Kathleen Duffy ne s'attendait pas à ce que son activité s'arrête net un si beau dimanche de mars.
Travaillant depuis son domicile, la PDG de Duffy Group, un cabinet de recrutement de cadres fondé il y a 30 ans et basé à Phoenix, savait que ses systèmes informatiques avaient connu des problèmes de messagerie électronique la semaine précédente. Ainsi, lorsqu’elle n’a pas pu accéder à la messagerie électronique de l’entreprise ni aux serveurs de données pendant le week-end, Mme Duffy a attribué cela à la persistance des mêmes problèmes.
Mais un bref coup de fil à son consultant informatique externe lui a permis de constater que la situation était bien plus grave. Une pirate informatique en Allemagne avait chiffré tous les fichiers de son entreprise et exigeait une rançon de 25 000 dollars pour les déchiffrer. Tant qu’elle n’aurait pas accédé à la demande du pirate informatique, les dossiers commerciaux et les fichiers des candidats à l’embauche du Duffy Group — le cœur et l’âme de son entreprise — resteraient totalement inaccessibles.
« Notre activité s'est littéralement arrêtée », explique Mme Duffy, qui estime que cet incident a coûté à son entreprise 50 000 dollars en perte de chiffre d'affaires et en frais informatiques. « C'était vraiment effrayant. » Vous vous sentez tellement bafouée, et vous vous dites : « Pourquoi moi ? » Je suis quelqu’un de bien, et nous ne sommes pas si nombreux que ça. Je veux dire, on entend parler de pirates informatiques qui ont obtenu 5 millions de dollars de la part d' , Colonial Pipeline. « Pourquoi voudraient-ils nous soutirer quelques milliers de francs ? »
Le groupe Duffy emploie 35 personnes et réalise un chiffre d'affaires annuel de quelques millions. À l'instar des PDG de la plupart des petites et moyennes entreprises (PME), M. Duffy pensait que les cybercriminels ciblaient principalement les grandes entreprises, car ce sont elles qui disposent de toutes les ressources financières. De même, Colonial, une entreprise de taille moyenne comptant environ 850 salariés, n'a peut-être pas estimé qu'elle était suffisamment importante pour faire l'objet d'une cyberattaque, malgré le rôle essentiel qu'elle joue dans l'approvisionnement en pétrole de la côte Est. En réalité, les PME constituent la cible n° 1 des pirates informatiques , car elles sont souvent mal protégées, disposent de moyens de sécurité informatique limités et ne peuvent pas se permettre d'être hors service pendant très longtemps.
En bref, ce sont des cibles faciles.
« La plupart des entreprises de taille moyenne adoptent une approche ponctuelle en matière de sécurité, consistant à ne combler les failles que lorsque des incidents se produisent », explique Sanjeev Aggarwal, fondateur de SMB Group, un cabinet de conseil spécialisé dans les tendances technologiques sur le marché des petites et moyennes entreprises. « Vu la virulence avec laquelle les pirates informatiques s'en prennent aux petites entreprises ces derniers temps, c'est la recette idéale pour une catastrophe. »
[À lire également : Comment les entreprises font face aux ransomwares]
Avant que la COVID-19 ne bouleverse le monde des affaires tel que nous le connaissons, l'Agence fédérale américaine pour les petites entreprises (Small Business Administration) indiquait qu'il existait 30,2 millions de PME aux États-Unis, employant près de la moitié de la population active du pays. (On considère généralement que les petites entreprises comptent 100 salariés ou moins, tandis que les entreprises de taille moyenne en comptent généralement entre 100 et 999.) Parmi celles-ci, environ 43 % ont été la cible d'attaques de la part de cybercriminels en 2019, selon une étude de Verizon sur les fuites de données. C'est pourquoi les experts affirment que les petites et moyennes entreprises doivent renforcer dès maintenant leurs mesures de cybersécurité, avant qu'il ne soit trop tard.
Des cibles alléchantes
Juan Lorenzana est PDG de SymbiSystems, une société de support informatique qui représente des dizaines de PME et qui a finalement aidé Mme Duffy à négocier une rançon réduite à 2 800 dollars en échange d'une clé de déchiffrement permettant de récupérer ses données. Selon M. Lorenzana, la forte hausse des attaques visant les PME s'explique par trois facteurs : une augmentation du nombre d'attaques exploitant les vulnérabilités des serveurs Microsoft Exchange Server installés sur site, l'explosion du nombre de télétravailleurs utilisant des terminaux insuffisamment sécurisés, et le fait que de trop nombreux pirates informatiques, ayant du temps libre pendant le confinement, ont imaginé des moyens de s'emparer des données et des actifs des entreprises.
«» Notre activité s’est littéralement arrêtée. Vous vous dites : « Pourquoi moi ? » « Nous ne sommes pas si grands que ça. » »Kathleen Duffy, PDG du groupe Duffy
M. Lorenzana fait remarquer que, même si les victimes d'attaques peuvent avoir l'impression d'être prises pour cible par les cybercriminels, ce n'est souvent pas le cas. Selon lui, les pirates informatiques utilisent des outils de découverte de réseaux tels qu’Angry IP Scanner ou Nmap pour parcourir automatiquement des plages d’adresses Internet à la recherche d’appareils vulnérables. Lorsqu'ils les repèrent, ils lancent des attaques contre les cibles les plus lucratives, les plus faciles et les moins risquées (pour eux), qui s'avèrent souvent être des PME.
« Ils ne ciblent pas nécessairement les petites ou moyennes entreprises, mais c’est souvent l’impression que cela donne », explique M. Lorenzana.
André Mintz, responsable de la sécurité des systèmes d'information chez Newport Group, un prestataire de services de retraite, apporte un autre point de vue. Il affirme que la recherche de cibles commerciales peut être très spécialisée.
« Les acteurs malveillants ne se contentent que rarement de fouiner sur Internet, comme une fusée dans l’espace qui chercherait à savoir sur quelle étoile elle va tomber », explique-t-il. « Ils possèdent des compétences et des affinités qui correspondent particulièrement bien à certains secteurs d’activité ou disciplines spécifiques, tels que les services financiers, la santé ou l’immobilier. »
Souvent, explique-t-il, ils commencent par s'intéresser à un secteur d'activité qui les intéresse, puis approfondissent leurs recherches sur un sous-ensemble de celui-ci. Dans son secteur d'activité, par exemple, les cybercriminels pourraient se spécialiser dans les plans d'épargne-retraite 401(k).
« Il peut y avoir des pirates informatiques, des escrocs ou des fraudeurs qui connaissent très bien les processus et les pratiques du secteur de la retraite ou qui possèdent une connaissance approfondie du secteur des services financiers, qu’ils sont capables d’exploiter pour pirater ou prendre le contrôle du compte d’un particulier », explique M. Mintz. « Par exemple, lorsqu’un titulaire de compte n’a jamais effectué de connexion à son compte, certains cybercriminels parviennent à y accéder, à effectuer une configuration initiale du compte et à définir leurs propres réponses aux questions de sécurité destinées à protéger le titulaire du compte contre ce genre de situation. »
D'autres types d'attaques visant les PME gagnent également du terrain, selon M. Mintz. « L’« ingénierie sociale », qui consiste pour des criminels à amener des personnes à leur divulguer des informations confidentielles, à leur donner accès à leur réseau ou à leur céder des objets de valeur, devient un problème de plus en plus grave pour les petites entreprises », explique-t-il.
La forme la plus courante d'ingénierie sociale est le « hameçonnage de type “” », dans le cadre duquel des cybercriminels incitent les utilisateurs à cliquer sur des liens contenus dans des e-mails ou sur des sites Web, ce qui ouvre la voie à des logiciels malveillants ou « malware ». Mais cela peut également consister à ce qu’une personne se fasse passer pour un dirigeant de l’entreprise, par voie numérique ou par téléphone, et persuade un employé peu méfiant de lui transmettre ses identifiants ou de transférer des fonds vers une destination distante dont elle seule a le contrôle.
« Les entreprises de taille moyenne sont particulièrement vulnérables à l'ingénierie sociale », explique M. Mintz, « car elles comptent de nombreux collaborateurs très occupés qui cumulent plusieurs fonctions. » Les gens sont confiants par nature, et ils ne se rendent pas toujours compte qu'un malfaiteur s'en prend à eux avant qu'il ne soit trop tard. « À l'inverse, les grandes entreprises forment leurs employés à repérer ce type de comportement et ont tendance à ne pas se laisser piéger aussi souvent. »
Les règles élémentaires de cybersécurité
À y regarder de plus près, les experts affirment que, quelle que soit l'efficacité des mesures de protection mises en place par une entreprise de taille moyenne contre les attaques, celles-ci se produiront tout de même et finiront par aboutir. Les cybercriminels ont atteint un tel niveau de sophistication et changent si souvent de techniques que même les entreprises les plus sécurisées ont du mal à les déjouer.
« Peu importe les sommes d’argent, les ressources ou le temps que vous consacrez à la cybersécurité, il y a toujours quelqu’un qui dispose de moyens supérieurs aux vôtres », déclare Lorenzana. « Il est impossible d'échapper indéfiniment au piratage. »
«Les gens sont confiants par nature, et ils ne se rendent pas toujours compte qu’un malfaiteur s’en prend à eux avant qu’il ne soit trop tard. »André Mintz, responsable de la sécurité des systèmes d'information (RSSI), Newport Group
Cela ne signifie toutefois pas qu’il n’existe pas de mesures proactives que les entreprises de taille moyenne peuvent prendre pour limiter leur exposition et minimiser l’impact des cyberattaques.
Tout d'abord, la plupart des experts recommandent de se concentrer sur les mesures élémentaires de cybersécurité afin de rendre l'entreprise moins attrayante pour les pirates informatiques : veillez à ce que les signatures antivirus soient à jour. Utilisez des pare-feu réseau. Téléchargez et installez sans tarder les correctifs de sécurité critiques d' . Mettez en œuvre des solutions performantes pour la gestion et la sécurisation des terminaux « ». Recourez au chiffrement des appareils dans la mesure du possible. Mettez en place des politiques strictes en matière de mots de passe et d'authentification à deux facteurs . Et suivez la « stratégie de sauvegarde «3-2-1 », selon laquelle une organisation conserve trois copies de ses données sur deux supports différents, dont l'un est stocké hors site. Cela peut s'avérer extrêmement utile pour remettre rapidement les systèmes en service en cas d'attaque par ransomware.
D'autre part, les experts recommandent vivement de passer à un modèle d'identité et d'accès de type « zero trust » (confiance zéro) « ». C'est dans ce cas qu'une organisation retire à tout le monde le droit d'accéder à l'ensemble de l'infrastructure informatique. Au contraire, comme l'explique Neil MacDonald, analyste et vice-président chez Gartner, « les niveaux de confiance sont calculés et adaptés de manière explicite et continue afin de permettre un accès « juste à temps » et « juste suffisant » aux ressources de l'entreprise ». L'approche « zero trust » gagne en popularité auprès des équipes de sécurité informatique : selon une récente enquête de Microsoft, 96 % d'entre elles la considèrent comme une essentielle pour leur entreprise.
« Le "zero trust" est une approche, et non une technologie ou une architecture spécifique », explique M. MacDonald dans un rapport récent de Gartner intitulé « » (). « Il s’agit en réalité d’une confiance implicite nulle, car c’est précisément ce dont nous voulons nous débarrasser. »
Mintz recommande une troisième bonne pratique pour prévenir certaines formes d'ingénierie sociale : limiter le nombre de personnes au sein d'une organisation habilitées à approuver les virements de fonds.
« Ainsi, si quelqu’un tente de convaincre un employé de transférer de l’argent, celui-ci répondra : “Bob est le seul à pouvoir le faire”, et la tentative d’ingénierie sociale sera vouée à l’échec. »
Les petites et moyennes entreprises sont tout aussi vulnérables aux cyberattaques que les grandes organisations et, à bien des égards, elles sont davantage exposées aux violations de données, car leurs systèmes de défense sont souvent moins solides et les enjeux bien plus importants en cas d'interruption de leurs activités, selon les experts. C'est pourquoi ceux qui ont déjà vécu cette situation vous avertissent qu'aucune entreprise ne peut prendre cette menace à la légère.
[À lire également : 5 façons pour votre entreprise d'éviter de faire la une]
Mme Duffy, par exemple, souligne que même après avoir versé la rançon demandée par le groupe « » et reçu une clé de déchiffrement, il a fallu plusieurs semaines pour que les systèmes soient à nouveau pleinement opérationnels. Et certaines données de son entreprise (principalement des informations marketing) n'ont jamais pu être récupérées.
« Je pense que plus nous ferons savoir que nous, les personnes de petite taille, sommes victimes d’agressions, mieux tout le monde sera préparé à se prémunir contre ce genre de situations », déclare-t-elle. « Rien ne garantit que les bonnes pratiques vous protégeront, mais elles compliquent assurément la tâche des cybercriminels qui cherchent à s'emparer de vos données ou de vos actifs. »