À double tour : comment protéger les données des entreprises contre les cybermenaces en 2025 ?

Selon le centre américain de ressources sur le vol d'identité (ITRC), il y a eu plus de 3 200 compromissions de données aux États-Unis en 2023, avec 353 millions de victimes, y compris celles touchées plusieurs fois. La résultante ? Chacune de ces personnes peut être un client qui décide finalement de faire confiance à une autre entreprise pour cette raison. Ou un employé qui reconsidère sa position au sein de votre organisation parce que ses données n’ont pas été assurées de façon suffisante. Tous ces éléments sont autant de raisons pour donner la priorité à la sécurité des données.

Pourtant, malgré les dizaines de milliards de dollars que les entreprises mondiales consacrent chaque année à la cybersécurité, les violations de données continuent de proliférer. Pourquoi est-il si difficile d'atténuer ces risques cyber ? L'ampleur et la variété des attaques, l'ingéniosité des acteurs de la menace et la taille de la surface d'attaque typique des entreprises apportent une partie des réponses.

Pourquoi les données peuvent être un atout pour les entreprises

Le volume de données créées à l'échelle mondiale a explosé ces dernières années grâce à la transformation numérique. Selon une estimation, 147 zettaoctets seront créés, capturés, copiés et/ou consommés chaque jour en 2024. Ces données détiennent la clé pour débloquer des informations vitales sur les clients, améliorer l'efficacité opérationnelle et, en fin de compte, prendre de meilleures décisions commerciales. Elles contiennent également des secrets commerciaux, des droits de propriété intellectuelle sensibles et des informations personnelles/financières sur les clients et les employeurs, qui sont très monnayables sur le dark web et au cœur de la cybercriminalité de façon générale. Elles sont donc menacées à la fois par des cybercriminels motivés par des considérations financières et même par des acteurs alignés sur l'État.

Selon l'ITRC, plus de 3 200 compromissions de données ont eu lieu en 2023 aux États-Unis. Ces compromissions peuvent causer d'importants préjudices financiers et de réputation, notamment :

• Des recours collectifs coûteux
• Atteinte à la marque
• La perte de clients
• Chute du cours de l'action
• Coûts associés à la recherche et à la récupération des données informatiques
• Amendes réglementaires (notamment avec la mise en vigueur de NIS2)
• Coûts liés à la notification de la violation
• Perte de productivité
• Interruptions d'exploitation

Quelles sont les menaces les plus graves pour les données ?

Toutes les violations ne sont pas délibérées. Plus des deux tiers (68 %) des violations analysées par Verizon l'année dernière résultaient d'une « action humaine non malveillante », par exemple un employé victime d'une attaque d'ingénierie sociale ou envoyant accidentellement des informations sensibles par courrier électronique au mauvais destinataire. L'erreur humaine peut également consister à mal configurer des systèmes informatiques critiques tels que les comptes cloud.Et cela peut aussi prendre la forme d’un mot de passe pas suffisamment robuste ou utilisé et recyclé sur plusieurs comptes.

Cependant, vous devez également être conscient de la menace que représentent les menaces venant de l’intérieur. Celles- ci ont tendance à être plus difficiles à repérer, si la personne en question cache délibérément les preuves de ses méfaits, tout en étant capable d'utiliser ses connaissances internes des processus et des outils de l'entreprise. On affirme que le coût de ces incidents monte en flèche.

Les États-nations constituent également des adversaires persistants et sophistiqués. Même s'ils ne représentent qu'environ 7 % des violations (selon Verizon), ils ont de grandes chances de réussir si votre entreprise a la malchance d'être une cible ou d'être prise entre deux feux.

Quels sont donc les principaux vecteurs de menace auxquels votre organisation est confrontée ?

• L'hameçonnage et tous les autres avatars d'ingénierie sociale restent une voie privilégiée vers la compromission. Pourquoi ? Parce que les êtres humains restent faillibles et se laissent souvent séduire par les histoires que leur racontent les fraudeurs. L’émotion, la précipitation... les escrocs savent jouer sur la corde sensible. Si ces efforts sont ciblés sur des individus spécifiques dans le cadre d'attaques de spear-phishing, ils ont encore plus de chances d'aboutir. Les cybercriminels peuvent récupérer des informations sur les réseaux sociaux, en particulier sur LinkedIn, afin d'adapter ces messages.
• Les chaînes d'approvisionnement peuvent être détournées de différentes manières. Les cybercriminels peuvent utiliser les fournisseurs de services cloud ou gérés (CSP/MSP) comme tremplin pour pénétrer dans plusieurs organisations clientes. Ils peuvent aussi implanter des logiciels malveillants dans des composants open source et attendre qu'ils soient téléchargés. Dans les attaques les plus sophistiquées, ils peuvent s'introduire chez un développeur de logiciels et installer des logiciels malveillants dans des mises à jour logicielles, comme le montre la campagne de SolarWinds.
• L'exploitation des vulnérabilités reste l'un des trois principaux moyens de déclencher des attaques par ransomware. Selon Verizon, le volume d'exploitations de vulnérabilités associées à des violations de données cette année a augmenté de 180 % par rapport à 2023. Le groupe de renseignement Five Eyes a averti que le nombre de vulnérabilités « zero-day » augmentait également, ce qui devrait être une source d'inquiétude encore plus grande car il s'agit de failles pour lesquelles il n'existe pas de correctifs logiciels.
• Les informations d'identification compromises sont généralement le résultat d'une mauvaise sécurité/gestion des mots de passe, d'attaques de phishing réussies, de violations de données à grande échelle ou d'attaques par force brute des mots de passe. Elles constituent l'un des moyens les plus efficaces de contourner vos cyberdéfenses, sans déclencher d'alarme. Verizon affirme que l'utilisation d'informations d'identification volées est apparue dans près d'un tiers (31 %) de toutes les violations au cours de la dernière décennie.
• Le BYOD continue d'offrir des opportunités aux acteurs de la menace, car les employés des entreprises oublient souvent d’installer des suites de sécurité d’éditeurs fiables sur leurs appareils personnels. Si ceux-ci sont compromis, les pirates peuvent être en mesure d'obtenir des identifiants pour les comptes cloud de l'entreprise, d'accéder aux e-mails professionnels et bien d'autres choses encore.
• Il existe un ensemble de techniques post-exploitation couramment utilisées pour les mouvements latéraux et d'exfiltration, qui permettent à un adversaire de rester caché à la vue de tous. En utilisant des outils légitimes tels que Cobalt Strike, PsExec et Mimikatz, ils peuvent exécuter une série de fonctions d'une manière difficile à repérer.

Il convient également de mentionner ici le potentiel des outils alimentés par l'IA pour aider les acteurs de la menace. Le Centre national de cybersécurité (NCSC) du Royaume-Uni a déclaré en janvier 2024 que la technologie « augmentera presque certainement le volume et l'impact des cyberattaques au cours des deux prochaines années ». Cela est particulièrement vrai pour la reconnaissance et l'ingénierie sociale.

Riposter

Pour relever le défi des violations de données, il faut agir sur tous les fronts, afin de réduire les risques sur une surface d'attaque qui ne cesse de croître avec chaque investissement dans la transformation numérique, chaque poste de travail à distance non patché et chaque information volée. Voici quelques idées pour commencer :

• Comprendre l'étendue de votre surface d'attaque en cartographiant en permanence l'ensemble de vos actifs informatiques.
• Mettre en œuvre des programmes de correction et de gestion des vulnérabilités fondés sur les risques, y compris des tests de pénétration périodiques.
• S'assurer que toutes les machines et tous les appareils de l'entreprise sont protégés par des logiciels de sécurité multicouches.
• Installer des outils de prévention des pertes de données
• Utiliser la gestion des appareils mobiles (MDM) pour garder un œil sur tous les appareils et s'assurer qu'ils sont dotés d'un logiciel anti-malware installé par un fournisseur réputé.
• Appliquer partout des politiques de mots de passe forts et d'authentification multifactorielle (MFA)
• Former le personnel à la détection des messages d'hameçonnage et à d'autres aspects essentiels de la sensibilisation à la sécurité.
• Créer un plan d'intervention en cas d'incident et le soumettre périodiquement à des tests de résistance.
• Chiffrer les données en transit et au repos
• Auditer les fournisseurs et partenaires tiers
• Effectuer une surveillance du réseau et des points d'accès afin d'être alerté rapidement en cas d'intrusion.
• S'assurer que les systèmes cloud sont correctement configurés

Il est clair que la conservation de nos données les plus sensibles exige de la vigilance de la part des entreprises auxquelles sont confiées ces informations. L'impact réglementaire d'un manquement à cette règle pourrait être sévère, tout comme la perte de confiance des clients. Mais l'inverse est également vrai. Si vous prouvez que votre entreprise est une forteresse pour garder les données à double tour, cela pourrait s'avérer être un puissant facteur de différenciation concurrentielle.