AVIS D’EPXERT – Pour Lavi Lazarovitz, Head of Security Research au CyberArk Labs, l’année 2023 sera encore plus riche en cyber-risques et en défis, mais il anticipe également qu’elle sera la source d’opportunités inédites pour les défenseurs. Il identifie six tendances majeures .
La protection de la vie privée renforcée grâce au Web3 sur la blockchain
Aujourd’hui, plus de quatre consommateurs sur dix selon une étude de Cisco se sentent incapables de protéger leurs données personnelles, et nombreux sont ceux qui ont pris des mesures en conséquence. Ce mouvement généralisé, en faveur d’une plus grande transparence des données et d’un contrôle personnel accru, ne fera que s’amplifier en 2023. Il accélérera ainsi la dynamique mondiale du Web3 (alias Web 3.0), un nouveau type de service internet, construit à l’aide de blockchains, qui décentralisera l’infrastructure technologique. Toutefois, cette approche étendra aussi la surface d’attaque des applications financières de manière significative, et les pratiques de sécurité tarderont à évoluer dans ces nouveaux domaines. Les cybercriminels ne manqueront pas d’en profiter pour cibler les échanges de cryptomonnaies et les ponts vulnérables, reliant la blockchain au reste du réseau. En 2022, des hackers avaient notamment utilisé cette méthode contre le réseau Ronin, pour voler 615 millions de dollars.
La multiplication des attaques contre les infrastructures critiques à cause des tensions géopolitiques
Cette tendance, déjà observée en 2022, pourra être exacerbée par la poursuite du conflit en Ukraine. Certains groupes criminels intensifieront leurs attaques pour réaliser d’importants gains et devraient s’intéresser en priorité aux infrastructures décentralisées. Aussi, alors que l’Europe de l’Est se prépare à un hiver difficile et que les températures chutent, les attaques contre les établissements clés se multiplieront pour faire augmenter encore plus les prix mondiaux de l’énergie.
Le recours aux anciennes méthodes d’attaque
Depuis le séisme provoqué par la découverte de la vulnérabilités Log4j, de nombreux experts estiment qu’une nouvelle vague d’attaques est inévitable. Toutefois, le prochain évènement majeur sera différent d’une offensive Zero-Day massive, et les acteurs malveillants auront recours à d’autres moyens pour infiltrer les organisations et atteindre leurs cibles de manière latérale. En effet, les vulnérabilités Zero-Day dépassent désormais les 10 millions de dollars sur le darknet et autres marketplaces du genre. Il est peu probable que les cybercriminels veuillent dépenser de telles sommes pour ce type d’attaque, alors que des pratiques plus classiques et éprouvées telles que le phishing, le vol d’identifiants et l’ingénierie sociale leur reviennent beaucoup moins cher.
La vulnérabilité des cookies
La plupart des entreprises demandent désormais à leurs utilisateurs de passer par l’authentification multifactorielle (MFA). Celle-ci implique une vérification secondaire en plus de la combinaison nom d’utilisateur/mot de passe, ainsi qu’une sécurité renforcée. Cependant, bien que la MFA consolide les barrières d’une organisation, les hackers ont maintenant plus de facilité à s’emparer des cookies de sessions Web, qui donnent accès à des applications tierces. Cette vulnérabilité leur permet de contourner l’authentification primaire et les systèmes MFA, et ainsi de détourner les comptes. Si les organisations continuent d’adopter davantage d’applications SaaS (software-as-a-service) et de les rassembler sur les navigateurs, alors les cookies de session deviendront encore plus critiques et vulnérables. Avec la popularité croissante de Genesis Store et d’autres marketplaces spécialisées dans le vol de cookies de session, les acteurs malveillants chercheront des moyens pour automatiser et étendre ces attaques de détournement de session en vue de booster leurs revenus en 2023.
Une lueur d’espoir à l’ère de la commercialisation généralisée des identifiants
La commercialisation généralisée des informations de connexion rendra l’année 2023 particulièrement propice aux aspirants à la cybercriminalité. Les pirates en herbe, dépourvus de toute compétence IT, pourront accéder à une place de marché et remplir leur panier de données à bas prix tels que des identifiants et des cookies volés, ou même acheter des ransomware et des kits de phishing prêts à l’emploi. Plus aucun effort ne sera requis. Dans cet environnement, les systèmes à authentification multifactorielle ne suffiront plus. Toutefois, les équipes de sécurité qui adopteront une approche de défense en profondeur, pourraient faire pencher la balance en leur faveur. En effet, de nombreux cybercriminels pressés de s’enrichir, commettront des erreurs de débutant ou feront trop de bruit sur le réseau, ce qui fera échouer leurs plans. Si un hacker envoie un grand nombre de demandes d’autorisations consécutives, par exemple, la tentative d’intrusion sera enregistrée dans les systèmes de l’organisation ciblée, ce qui ne manquera pas de déclencher des signaux d’alarme.
Les crédits carbone, vecteurs d’attaques de plusieurs millions de dollars
Suite à la COP27, les pirates opportunistes vont redoubler d’efforts pour manipuler le marché, encore faiblement réglementé, de la compensation carbone volontaire. En effet, les crédits carbone seront de plus en plus populaires auprès des entreprises et des gouvernements qui cherchent à réduire leurs émissions ou à compenser leur production polluante. Ainsi, les stratagèmes visant à voler ou à vendre des droits d’échange d’émissions vont se multiplier au cours des 12 prochains mois, car ils seront susceptibles de rapporter des millions de dollars aux cybercriminels.
Si certaines tendances pour 2023 sont de bon augure pour la sécurisation des données critiques, les organisations devront poursuivre leurs efforts sans relâche pour revoir et renforcer leurs stratégies de défense, et faire face à de nouvelles menaces. La décentralisation de l’infrastructure technologique, qui pourrait engendrer des vulnérabilités exploitables par les cybercriminels, constituera un risque important pour les entreprises. Par ailleurs, les défis politiques émergents, tels que les crédits carbones ou la cyber-guerre Russo-Ukrainienne, ouvriront la voie vers des vecteurs d’attaques inconnus. Il est ainsi essentiel qu’en 2023 les entreprises tiennent compte de ces dangers et changements perpétuels dans leurs approches de sécurité pour assurer la pérennité de leurs activités.
