L'impact du covid sur la qualité de la cybersécurité des entreprises

Cybermenaces en 2020 et 2021 : état des lieux

L’année 2020, particulièrement impactée par la crise sanitaire Covid-19 avec des hôpitaux sous-tension, des mesures de confinement drastiques et la généralisation massive des pratiques de télétravail, a aussi vu exploser les cyberattaques : en cause notamment, un chaos particulièrement propice à la cybercriminalité, l’ensemble des forces nationales absorbées par un même enjeu, et une obligation d’adaptation rapide des entreprises et collectivités à des modes de travail nouveaux et à la communication à distance.

L’année 2020 a ainsi vu augmenter de 400 % les ransomwares, ou rançongiciels, ces logiciels malveillants qui bloquent les accès informatiques d’une structure et offrent le déblocage contre rançon. Les hôpitaux, particulièrement vulnérables depuis le début de la crise, ont fait plusieurs fois les frais de ces cyberattaques, notamment à Marseille, Bayonne ou Charleville-Mézières. En Allemagne, l’une de ces attaques a même causé le décès d’un patient.

Quelles attaques sont privilégiées ?

L’isolement des équipes en entreprise, la modification profonde des organisations, l’activité partielle et le télétravail improvisé ont été le terreau d’une multitude de types d’attaques cybercriminelles. Les arnaques ont fleuri, entre la création de faux sites officiels et de fausses applications, la vente frauduleuse de masques en période de pénurie ou encore de vaccins en avant-première…

Les modes d’attaques ont été également variés, passant par les réseaux sociaux, l’ingénierie sociale, le web, les mots de passe, les applications. Le vaccin Pfizer lui-même a ainsi fait l’objet d’une décrédibilisation à travers le vol d’emails confidentiels sur une des applications de l’agence, puis la publication de données erronées, volontairement modifiées. Les arnaques sms ont été aussi légion, pour renvoyer les utilisateurs vers de faux sites ou fausses applications : les sms frauduleux invoquaient des remboursements Ameli à percevoir, ou encore des livraisons de colis n’ayant pas abouti.

Cyberattaques types visant les entreprises

Parmi les exemples de cyberattaques les plus récurrentes qui ont pu toucher les entreprises figurent :

Le ransomware : un malware est téléchargé par inadvertance, qui va crypter les données et empêcher le fonctionnement du serveur informatique. Une demande de rançon est demandée en échange d’une clef de décryptage. Parfois, une attaque peut en cacher une autre et le ransomware éclipse en réalité une exfiltration des données.

L’intrusion dans le système d’information : l’intrusion se fait par le biais d’un wifi non protégé, de mots de passe trop faibles, ou d’un programme backdoor. Une intrusion est découverte en moyenne plus de 100 jours plus tard. Le but de l‘attaque est d’exfiltrer des données, pour la revente ou pour le chantage.

L’usurpation d’identité : il peut s’agir de faux RIB, de fraude au président ou FOVI (faux ordre de virement international). Il n’y a, dans ce cas, pas d’intrusion, mais une complicité en interne dans l’entreprise. En cas de virement vers un RIB frauduleux, un délai de 48 heures seulement est possible pour bloquer l’opération.

Hameçonnage/Phishing : Récupération d’informations sensibles via de faux formulaires ou faux sites envoyés par mail par exemple (très fréquent en entreprise).

La crise Covid : un contexte de vulnérabilité face aux cybermenaces

Plusieurs facteurs ont accru la vulnérabilité des entreprises depuis la crise sanitaire du Covid-19, du fait d’un changement brutal et généralisé des modes de communication et de travail.

Risques liés au télétravail

Le travail à domicile est passé par l’utilisation généralisée de connexions moins bien sécurisées, avec des VPN mal configurés ou un RDP ouvert. Au début de la mise en place du télétravail, les employés ont dû bien souvent partager un ordinateur familial. La sécurisation du Wifi est également en jeu, avec des mots de passe non changés régulièrement. Sur du matériel informatique personnel, voire familial, les données d’entreprise sont menacées par des sauvegardes aléatoires ou non testées, ainsi que par l’absence de procédure de mise à jour de l’OS.

Risques liés aux visioconférences

Les réunions à distances se sont systématisées, et avec elles le risque de zoombombing ou zoom-raiding : c’est-à-dire l’intrusion perturbatrice de pirates ou de trolls au sein d’une vidéoconférence privée ou professionnelle.

Les risques liés aux échanges de données multicanaux

La multiplication des canaux d’échanges de données est un facteur de multiplication des risques en matière de cybersécurité. La mise en place du travail à distance a pu impliquer des échanges de données professionnelles non chiffrées par emails, ou encore par transfert sur des plateformes web. Les risques d’interception des emails ou d’intrusion sur des drives personnels peu sécurisés est fort.

La cybersécurité en télétravail : recommandations

Les mesures de sécurité généralement préconisées contre les cybermenaces incluent :

• La sécurisation physique (de l’accès au matériel informatique et aux supports de sauvegarde)
• La sécurisation du réseau et des postes de travail(mots de passe, etc.)
• L’adoption de bonnes pratiques en travail nomade
• La mise en place de procédures systématiques de sauvegarde et de restauration
• La sensibilisation et la formation des collaborateurs aux enjeux de la cybersécurité.

La sécurisation du télétravail en entreprise passe donc par une politique globale pour équiper les travailleurs et sécuriser les accès extérieurs. La politique de gestion des mots de passe doit notamment être renforcée, de même que la politique de déploiement des mises à jour de sécurité. Des solutions antivirales professionnelles doivent nécessairement être utilisées.

Le respect du règlement général sur la protection des données (RGPD)

La crise mondiale du Covid-19 a également fait apparaître de nouveaux enjeux liés au respect du RGPD, dans des secteurs dont l’activité a été décuplée. Le secteur de l’économie sociale et solidaire est tout particulièrement concerné par la collecte, le stockage et le traitement de données personnelles et sensibles, qu’il s’agisse des données des donateurs, de données de santé, de données bancaires, patrimoniales ou encore cultuelles. La vigilance est notamment de mise dans les petites associations, lorsque les données sont stockées de manière peu sécurisée, sur clef USB ou sur ordinateur personnel. Les sanctions en cas de non-respect du RGPD, pour défaut de sécurité des données internet par exemple, peuvent aller jusqu’à 75 000 euros.

La pandémie mondiale a considérablement fragilisé les organisations internes des entreprises, associations et collectivités. La crise a constitué un terreau fertile pour l’émergence de nouvelles attaques. Les petites organisations, PME ou associations locales, sont moins bien armées que les grandes face à l’explosion des cybermenaces. Leur responsabilité est pourtant tout aussi engagée en cas de manquement à la cybersécurité de leurs données et des données personnelles de tiers. La mise en place d’un programme de sensibilisation des employés est indispensable, de même que la systématisation des diagnostics et audits de conformité vis-à-vis de la cybersécurité et du RGPD.