C’est ce qu’on appelle le pire piratage Internet de l’histoire.
Le 9 décembre, une vulnérabilité critique dans un outil de journalisation logicielle en ligne largement utilisé est apparue après que les pirates l’ont utilisée pour accéder aux serveurs qui hébergent Minecraft, la plateforme de jeu populaire. Le défaut, connu sous le nom de Log4Shell (CVE-2021-44228), est une menace mondiale car il permet aux pirates informatiques d’accéder aux systèmes informatiques et aux serveurs sans mot de passe.
Dans les jours qui ont suivi son apparition, les équipes de cybersécurité se sont efforcées d’y remédier, tandis que les cybercriminels se sont battus pour développer et distribuer des outils pour l’exploiter. À moins qu’il ne soit fixe, les criminels, les espions et les États-nations peuvent utiliser le défaut pour accéder aux réseaux commerciaux et gouvernementaux, planter des logiciels malveillants et voler des données précieuses.
La vulnérabilité existe dans une bibliothèque de journaux Java open source qui, comme l’affirme Jim Kelly, vice-président de la sécurité des endpoints chez Tanium, « est intégrée dans de nombreuses applications d’entreprise, logiciels open source et potentiellement en tant que dépendance dans de nombreux autres services ». Kelly, une professionnelle de l’architecture de sécurité, ajoute : « La prévalence des variables de configuration et d’installation rend cette vulnérabilité extrêmement difficile à identifier et à cibler pour la remédiation. »
Il ne reste que quelques jours en 2021. Il est donc difficile pour les professionnels chevronnés de la cybersécurité de se concentrer sur l’ampleur de ce piratage, ainsi que sur le nombre considérable d’attaques que les cybercriminels et les États-nations ont menées cette année.
[Lire également : Qu’est-ce que Log4J et comment protéger mon organisation ?]
La liste des grandes entreprises attaquées est abrégée pour la cyber-épidémie d’aujourd’hui : Kaseya. Pipeline colonial. Emballage de viande JBS. Twitch. Et, bien sûr, SolarWinds. (Techniquement piratage de 2020 , SolarWinds a été découvert il y a exactement un an, a pris une grande partie de 2021’s réflexions sur la cybersécurité et a inspiré un décret présidentiel.)
L’éventail de cibles que les cyberattaquants ont touchées était si répandu (parmi eux, un emballeur de viande, un fournisseur d’énergie, un brasseur et plusieurs agences fédérales) qu’il serait difficile de dire que tout le monde était en sécurité. « La quasi-totalité des secteurs et industries ont été affectés », déclare Brenda R. Sharton, associée et co-présidente de la pratique mondiale de confidentialité et de cybersécurité de Dechert LLP et experte reconnue au niveau national dans ce domaine. “2021 a été un événement d’égalité des chances. Les cyberattaques ont augmenté de manière exponentielle à la fois en termes de fréquence, de niveau de sophistication et de demandes de rançon. »
Secteurs les plus ciblés
Le nombre exact d’attaques par ransomware est difficile à détecter. Mais les secteurs les plus souvent ciblés étaient ceux disposant des données les plus sensibles (banques et autres services financiers) et ceux qui ont eu du mal à maintenir la cybersécurité (santé et éducation).
« 2021 a été un événement d’égalité des chances. Les cyberattaques ont augmenté de manière exponentielle à tous les niveaux. »Barbara R. Sharton, associée et co-présidente, Dechert LLP
Par exemple, en mars, des criminels ont attaqué CNA Financial, le septième plus grand assureur commercial aux États-Unis, en chiffrant quelque 15 000 appareils, y compris les ordinateurs utilisés par sa main-d’œuvre à distance. L’assureur aurait payé plus de 40 millions USD en rançon. Deux mois plus tard, les pirates informatiques ont rejoint la division d’assistance asiatique de l’assureur français Axa, probablement en utilisant le ransomware Avaddon.
En mai, des pirates informatiques ont lancé une attaque par ransomware contre le ministère irlandais de la Santé et son responsable des services de santé. En plus de divulguer des données sensibles sur les patients en ligne, le logiciel des attaquants a forcé l’annulation des services d’hospitalisation et un retard dans l’émission des certificats de naissance et de décès et le traitement des tests Covid-19.Le Centre médical universitaire du sud du Nevada a été touché par une attaque en été qui a affecté les détails personnels de 1,3 millions de personnes. Certaines des données volées ont été repérées sur le site darknet du groupe de rançongiciels REvil.
[Lire également : le ransomware 101—what est-il et comment prévenir une attaque]
Paul Bischoff, rédacteur en chef et défenseur de la confidentialité de la société de sécurité des consommateurs Comparitech, note que « le secteur de la santé est particulièrement vulnérable aux attaques par ransomware ». En effet, les établissements de santé présentent de nombreux points de cyber-faiblesse, notamment un personnel surmené qui n’est pas des professionnels de l’informatique formés et qui doit utiliser des ordinateurs connectés à Internet et des réseaux Wi-Fi non sécurisés. De plus, ces établissements, essentiels aux soins de santé de leurs communautés, ont été sous pression pour fonctionner sans heurts pendant la pandémie. Cela « les rend plus susceptibles de payer des demandes de ransomware, et donc de cibler plus lucrativement les pirates », déclare M. Bischoff.
Argent facile et anonyme
Bien que personne n’ait encore comptabilisé 2021’s coûts globaux pour corriger une attaque de ransomware sur les soins de santé, Bischoff et d’autres affirment qu’elle sera probablement la meilleure de l’année dernière. En 2020, le coût moyen des cyberattaques, pour les temps d’arrêt, les rançons payées, les réparations et le remplacement des appareils et des réseaux, dans le secteur de la santé américain était de 1,27 millions USD, selon les chiffres du Département de la santé et des services sociaux. En comparaison, la moyenne dans le secteur des services financiers était de 2,1 millions USD. Pendant ce temps, le secteur de l’éducation a déclaré la facture moyenne la plus élevée, à 2,73 millions USD.
« Le secteur de la santé est particulièrement vulnérable aux attaques par ransomware. »Paul Bischoff, défenseur de la confidentialité, Comparitech
Cette année, la facture devrait être beaucoup plus élevée. « Nous avons vu les demandes de rançon passer du milieu de sept chiffres en 2020 aux dizaines de millions de dollars en 2021 », déclare Sharton.
Les experts de l’industrie craignent que l’utilisation croissante de cryptomonnaies, qui n’est pas traçable, pour payer les demandes de rançongiciels puisse encourager les attaques. Étant donné que les réglementations sur les cryptomonnaies varient à travers le monde, Jon Brandt, directeur des pratiques professionnelles et de l’innovation de l’association informatique ISACA, pense que l’« ambiguïté mondiale de la devise encourage probablement les cybercriminels ». Cependant, cela ne signifie pas que la cryptographie est elle-même responsable des attaques. « Cela ressemblerait à dire que les hackers bancaires ont augmenté parce que les voitures ont été inventées et ont créé une escapade plus facile », déclare Brandt.
L’essor des attaques de la chaîne d’approvisionnement
La Covid a exposé l’un des aspects les plus vulnérables de toute organisation : son utilisation de fournisseurs externes qui manquent de sécurité sophistiquée. Selon l’Agence européenne pour la cybersécurité, les attaques de la chaîne d’approvisionnement ont peut-être été multipliées par quatre cette année. Dans les deux tiers de ces attaques, souligne l’ENISA, les pirates informatiques ont d’abord ciblé la base de code d’un fournisseur pour progresser sur leur cible principale.
« Les chaînes d’approvisionnement sont complexes, avec des biens et services provenant du monde entier, qui sont tous vulnérables à différents degrés », déclare Brandt. « La pandémie a propulsé beaucoup vers les services cloud, ce qui augmente exponentiellement les risques. »
Un exemple clé d’une violation de la chaîne d’approvisionnement s’est produit début juillet lorsque Kaseya Ltd., un fournisseur de logiciels antivirus et de gestion informatique, a été compromis par des pirates informatiques d’Europe de l’Est utilisant des rançongiciels fabriqués par le groupe REvil. Kaseya vend ses produits à des fournisseurs de services tiers, qui gèrent l’informatique pour d’autres entreprises, souvent des petites et moyennes entreprises. En ciblant les logiciels de Kaseya, les cybercriminels ont eu accès à une gamme de réseaux différents, affectant jusqu’à 1 500 entreprises. Les pirates ont demandé 70 millions USD de rançon.
[Lire également : Les paiements par ransomware doivent-ils être illégaux ?]
Les fournisseurs sont de plus en plus ciblés, explique Sharton, car ils peuvent « fournir une porte dérobée dans l’environnement d’une organisation qui peut ne pas être aussi évidente pour l’équipe de sécurité de l’information. »
L’hameçonnage devient plus philanthique
Avec l’augmentation de la migration vers le travail à distance pendant la pandémie, des attaques intelligentes d’hameçonnage par e-mail ont suivi, tout comme les piratages sur les appareils réseau non sécurisés.
« Beaucoup trop de cyberattaques se produisent ou s’aggravent parce que les organisations ne font pas les choses faciles, voire pas du tout. »Jon Brandt, directeur des pratiques professionnelles et de l’innovation, ISACA
« Des choses comme le Wi-Fi à domicile, le fait de ne pas connaître de nouveaux collègues, les vulnérabilités des travailleurs entrant dans les systèmes à partir de sites disparates, et simplement la peur et l’incertitude pures concernant tout ce que Covid a créé la tempête idéale pour que les pirates informatiques essaient de capitaliser », déclare Sharton. « J’ai géré environ 1 000 enquêtes sur les violations de données depuis la fin 1990s. Tous les ans, je constate une augmentation de la sophistication des attaques de phishing. »
En effet, les attaques d’hameçonnage signalées ont doublé en 2020 avec la pandémie, selon le consortium international Anti-Phishing Working Group, et se sont maintenues solides en 2021. En juin de cette année, l’APWG a connu 222 127 attaques.
Une attaque courante était la compromission des e-mails professionnels, dans laquelle l’escroc se fait passer pour un collègue de l’entreprise ou une autre partie de confiance, et tente d’inciter un travailleur à envoyer de l’argent ou des informations financières, généralement en envoyant l’e-mail de la victime à partir de comptes falsifiés ou violés. Avec autant de données personnelles partagées sur les réseaux sociaux, il est assez facile pour les escrocs d’explorer les intérêts et les goûts de leur cible et de créer des campagnes d’hameçonnage qui sont relativement précises pour les vulnérabilités d’un utilisateur.
[Lire également : La cyber-assurance n’est pas votre meilleure protection contre les cyberattaques]
Les escrocs au phishing sont également devenus plus convoités cette année. La demande moyenne de virement bancaire dans une attaque BEC a augmenté à 106 000 USD, contre 48 000 USD par an plus tôt, selon l’APWG.
La solution miracle de la sécurité : la cyberhygiène de base
La meilleure défense d’une organisation contre le piratage est la cyberhygiène de base. Cela commence par la découverte et l’inventaire de l’ensemble du matériel et des logiciels sur votre réseau. Le principe à appliquer est le Zero Trust, dans lequel chaque appareil qui tente de se connecter au réseau est traité comme une menace potentielle. L’authentification multifacteur, le chiffrement des données et les sauvegardes qui sont régulièrement testés sont essentiels, ainsi que les permissions accordées en utilisant les directives du moindre privilège et du besoin de savoir.
« De nombreuses organisations ne parviennent pas à limiter l’accès aux systèmes et aux données. Beaucoup trop d’employés ont plus d’accès qu’ils n’en ont besoin pour faire leur travail », déclare Brandt. En d’autres termes, ajoute-t-il, « Beaucoup trop de cyberattaques se produisent ou s’aggravent parce que les organisations ne font pas les choses faciles, voire pas du tout. »
[Lire également : 6 conseils pour protéger votre organisation contre la cybercriminalité croissante]
Sharton déclare qu’une surprise cette année était de « voir les demandes de rançon passer à des dizaines de millions de dollars », par rapport aux attaques qui ont commencé il y a de nombreuses années et qui ont commencé avec des milliers de dollars.
La bonne nouvelle, dit-elle, est que « les acteurs malveillants sont finalement devenus trop gourmands, et nous voyons maintenant des tentatives de réponse coordonnée au niveau du gouvernement, alors qu’avant ils ont pu rester sous le radar ».
