Failles de sécurité : la première menace qui pèse sur les entreprises

Une faille de sécurité désigne tout accès non autorisé au système d’information d’une entité. Elle n’est pas toujours malveillante. En effet, un employé peut tomber par hasard sur des informations sensibles à cause d’une faille du logiciel. Néanmoins, les intentions malveillantes prédominent dans ce type d’incident. Une faille de sécurité est souvent confondue avec une violation de données. La faille désigne tous types d’accès non autorisés à des données, même s’ils ne débouchent pas forcément sur un vol. De son côté, une violation fait référence à un vol des données par les pirates en exploitant une faille de sécurité. Une faille de sécurité provient de nombreuses sources comme l’utilisation d’un logiciel obsolète, la mauvaise hygiène des mots de passe, etc.

La plupart des failles de sécurité ne proviennent pas d’une cyberattaque. Une violation des données se produit lorsque des informations sensibles devant rester secrètes, sont soudainement accessibles à tous. Cependant, le vol n’est pas encore établi. Prenons l’exemple d’un employé qui a eu accès aux salaires de l’ensemble des salariés de l’organisation. Bien qu’il n’ait pas une intention malveillante, il peut révéler ces informations à ses collaborateurs.

Les petites entreprises sont les plus exposées à des failles de sécurité d’après une enquête menée par Identity Theft Resource Center. Pour les cybercriminels, ces petites structures représentent souvent une porte d’entrée pour accéder à leurs partenaires commerciaux, des acteurs plus grands.

Un rapport du Forum Économique Mondial révèle que 88 % des chefs d’entreprise considèrent les PME/TPE comme le maillon faible dans leur chaîne d’approvisionnement. Les chiffres confortent ce constat puisque 40 % des entreprises sondées indiquent qu’une cyberattaque a été menée à partir de leur chaîne d’approvisionnement.

La perte de données

Une faille de sécurité entraîne souvent le vol de données sensibles qui sont ensuite exposées sur internet. Pourtant, il s’agit généralement d’informations sur les clients. Les pirates peuvent également rester discrets et utiliser ces données pour réaliser une fraude financière et un vol d’identité.

Dommages financiers

Une faille de sécurité entraîne toujours des pertes financières, en particulier en cas de ransomware. Au-delà du paiement de la rançon, l’activité de l’entreprise est paralysée pendant des jours. Les dépenses liées à l’enquête ne sont pas à exclure également. Par ailleurs, elle doit communiquer sur une éventuelle fuite, sans parler de l’indemnisation des clients concernés.

Poursuites judiciaires

En plus d’être victime d’un incident de sécurité, une entreprise risque également des poursuites par les organisations compétentes à cause de la compromission de données clients. Celle-ci peut subir un contrôle réglementaire, payer des amendes, etc.

Le phishing

Il représente la principale menace pesant sur les entreprises à l’heure actuelle. La méthode est la plus répandue et concerne aussi bien les grandes que les petites entreprises. Elle consiste à envoyer un message par e-mail ou par SMS à la cible. En apparence, le message semble légitime et incite le destinataire à cliquer un lien redirigeant vers une fausse page de connexion ou un faux site web.

Ces messages sont conçus pour extorquer des informations sensibles permettant ensuite d’accéder au système informatique de l’entreprise. L’hameçonnage serait à l’origine de 12 milliards de pertes chez les organisations. Neuf violations de sécurité sur dix proviennent de cette méthode.

Les cybercriminels utilisent des techniques de plus en plus sophistiquées en s’appuyant sur l’ingénierie sociale. Ils se font passer pour des contacts professionnels légitimes. Une déclinaison du phishing, le Business Email Compromise, a permis à ces acteurs malveillants de gagner des millions. Ils usurpent l’identité d’un cadre supérieur ou d’un dirigeant et ordonnent à un subordonné d’effectuer un virement ou de fournir des informations sensibles.

Le ransomware

Le ransomware est une autre forme d’attaque courante, frappant des milliers d’entreprises à travers le monde. Il consiste à utiliser la méthode de chiffrement pour rendre inaccessible l’accès aux données d’une entreprise. Cette dernière est obligée de payer une rançon pour obtenir la clé de déchiffrement.

Sachant que les grandes entreprises sont plus armées pour faire face à une attaque, les petites entreprises sont devenues une cible privilégiée d’une attaque de ransomware. Près de trois quarts des attaques concernent ce type de structure.

Les cybercriminels savent que les PME/TPE n’ont pas souvent les moyens de créer une sauvegarde de leurs données. Pourtant, elles ont besoin de redevenir opérationnelles rapidement. En France, le ransomware cible particulièrement le secteur de la santé selon l’ANSSI. Quelque 301 établissements de santé et 121 établissements et services médico-sociaux ont déclaré au moins un incident en 2023

Il est important de faire la différence entre les différents types de menaces internes :

• Les initiés malveillants : il peut s’agir d’un employé mécontent qui souhaite se venger ou bien un employé motivé par l’appât du gain. Certains initiés agissent comme de véritables espions industriels. Leur objectif est d’installer un logiciel malveillant dans le serveur de l’entreprise, de dérober des informations clients, ou encore de dévoiler des secrets commerciaux, etc. En 2022, un employé de Twitter a vendu des informations sur des utilisateurs à l’Arabie Saoudite.
• Les initiés négligents : le manque de formation et l’imprudence font de ces employés des cibles privilégiées d’une attaque par hameçonnage. Les cybercriminels ont bien compris que l’humain représente la principale faille dans une entreprise.
• Les initiés compromis : les cybercriminels ont volé les identifiants d’utilisateurs légitimes pour lancer leurs attaques. Le rapport de Ponemon Institute révèle que ce type de menace coûte 800 000 dollars en moyenne à l’entreprise victime.

La gestion des accès

Plusieurs études rapportent une mauvaise gestion des mots de passe et logins en entreprise. Une étude sur les salariés des 500 plus grandes entreprises au monde révèle par exemple que « password » et « 123456 » figurent parmi les plus utilisés. Au-delà des mots de passe trop simples, les collaborateurs les transmettent par e-mail. Le renouvellement se fait rare également. Certains vont même jusqu’à utiliser le même code d’accès à plusieurs.

Pourtant, il est facile pour les pirates de pénétrer un système informatique lorsque les mots de passe sont faibles. Ils mettent à peine une seconde pour déchiffrer un mot de passe à 6 caractères.

Les accès utilisateurs représentent également une autre source de failles de sécurité. Certains employés qui ne font plus partie de l’entreprise peuvent toujours accéder à leur mail, consulter des fichiers, entrer dans le bâtiment, etc.

La messagerie d’entreprise

La messagerie électronique représente un autre point d’entrée que les pirates exploitent pour entrer dans le système d’information d’une entreprise. Ils envoient les malwares, ransomwares et logiciels espions à plusieurs destinataires à travers des liens ou des pièces jointes infectées.

Les cybercriminels s’appuient sur l’ingénierie sociale pour tromper leurs victimes. Ces dernières ne se doutent pas de la crédibilité d’un e-mail provenant d’un fournisseur ou d’un réseau social. Pourtant, il s’agit d’une usurpation d’identité. Cette méthode permet aux hackers de récolter des mots de passe et des logins.

La messagerie d’entreprise n’est pas seulement un point d’entrée, elle regorge également d’éléments confidentiels. L’entreprise a ainsi tout intérêt à se doter d’un logiciel anti-spam ou antivirus pour protéger sa messagerie.

Les logiciels obsolètes

Certaines entreprises utilisent toujours des logiciels obsolètes ou d’anciens systèmes d’exploitation. Pourtant, cette absence de mise à jour constitue une faille de sécurité importante. Prenons l’exemple du ransomware WannaCry. Celui-ci a réussi à infecter des millions d’ordinateurs qui utilisaient encore Windows 7 à travers le monde.

Les entreprises persistent à utiliser des logiciels obsolètes pour plusieurs raisons. D’abord, une mise à niveau implique généralement une longue opération et demande des compétences spécifiques. Certaines migrations obligent également l’entreprise à renouveler entièrement ses machines. Ce renouvellement a un coût. Certains dirigeants préfèrent rester sur un logiciel obsolète à cause d’un manque de formation des collaborateurs. 

L’hébergement des données

L’hébergement des données des entreprises s’inscrit dans leur transition numérique. Cela consiste à confier la gestion du système d’information à une entreprise tierce. Le modèle économique fonctionne sur le principe de location. Ce prestataire est un fournisseur de service qui offre un accès à ses softwares et hardwares en échange d’un abonnement.

Les données gérées par un prestataire sont stockées dans un datacenter. L’utilisateur y accède facilement grâce à une connexion internet. En 2020, le marché du cloud computing s’élevait à 270 milliards de dollars. Les spécialistes prévoient un chiffre de 1 000 milliards de dollars d’ici 2024.

Ce contexte soulève plusieurs questions en matière de cybersécurité. Où sont hébergées les données, sachant que l’hébergement dans un serveur non européen comporte des risques ? L’entreprise dispose-t-elle de sauvegarde en cas d’attaque par ransomware ? Peut-elle restaurer rapidement ces données ? Les clients sont-ils au courant des informations conservées à leur propos ?