On l'a qualifié de pire piratage informatique de l'histoire.
Le 9 décembre, une faille critique dans un outil de journalisation en ligne très répandu a été mise au jour après que des pirates l'ont exploitée pour accéder aux serveurs hébergeant Minecraft, la célèbre plateforme de jeux vidéo. Cette faille, connue sous le nom de Log4Shell (CVE-2021-44228), constitue une menace mondiale, car elle permet aux pirates informatiques de s'introduire dans des systèmes informatiques et des serveurs sans mot de passe.
Depuis sa découverte, les équipes de cybersécurité s'efforcent de corriger cette faille, tandis que les cybercriminels s'empressent de développer et de diffuser des outils permettant de l'exploiter. À moins que ce problème ne soit résolu, les criminels, les espions et les États peuvent exploiter cette faille pour accéder aux réseaux d'entreprises et d'administrations, y implanter des logiciels malveillants et voler des données précieuses.
Cette vulnérabilité se trouve dans une bibliothèque de journalisation Java open source qui, comme l'indique Jim Kelly, vice-président de Tanium chargé de la sécurité des terminaux « » , « est intégrée à de nombreuses applications d'entreprise et logiciels open source, et pourrait également servir de dépendance dans de nombreux autres services ». Kelly, spécialiste en architecture de sécurité, ajoute : « La multitude de variables liées à la configuration et à l'installation rend cette vulnérabilité extrêmement difficile à identifier et à corriger. »
Alors que l'année 2021 touche à sa fin, même les professionnels chevronnés de la cybersécurité ont du mal à saisir l'ampleur de ce piratage, ainsi que le nombre impressionnant d'attaques menées cette année par les cybercriminels et les États-nations.
[À lire également : Qu'est-ce que la norme Log4J et comment protéger votre organisation ?]
La liste des grandes entreprises victimes d'attaques illustre bien l'ampleur de l'épidémie cybernétique actuelle : Kaseya. Colonial Pipeline. de JBS sur la transformation de la viande. Twitch. Et, bien sûr, SolarWinds. (Techniquement, il s'agit d'un piratage de type « 2020 » : l'affaire SolarWinds a été découverte il y a exactement un an, a occupé une grande partie des réflexions sur la cybersécurité en 2021’s et a donné lieu à un décret présidentiel.)
L'éventail des cibles visées par les cyberattaquants était si vaste (parmi lesquelles figuraient notamment un transformateur de viande, un fournisseur d'énergie, un brasseur et plusieurs agences fédérales) qu'il serait difficile d'affirmer que quiconque était à l'abri. « Tous les secteurs d’activité ont été touchés, sans exception », déclare Brenda R. Sharton, associée et coprésidente du pôle mondial « Protection de la vie privée et cybersécurité » du cabinet Dechert LLP, ainsi qu’experte de renommée nationale dans ce domaine. L’événement « “2021 » a été organisé dans le respect de l’égalité des chances. « Les cyberattaques ont connu une croissance exponentielle à tous les niveaux, tant en termes de fréquence que de degré de sophistication, sans oublier, bien sûr, le montant des rançons exigées. »
Secteurs les plus visés
Il est difficile de déterminer avec précision le nombre exact d'attaques par ransomware. Mais les secteurs les plus souvent visés étaient ceux qui détenaient les données les plus sensibles (secteur bancaire et autres services financiers) et ceux qui ont eu du mal à assurer leur cybersécurité (secteur de la santé et de l'éducation).
«2021 » était un événement ouvert à tous sans distinction. Les cyberattaques ont connu une hausse exponentielle dans tous les domaines. »Barbara R. Sharton, associée et coprésidente, Dechert LLP
Par exemple, en mars, des cybercriminels ont attaqué CNA Financial, le septième assureur commercial des États-Unis, et ont chiffré quelque 15 000 appareils, dont des ordinateurs utilisés par ses télétravailleurs. L'assureur « » aurait versé plus de 40 millions de dollars de rançon à « ». Deux mois plus tard, des pirates informatiques ont attaqué la division d'assistance en Asie de l'assureur français Axa, probablement à l'aide du ransomware Avaddon.
En mai, des pirates informatiques ont lancé une attaque par rançongiciel contre le ministère irlandais de la Santé et son organisme de gestion des services de santé (Health Service Executive). Outre la divulgation en ligne de données sensibles concernant les patients, le logiciel des pirates a entraîné l'annulation des services hospitaliers ainsi qu'un retard dans la délivrance des actes de naissance et de décès et dans le traitement des tests Covid-19. Le Centre médical universitaire du sud du Nevada ( ) a été victime d'une cyberattaque cet été, qui a compromis les données personnelles de 1,3 millions de personnes. Une partie des données volées a été repérée sur le site du darknet du groupe de ransomware REvil.
[À lire également : « Ransomware 101—what » : qu'est-ce que c'est et comment prévenir une attaque ?]
Paul Bischoff, rédacteur en chef et défenseur de la vie privée au sein de la société de sécurité des consommateurs Comparitech, souligne que « le secteur de la santé est particulièrement vulnérable aux attaques par ransomware ». En effet, les établissements de santé d' présentent de nombreuses failles en matière de cybersécurité, notamment un personnel surchargé de travail qui n'est pas composé de professionnels de l'informatique qualifiés et qui doit utiliser des ordinateurs connectés à Internet et des réseaux Wi-Fi non sécurisés. De plus, ces établissements, essentiels à la prise en charge médicale de leurs communautés, ont dû faire face à des contraintes pour assurer un fonctionnement sans heurts pendant la pandémie. « Cela les rend plus enclins à céder aux demandes des auteurs de ransomware, et ils constituent donc des cibles plus lucratives pour les pirates informatiques », explique M. Bischoff.
De l'argent facile et anonyme
While no one has yet tallied 2021’s overall cost for rectifying a ransomware attack on healthcare, Bischoff and others say it will probably top last year’s. En 2020, le coût moyen d'une cyberattaque — incluant les temps d'arrêt, les rançons versées, les réparations et le remplacement des appareils et des réseaux — dans le secteur de la santé aux États-Unis s'élevait à 1,27 millions de dollars, selon les chiffres du ministère de la Santé et des Services sociaux. À titre de comparaison, la moyenne dans le secteur des services financiers s'élevait à 2,1 millions de dollars. Par ailleurs, le secteur de l'éducation a enregistré la facture moyenne la plus élevée, à 2,73 millions de dollars.
«Le secteur de la santé est particulièrement vulnérable aux attaques par ransomware. »Paul Bischoff, défenseur de la vie privée, Comparitech
Cette année, la facture devrait être bien plus élevée. « Nous avons constaté que les demandes de rançon sont passées d'un montant de l'ordre de sept chiffres au milieu de l'année 2020 à plusieurs dizaines de millions de dollars en 2021 », explique M. Sharton.
Les experts du secteur craignent que le recours croissant aux cryptomonnaies — qui sont intraçables — pour payer les rançons exigées par les auteurs de ransomware n'encourage les attaques. Étant donné que la réglementation relative aux cryptomonnaies varie d’un pays à l’autre, Jon Brandt, directeur des pratiques professionnelles et de l’innovation au sein de l’association informatique ISACA, estime que « l’ambiguïté mondiale » de ces monnaies « encourage probablement les cybercriminels ». Cela ne signifie toutefois pas que la cryptomonnaie soit elle-même responsable de ces attaques. « Ce serait comme dire que les braquages de banques ont augmenté parce que l’invention de l’automobile a facilité la fuite », explique M. Brandt.
La recrudescence des attaques visant la chaîne d'approvisionnement
La pandémie de Covid-19 a mis en évidence l'un des points faibles majeurs de toute organisation : le recours à des prestataires externes ne disposant pas de systèmes de sécurité sophistiqués. Les attaques visant la chaîne d'approvisionnement auraient quadruplé cette année, selon l' , l'Agence de l'Union européenne pour la cybersécurité. L’ENISA souligne que, dans les deux tiers de ces attaques, les pirates ont d’abord ciblé le code source d’un fournisseur afin de se rapprocher de leur cible principale.
« Les chaînes d’approvisionnement sont complexes : les biens et services proviennent du monde entier, et tous sont exposés à des risques à des degrés divers », explique M. Brandt. « La pandémie a poussé de nombreuses personnes à se tourner vers les services cloud, ce qui accroît exponentiellement les risques. »
Un exemple marquant de violation de la chaîne d'approvisionnement s'est produit début juillet, lorsque Kaseya Ltd., un fournisseur de logiciels de gestion informatique et d' s antivirus, a été compromis par des pirates informatiques d'Europe de l'Est utilisant un rançongiciel développé par le groupe REvil. Kaseya commercialise ses produits auprès de prestataires de services tiers, qui gèrent l'informatique d'autres entreprises, souvent des petites et moyennes entreprises. En ciblant le logiciel de Kaseya, les cybercriminels ont pu accéder à divers réseaux, ce qui a touché pas moins de 1 500 entreprises. Les pirates ont exigé une rançon de 70 millions de dollars.
[À lire également : Le paiement des rançons devrait-il être interdit ?]
Les fournisseurs et prestataires sont de plus en plus souvent pris pour cible, explique M. Sharton, car ils peuvent « offrir une porte dérobée vers l'environnement d'une organisation, qui n'est pas forcément facilement repérable par l'équipe chargée de la sécurité de l'information ».
Le phishing devient de plus en plus sophistiqué
Avec le recours accru au télétravail pendant la pandémie, des attaques de phishing par e-mail particulièrement sophistiquées ont vu le jour, tout comme des piratages visant des périphériques réseau non sécurisés.
«Beaucoup trop de cyberattaques se produisent ou s’aggravent parce que les organisations ne mettent pas correctement en œuvre les mesures élémentaires, voire ne les mettent pas en œuvre du tout. »Jon Brandt, directeur des pratiques professionnelles et de l'innovation, ISACA
« Des éléments tels que le Wi-Fi domestique, le fait de ne pas connaître ses nouveaux collègues, les vulnérabilités liées au fait que les employés se connectent aux systèmes depuis des lieux disparates, ainsi que la peur et l’incertitude généralisées liées à tout ce qui touche au Covid ont créé un contexte idéal dont les pirates ont tenté de tirer parti », explique M. Sharton. « J'ai mené environ 1 000 enquêtes sur des fuites de données depuis la fin de l'année 1990s. » « Chaque année, je constate que les attaques de hameçonnage gagnent en sophistication. »
En effet, selon le consortium international « Anti-Phishing Working Group », le nombre d'attaques de hameçonnage signalées sur a doublé en 2020 avec la pandémie, et est resté élevé en 2021. En juin de cette année, l'APWG a recensé 222 127 attaques.
L'une des attaques les plus courantes était la « compromission des e-mails professionnels » (BEC), dans laquelle l'escroc se fait passer pour un collègue de l'entreprise ou une autre personne de confiance, et tente de piéger un employé pour qu'il envoie de l'argent ou des informations financières, généralement en envoyant à la victime des e-mails depuis des comptes falsifiés ou piratés. Compte tenu de la quantité considérable de données personnelles partagées sur les réseaux sociaux, il est relativement facile pour les escrocs de cerner précisément les centres d'intérêt et les préférences de leurs cibles et de mettre au point des campagnes d'hameçonnage qui exploitent avec une précision effrayante les vulnérabilités des utilisateurs.
[À lire également : L'assurance cyber n'est pas votre meilleure protection contre les cyberattaques]
Les auteurs d'hameçonnage se sont également montrés plus avides cette année. Selon l'APWG, le montant moyen des demandes de virement bancaire dans le cadre d'une attaque de type BEC est passé à 106 000 dollars, contre 48 000 dollars l'année précédente.
La solution miracle en matière de sécurité : les bonnes pratiques élémentaires en matière de cybersécurité
La meilleure protection dont dispose une organisation pour éviter d’être victime d’un piratage consiste à adopter les règles élémentaires de cyberhygiène, telles que celles présentées sur . Cela commence par l' , qui permet de détecter et de répertorier l'ensemble du matériel et des logiciels présents sur votre réseau. Le principe à appliquer est alors celui du « zéro confiance » ( ), selon lequel tout appareil tentant de se connecter au réseau est considéré comme une menace potentielle. L'authentification multifactorielle, le chiffrement des données et les sauvegardes régulièrement testées sont essentiels, tout comme l'octroi des autorisations selon les principes du « moindre privilège » et du « besoin d'en connaître ».
« De nombreuses organisations ont beaucoup de mal à restreindre l'accès aux systèmes et aux données. » « Beaucoup trop d'employés disposent d'un accès plus étendu que ce dont ils ont besoin pour faire leur travail », déclare M. Brandt. En termes simples, ajoute-t-il, « bien trop de cyberattaques se produisent ou s'aggravent parce que les organisations ne mettent pas correctement en œuvre les mesures élémentaires, voire ne les mettent pas en œuvre du tout ».
Selon M. Sharton, l'une des surprises de cette année a été de « constater que les demandes de rançon s'élevaient désormais à plusieurs dizaines de millions de dollars », alors qu'il y a plusieurs années, ces attaques ne portaient initialement que sur quelques milliers de dollars.
La bonne nouvelle, dit-elle, c’est que « les cybercriminels sont finalement devenus trop avides, et nous assistons désormais à des tentatives de réponse coordonnée au niveau gouvernemental, alors qu’auparavant, ils parvenaient à passer inaperçus ».
