Ne croyez pas tout ce qu’on dit à propos des actualités d’hier : il arrive parfois qu’elles restent d’une importance capitale bien après avoir fait la une.
À l’instar de nos trois articles de la rubrique « Focal Point » de , qui ont remporté les Tabbie Awards lors de la 20e édition du concours international annuel de rédaction et de conception graphique dédié aux publications B2B (B2B), organisé par Trade, Association, and Business Publications International (TABPI). Focal Point fait partie des 13 publications — un ensemble varié comprenant notamment McKinsey Global Publishing, , Computerworld et , ainsi que Global Cannabis Times — qui ont remporté au moins trois prix au début du mois, parmi des centaines de candidatures venues du monde entier et publiées dans 2022.
Nos récits primés restent tout à fait d'actualité dans le cadre des débats actuels sur la cybersécurité et, à certains égards, ils sont même encore plus pertinents aujourd'hui.
Prenons l'exemple de notre enquête sur des hackers adolescents, inspirée par la cyberattaque perpétrée l'année dernière contre Uber par un jeune de 17 ans lié au célèbre (et notoirement jeune) groupe de cybercriminels Lapsus$. Ce mois-ci, le Département américain de la Sécurité intérieure (DHS) a publié le rapport « » de son Comité d’examen de la cybersécurité (CSRB) consacré aux activités de Lapsus$. Ce rapport explique comment les membres de ce groupe — dont beaucoup sont des adolescents — ont réussi, ces dernières années, à déjouer un nombre surprenant d’organisations disposant de moyens importants, en recourant à des techniques relativement simples. Ce rapport énonce 10 recommandations, dont plusieurs sont abordées dans notre article, que les entreprises peuvent (et devraient) mettre en œuvre dès maintenant pour renforcer leurs cyberdéfenses.
Comme l’a souligné Alejandro Mayorkas, secrétaire du DHS : « Les conclusions du CSRB sont non seulement d’une actualité brûlante, mais elles sont également susceptibles d’être mises en œuvre. »
Il en va de même pour les recommandations contenues dans les trois articles suivants, qui proposent les conseils d’experts issus d’ de responsables de la sécurité des systèmes d’information (RSSI), de PDG, d’analystes en sécurité et de chasseurs de bogues d’ .
Et puis, tiens, on a un week-end de trois jours qui s'annonce. Alors, si vous avez prévu de passer un moment de détente dans un hamac ou sur une chaise longue, nous vous conseillons d'ajouter cette page à vos favoris et d'y revenir lorsque vous serez confortablement installé. Ou mieux encore : cliquez dès maintenant pour prendre une longueur d'avance. Ce week-end, vous dormirez plus sereinement en sachant comment renforcer la sécurité de votre entreprise.
La compromission des e-mails professionnels : une menace insidieuse
LE PRIX : 2023 Article technique — Bronze
POURQUOI CELA EST PERTINENT AUJOURD’HUI : Cet article met en lumière un fait bien documenté mais encore peu connu concernant la cybercriminalité : Les ransomwares, qui accaparent une grande partie de l’attention des médias, font pâle figure face aux attaques de type « Business Email Compromise » (BEC), qui existent depuis plus longtemps, s’avèrent bien plus coûteuses et dont la fréquence, la complexité et la gravité ne cessent d’augmenter.
Certes, le ransomware — malgré son caractère destructeur — semble avoir une image plus « cool » et plus « sexy », alors que l’expression «business email compromise » semble technique, maladroite et ennuyeuse. Mais cette forme d' , le « phishing » , est particulièrement insidieuse : de faux e-mails (mais convaincants) se glissent dans les boîtes de réception d'employés qui ne se doutent de rien et causent des ravages. Les escroqueries les plus courantes impliquent des pirates informatiques qui se font passer pour des fournisseurs envoyant des factures, ou pour des cadres supérieurs demandant des virements bancaires. Les employés — généralement surchargés de travail, manquant de moyens et peu avertis en matière de cybersécurité — s'y plient trop souvent.
Le rapport « 2022 Internet Crime Report » du FBI, publié au printemps, a recensé près de 22 000 plaintes liées à la fraude BEC l'année dernière, pour un montant total de pertes ajustées s'élevant à plus de 2,7 milliards de dollars.
Il est impératif de faire connaître ces escroqueries, car la meilleure défense contre le BEC réside dans un personnel bien informé et engagé , formé à repérer ces faux messages.
La thérapie par la parole destinée aux RSSI porte ses fruits
LE PRIX : Article pratique n° 2023 — Médaille de bronze
POURQUOI CELA EST PERTINENT AUJOURD’HUI : Conçu à l’intention des RSSI, mais utile à toute personne amenée à interagir avec la direction générale, cet article décompose l’art de la présentation persuasive en trois étapes fondamentales. Se débarrasser du jargon informatique constitue un élément essentiel de la première étape.
Pour convaincre les PDG de pratiquement n'importe quoi, vous devez non seulement penser comme les cadres supérieurs, mais aussi parler leur langage. Cela signifie privilégier les chiffres et le résultat net dès le début. Nous traçons cette voie étape par étape, à l'aide de graphiques et de données issues d'une enquête menée auprès de cadres supérieurs sur la communication, réalisée par Harvard Business Review Analytic Services, parrainée par Tanium (éditeur de ce magazine).
En général, les médecins n'apprennent pas les compétences en matière de relations avec les patients à la faculté de médecine, et les certifications CISO n'abordent jamais la manière de communiquer avec les personnes qui signent les chèques et fixent les règles. Ils devraient ; ces compétences sont essentielles.
Les jeunes hackers sont de retour* et difficiles à cerner
LE PRIX : Article de fond n° 2023 (Top 25 des numéros) —4th e place, mention honorable
POURQUOI CELA EST PERTINENT AUJOURD’HUI : Les hackers adolescents : le sujet semble presque désuet au vu de l’intérêt actuel porté aux cyber-gangs d’élite , aux cyber-gangs et aux acteurs criminels agissant avec le consentement direct (ou indirect) et le soutien des États-nations. Pourtant, ce jeune pirate informatique est toujours en liberté et, d'une certaine manière, il est encore plus insaisissable.
«Les conclusions du CSRB [concernant le cyber-gang Lapsus$, composé en grande partie d’adolescents] sont non seulement d’une actualité brûlante, mais elles sont également exploitables. »Alejandro Mayorkas, secrétaire américain à la Sécurité intérieure
Ce qui le motive (il s’agit généralement d’un homme, bien que la cybercriminalité féminine soit en pleine augmentation), ce n’est ni l’argent ni le pouvoir — des aspects que les stratèges en matière de défense connaissent bien. C'est une question de fierté.
Notre article, qui s'est classé quatrième parmi les 25 finalistes du TABPI, a été publié avant que ChatGPT ne devienne un nom connu de tous. Depuis lors, l' s sur l'intelligence artificielle (IA) ont explosé — et de nombreux experts en technologie s'inquiètent . Les chatbots basés sur l'IA, tels que ChatGPT, qui abaissent le seuil d'accès et permettent à des personnes moins expérimentées de mener des cyberattaques, ne feront qu'accroître l'impact des hackers adolescents. L'année dernière, l'équipe du centre de coordination « » ( ) a estimé que nous avions négligé cette catégorie de personnes, qui dominait le monde des cyberattaques aux tout débuts d'Internet. Il était (et c'est toujours) temps de se rappeler ce qui les motive.
[Lire la suite : Dans l'esprit d'un adolescent hacker insaisissable]
* Les jeunes hackers, c'est comme les tickets d'assistance informatique : quel que soit votre niveau de compétence, ils ne disparaissent jamais vraiment.
