Depuis quelques années, la cybercriminalité fait les gros titres de l’actualité. Aujourd’hui, il n’est plus nécessaire d’être un expert informatique de haut vol ni de disposer d’énormes capitaux, pour lancer une cyberattaque.

Tout est disponible sur le Dark Web pour lancer un assaut redoutable. Mais comment les attaquants sélectionnent-ils leurs victimes potentielles ? Les grandes entreprises ou bien les plus petites ? Les banques, les assurances, ou bien l’industrie ?

La réponse peut faire peur : tout type d’entreprise, publique ou privée, comme tous les secteurs d’activité, sont des cibles potentielles. Et pourquoi pas vous ?

Comme à chaque fin d’année, la presse ouvre ses colonnes à de nombreuses enquêtes et études consacrées à l’augmentation des cyberattaques dans le monde en général, et en France en particulier. Des chiffres en hausse tous les ans, les perspectives pour 2022 n’étant guère rassurantes. 

Selon une enquête publiée par Orange Cyberdéfense en décembre 2021, conduite auprès de ses entreprises clientes, le nombre de cyberattaques sur l’année 2021 aurait été de 13% supérieur aux chiffres de 2020, avec en moyenne 42 cyberattaques recensées chaque mois (contre 37 en 2020). 

De son côté, l’ANSSI évoque des chiffres bien supérieurs, avec une augmentation de 255% d’attaques par rançongiciel entre 2020 et 2021.

Sur un panel d’entreprises débordant le cadre des grandes entreprises et OIV, en avril 2021, dans son rapport d’activité 2020 , cybermalveillance.gouv.fr déclare avoir eu la visite d’une dizaine de milliers d’entreprises sur son site, à la recherche d’assistance ou d’information. Le rapport précise même que « s’agissant des professionnels, que ce soit pour la catégorie ‘entreprises et associations’ ou ‘collectivités et administrations’, les rançongiciels ont été cette année la première cause de recherche d’assistance, avec respectivement 17 % et 19%, suivi du piratage informatique (16 % et 13%) et du piratage de compte ». 

Le CESIN (Club des Experts de la Sécurité de l’Information et du Numérique) pense, pour sa part, que l’hameçonnage est le vecteur d’entrée principal des attaques (73% des entreprises répondantes), alors que seuls 20% des répondants déclarent avoir été touchés par un rançongiciel.

Le déploiement massif de collaborateurs en télétravail, du fait de la crise sanitaire, a multiplié la surface d’attaque offerte aux cybercriminels. 
Certains attaquants très expérimentés continuent à cibler les plus grandes entreprises dans l’espoir d’une rançon très substantielle. Ces attaques dites « Big Game Hunting » selon l’ANSSI, ont aussi pour objectif le vol de données critiques pouvant donner lieu d’une part au paiement de rançon, et d’autre part à la monétisation de ces données sur le Dark Web. C’est ce que l’on appelle la double extorsion.

Mais souvent, les grandes entreprises ou administrations disposent d’équipes en charge de leur sécurité informatique, qui compliquent la tâche des attaquants. Pourquoi alors ne pas tenter d’attaquer des cibles a priori plus vulnérables ? C’est une réalité, selon Orange Cyberdéfense, pour qui « 75% des victimes de ransomware sont désormais des petites et moyennes entreprises qui manquent de ressources dédiées ». La perspective d’une double extorsion reste envisageable, car de plus en plus d’entreprises de taille moyenne manipulent des volumes importants de données. C’est par exemple le cas des entreprises de commerce en ligne employant peu de collaborateurs, mais disposant de bases de clients importantes. 

Donc, à l’exception peut-être des TPE, toute taille d’entreprise est susceptible d’une tentative de cyberattaque !

En quelques années, la typologie des cibles a changé du tout au tout, notamment en raison de la plus grande facilité pour un attaquant ‘lambda’ de disposer d’un arsenal offensif auparavant réservé aux seuls hackers chevronnés.
Il existe certes toujours des cyberattaques pilotées par des États, ou encore des groupes « d’hacktivistes idéologues », mais la cybercriminalité est une activité désormais aux mains de groupes mafieux, ou même de la moyenne délinquance…
L’appât du gain ouvre le champ des possibles, et certains n’hésitent plus à attaquer des cibles comme l’AP-HP en septembre 2021 ou encore la Croix-Rouge en janvier 2022 .

Des entreprises industrielles peuvent être attaquées, et dans ce cas, l’objectif est de neutraliser leur outil de production.
On se souvient de l’attaque ransomware menée en mai 2021 sur l’entreprise américaine Colonial Pipeline, qui a conduit à stopper net la distribution de 45% du carburant sur la côte Est des États-Unis. Au-delà de sa seule perte de chiffre d’affaires, Colonial Pipeline a également dû payer 4,4 millions de dollars au groupe DarkSide, une « entreprise » de Ransomware-as-a-Service.
Au mois de janvier 2022, plusieurs installations portuaires aux Pays-Bas, en Belgique et en Allemagne ont été également victimes d’une cyberattaque ransomware, propagée par un logiciel tiers de gestion des déchargements de bateaux. 

Le secteur de l’assurance a également été largement impacté par le ranswomware. Comme le rapporte l’Argus de l’Assurance, « en 2021, April, Verlingue, AssurOne, Stelliant, la Mutuelle Nationale des Hospitaliers, MMA ou encore Axa via sa filiale Axa Partners en Asie sont autant d’acteurs du secteur de l’assurance français à avoir été la cible d’une cyberattaque ». Les victimes sont des entreprises de taille moyenne pour la plupart, mais gérant toutes de grands volumes d’informations sur leurs clients. Le secteur automobile est également touché, à la fois chez les constructeurs par exemple Renault, Volvo, Toyota, ou encore Volkswagen, mais aussi, parfois, chez certains garagistes.

Pour une entreprise privée comme pour une organisation publique, le risque d’être victime d’une attaque en 2022 est loin d’être nul, quel que soit sa taille ou son secteur d’activité. Le seul véritable moyen efficace pour éviter une attaque externe est de couper tout accès réseau vers le monde extérieur à votre Système d’Information. Une solution qui, avouons-le, risque de nuire gravement à votre activité commerciale, ou publique.

Si les grandes entreprises et organisations publiques disposent généralement d’une équipe IT solide – et de budgets conséquents – elles pourront limiter le risque d’attaque en mettant en place des solutions de sécurité, comme un SOC (Security Operation Center), un SIEM (Security Information and Event Management) avec éventuellement un peu d’Intelligence Artificielle, un bastion, sans oublier les pare-feux ou les anti-virus de nouvelle génération.

Pour les autres entreprises ou organisations, le déploiement de pare-feux et d’antivirus est l’arsenal minimum dont il faut s’équiper, sans oublier de passer scrupuleusement tous les correctifs et mises à jour des logiciels. Il convient également de sensibiliser et de former les utilisateurs à respecter les politiques de sécurité de l’entreprise, comme d’éviter de cliquer trop rapidement sur un mail ou sa pièce jointe.

Enfin, pour limiter le vol de données, un moyen très efficace et simple d’usage reste le chiffrement. Certes, un attaquant habile aura peut-être réussi à copier vos données, mais dès lors qu’elles sont chiffrées, il ne pourra pas les exploiter ! L’entreprise est ainsi protégée contre les préjudices liés au vol et la divulgation de ses données.

Plusieurs solutions de chiffrement sont envisageables : du chiffrement des disques ou des postes de travail, au chiffrement des documents partagés, de la messagerie, voire du cloud.
Cerise sur le gâteau, ces solutions de chiffrement vous protégeront également des attaques venant de l’intérieur de l’entreprise qui, selon le baromètre du CESIN représentent 13% des incidents de sécurité rencontrés par les entreprises !

Sources :