En juillet 2020e, lorsque les employés de Boyce Technologies — un fournisseur de solutions technologiques réseau basé à New York — se sont connectés à leurs ordinateurs et ont tenté d'ouvrir des fichiers, un message alarmant s'est affiché. Leurs données avaient été chiffrées, ce qui indiquait que des cybercriminels avaient pénétré dans leur réseau.
Les pirates avaient dérobé des centaines de documents, qu'ils menaçaient de publier sur le dark web, selon The HIPAA Journal. Afin de rétablir l'accès au réseau et de restituer les fichiers de Boyce, les cybercriminels ont exigé une rançon.
Les pirates — membres du groupe DoppelPaymer , une « » qui opérerait en Russie — savaient qu’ils s’en prenaient à cette entreprise de 150 personnes à un moment critique. Au printemps dernier, alors que New York était l'épicentre de la pandémie de COVID-19, Boyce a réorienté son activité, passant de la fabrication de systèmes de communication destinés aux transports en commun à celle de respirateurs à bas coût, homologués par la FDA, destinés aux patients atteints de la COVID-19.
«Lorsque le désespoir s’installe, les malfaiteurs [les cybercriminels] ont plus de chances d’obtenir leur argent. »Larry Ponemon, fondateur du Ponemon Institute
M. Boyce ne s'est pas exprimé publiquement pour indiquer s'il avait versé la rançon et a refusé de répondre aux questions posées dans le cadre de cet article. Mais au moment de l'attaque, l'entreprise expédiait plusieurs centaines d'unités par jour vers des hôpitaux de tout le pays. Une entreprise se trouvant dans cette situation doit faire face à un choix difficile, explique Larry Ponemon, fondateur du Ponemon Institute, un organisme de recherche spécialisé dans la cybersécurité et la protection de la vie privée. Ils doivent soit s'acquitter de leur dette, soit faire face à des retards de production pouvant mettre des vies en danger, en pleine pandémie.
« Parfois, les conséquences du non-paiement sont tout simplement trop lourdes », explique M. Ponemon. « C'était le pire des scénarios, dans lequel des personnes auraient pu perdre la vie. » Il ajoute : « Lorsque le désespoir s'installe, les malfaiteurs ont plus de chances d'obtenir leur argent. »
Des entreprises plus petites, des cibles plus importantes
Même si les cyberattaques visant les grandes entreprises font la une de l'actualité, ce sont désormais les petites et moyennes entreprises (PME), telles que Boyce, qui constituent les cibles les plus courantes de ces attaques. Mais contrairement aux grandes entreprises, qui disposent de budgets informatiques considérables et restent en état d'alerte face aux nouvelles menaces, de nombreuses petites structures n'ont même pas conscience de cette menace — une faille dont les cybercriminels tirent pleinement parti.
« De nombreuses entreprises pensent que ce sont les grandes sociétés qui sont visées », explique Alex Holden, fondateur de Hold Security, un cabinet de conseil en sécurité basé dans le Wisconsin. « Lorsqu’ils sont attaqués, ils sont toujours surpris et se demandent : “Pourquoi nous ?” »
Les cybercriminels ciblent également les PME pour une autre raison : celles-ci leur offrent un accès facile aux clients prestigieux des PME — ce que l'on appelle les attaques de la chaîne d'approvisionnement de type « ». Plusieurs mois avant que ce groupe de cybercriminels ne s'attaque aux systèmes de Boyce, il aurait réussi à s'introduire chez Visser Precision, un fabricant et sous-traitant du secteur de la défense basé à Denver, et aurait dérobé des données sensibles concernant ses clients. Parmi celles-ci figuraient Boeing, Lockheed Martin, Tesla et SpaceX, selon un article de TechCrunch intitulé « » ( ).
Le télétravail n'a fait qu'aggraver le problème pour les PME. Les employés qui, auparavant, travaillaient au bureau sur un appareil appartenant à l'entreprise et étaient en permanence connectés au réseau, se trouvent désormais chez eux, où ils utilisent parfois un appareil personnel qui n'est pas connecté à un VPN ou qui est également utilisé par d'autres membres du foyer, ainsi que par de nombreux autres appareils domestiques non sécurisés. Les cybercriminels le savent bien ; c'est pourquoi ils ciblent de plus en plus les télétravailleurs et leurs terminaux non sécurisés . Selon un rapport récent intitulé « » () publié par Malwarebytes (), 20 % des responsables de la cybersécurité déclarent avoir été confrontés, en 2020 , à une faille de sécurité imputable à un télétravailleur.
Mettez fin aux tentatives d'hameçonnage
De nombreuses PME souhaiteraient renforcer leurs mesures de cybersécurité, mais affirment que la pandémie leur a imposé d'énormes obstacles financiers. Dans une enquête intitulée « septembre 2020 » () menée par la société de sécurité réseau Untangle, un tiers des PME ont identifié l'insuffisance de leur budget informatique comme leur principal obstacle à la sécurisation de leurs réseaux, 38 % d'entre elles déclarant ne consacrer que 1 000 dollars, voire moins, à la sécurité informatique. Cette attitude qui consiste à faire des économies de bouts de chandelle vous revient cher. Les experts en cybersécurité avertissent que le fait de ne pas protéger une organisation contre les piratages peut finir par coûter bien plus cher par la suite. En 2019, par exemple, le coût moyen d'une fuite de données pour une PME, temps perdu compris, s'élevait à 150 000 dollars.
Même si les PME ne pourront jamais égaler les systèmes de cybersécurité des grandes entreprises, elles peuvent adopter, à moindre coût, certaines de leurs meilleures pratiques, notamment en sensibilisant leurs collaborateurs. Selon M. Ponemon, le domaine qui a eu le plus grand impact est celui des e-mails de hameçonnage de type « » — des faux messages visant à inciter les utilisateurs à saisir leur nom d'utilisateur et leur mot de passe ou à cliquer sur un lien malveillant. Selon Verizon, 32 % de toutes les fuites de données en 2019 étaient dues à des attaques par hameçonnage, dans lesquelles les cybercriminels ne cherchaient pas à exploiter des failles logicielles, mais des failles humaines.
« Autrefois, les tentatives d’hameçonnage étaient tellement évidentes : le logo de l’entreprise était flou, il y avait des fautes d’orthographe et des erreurs de grammaire », explique M. Ponemon. « Ça a pas mal changé. » Certaines arnaques sont incroyablement personnalisées. « Ils vous connaissent, ils savent où vous habitez. »
Même Ponemon a été victime d'une récente tentative d'hameçonnage. Les pirates ont piraté son compte de messagerie et lu ses e-mails, puis ont rédigé un message qui semblait provenir d'une personne avec laquelle il correspond régulièrement. Afin d'aider les personnes à repérer les tentatives d'hameçonnage, Ponemon recommande aux responsables informatiques des PME de sensibiliser leurs collaborateurs aux tactiques utilisées par les cybercriminels et d'organiser régulièrement des simulations à l'aide de faux e-mails.
Renforcez la protection par mot de passe
Les experts en cybersécurité recommandent également de former les employés afin qu'ils comprennent l'intérêt de l'authentification multifactorielle pour les connexions, du chiffrement de base des fichiers et de l'utilisation de mots de passe plus longs. Ces mots de passe ont bien plus de chances que les mots de passe courts de résister aux tentatives automatisées de « password spray » — —, une technique par laquelle les cybercriminels testent le même mot de passe sur de nombreux comptes avant de passer à un autre.
« Si vous n'avez que six ou sept caractères, vous pouvez utiliser des majuscules, des minuscules, des caractères spéciaux et des chiffres, peu importe. » « Il ne faudra toujours que quelques secondes ou quelques minutes pour le pirater », déclare James Lee, directeur des opérations de l’Identity Theft Resource Center. « Mais si vous disposez d'un mot de passe de 12 caractères, il faudra 300 ans pour le pirater. » « Votre mot de passe vous survivra. »
Si les entreprises n'ont pas les moyens de se doter du personnel informatique nécessaire pour mener à bien cette formation, M. Holden recommande d'adopter une approche de type « responsable de la sécurité incendie ». Tout comme de nombreuses entreprises disposent de responsables de la sécurité incendie chargés de veiller au respect des procédures à suivre en cas d'incendie, les PME pourraient désigner plusieurs collaborateurs au sein de leur organisation pour veiller au respect des bonnes pratiques en matière de cybersécurité.
« À l’heure où les failles de sécurité sont monnaie courante, négliger la cybersécurité revient à dire qu’il n’y a aucun problème à allumer un feu à ciel ouvert dans un espace clos », déclare M. Holden. « Nous avons besoin d’un niveau identique de prise de conscience et de changement de comportement en matière de cybersécurité. »
