Guide pratique de cybersécurité à destination des petites entreprises

Quand vous entendez le mot « cybersécurité », à quoi pensez-vous ? Probablement à un vieux mème d’un adolescent en sweat à capuche penché sur un écran d’ordinateur. Certains cybercriminels portent peut-être des sweats à capuche, mais aujourd’hui, la cybercriminalité est une gigantesque industrie dont la valeur est estimée à plus de dix mille milliards de dollars par an d’ici 2025 (article en anglais) et qui s’avère plus rentable que le trafic de drogues.

La cybercriminalité n’a rien d’homogène. Ce terme décrit les menaces et attaques visant tout ce qui a trait au secteur numérique, comme les données et les ressources informatiques. L’impact de telles attaques est généralisé et inclut des pertes financières ainsi que des temps d’arrêt et des atteintes à la réputation. Il s’agit d’une forme de crime en constante évolution. Le réseau de cybercriminels est vaste et diversifié et lié aux réseaux les plus sinistres, notamment le dark web, sur lequel les données volées sont achetées et vendues en vue de commettre de nouveaux crimes. Pour avoir un aperçu de l’impact de la cybercriminalité sur les entreprises de toutes les tailles et de tous les secteurs, voici quelques données chiffrées :

L’impact de la cybercriminalité

Le Ponemon Institute publie en partenariat avec IBM une étude annuelle sur les coûts de la cybercriminalité pour les entreprises. Selon l’étude de cette année, les coûts liés à un cybercrime ont augmenté, en moyenne, de 6,4 pour cent pour atteindre 3,86 millions de dollars.

Coût de la cybercriminalité pour les PME

Selon une autre étude menée par le Ponemon Institute, qui se penche spécifiquement sur les coûts liés à un cybercrime pour les organisations plus petites (entre 100 et 1 000 salariés), le coût moyen pour une petite organisation était de plus de 2,2 millions de dollars en prenant en compte l’interruption des activités et la perte des actifs informatiques.

Hameçonnage et rançongiciel

La boîte à outils du cybercriminel est pleine de gadgets. Les astuces et techniques foisonnent, et nombre d’entre elles ciblent la nature profonde de l’être humain. L’hameçonnage est l’arme de prédilection des cybercriminels ; ils utilisent des courriels et des SMS frauduleux pour infecter les ordinateurs des entreprises et dérober des identifiants. En 2017, 76 pour cent des entreprises avaient subi une attaque par hameçonnage. Les rançongiciels, qui pénètrent souvent les entreprises par le biais d’une pièce jointe, prolifèrent. En 2016, une entreprise était attaquée par un rançongiciel toutes les 40 secondes (article en anglais).

Souches de programmes malveillants

Un rançongiciel est un type de programmes malveillants. Le nombre total de souches de programmes malveillants augment d’année en année, au cours du 1er trimestre de 2017 une nouvelle souche de programmes malveillants était découvert toutes les 4,2 secondes (article en anglais). Il est donc très difficile pour les entreprises de s’en protéger.

L’impact spécifique de la cybercriminalité sur les PME

Les petites organisations constituent des cibles faciles pour les pirates, car elles sont moins susceptibles de disposer de mesures de sécurité dédiées. Selon l’étude du Ponemon Institute, 48 pour cent des entreprises interrogées avaient subi une attaque par hameçonnage, 43 pour cent une attaque basée sur le web, et 36 pour cent des entreprises ont été infectées par un programme malveillant. Une étude menée par le gouvernement britannique a révélé que le nombre d’incidents de cybersécurité était encore plus élevé au sein des PME, 50 % d’entre elles ayant été victimes d’attaques.

Cybersécurité : cibler les points sensibles des PME

Les PME sont des cibles idéales pour certains types de cybercrimes. Penchons-nous sur certaines des méthodes favorites des cybercriminels :

« Haut les mains ! » Les rançongiciels et leur impact sur les PME

Les rançongiciels sont le type de cybermenaces le plus redouté. Si vous êtes infecté par un rançongiciel, tous vos fichiers, stockés en local, sur votre réseau et même dans des dossiers dans le cloud, seront chiffrés par un programme hostile. Un message d’avertissement apparaîtra ensuite sur votre écran d’ordinateur vous indiquant que vous devez payer un montant donné en cryptomonnaies sous X jours afin de recevoir une clé spéciale pour déchiffrer les fichiers. Bien entendu, nous avons affaire à des criminels, vous courez donc le risque de ne pas recevoir la clé même après avoir payé la somme demandée.

Une infection par un rançongiciel est l’équivalent numérique d’une bombe sur le point d’exploser. Vous ne pourrez plus travailler sur aucun de vos fichiers : feuilles de calcul, documents Word, présentations PowerPoint, etc., ils sont tous verrouillés. Selon des recherches (article en anglais), les PME perdent en moyenne 100 000 $ par incident impliquant un rançongiciel. 22 % des PME visées par un rançongiciel se sont immédiatement retrouvées en cessation d’activités.

« Souriez, vous avez été piégé ! » Le fléau de la fraude par courriel en entreprise

La fraude par courriel en entreprise est une arnaque qui exploite le comportement humain. Le but est de tromper un employé, souvent un cadre supérieur, afin qu’il transfère d’importantes sommes d’argent vers le compte bancaire du cybercriminel. Le pirate utilise parfois des courriels d’hameçonnage afin de dérober les identifiants de connexion aux comptes de courriel et aux calendriers. Cette partie de la fraude vise à récupérer des informations sur la cible. Informations utilisées ensuite pour piéger la cible et l’inciter à établir une relation avec l’escroc. L’objectif est d’instaurer la confiance et de pousser la personne donnée à virer de l’argent.

La fraude comprend parfois la création de courriels frauduleux qui semblent vraiment provenir d’un cadre de l’entreprise. Les courriels jouent sur le sentiment d’urgence pour pousser la cible à procéder au virement. Par exemple : « ce montant DOIT être transféré avant midi ou l’entreprise perdra un contrat lucratif ». Le courriel semble réel, car il est basé sur les renseignements obtenus sur la cible. Par exemple, [email protected] deviendra [email protected] De nombreuses personnes ne remarqueront pas la différence dans l’adresse électronique et penseront qu’il s’agit d’une demande valide provenant d’un cadre chevronné. Le FBI (article en anglais) a examiné les coûts liés à cette fraude dans le monde et a découvert qu’entre octobre 2013 et décembre 2016 ils s’élevaient à 5,3 milliards de dollars.

Un guide d’hameçonnage pour piéger les PME

L’hameçonnage est l’outil le plus populaire parmi les cybercriminels, car il reste très efficace. Cette tactique exploite nos réactions humaines basiques afin d’infecter les ordinateurs avec des programmes malveillants, comme les rançongiciels, dérober les identifiants de connexion de comptes importants et des données confidentielles et privées. L’hameçonnage peut prendre de nombreuses formes, comme des courriels frauduleux (y compris pour le harponnage qui cible un individu précis au sein d’une entreprise), l’hameçonnage vocal, qui utilise un appel téléphonique pour voler des données, et l’hameçonnage par SMS, basé sur des SMS frauduleux. L’hameçonnage est également la méthode préférée des pirates pour transmettre des rançongiciels, le Ponemon Institute a découvert que 76 pour cent d’entre eux étaient diffusés par ce biais.

5 mesures permettant de prévenir les incidents de cybersécurité

La gestion des risques liés à la cybersécurité peut sembler être une tâche ardue. Il existe toutefois plusieurs mesures assez faciles à mettre en place qui peuvent vous permettre de réduire la probabilité que votre PME soit touchée par un incident de cybersécurité ou, si c’est le cas, de réduire l’impact.

Sensibilisation à la sécurité

Avoir connaissance des risques existants est la première moitié de la solution. Si vous maîtrisez les tactiques utilisées par les cybercriminels, comme repérer les signes révélateurs d’un courriel d’hameçonnage, vous pouvez prévenir une infection ou le vol d’identifiants. Une solution concrète peut être d’organiser un séminaire sur la cybercriminalité à destination de vos salariés.

Options d’authentification

Vous avez peut-être déjà entendu parler de l’authentification à deux facteurs (2FA) avec laquelle une personne saisissant un mot de passe reçoit ensuite un code sur mobile (ou utilise une identification biométrique, comme une empreinte digitale). C’est seulement en renseignant ce dernier dans un champ que la connexion au compte est possible. Bien que cette méthode ne soit pas parfaite, elle réduit significativement les risques d’hameçonnage. Même si un pirate parvient à mettre la main sur votre mot de passe, il aura besoin du code envoyé par SMS ou de vos données biométriques pour se connecter. Si vous avez la possibilité d’utiliser 2 FA pour vous connecter, faites-le.

Sauvegardes sûres et sécurisées

Les rançongiciels sont particulièrement efficaces pour empêcher toute utilisation de vos fichiers et documents. Vous pouvez réduire l’impact d’une telle infection en mettant en place des sauvegardes sécurisées. Les rançongiciels peuvent toutefois affecter les systèmes de sauvegarde, vous devez donc utiliser le bon système. Veillez à ne pas connecter votre sauvegarde à votre réseau. Une étude menée par SentinelOne (document en anglais) a montré que les firmes disposant de sauvegardes sécurisées étaient capables de reprendre leurs activités plus rapidement.

Utilisation d’outils professionnels

Le chiffrement est l’outil de choix des criminels, mais c’est également une arme qui peut être utilisée à bon escient. Vous pouvez chiffrer des données stockées comme en transit. Lorsque vous consultez un site internet dont l’URL débute par HTTPS cela signifie en règle générale que les données, comme vos informations personnelles ou mots de passe, etc., sont transmises de manière sécurisée. Avec l’utilisation du chiffrement et de certificats numériques, internet est un peu plus sûr. Bien entendu, il existe des exceptions. Certains sites frauduleux utilisent le HTTPS et trompent les utilisateurs en leur faisant croire qu’ils sont sécurisés. Le chiffrement est également essentiel pour le stockage d’informations confidentielles et personnelles dans des bases de données et sur des disques durs, comme sur un ordinateur portable.

Sécurité mobile

Les cybercriminels adorent cibler les smartphones et il existe de nombreuses failles de sécurité sur mobile. Une nouvelle tactique populaire est d’infecter les téléphones à l’aide de rançongiciels qui les verrouillent jusqu’au paiement de la rançon. L’utilisation de chevaux de Troie bancaires est également de plus en plus courante, cela implique une fausse application bancaire très convaincante qui vous dérobe vos identifiants en temps réel. Selon un rapport de Verizon (article en anglais), 85 pour cent des organisations considèrent que les mobiles présentaient un risque pour leur activité.

Connaître les cybermenaces

La cybercriminalité est un problème dont l’ampleur est croissante, mais qui n’est pas insurmontable. Nous ne pouvons toutefois pas penser qu’il ne nous affectera pas, car nous sommes une PME. Les cybercriminels sont motivés par l’argent et la déstabilisation, ils cherchent donc des cibles faciles. En connaissant les tenants et aboutissants de la cybersécurité et les types de risques auxquels elles sont exposées, les PME peuvent se protéger.