La sécurité que vous mettez en place pour votre organisation peut faire le succès ou l’échec de votre entreprise. Il vaut toujours mieux faire les choses correctement dès la première fois, mais malheureusement, ce n’est pas toujours le cas. Dans la plupart des cas, les entreprises ne commencent à travailler sur leurs protocoles de sécurité qu’une fois qu’un incident s’est produit.
Imaginez votre organisation comme un château médiéval : si toutes les briques sont correctement placées, le château est entièrement protégé et ne peut pas être détruit. Mais si une seule brique est mal placée, tout votre château peut s’effondrer, et vos ennemis en sont toujours conscients.
Vous devrez constamment examiner chaque brique pour vous assurer qu’elles sont toutes correctement placées, tandis que pour l’ennemi, la démolition est un jeu d’enfant. Alors, profitez de cette occasion pour prendre les devants et protéger vos organisations et vos clients.
Le phishing — pas le plus amusant
Que vous ayez déjà entendu parler des attaques de phishing et de l’ingénierie sociale ou non, vous serez surpris d’apprendre à quel point elles sont répandues. En 2021, les secteurs d’activité en ligne les plus ciblés et victimes d’attaques comprenaient les institutions financières, à 24,9 %, les réseaux sociaux, à 23,6 %, le SaaS/Webmail, à 19,6 %, et les paiements, à 8,5 %. À mesure que la technologie progresse, la plupart des attaques de phishing évoluent elles aussi. Alors, quelles sont les attaques de phishing dont vous devez vous méfier, et que pouvez-vous faire pour vous protéger ?
La plupart des attaques de phishing proviennent d’un e-mail. L’attaquant peut se faire passer pour une personne ou une organisation avec laquelle vous travaillez, ce qui donne à l’e-mail une apparence « normale ». Dans la plupart de ces attaques, l’intrus essaie de vous faire cliquer sur un lien afin de diffuser un logiciel malveillant sur votre appareil ou de vous inciter à saisir des informations personnelles pour pouvoir les voler. Examinons ce que sont le phishing par e-mail et le spear phishing, ainsi que les moyens de les éviter.
Les arnaques de phishing par e-mail
Ce type d’attaque est aléatoire et envoyé à des milliers de personnes, mais son objectif est d’obtenir des informations personnelles et sensibles. Comme ces attaques sont aléatoires, l’attaquant ne sait presque rien de la victime, ce qui en fait une bonne occasion pour les script kiddies de prendre le contrôle de ces attaques.
En général, vous recevez un e-mail d’une personne inconnue et, dans l’objet ou le corps du message, vous trouvez un sentiment d’urgence ainsi qu’une demande d’action pour maintenir votre compte ouvert. Lorsque vous ouvrez cet e-mail, vous constatez qu’il s’adresse à vous de manière générale plutôt que personnellement et vous demande d’ouvrir le lien joint et de saisir des informations personnelles.
Une fois que vous avez saisi vos informations, l’attaquant dispose de toutes vos données et peut les utiliser sur d’autres sites, créant essentiellement un effet domino.
Les arnaques de spear phishing
Le spear phishing, en revanche, cible une personne ou une organisation précise. De par la nature de ces arnaques, l’attaquant doit connaître des informations plus précises pour mener à bien son attaque. Dans ces cas, l’attaquant se fait passer pour une personne au sein de l’organisation, de sorte que l’e-mail semble « normal » et demande au destinataire de se connecter avec ses identifiants pour consulter des documents de l’« entreprise ». À ce stade, l’attaquant dispose d’identifiants personnels et peut les utiliser dans d’autres fichiers et programmes de l’entreprise afin de poursuivre ses attaques.
Contrairement au phishing par e-mail, qui est principalement mené par des script kiddies, les attaques de spear phishing nécessitent des informations plus détaillées sur la cible ; elles sont donc plus souvent menées par des hackers professionnels.
Comment vous protéger
Pour réduire les risques d’être victime de ce type d’attaque, lorsque vous recevez un e-mail suspect, essayez de contacter directement l’expéditeur pour savoir s’il l’a bien envoyé, ou consultez le site web dont l’e-mail est prétendument issu afin de vérifier si quelque chose semble inhabituel.
Vous pouvez également examiner l’adresse e-mail pour vérifier qu’elle semble légitime, par exemple qu’elle utilise .com et non .con. Vous pouvez aussi survoler les liens ou les pièces jointes contenus dans l’e-mail pour vérifier que le lien semble légitime. Enfin, examinez le contenu de l’e-mail lui-même. Si vous constatez que l’e-mail est adressé de manière générale et non personnellement, alors qu’il devrait dans la plupart des cas vous être spécifiquement destiné, vous devriez pouvoir l’identifier comme une attaque de phishing.
À tout le moins, si vous êtes confronté à l’une de ces situations, ne cliquez sur aucun lien et n’ouvrez aucune pièce jointe. Si l’e-mail provient d’un système qui contient des informations sensibles, comme une plateforme de paiement par exemple, il vaut mieux ne jamais ouvrir les liens et accéder directement au site web pour trouver manuellement la section concernée sur la plateforme.
Dans les situations suspectes, transmettez autant d’informations que possible à votre service informatique ou de sécurité et marquez l’e-mail comme indésirable. En procédant ainsi, vous donnez à vos équipes les moyens de prendre connaissance de la situation et de mieux se préparer pour l’avenir.
Programmes de prime aux bugs
Prime aux bugs Programmes sont exactement ce que leur nom indique : ce sont des programmes proposés par de nombreuses organisations pour encourager les hackers à signaler les vulnérabilités et les bugs plutôt qu’à les exploiter. Les hackers, aussi appelés white hats, reçoivent une rémunération lorsqu’ils signalent des bugs. L’aspect essentiel de ce programme est qu’en localisant les bugs, les sites web et les organisations peuvent améliorer leur produit avant que le public ne le voie et mieux se protéger.
Dans l’idéal, il est préférable d’exécuter ces programmes avant leur mise en production, lorsqu’ils peuvent devenir vulnérables aux attaques. Même si la récompense accordée aux white hats peut être élevée, elle sera sans aucun doute inférieure au coût de résolution d’un problème une fois le système piraté. Dans la plupart des cas, il est plus rentable d’utiliser des programmes de prime aux bugs que d’attendre qu’un incident se produise.
Les programmes de prime aux bugs constituent un volet des protocoles de sécurité qui peuvent être mis en œuvre, mais ils ne doivent pas être les seuls. Il est maintenant temps de comprendre ce que votre organisation a mis en place et si cela suffit.
Qu’est-ce qui rend votre organisation unique ?
La meilleure façon d’éviter les failles de sécurité est de veiller à ce que votre système soit propre à votre organisation et de ne pas imiter ce que font les autres entreprises de votre secteur. Une fois qu’un hacker comprend ce que font vos concurrents, il lui est plus facile — et plus probable — de pirater votre système. Vous devez donc mettre en place des procédures personnalisées. Deux solutions s’offrent à vous :
- En créant des signatures qui ciblent des logiciels malveillants spécifiques, les entreprises seront toujours en réaction, car elles se concentreront constamment sur cette version du logiciel malveillant et non sur la suivante. Vous détecterez continuellement des menaces qui ont déjà touché d’autres entreprises avant vous, mais pas nécessairement la première menace qui vous frappera.
- En définissant les règles correspondant aux normes de votre organisation, vous mettrez en place des alertes qui seront envoyées dès que quelque chose sortira de la norme. Cela vous permet de rester à l’affût des hackers susceptibles d’essayer de pénétrer dans le système.
Lors de la mise en place du programme de sécurité de votre entreprise, il est recommandé de réfléchir à la manière dont un hacker pourrait s’en prendre à vos employés et à votre organisation. Vous devrez volontairement faire les choses différemment, afin de rendre le système très difficile à pirater. Vous devrez également envisager une segmentation appropriée du réseau, une inspection adéquate des contenus (à destination et en provenance des utilisateurs), ainsi qu’une analyse capable de détecter les comportements des utilisateurs.
Il est maintenant important de préciser qu’il n’existe peut-être jamais de protection complète ni de solution parfaite, mais vous devez faire de votre mieux pour votre organisation. Plus important encore, vous devez toujours être meilleur que vos voisins — au moins, vous serez alors plus en sécurité et dans une meilleure situation qu’hier.
Où se situe votre entreprise ?
En définitive, selon les professionnels de la sécurité, il existe deux types d’entreprises : celles qui ignorent avoir été attaquées et celles qui le savent.
En mettant en place dans votre système des règles et des alertes qui reflètent la norme, vous serez toujours informé de toute activité suspecte et pourrez la détecter avant qu’elle n’atteigne des stades ultérieurs, où elle est plus dangereuse.
En comprenant la norme au sein de votre entreprise, vous pouvez créer des règles et, chaque fois qu’une situation sortant de la norme se produit, une alerte s’affiche.
À propos de l’auteur :
Yuval Khalifa, architecte de solutions de cybersécurité, Coralogix.