Vers un nouveau record des cyberattaques ?

Selon une étude du courtier Aon, le nombre de cyberincidents sur le premier semestre est déjà supérieur au niveau des années 2015 et 2016 entières. Il a répertorié 3718 cyberincidents dans le monde au premier semestre. A ce rythme-là, les niveaux atteints l’an dernier seraient largement dépassés (5858 cyberincidents en 2018).

« Les données les plus récentes suggèrent que les “ransomwares” (ou rançongiciels, NDLR) et les fuites de données sont en augmentation par rapport à 2018, qui avait été l’année la plus prolifique en matière de fuites », signalent les experts d’Aon.

Les ransomwares sont des codes malveillants qui se cachent, principalement, dans les pièces jointes des emails. En cliquant sur un PDF ou une photo envoyée par email, une personne déclenche involontairement l’attaque informatique. Elle va consister à chiffrer (crpyter) tous les fichiers de son ordinateur et ceux partagés avec ses collègues au bureau. Résultat, l’activité de l’entreprise est au point mort car plus personne ne peut travailler…

Messagerie mal sécurisée : usurpation

Les statistiques d’AON rejoignent celles publiées en juillet par AIG (American International Group). Son étude faisait remarquer que les dépôts d’assurance liés aux BEC (Business email compromises) représentaient près d’un quart (23 %) de toutes les demandes d’indemnisation en cyberassurance qu’elle a reçues l’an passé.

Les BEC s’appuient sur l’usurpation de l’adresse email d’un dirigeant pour demander, par exemple, au DAF ou au comptable de l’entreprise de faire un virement (frauduleux évidemment) ou pour récupérer des données confidentielles.

Ce chiffre confirme celui publié il y a quelques mois dans le rapport de Beazley : les attaques de type Business email compromises (BEC) ont représenté 24 % du total des incidents signalés en 2018, contre 13 % en 2017.

AIG attribue la récente augmentation des réclamations de cyberassurance liées aux BEC aux mauvaises mesures de sécurité mises en place par les entreprises victimes : utilisation de mauvais mots de passe, pas d’authentification multifactorielle, manque de formation des collaborateurs concernant les menaces numériques…

L’erreur ou la négligence humaine

Ce type d’attaque peut coûter très cher aux organisations. Selon une étude récente du FBI, les attaques du BEC ont coûté presque 12 milliards d’euros aux entreprises dans le monde entier au cours des cinq dernières années. En juin 2018, le FBI avait arrêté 74 cybercriminels sur trois continents. Plus de 14 millions de dollars avaient été récupérés.

AIG confirme que les logiciels de rançon (ou ransomware) arrivent en seconde position (18 %) des dépôts de plainte qu’il a enregistrés. Mais il s’attend à ce que les ransomwares reprennent bientôt la première place qu’ils occupaient l’année précédente, en 2017, lorsque les sinistres liés aux logiciels de rançon représentaient 26 % de toutes les réclamations de cyberassurance.

Enfin, AIG indique que les demandes d’indemnisation et dépôt de plainte pour atteinte à la protection des données causées par des pirates informatiques et les atteintes à la protection des données causées par la négligence des employés (p. ex., envoi de données à la mauvaise personne), arrivent ensuite, avec 14 % chacune.

Dans ce contexte, il est essentiel de mettre en place des outils de sécurité adaptés et une politique de sauvegarde. Mais les entreprises ne doivent pas oublier la formation/sensibilisation de leurs collaborateurs.

Début septembre, Proofpoint (un des poids lourds de la sécurité informatique) révélait que 99 % des menaces nécessitent une action humaine pour s’exécuter (activer une macro, ouvrir une pièce jointe, cliquer sur un lien, etc.), soulignant l’importance de l’ingénierie sociale dans l’efficacité des attaques.