Ne soyez pas agacé ou complaisant. Il s’agit sans doute des deux leçons les plus universelles apprises au cours de l’année passée sur la cybersécurité, son rôle dans les conflits armés et les mesures que les entreprises du monde entier doivent prendre pour se protéger.
Au cours des dernières semaines, alors que le monde s’est braqué pour demain, le premier anniversaire de l’invasion de l’Ukraine par la Russie, des experts et des experts ont essayé d’évaluer le rôle que les cyberarmes ont joué dans la guerre. Il y a un an, les nations occidentales en particulier se préparaient au pire.
« Nous nous attendions à des impacts beaucoup plus importants que ce que nous avons vu », a déclaré Mieke Eoyang, secrétaire adjoint à la défense pour la cyberpolitique au Département de la Défense, lors d’un panel lors du 2022 Aspen Cyber Summit en novembre. « Je pense qu’il est sûr de dire que les cyber-armées russes ainsi que leurs forces militaires traditionnelles ont sous-performé les attentes. »
Bien que les cyberhostilités soient restées principalement limitées à l’Ukraine, il y a eu quelques exceptions décisives liées à l’ infrastructure occidentale. In addition, a Russia-backed cyberattack on U.S. satellite company Viasat disrupted Ukraine military communications in the early days of the war; the Russia-linked hacking group GhostWriter led an all-out phishing assault on Poland in 2022; Russia’s Sandworm hackers deployed malware in Ukraine and Poland last fall; Russian-speaking hackers knocked offline more than a dozen U.S. airports (including LaGuardia and O’Hare) in October; Russian cybercriminals have been reportedly using underground discussion groups to brainstorm ways to weaponize the much-buzzed-about artificial intelligence bot ChatGPT, just released in November; and Russian phishing campaigns against NATO countries increased more than 300% from 2020 to 2022, some of which is no doubt linked to the current conflict, notes a recent Google analysis.
Et ce ne sont là que les incursions que nous connaissons.
Attendez-vous à plus. Cette analyse de trois divisions de Google, publiée ce mois-ci, note avec « une grande confiance » que la Russie « augmentera probablement les attaques perturbatrices et destructrices en réponse aux développements sur le champ de bataille », ciblant à la fois les partenaires ukrainiens et de l’OTAN.
« Il est vraiment important que nous prenions toutes les mesures possibles pour nous préparer à la possibilité de [cyberattaques], de nous rendre aussi difficiles et résilients que possible. »Mieke Eoyang, secrétaire adjoint à la défense pour la cyber-politique, Département de la Défense
« Je ne pense pas que chacun d’entre nous sache quel sera le calcul de l’escalade et à quel moment nous devrons peut-être vraiment penser aux attaques contre l’infrastructure américaine », a déclaré M. Eoyang. « Mais il est vraiment important que nous prenions toutes les mesures possibles pour nous préparer à la possibilité de cela, pour nous rendre aussi difficiles et résilients que possible. »
Dans cette optique, nous récapitulons une partie de la couverture liée à l’Ukraine de Focal Point , en prescrivant les meilleures mesures que les dirigeants commerciaux et de sécurité peuvent prendre pour se préparer efficacement aux cyberhostilités à venir. Voici trois leçons essentielles à apprendre et à mettre en œuvre dès maintenant, si vous n’avez pas encore commencé.
Leçon 1 : Les crises mondiales déclenchent des escroqueries par hameçonnage (plus difficiles à résister)
Une fois que les réservoirs russes se sont déployés sur le sol ukrainien, il a fallu peu de temps pour que les e-mails d’hameçonnage arrivent dans les boîtes de réception. L’une des premières attaques d’hameçonnage signalées, initiée par un cybergang lié à la Biélorussie et dirigée vers le personnel de l’Union européenne travaillant avec des réfugiés ukrainiens, a été détectée le jour même où la Russie a envahi. Quelques semaines plus tard, un rapport de la société de sécurité des e-mails Cyren a estimé que les acteurs malveillants déployaient plus de 100 000 faux e-mails de don par jour.
Cela devient une procédure opérationnelle standard : une crise frappe et des messages d’hameçonnage époustouflants avec des lignes d’objet telles que « Aider les victimes de la guerre ukrainienne » prolifèrent. Plus tôt ce mois-ci, la direction générale de la Turquie a déclaré avoir fermé 46 sites Web d’« escroquerie par hameçonnage » tentant de voler des dons aux victimes du tremblement de terre dévastateur de la semaine dernière.
« Les e-mails frauduleux, souvent contenant des liens ou des pièces jointes malveillants, sont courants après des catastrophes naturelles majeures » et d’autres crises mondiales, avertissent une annonce récente de la Cybersecurity and Infrastructure Security Agency (CISA). De nouvelles boîtes à outils de phishing en tant que service permettent aux amateurs de voler des comptes en ligne. Et le phishing lié à la voix, ou « hameçonnage vocal », est également en hausse.
Ce que les chefs d’entreprise peuvent faire : la pression est sur les employeurs pour s’assurer que leurs travailleurs sont informés, formés et vigilants. Maintenir une main-d’œuvre plus robuste et plus intelligente signifie impliquer les travailleurs dans un engagement à l’échelle de l’entreprise pour une meilleure cybersécurité. Cela signifie former tous les membres du personnel, de l’entrée de gamme à la direction, améliorer le moral des travailleurs et investir dans une technologie qui peut améliorer l’expérience des employés.
Leçon 2 : Une prolifération de clauses d’« exclusion de guerre » prouve que vous ne pouvez pas compter uniquement sur la cyberassurance
Avec l’augmentation de la cybercriminalité et la guerre en Ukraine qui dure beaucoup plus longtemps que prévu, les assureurs ont commencé à augmenter les taux, les franchises et les préoccupations concernant les exclusions, en particulier l’« exclusion de guerre » de plus en plus importante.
La plupart des polices excluent la couverture pour les actes de guerre, mais ces clauses peuvent être difficiles à appliquer. Étant donné le climat déroutant, certains ont appelé à un « backstop » fédéral, tout comme l’assurance gouvernementale couvre les défaillances des cultures, pour les polices d’assurance cyber protégeant les infrastructures critiques. En juillet, le Bureau de responsabilisation du gouvernement américain a recommandé que les ministères de la Sécurité intérieure et du Trésor évaluent un tel plan. Mais cela prendra des années.
« Nous évaluons avec une grande confiance que Moscou augmentera les attaques perturbatrices et destructrices en réponse aux développements sur le champ de bataille. »« Fog of War : How the Ukraine Conflict Transformed the Cyber Threat Landscape », par Google
En attendant, les assureurs reculent. Lloyd’s of London a annoncé qu’elle ne couvrirait plus les cyberattaques attribuées à aucun État-nation, et l’année dernière, elle aurait commencé à décourager ses quelque 100 membres syndiqués d’écrire des cyberattaques cette année. Chubb est devenue publique avec une stratégie de limitation de la couverture pour les événements répandus.
Ce que les dirigeants d’entreprise peuvent faire : souscrivez cette police d’assurance et lisez les conditions détaillées pour déterminer ce qui est couvert, ce qui ne l’est pas et ce dont vous avez besoin. Mais cela ne s’arrête pas là. Les assureurs s’attendent de plus en plus à ce que les clients renforcent la cyberhygiène en adoptant l’ authentification multifacteur et la confiance zéro, en automatisant la gestion des correctifs et en déterminant votre score de cyber-risque.
[Lire la suite : Les alimentations vont-elles renforcer la cyber-assurance ?]
Leçon 3 : La création d’une équipe de chasse aux menaces est plus vitale que jamais
Si la guerre en Ukraine est mémorisée pour une chose, ce sera probablement la figure de l’acteur non étatique. Cas concret : l’ armée informatique ukrainienne, une alliance sans précédent et puissante de pirates informatiques du monde entier, travaillant en collaboration avec des fonctionnaires du ministère de la Défense ukrainien pour cibler l’infrastructure et les sites Web russes.
La Russie, bien sûr, dispose de sa propre équipe de mercenaires Black Ops et de codeurs en arrière-boutique qui peuvent ou non travailler avec des ordres de marche officiels du Kremlin. C’est le problème de cette guerre : la variété des participants et leur relation (le cas échéant) avec les gouvernements est stupéfiante.
Tout cela rend la recherche des menaces essentielle pour les grandes et petites entreprises. Les chasseurs de menaces sont la propre équipe privée de Navy SEAL de votre organisation. Ces professionnels de la cybersécurité explorent les systèmes et les réseaux pour éradiquer les attaquants avant que de mauvaises choses ne se produisent. Ils comprennent les tactiques, techniques et procédures d’une multitude d’acteurs malveillants différents, des pirates informatiques geeky aux hacktivistes axés sur les idéaux, en passant par les cybergangs et les syndicats criminels.
Ce que les dirigeants d’entreprise peuvent faire : être proactifs. Lancez une équipe de chasse aux menaces et rendez-la aussi diversifiée que possible, y compris celles ayant des antécédents et des niveaux d’expérience différents. (Les équipes diversifiées produisent de meilleurs résultats.) Recherchez des compétences dites « logicielles » (résolution de problèmes, prise de risque) et investissez dans une formation contradictoire réaliste afin que les chasseurs puissent identifier correctement les menaces réelles.
Alors que le conflit ukrainien entre dans son 13e mois (ce qui représente environ 12 et demi de plus que ce à quoi on s’attendait il y a un an), une chose reste certaine : rien n’est certain, ou prévisible, lorsqu’il s’agit de guerre moderne, et de cyberguerre en particulier.
« Étant donné que la cyber est un exercice géré par les risques et qu’il faut du temps pour se préparer, il est très important que tout le monde ferme toutes les vulnérabilités connues qu’il a, en effectuant les correctifs, en faisant les bases, en s’assurant qu’il a des plans de résilience MAINTENANT », déclare Eoyang du DOD. « Parce que je ne sais pas que quelqu’un peut dire avec certitude ce qui se passera ensuite. »
