Pas un jour en entreprise sans un incident de sécurité ! Les experts que nous avons interrogés pointent leur nette augmentation, en volume et en fréquence, ainsi que leur sophistication. Le point.
Pour Jean-Michel Orozco, directeur général cyber-sécurité chez Airbus Defence and Space, « l’espionnage, c’est tous les jours. Des attaques dérobent des informations vitales comme la boîte mail des dirigeants, des offres commerciales stratégiques, etc. ». Et d’ajouter : « 371 jours, c’est la durée moyenne qui sépare le début d’une attaque du jour de sa découverte, souvent par hasard. Vous imaginez la quantité des informations recueillies en 371 jours, cela peut être fatal pour l’entreprise ! » Voilà une bonne entrée en matière : une entreprise, quel que soit son secteur d’activité, est aujourd’hui confrontée à des tentatives d’attaques de plus en plus nombreuses, fréquentes et sophistiquées.
Tous les secteurs d’activité sont concernés
Dans le dernier rapport mondial réalisé sur la sécurité par Deloitte (« Global Cyber Executive Briefing »), le cabinet d’analyses identifie les principales menaces numériques pour l’entreprise dans sept secteurs clés : technologies IT, médias en ligne, télécommunications, commerce électronique et paiement en ligne, assurance, industrie et commerce de détail. L’étude revient sur le potentiel d’attaques, leurs raisons, les scénarios possibles et les incidences probables sur l’activité. « On a tendance à croire que les cyber-attaques ciblent uniquement des secteurs spécifiques. Or, en réalité, toute entreprise possédant des données est en danger. Aucun secteur n’est à l’abri », souligne Marc Ayadi, associé responsable IT Advisory chez Deloitte.
Le secteur des technologies IT est, selon le cabinet d’études, le plus vulnérable avec des risques de perte de propriété intellectuelle et l’hacktivisme. En ce qui concerne les médias en ligne, leur contenu numérisé en fait des cibles très fortement exposées aux cyber-menaces. La motivation première étant le vol de contenu et de données. Le secteur des télécommunications est lui confronté à une recrudescence d’attaques sophistiquées, notamment de la part d’organismes publics qui recourent aux menaces persistantes avancées (Advanced Persistent Threats) pour établir une surveillance discrète et sur le long terme. Autre menace majeure propre au secteur des télécommunications : l’attaque des équipements d’infrastructure en location, tels que les routeurs domestiques des fournisseurs d’accès à Internet. Les bases de données (informations clients : identités, adresse, coordonnées téléphoniques) et les systèmes de paiements en ligne rendent l’e-commerce vulnérable aux attaques. Celles par déni de services sont en tête de liste, et sont particulièrement le fait d’hacktivistes cherchant à compromettre le fonctionnement d’une entreprise de manière visible. Les assurances sont elles aussi des cibles de premier choix en raison de la quantité et de la sensibilité des données. A l’heure où les compagnies d’assurance migrent vers les canaux numériques, les cyber-attaques connaissent une croissance exponentielle et se caractérisent par des attaques sophistiquées combinant des logiciels malveillants (malwares) avancés à d’autres techniques telles que l’ingénierie sociale. Dans le retail, les données de cartes de crédit sont la nouvelle monnaie d’échange pour les hackers et les criminels.
« 371 jours, c’est la durée moyenne qui sépare le début d’une attaque du jour de sa découverte, souvent par hasard. »
J.-M. Orozco, Airbus Defence and Space
L’industrie, nouvelle cible
Enfin, l’industrie subit des attaques croissantes : une proie pour l’espionnage industriel. Les types de cyber-attaques varient considérablement, du phishing au malware avancé, et ciblent, outre les TI, les systèmes de contrôle industriel (SCI) connectés. Les systèmes industriels se multiplient, sont très variés et sont présents dans de nombreux métiers : chaîne de montage dans l’industrie, système d’arme dans la défense, distribution d’énergie, réseau d’eau, gestion des bâtiments L’ouverture de ces systèmes aux différents réseaux n’est pas sans créer de nouveaux risques que les organisations doivent prendre en compte. Face à la multiplication des risques, le Club de la Sécurité de l’Information Français (Clusif) a même créé un groupe de travail dédié, réunissant grands groupes industriels et sociétés spécialisées dans la sécurité des systèmes d’information industriels, pour aider les responsables sécurité, souvent démunis. « Il est souvent difficile pour des responsables sécurité d’identifier les actions les plus efficaces pour démarrer. Nous avons synthétisé l’ensemble des retours d’expériences des membres du groupe afin de donner les clés nécessaires pour convaincre dans l’entreprise et obtenir des premiers succès », indique Hervé Schauer, co-animateur du groupe et administrateur du Clusif (www.clusif.fr/fr/production/ouvrages).
Avis d’expert :
Hervé Schauer, dirigeant de HSC, cabinet de consultants en sécurité informatique
« Le rush sur les applis mobiles fait ressortir du bois tous les mauvais codeurs, à la recherche d’argent facile »
Les menaces actuelles sont criminelles : déni de service, cryptolocking, vol de données (cartes bancaires en particulier), espionnage industriel, vol d’informations personnelles sur PC et appareils portables. Elles sont aussi idéologiques, avec des dénis de service, des vols et expositions de données, des défacements. Elles sont étatiques, avec de l’espionnage et éventuellement du sabotage. Enfin, il y a certains amateurs (généralement jeunes et peu compétents) qui changent le contenu de sites web « vitrines » contenant des failles de sécurité béantes, parfois juste pour y mettre l’équivalent d’un « toto was here », parfois pour y passer un magma idéologique quelconque.
Il n’y pas de nouvelles menaces, mais des confirmations de croissance comme la forte réapparition de l’ingénierie sociale, qui est une des premières menaces sur les SI. On peut plutôt parler de nouveaux vecteurs de risques, avec la généralisation du BYOD et du BYOC, la fusion de réseaux résultant de fusions d’entités, la généralisation des supports et autres accès distants, le raccordement aux réseaux d’éléments qui ne l’étaient pas avant (santé, industrie, domotique). Résultat : les applications se retrouvent dans un périmètre plus hostile que celui pour lequel elles ont été conçues.
Des applications pleines de failles
On peut ajouter que le rush sur les applis mobiles fait ressortir du bois tous les mauvais codeurs, à la recherche d’argent facile. Il en résulte une abondance d’applications pleines de failles, ne tenant pas compte des progrès laborieusement obtenus dans le monde du Web. Croisez cela avec le fait que les « ordiphones » semblent destinés à se voir confier toute la vie de leurs propriétaires (argent, santé, relations…), et c’est un feu d’artifice de catastrophes qui attend de se produire !
