En juillet 2020, lorsque les employés de Boyce Technologies, un fournisseur de solutions technologiques réseau basé à New York, se sont connectés à leurs ordinateurs et ont essayé d’ouvrir des fichiers, ils ont reçu un message alarmant. Leurs données avaient été chiffrées, un indice indiquant que les cybercriminels avaient violé leur réseau.
Les pirates avaient extrait des centaines de documents, qu’ils menaçaient de publier sur le dark web, selon le HIPAA Journal. Afin de restaurer l’accès réseau et de renvoyer les fichiers de Boyce, les cybercriminels ont demandé une rançon.
Les attaquants, qui faisaient partie du gang DoppelPaymer et qui semblaient opérer en Russie, savaient qu’ils frappaient l’entreprise de 150 personnes à un moment critique. Au printemps, lorsque la ville de New York était un épicentre de la COVID-19, Boyce est passée de la fabrication de systèmes de communication de transit à la fabrication de ventilateurs à faible coût approuvés par la FDA pour les patients atteints de COVID.
« Lorsqu’il y a désespoir, les méchants [cybercriminels] sont plus susceptibles de recevoir leur argent. »Larry Ponemon, fondateur de Ponemon Institute
Boyce n’a pas commenté publiquement s’il a payé la rançon et a refusé de répondre aux questions pour cet article. Mais au moment de l’attaque, elle expédiait plusieurs centaines d’unités par jour aux hôpitaux du pays. Une entreprise dans cette situation a un choix difficile à faire, déclare Larry Ponemon, fondateur de Ponemon Institute, une organisation de recherche sur la cybersécurité et la confidentialité. Ils doivent payer ou endurer des retards de production mettant en jeu le pronostic vital en pleine pandémie.
« Parfois, les conséquences de ne pas payer sont tout simplement trop élevées », déclare Ponemon. « Il s’agissait d’un pire scénario, où vous pouviez faire mourir des gens. » Il ajoute : « Lorsqu’il y a désespoir, les méchants sont plus susceptibles de recevoir leur argent. »
Petites entreprises, cibles plus importantes
Bien que les cyberattaques contre les grandes entreprises dominent les gros titres, les petites et moyennes entreprises (PME) comme Boyce sont désormais les cibles les plus courantes des attaques. Mais contrairement aux grandes entreprises, qui disposent de budgets informatiques considérables et restent très vigilantes face aux nouvelles menaces, de nombreuses petites organisations ne sont même pas conscientes de la menace, une vulnérabilité sur laquelle les cybercriminels s’attaquent.
« De nombreuses entreprises pensent que ce sont les grandes entreprises qui sont touchées », déclare Alex Holden, fondateur du cabinet de conseil en sécurité Hold Security basé dans le Wisconsin. « Lorsqu’ils sont attaqués, ils sont toujours surpris et se demandent pourquoi nous ? »
Les cybercriminels ciblent également les PME pour une autre raison : ils fournissent un chemin facile vers les clients les plus importants d’une PME, ce que l’on appelle des attaques de la chaîne d’approvisionnement. Plusieurs mois avant que le groupe cybercriminel n’atteigne les systèmes de Boyce, il aurait découvert Visser Precision, un fabricant et entrepreneur de défense basé à Denver, et volé des données sensibles sur ses clients. Il s’agissait notamment de Boeing, Lockheed Martin, Tesla et SpaceX, selon un rapport TechCrunch .
Le travail à distance a empiré le problème pour les PME. Les employés qui étaient autrefois au bureau sur un appareil appartenant à l’entreprise et qui étaient toujours connectés au réseau sont désormais chez eux, dans certains cas en utilisant un appareil personnel qui n’est pas connecté à un VPN ou que d’autres membres du foyer, et beaucoup d’autres appareils non sécurisés, utilisent également. Les cybercriminels le savent, ils ciblent donc de plus en plus les employés distants et leurs appareils d’ endpoint non sécurisés. Selon un rapport récentde Malwarebytes, 20 % des leaders de la cybersécurité déclarent avoir été confrontés à une faille de sécurité en 2020 qui était le résultat d’un télétravailleur.
Arrêtez les expéditions de phishing
De nombreuses PME aimeraient renforcer leurs défenses en matière de cybersécurité, mais disent que la pandémie a posé d’importants obstacles financiers. Dans une septembre 2020 enquête menée par la société de sécurité réseau Untangle, un tiers des PME ont identifié l’absence d’un budget informatique suffisant comme leur plus grand défi pour sécuriser leurs réseaux, 38 % disant qu’elles allouent seulement 1 000 USD ou moins à la sécurité informatique. Cette attitude stupide en termes de cent dollars est coûteuse. Les experts en cybersécurité avertissent qu’un manquement à protéger une organisation contre les piratages peut finir par coûter beaucoup plus tard. En 2019, par exemple, le coût moyen d’une violation de données pour une PME, y compris le temps perdu, était de 150 000 USD.
Bien que les PME ne correspondent jamais aux systèmes de cybersécurité des grandes entreprises, elles peuvent adopter de manière rentable certaines de leurs meilleures pratiques, notamment en éduquant les employés. Le plus grand domaine d’impact unique, déclare Ponemon, est l’ hameçonnage par e-mail , de faux messages qui visent à inciter les utilisateurs à vérifier leur nom d’utilisateur et leur mot de passe ou à cliquer sur un lien malveillant. Selon Verizon, 32 % de toutes les violations de données en 2019 se sont produites en raison de l’hameçonnage, où les criminels ne cherchaient pas de vulnérabilités logicielles, mais des vulnérabilités humaines.
« L’hameçonnage était auparavant si évident, comme le logo de l’entreprise était flou, les mots orthographiés mal, mauvaise grammaire », déclare Ponemon. « Cela a beaucoup changé. Certaines escroqueries sont incroyablement personnalisées. Ils vous connaissent, ils savent où vous vivez. »
Même Ponemon a été victime d’une récente tentative d’hameçonnage. Les pirates informatiques ont piraté et lu ses e-mails, puis ont rédigé un message qui semblait provenir d’une personne avec laquelle il correspond régulièrement. Pour aider les gens à repérer les tentatives d’hameçonnage, Ponemon conseille aux responsables informatiques des PME d’éduquer leurs employés sur les tactiques que les cybercriminels utilisent et de mener des simulations régulières avec de faux e-mails.
Renforcement des protections par mot de passe
Les experts en cybersécurité recommandent également de former les employés à comprendre la valeur de l’authentification multifacteur pour les connexions, du chiffrement de base pour les fichiers et des mots de passe plus longs. Ces mots de passe sont beaucoup plus susceptibles que les mots de passe courts de résister aux tentatives automatisées de « pulvérisation de mots de passe », lorsque les cybercriminels essaient le même mot de passe sur de nombreux comptes avant d’en essayer un autre.
« Si vous n’avez que six ou sept caractères, vous pouvez avoir tous ces majuscules, minuscules, caractères spéciaux, chiffres, peu importe. Il ne faudra toujours que quelques secondes ou minutes pour y remédier », déclare James Lee, directeur de l’exploitation du Centre de ressources pour le vol d’identité. « Mais si vous disposez d’un mot de passe à 12 caractères, cela prendra 300 ans. Votre mot de passe vous survivra. »
Si les entreprises ne peuvent pas se permettre au personnel informatique de diriger cette formation, Holden recommande une approche de « lutte contre les incendies ». De même que de nombreuses entreprises ont des commissaires aux incendies pour superviser les procédures qui doivent être suivies en cas d’incendie, les PME pourraient déléguer plusieurs employés au sein de l’organisation pour superviser les meilleures pratiques de cybersécurité.
« Maintenant que les violations sont un événement quotidien, ignorer la cybersécurité est comme quelqu’un qui dit qu’il est acceptable d’avoir des feux ouverts dans des espaces clos », déclare Holden. « Nous avons besoin du même niveau de préoccupation et de changement de comportement pour la cybersécurité. »
