Ne soyez pas arrogant… ni trop confiant. Ce sont sans doute les deux enseignements les plus universels tirés au cours de l'année écoulée en matière de cybersécurité, de son rôle dans les conflits armés et des mesures que les entreprises du monde entier doivent prendre pour se protéger.
Au cours des dernières semaines, alors que le monde se prépare à commémorer demain le premier anniversaire de l'invasion de l'Ukraine par la Russie, les experts et les commentateurs s'efforcent d'évaluer le rôle qu'ont joué les cyberarmes dans ce conflit. Il y a un an, les pays occidentaux en particulier se préparaient au pire.
« Nous nous attendions à des répercussions bien plus importantes que celles que nous avons constatées », a déclaré Mieke Eoyang, sous-secrétaire adjointe à la Défense chargée de la politique cybernétique au sein du ministère de la Défense, lors d’une table ronde organisée dans le cadre du 2022 e Aspen Cyber Summit en novembre. « Je pense qu’on peut affirmer sans risque de se tromper que les cyberforces russes, tout comme leurs forces militaires traditionnelles, n’ont pas été à la hauteur des attentes. »
Si les hostilités cybernétiques sont restées pour l’essentiel confinées à l’Ukraine, il y a eu quelques exceptions notables concernant des infrastructures occidentales . Par ailleurs, une cyberattaque menée par le groupe , soutenu par la Russie , contre la société américaine de satellites Viasat a perturbé les communications militaires ukrainiennes dès les premiers jours de la guerre ; le groupe de pirates informatiques GhostWriter, lié à la Russie, a mené une offensive de phishing à grande échelle contre la Pologne en 2022 ; Les hackers russes de Sandworm ont déployé des logiciels malveillants en Ukraine et en Pologne à l’automne dernier ; Des hackers russophones ont mis hors ligne plus d’une douzaine d’aéroports américains (dont LaGuardia et O’Hare) en octobre ; Des cybercriminels russes auraient utilisé des groupes de discussion clandestins pour réfléchir à des moyens d’exploiter à des fins malveillantes le bot d’intelligence artificielle très en vogue ChatGPT, qui vient tout juste d’être lancé en novembre ; et les campagnes de hameçonnage russes visant les pays de l’OTAN ont augmenté de plus de 300 %, passant de 2020 à 2022, dont certaines sont sans aucun doute liées au conflit actuel, comme le souligne une analyse récente de Google.
Et ce ne sont là que les incursions dont nous avons connaissance.
Attendez-vous à davantage. Cette analyse, réalisée par trois divisions de Google et publiée ce mois-ci, indique avec un « haut degré de certitude » que la Russie est susceptible d’« intensifier ses attaques perturbatrices et destructrices en réponse à l’évolution de la situation sur le champ de bataille », en ciblant à la fois l’Ukraine et les partenaires de l’OTAN.
«Il est vraiment important que nous prenions toutes les mesures possibles pour nous préparer à l'éventualité de [cyberattaques], afin de devenir une cible aussi difficile à atteindre et aussi résiliente que possible. »Mieke Eoyang, sous-secrétaire adjointe à la Défense chargée de la politique cybernétique, ministère de la Défense
« Je ne pense pas qu’aucun d’entre nous sache comment va évoluer la situation ni à quel moment nous pourrions être amenés à envisager sérieusement des attaques contre les infrastructures américaines », a déclaré M. Eoyang. « Mais il est vraiment important que nous prenions toutes les mesures possibles pour nous préparer à cette éventualité, afin de devenir une cible aussi difficile à atteindre et aussi résistante que possible. »
Dans cette optique, nous vous proposons un récapitulatif de certaines des analyses publiées par « Focal Point » d’ , dans le cadre de la série « » consacrée à l’Ukraine, qui préconisent les meilleures mesures que les dirigeants d’entreprise et les responsables de la sécurité peuvent prendre pour se préparer efficacement aux cyber-hostilités à venir. Voici trois leçons essentielles à retenir — et à mettre en pratique — dès maintenant, si ce n'est pas déjà fait.
Leçon n° 1 : Les crises mondiales donnent lieu à des tentatives d'hameçonnage (auxquelles il est plus difficile de résister)
Dès que les chars russes ont pénétré sur le sol ukrainien, les e-mails de hameçonnage n'ont pas tardé à envahir les boîtes de réception. L'une des premières attaques de hameçonnage « » signalées — orchestrée par un groupe cybercriminel lié à la Biélorussie et visant le personnel de l'Union européenne travaillant auprès des réfugiés ukrainiens — a été détectée le jour même de l'invasion russe. Quelques semaines plus tard seulement, un rapport de la société Cyren, spécialisée dans la sécurité des e-mails, estimait que les cybercriminels envoyaient plus de 100 000 faux e-mails de collecte de dons par jour.
Cela devient une pratique courante : dès qu’une crise éclate, les messages de hameçonnage visant à jouer sur la compassion, avec des objets tels que « Aidez les victimes de la guerre en Ukraine », se multiplient. Au début du mois, la Direction générale turque de l' , a déclaré avoir fermé 46 sites web se livrant à des « escroqueries par hameçonnage » et visant à détourner les dons destinés aux victimes du tremblement de terre dévastateur de la semaine dernière.
« Les e-mails frauduleux — contenant souvent des liens ou des pièces jointes malveillantes — sont fréquents à la suite de catastrophes naturelles majeures » et d’autres crises mondiales, met en garde un récent communiqué intitulé « » ( ) publié par l’Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA). De nouveaux kits « phishing-as-a-service » de type « » permettent à des amateurs de pirater des comptes en ligne. Le hameçonnage vocal, ou « vishing » (), est également en hausse.
Ce que les dirigeants d'entreprise peuvent faire : Les employeurs sont tenus de veiller à ce que leurs salariés soient informés, formés et vigilants. Pour disposer d'un personnel plus compétent et plus efficace, il faut impliquer les collaborateurs dans un engagement à l'échelle de l'entreprise en faveur d'une meilleure cybersécurité. Cela implique de former l'ensemble du personnel, des employés débutants jusqu'aux cadres dirigeants, de renforcer le moral des collaborateurs et d'investir dans des technologies susceptibles d'améliorer l'expérience des employés.
Leçon n° 2 : La multiplication des clauses d’« exclusion liée à la guerre » prouve qu’il ne faut pas compter uniquement sur l’assurance cyber
Face à la recrudescence de la cybercriminalité et à une guerre en Ukraine qui s'éternise bien au-delà de ce que l'on pouvait imaginer, les assureurs ont commencé à augmenter leurs tarifs et leurs franchises, et à exprimer leurs inquiétudes concernant les exclusions — en particulier l'exclusion de guerre «», qui prend de plus en plus d'importance.
La plupart des polices d'assurance excluent la couverture des actes de guerre, mais ces clauses peuvent s'avérer difficiles à faire respecter. Compte tenu de ce contexte source de confusion, certains ont réclamé la mise en place d’un « filet de sécurité » fédéral — à l’instar de l’assurance publique couvrant les mauvaises récoltes — pour les polices d’assurance cyberdéfense protégeant les infrastructures critiques. En juillet, le Government Accountability Office (GAO) américain a recommandé que les ministères de la Sécurité intérieure et des Finances évaluent un tel projet. Mais cela prendra des années.
«Nous estimons avec un haut degré de certitude que Moscou intensifiera ses attaques perturbatrices et destructrices en réponse à l’évolution de la situation sur le champ de bataille. »« Fog of War : Comment le conflit ukrainien a transformé le paysage des cybermenaces », par Google
En attendant, les assureurs prennent leurs distances. , du Lloyd’s de Londres, a annoncé qu’elle ne couvrirait plus les cyberattaques attribuées à un État-nation quel qu’il soit, et, selon certaines informations, elle aurait commencé l’année dernière à dissuader les quelque 100 membres de son syndicat de souscrire des contrats liés à la cybersécurité cette année. Chubb a rendu publique une stratégie visant à limiter la couverture des événements de grande ampleur.
Ce que les dirigeants d'entreprise peuvent faire : Sortez votre police d'assurance et lisez attentivement les clauses en petits caractères afin de déterminer ce qui est couvert, ce qui ne l'est pas et ce dont vous avez besoin. Mais cela ne s'arrête pas là. Les assureurs attendent de plus en plus de leurs clients qu'ils renforcent leurs pratiques de cybersécurité ( ) en adoptant l'authentification multifactorielle ( ) et l'approche « zéro confiance » (), en automatisant la gestion des correctifs () et en évaluant leur score de risque cybernétique ().
[Lire la suite : Le gouvernement fédéral va-t-il garantir les assurances contre les cyberattaques ?]
Leçon n° 3 : La mise en place d'une équipe de recherche de menaces est plus essentielle que jamais
Si l'on doit retenir une chose de la guerre en Ukraine, ce sera sans doute le rôle joué par les acteurs non étatiques. Un exemple concret : l’« Armée informatique ukrainienne » ( ), une alliance sans précédent et puissante, bien que peu structurée, regroupant des hackers du monde entier, qui collaborent avec des responsables du ministère ukrainien de la Défense pour mener des attaques contre les infrastructures et les sites web russes.
La Russie, bien sûr, dispose de sa propre équipe de mercenaires des opérations secrètes, experts en cybercriminalité, et de programmeurs travaillant dans l'ombre, qui agissent peut-être – ou peut-être pas – sur ordre officiel du Kremlin. C'est là tout le problème de cette guerre : la diversité des acteurs et leurs liens (le cas échéant) avec les gouvernements est stupéfiante.
Tout cela fait de la recherche de menaces et de la mission « » des éléments essentiels pour les entreprises, grandes comme petites. Les chasseurs de menaces constituent l'équipe des Navy SEALs de votre organisation. Ces professionnels de la cybersécurité analysent en profondeur les systèmes et les réseaux afin de débusquer les pirates avant que des incidents ne se produisent. Ils maîtrisent les tactiques, les techniques et les procédures d'une multitude d'acteurs malveillants, qu'il s'agisse de hackers passionnés, d'hacktivistes animés par des idéaux, de cyber-gangs ou d'organisations criminelles.
Ce que les dirigeants d'entreprise peuvent faire : Adoptez une attitude proactive. Mettez en place une équipe de recherche de menaces et veillez à ce qu'elle soit aussi diversifiée que possible, en y intégrant des personnes issues de milieux variés et possédant des niveaux d'expérience différents. (Les équipes diversifiées obtiennent de meilleurs résultats.) Recherchez les compétences dites « non techniques » (résolution de problèmes, prise de risques) et misez sur une formation réaliste axée sur les adversaires afin que les chasseurs puissent identifier correctement les menaces réelles.
Alors que le conflit en Ukraine entre dans son 13e mois (soit environ 12 mois et demi de plus que ce que tout le monde aurait pu imaginer il y a un an), une chose reste certaine : rien n’est certain ni prévisible en matière de guerre moderne, et en particulier de cyberguerre.
« Étant donné que la cybersécurité relève de la gestion des risques et que sa mise en place nécessite du temps, il est essentiel que chacun comble toutes les vulnérabilités connues dont il est conscient, installe les correctifs, respecte les mesures de base et s'assure de disposer de plans de résilience DÈS À PRÉSENT », déclare M. Eoyang, du ministère américain de la Défense. « Car je ne pense pas que quiconque puisse affirmer avec certitude ce qui va se passer ensuite. »
