Kathleen Duffy ne s’attendait jamais à ce que son entreprise s’arrête criantement lors d’un si beau dimanche de mars.
Travaillant à domicile, la PDG de Duffy Group, une société de recrutement de cadres de 30 ans basée à Phoenix, savait que ses systèmes informatiques avaient rencontré des problèmes de messagerie la semaine précédente. Ainsi, lorsqu’elle n’a pas pu accéder aux e-mails ou aux serveurs de données de l’entreprise pendant le week-end, Duffy a pu y remédier jusqu’à la poursuite des mêmes problèmes.
Mais un appel rapide à son consultant informatique externe lui a dit que c’était beaucoup plus grave. Une pirate informatique en Allemagne avait chiffré tous les fichiers de son entreprise et demandait une rançon de 25 000 USD pour les déverrouiller. Jusqu’à ce qu’elle se conforme à la demande du pirate informatique, les fichiers commerciaux et les dossiers des candidats à l’emploi de Duffy Group, le cœur et l’âme de son entreprise, seraient complètement inaccessibles.
« littéralement, notre activité s’est arrêtée », déclare Duffy, qui estime que l’incident a coûté 50 000 USD à son entreprise en pertes de revenus et de dépenses informatiques. « C’était vraiment effrayant. Vous vous sentez tellement violé et vous vous demandez : Pourquoi moi ? Je suis une bonne personne, et nous ne sommes pas si grands. Je veux dire, vous entendez parler des pirates informatiques qui obtiennent 5 millions USD de Colonial Pipeline. Pourquoi voudraient-ils un couple grandiose de notre part ? »
Duffy Group emploie 35 personnes et a un chiffre d’affaires annuel de millions de chiffres. Comme les PDG de la plupart des petites et moyennes entreprises (PME), Duffy pensait que les cybercriminels ciblent principalement les grandes entreprises parce qu’ils disposent de tout l’argent. De même, Colonial, une entreprise de taille moyenne comptant environ 850 employés, n’aurait peut-être pas pensé qu’elle était suffisamment grande pour être piratée, malgré le rôle essentiel qu’elle joue dans la fourniture de pétrole à Eastern Seaboard. En réalité, les PME sont la cible n° 1 des pirates informatiques, car elles sont souvent mal défendues, ont une sécurité informatique maigre et ne peuvent pas se permettre d’être en panne pendant très longtemps.
En bref, il s’agit de fruits bas.
« La plupart des entreprises de taille moyenne adoptent une approche ad hoc de la sécurité où elles ne comblent les lacunes que lorsque des incidents se produisent », déclare Sanjeev Aggarwal, fondateur de SMB Group, une société de conseil spécialisée dans les tendances technologiques sur le marché des petites et moyennes entreprises. « Étant donné l’agressivité avec laquelle les pirates informatiques ciblent les petites organisations de nos jours, c’est une véritable recette de catastrophe. »
[Lire également : Comment l’entreprise est confrontée aux rançongiciels]
Avant que le COVID-19 ne change d’activité comme nous le savons, l’administration américaine des petites entreprises a signalé qu’il y avait 30,2 millions de PME dans le pays, employant près de la moitié de la main-d’œuvre du pays. (Les petites entreprises sont généralement celles qui comptent 100 employés ou moins, tandis que celles de taille moyenne ont généralement 100 à 999 employés.) Parmi ceux-ci, environ 43 % ont été attaqués par des cybercriminels en 2019, selon une étude sur les violations de données par Verizon. C’est pourquoi les experts affirment que les petites et moyennes entreprises doivent intensifier leurs efforts de cybersécurité dès maintenant, avant qu’il ne soit trop tard.
Cibles judicieuses
Juan Lorenzana est PDG de SymbiSystems, une société d’assistance informatique qui représente des dizaines de PME et a finalement aidé Duffy à négocier un paiement de rançon réduit de 2 800 USD en échange d’une clé de décryptage pour libérer ses données. Selon Lorenzana, le pic des attaques des PME se résume à trois choses : une augmentation du nombre d’attaques exploitant les vulnérabilités de Microsoft Exchange Server sur site, l’explosion des travailleurs travaillant à distance avec des appareils d’endpoint insuffisamment sécurisés, et trop de pirates informatiques qui se trouvent pendant le confinement en pensant à des moyens de saisir les données et les actifs de l’entreprise.
« Au sens littéral, notre activité a cessé. Vous vous demandez « Pourquoi moi ? Nous ne sommes pas si grands. »Kathleen Duffy, PDG de Duffy Group
Lorenzana note que même si les victimes d’attaque peuvent se sentir uniques par les cybercriminels, ce n’est souvent pas le cas. Les pirates informatiques, dit-il, utilisent des outils de découverte réseau tels qu’Angry IP Scanner ou Nmap pour rechercher automatiquement des blocs d’adresses Internet à la recherche d’appareils vulnérables. Lorsqu’elles sont trouvées, elles lancent des attaques contre les cibles les plus juteuses, les plus faciles et les moins risquées (pour elles), qui s’avèrent souvent être des PME.
« Elles ne distinguent pas nécessairement les petites et moyennes entreprises, mais elles finissent souvent par se sentir ainsi », déclare Lorenzana.
Andre Mintz, directeur de la sécurité de l’information pour Newport Group, un prestataire de services de retraite, offre une autre perspective. Il dit que la recherche d’objectifs commerciaux peut être très spécialisée.
« Les mauvais acteurs se moquent rarement d’Internet, comme un fusée dans l’espace qui cherche à voir quelle étoile ils vont frapper », dit-il. « Ils ont des compétences et des affinités qui sont les mieux adaptées à des secteurs ou disciplines spécifiques, tels que les services financiers, les soins de santé ou l’immobilier. »
Souvent, dit-il, ils commencent par un secteur d’activité qui les intéresse, puis explorent un sous-ensemble de celui-ci. Dans son secteur, par exemple, les cybercriminels pourraient se spécialiser dans les comptes de retraite 401(k).
« Il peut y avoir des pirates informatiques, des escrocs ou des fraudeurs qui connaissent très bien les processus et les pratiques du secteur de la retraite ou qui ont une vaste connaissance de l’espace des services financiers, qu’ils sont en mesure de traîner dans la compromission ou la prise de contrôle du compte d’une personne », déclare M. Mintz. « Par exemple, lorsqu’un titulaire de compte participant ne s’est jamais connecté à son compte, certains cybercriminels sont en mesure d’y accéder, d’établir une configuration initiale du compte et de définir leurs propres réponses aux questions de sécurité conçues pour protéger le titulaire de compte de ce genre de chose. »
D’autres types d’attaques contre les PME gagnent également du terrain, déclare M. Mintz. « L’ingénierie sociale », où les criminels condamnent les gens à renoncer à des informations confidentielles, à l’accès au réseau ou à des objets de valeur, devient un problème plus grave pour les petites entreprises », déclare-t-il.
La forme la plus courante d’ingénierie sociale est le « hameçonnage », où les criminels incitent les utilisateurs à cliquer sur des e-mails ou des liens Web qui ouvrent la porte à des logiciels malveillants ou à des « logiciels malveillants ». Mais cela peut également impliquer une personne se faisant passer pour un cadre de l’entreprise, numériquement ou par téléphone, et coaxant un employé peu méfiant à transférer des informations d’identification ou des fonds vers un emplacement distant qu’il contrôle uniquement.
« Les entreprises de taille moyenne sont particulièrement sujettes à l’ingénierie sociale », déclare M. Mintz, « car elles ont beaucoup de personnes occupées portant plusieurs chapeaux. Les gens font confiance par nature, et ils ne réalisent pas toujours qu’un mauvais acteur leur arrive jusqu’à ce qu’il soit trop tard. Les grandes organisations, par comparaison, forment les employés à surveiller ce comportement et ont tendance à ne pas y tomber aussi souvent. »
Cyberhygiène de base
Dans le froid de la journée, les experts affirment que, quelle que soit la façon dont une entreprise de taille moyenne se protège contre les attaques, elles se produiront toujours et finiront par réussir. Les cybercriminels sont devenus si sophistiqués et changent leurs techniques si régulièrement que même les entreprises les plus sécurisées ont du mal à les dépasser.
« Quelle que soit la quantité d’argent, de ressources ou de temps que vous consacrez à la cybersécurité, quelqu’un a toujours plus de capacités que vous », déclare Lorenzana. « Il est impossible d’éviter d’être piraté à jamais. »
« Les gens font confiance par nature, et ils ne se rendent pas toujours compte qu’un mauvais acteur leur vient jusqu’à ce qu’il soit trop tard. »Andre Mintz, RSSI, Newport Group
Mais cela ne veut pas dire qu’il n’y a pas de mesures proactives que les entreprises de taille moyenne peuvent prendre pour limiter l’exposition et minimiser l’impact des cyber-attaques.
Tout d’abord, la plupart des experts recommandent de se concentrer sur la cyberhygiène de base pour rendre l’entreprise moins attrayante pour les pirates informatiques : maintenez les signatures antivirus à jour. Utilisez des pare-feux réseau. Téléchargez et installez sans délai les correctifs de sécurité critiques. Déployez des solutions robustes pour gérer et sécuriser les endpoints. Utilisez le chiffrement des appareils dans la mesure du possible. Appliquez des politiques d’ authentification à deux facteurs et un mot de passe fort. Et suivez la « 3-2-1 stratégie de sauvegarde », où une organisation conserve trois copies de données sur deux supports différents, dont l’un se trouve hors site. Cela peut être extrêmement bénéfique pour remettre rapidement les systèmes en ligne en cas d’attaque par ransomware.
Deuxièmement, les experts recommandent fortement de passer à un modèle d’identité et d’accès « Zero Trust ». C’est là qu’une organisation révoque le droit de chacun d’accéder à toute l’infrastructure informatique. Au lieu de cela, comme l’explique Neil MacDonald, vice-président de Gartner, « les niveaux de confiance sont explicitement et continuellement calculés et adaptés pour permettre un accès juste à temps et juste suffisant aux ressources de l’entreprise. » Selon une récente enquête de Microsoft, l’approche Zero Trust gagne en popularité auprès des équipes de sécurité informatique, 96 % l’appelant essentielle pour leurs organisations.
« La confiance zéro est une façon de penser, et non une technologie ou une architecture spécifique », déclare MacDonald dans un rapport récent de Gartner. « Il s’agit vraiment de zéro confiance implicite, car c’est ce dont nous voulons nous débarrasser. »
Mintz recommande une troisième meilleure pratique pour éliminer certaines formes d’ingénierie sociale : limitez le nombre de personnes dans une organisation qui peuvent approuver les transferts de fonds.
« De cette manière, si quelqu’un tente de convaincre un employé de déplacer de l’argent, il dira : « Bob est le seul à pouvoir le faire », et la tentative d’ingénierie sociale meurt. »
Les petites et moyennes entreprises sont tout aussi vulnérables aux cyberattaques que les grandes organisations, et sont à bien des égards plus vulnérables aux violations, car leurs défenses sont souvent plus faibles et les enjeux beaucoup plus élevés si leurs opérations sont arrêtées, selon les experts. Ainsi, ceux qui ont vécu l’expérience avertissent qu’aucune entreprise ne peut prendre la menace à la légère.
[Lire également : 5 manières dont votre entreprise et éviter de devenir un titre]
Duffy, par exemple, note que même après avoir effectué le paiement de la rançon et reçu une clé de décryptage, il a fallu des semaines pour que les systèmes soient entièrement remis en ligne. Et certaines données de son entreprise (principalement des informations marketing) n’ont jamais été récupérées.
« Je pense que plus nous découvrons que nous sommes attaqués de petits gens, plus tout le monde sera préparé à se prémunir contre de telles choses », dit-elle. « Il n’y a aucune garantie que les meilleures pratiques vous protégeront, mais elles rendent certainement beaucoup plus difficile pour les cybercriminels d’obtenir vos données ou actifs. »
