble avoir été oubliée. Elle peut également être “égarée” dans la rue, “distribuée” dans les boîtes aux lettres ou, plus sournoisement, “offerte” lors d’un événement ou conférence. Déposée sur le coin d’un bureau, près de la machine à café, le but est d’attirer votre attention. Poussé par la curiosité (et potentiellement l’envie de profiter d’une clé de 32 Go !!), l’utilisateur décide de se l’approprier. Il la connecte, par exemple, sur son poste de travail afin d’examiner son contenu…mais rien ne se passe. Quelques jours plus tard, le drame arrive : il reçoit un e-mail dans lequel une personne mal intentionnée lui dévoile avoir piraté ses mots de passe, coordonnées bancaires et récupéré ses données…et tout cela en arrière plan, de manière invisible.
En réalité, cette clé USB était une clé Rubber Ducky, également utilisée en Pentesting pour tester les failles de sécurité. Sa particularité est d’exécuter un keylogger qui va se comporter comme un clavier. Le hacker, par son intermédiaire, peut saisir toutes sortes de scripts à exécuter sur l’ordinateur “victime”.
La clé “Killer” : Une fois insérée dans le port USB, cette clé déclenche une décharge électrique fatale. Tout appareil (ordinateur, smartphone) est donc grillé, anéanti en quelques secondes.
La clé “Rootkit” s’exécute automatique dès lors qu’elle est connectée pour “aspirer” tous les mots de passe stockés sur un ordinateur.
La Clé Backdoor permet de prendre le contrôle à distance d’un PC sous système Windows.
USB Phoning Home est une clé qui vole toutes les données en toute transparence.
et la liste reste non exhaustive…
Quels sont les conséquences liées à l’utilisation des clés USB ?
Certaines clés USB peuvent contenir un malware ou un message frauduleux dont l’objectif est d’infecter votre ordinateur puis l’ensemble du réseau informatique de votre organisation.
Les conséquences peuvent être dramatiques :
- Vol de données, de mots de passe
- Prise de contrôle à distance
- Arrêt des systèmes
- Usurpation d’identité
- Espionnage
- Destruction complète de votre ordinateur, voire du système informatique
Les organisations sont garantes du RGPD. Rappelons qu’en cas de non-respect du règlement, la CNIL peut “santionner un responsable de traitement qui n’a pas pris les mesures nécessaires”.
Les utilisateurs peu vigilants ou négligents ?
Exemple de l’expérience des chercheurs de Google :
Ces chercheurs ont volontairement “abandonné” 300 clés USB sur un campus américain (Illinois et Michigan) : sur 98% de clés ramassées par des étudiants, 48% d’entre elles avaient été connectées dans un ordinateur. Les deux principales raisons invoquées : retrouver le propriétaire de la clé USB et la curiosité. (source : les echos).
Que faire si un utilisateur a branché une clé USB malveillante ?
Il doit :
- Verrouiller la session de son ordinateur.
- Déconnecter son poste rapidement du réseau et/ou débrancher le câble ethernet.
- Avertir son responsable et/ou le Service Informatique.
Utiliser des Clés USB : quelles mesures prendre ?
- Configurez un mot de passe pour les fichiers et/ou dossiers que vous sauvegardez sur la clé USB.
- Procurez-vous une solution permettant de chiffrer les clés USB.
- Restreignez ou interdisez l’usage les clés USB en configurant les paramètres de l’ordinateur.
- Désactivez les fonctions Autorun et l’Autoplay (exécution automatique d’un lecteur) de votre ordinateur.
- Utilisez des clés biométriques, dont la sécurité repose sur la reconnaissance digitale.
- Equipez votre organisation d’une “station blanche” (station de décontamination), poste spécifique et isolé du parc informatique pour analyse complète des clés USB.
Tester vos collaborateurs à l’usage des supports externes avec le nouvel outil mis en place par Avant de Cliquer !
Munissez-vous d’une clé USB neuve achetée dans le commerce ou déjà en votre possession. L’équipe d’Avant de Cliquer met à votre disposition un document intelligent qui prendra l’apparence d’un simple fichier sur votre clé. À vous de déposer votre clé USB sur un lieu de passage, salle de pause, cafétéria …
Il n’y a plus qu’à attendre !
Lorsque un fichier est ouvert, l’utilisateur est informé qu’il s’agit d’un test et une notification vous est adressée directement.
Pour privilégier de cette nouveauté contactez-nous.
Enfin, avant toute chose, formez vos collaborateurs aux bons gestes informatiques à adopter au quotidien. Sensibilisez-les notamment aux risques liés à l’utilisation de supports USB et particulièrement aux clés.
Rappelez-leur que toute clé extérieure à votre organisation – offerte, trouvée, prêtée ou provenant de leur sphère privée – ne doit jamais être connectée. En cas de doute, ils ne doivent ni la conserver ni la jeter dans n’importe quelle poubelle. (pour éviter qu’une autre personne ne la trouve et risque de la brancher à son tour). Conseillez leur de remettre cette clé à un expert informatique (de leur entourage professionnel ou sphère privée).