Se prémunir contre les cyberattaques

Contexte et enjeux

Dans le contexte actuel où les entreprises évoluent, où l’hyper-dépendance à l’informatique et l’utilisation grandissante de la donnée s’accompagnent de sa protection renforcée, trois interrogations peuvent se poser : quelles sont les menaces et comment sont-elles perçues ? quels sont les risques cyber auxquels doivent faire face les entreprises ? Quelles sont les mesures de management du risque cyber à mettre en place pour se préparer à réagir en cas d’attaque ?

La data

Toutes les entreprises utilisent et stockent un grand nombre de données dans leurs systèmes d’information : on parle alors de données numériques. La tendance, depuis plusieurs années, est la numérisation des données, afin non seulement d’y avoir accès plus facilement, mais aussi de les utiliser (on parle de traitement de la donnée).

Les GAFAMI (Google, Apple, Facebook, Amazon, Microsoft, IBM) et NATU (Netflix, Airbnb, Tesla et Uber) américains ou les BATX (Baidu, Alibaba, Tencent, Xiaomi) chinois ont fondé leur business model sur la data. Ils ont été les premiers à comprendre que la donnée vaut de l’or et que celle-ci peut être valorisée, que l’on peut créer de la valeur en utilisant ou en créant des services autour de cette donnée.

Quand on parle de donnée, on fait référence à deux grandes notions :

• les 3 V de Gartner : volume, variété et vélocité, listés comme des facteurs de quantification des données par le cabinet de conseil ;
• devenus les 5 V, puis 6 V pour le fameux Big Data : volume, vélocité, variété, véracité, variabilité et valeur, auxquels s’ajoute la visibilité pour le social data.

Le volume

Ces données qui valent de l’or constituent un trésor, car leur valeur, aussi difficile soit-elle à évaluer, n’en demeure pas moins un actif que beaucoup d’entreprises cherchent à valoriser. Certaines entreprises sont même acquises du fait des données qu’elles détiennent, et leur perte peut faire baisser notablement le coût d’acquisition.

La vélocité

La deuxième notion est la vitesse ou encore la vélocité. Les données, une fois collectées, doivent pouvoir être partagées en temps réel. Elles sont produites très rapidement et il est primordial d’y avoir accès aussi vite que possible. Certaines entreprises ont besoin de pouvoir traiter les données à une très grande vitesse, comme les sociétés de trading à haute fréquence.

La variété

Aujourd’hui, les données ne représentent plus seulement du texte, ou un e-mail. Une donnée peut revêtir des formes très variées, telles que vidéo, son, données de géolocalisation, log de connexion, adresse IP… Il convient donc, d’avoir non seulement les outils à même de traiter ces types de données, mais aussi de prévoir des capacités de stockage suffisantes pour pouvoir stocker ces données tout en y ayant accès rapidement.

La véracité

Partant du principe que les données doivent être intègres, celles-ci ne doivent pas avoir été modifiées, et on s’attend tout autant à ce qu’elles soient fiables. On doit pouvoir s’appuyer en toute confiance sur les données qu’on exploite.

La variabilité

La transmission des données constitue un flux hétérogène, dont le débit varie en fonction de la saisonnalité, des événements, etc. Il convient d’anticiper ces variations pour éviter la saturation des systèmes.

La valeur

C’est la notion la plus difficile à évaluer. Une fois les données collectées, comment les utiliser afin qu’elles soient valorisées ?

Il convient également de garder à l’esprit que la valeur des données peut aussi évoluer dans le temps. À un instant T, la valeur d’une donnée peut être très élevée, alors qu’à un autre moment, celle-ci ne vaudra quasiment plus rien. L’entreprise qui décide d’en acquérir une autre va entrer en phase de négociation avec sa cible et ne va donc révéler cette information (sous forme de donnée) qu’à un nombre restreint de personnes. Cette information, à ce moment précis, n’a pas la même valeur que lorsque l’information est révélée, voire rendue publique.

La visibilité

La social data est en grande partie visible. Si certains réseaux sociaux peuvent fonctionner en mode privé, les publications d’autres réseaux, comme Twitter ou Instagram, sont généralement publiques.

Le système d’information : dépendance au système d’information

Toutes les entreprises ont des systèmes d’information et en sont dépendantes, voire hyperdépendantes. Elles utilisent toutes du matériel relié à ces systèmes d’information, tel que l’ordinateur, le réseau partagé ou non dans l’entreprise, ou encore la messagerie. Il ne faut toutefois pas oublier les autres matériels, comme les imprimantes, les téléphones fixes (qui ne sont plus reliés à une ligne téléphonique mais à un serveur informatique de télécommunication), les PC fixes ou portables ainsi que les smartphones et les tablettes.

Toutes les entreprises disposent d’une myriade d’appareils tous reliés à des systèmes d’information. Elles ont tellement l’habitude de les utiliser qu’elles ne se rendent même plus compte que sans ces systèmes d’information, elles ne pourraient plus fonctionner et l’impact sur le chiffre d’affaires ne tarderait pas à s’en faire sentir.

Stratégie nationale pour la cybersécurité

Le gouvernement a annoncé la mobilisation d’un milliard d’euros, dont 720 M€ de fonds publics, dans le cadre de la stratégie d’accélération cyber lancée en février 2021. Cette stratégie comporte cinq priorités :

• développer des solutions souveraines de cybersécurité, en soutenant la recherche et l’innovation ;
• renforcer les liens et synergies entre les acteurs de la filière et mobiliser toutes les expertises pour fédérer l’écosystème de la cybersécurité en France (avec notamment l’ouverture en février 2022 du Campus Cyber à la Défense) ;
• soutenir la demande en renforçant la prise de conscience de la population au risque cyber via des actions de sensibilisation ;
• former les jeunes et les professionnels aux métiers de la cybersécurité ;
• soutien en fonds propres.

A l’horizon 2025, l’objectif est d’atteindre un chiffre d’affaires de 25 Md€ pour la filière (soit un triplement du chiffre d’affaires actuel), le doublement des emplois dans le secteur en passant de 37 000 à 75 000 emplois et l’émergence de trois licornes françaises en cybersécurité (Dossier de presse « Cybersécurité, faire face à la menace », 18 févr. 2021).

Par ailleurs, dans le cadre du plan France Relance, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) bénéficie d’une enveloppe de 136 M€ pour renforcer le niveau de cybersécurité de l’État et des territoires sur la période 2021-2022.

Le budget est réparti comme suit :

• 60 M€ au profit des collectivités territoriales ;
• 25 M€ au profit du secteur de la santé pour la sécurisation des établissements de santé, du ministère et des organismes qui en dépendent ;
• 30 M€ au profit des ministères et organismes qui en dépendent, notamment via le co-financement de projets de sécurisation des réseaux de l’État ;
• 21 M€ pour le développement et le déploiement mutualisé des capacités nationales de cybersécurité.

Dans le cadre de cette stratégie, 39 M€ ont été attribués en novembre 2022 à des projets qui visent à contribuer au développement de solutions innovantes en cybersécurité (par exemple, un filtre anti-arnaque, un cyberscore…), à renforcer les dynamiques collaboratives entre les acteurs de l’écosystème et à accroître l’offre de formation en cybersécurité (Communiqué de presse du ministère de l’économie, 28 oct. 2022). En décembre 2022, Florent Kirchner a été nommé coordinateur de la mission de France 2030 en matière de cybersécurité, dont il est expert.

Panorama des cyberattaques

Depuis plusieurs années maintenant, les entreprises françaises de toutes tailles sont les cibles des pirates informatiques. Contrairement à ce qu’un grand nombre de dirigeants ou chefs d’entreprise pensent, l’activité exercée par l’entreprise et/ou sa visibilité sur internet ne sont absolument pas des facteurs qui vont surexposer une entreprise à une cyberattaque. L’on entend souvent dire que les institutions financières ou les entreprises qui ont comme business model la vente en ligne sont plus sujettes aux cyberattaques que les autres. Malheureusement il n’en est rien !

Le ransomware

Comment fonctionne-t-il ?

Également appelé rançongiciel en français ou cryptolocker, il s’agit d’un logiciel malveillant qui a deux buts :

• prendre des données en otage sur des PC ou des serveurs ;
• réclamer le paiement d’une rançon en contrepartie de la clé qui permettra de déchiffrer les données.

Le rançongiciel met l’ordinateur ou le système d’information de la victime hors d’état de fonctionner de manière réversible. En pratique, la plupart des rançongiciels chiffrent par des mécanismes cryptographiques les données de l’ordinateur ou du système, rendant leur consultation ou leur utilisation impossibles. L’attaquant adresse alors un message non chiffré à la victime où il lui propose, contre le paiement d’une rançon, de lui fournir le moyen de déchiffrer ses données (« Attaques par rançongiciels, tous concernés », ANSSI, août 2020).

Illustration

En 2017, le ransomware WannaCry a été particulièrement virulent et cette attaque a été très médiatisée. Celui-ci a touché des entreprises du monde entier, travaillant dans des secteurs d’activité tous différents les uns des autres. Peu de rançons ont été réglées à cette époque, car la grande majorité des entreprises ont choisi de décontaminer les PC et systèmes d’information et de restaurer les données depuis les back up (les sauvegardes).

Depuis WannaCry, les attaques par ransomware restent très fréquentes. Les entreprises font face à de nouveaux types de ransomwares qui ne se contentent pas uniquement de chiffrer les données des PC ou systèmes d’information mais vont jusqu’à chiffrer les back up. Ainsi, l’entreprise n’est pas en mesure de restaurer les données des back up et n’a souvent pas d’autre choix que de régler la rançon.

Depuis les attaques très médiatisées de 2017, les attaques par ransomware n’ont cessé d’augmenter. Il est toutefois difficile de trouver les chiffres exacts du nombre d’attaques par ransomware et encore moins leur coût, car beaucoup d’entreprises ne révèlent pas en avoir été victimes. On constate toutefois que les grands groupes font l’objet d’une transparence de plus en plus accrue dans ce domaine. Ainsi, plusieurs d’entre eux avaient publiquement révélé avoir été touchés par le ransomware WannaCry. En novembre 2022, Thalès a reconnu avoir été victime d’un vol de données de la part d’un groupe russophone LockBit3, précisant toutefois que cette attaque n’avait « pas d’impact sur ses activités ».

Le virus ou malware

Il est également très répandu. Il s’agit d’introduire un programme malveillant dans les systèmes d’information de l’entreprise. Les buts peuvent être variés (exfiltrer des données, contaminer des PC et des systèmes d’information, simplement bloquer ces systèmes d’information, ou les arrêter).

Quelques semaines après la vague du ransomware WannaCry en 2017, qui a été suivi par l’attaque Adylkuzz, un virus fait son apparition et contamine de nombreuses entreprises. Les experts en sécurité informatique le nomment Not/Petya, car bien qu’il ressemble beaucoup à un autre virus nommé Petya (des bouts de codes du malware sont issus d’un ransomware connu : Petya), celui-ci a des variantes et ainsi pour le différencier, il va être appelé Not/Petya. Le but de ce virus est de détruire, et non pas de réclamer une rançon (même si cette attaque a démarré avec des demandes de rançon, les experts en sécurité ont ensuite démontré qu’il ne s’agissait que d’un leurre).

Les malwares sont, comme les ransomwares, marqués par une forte augmentation en 2022, notamment les malwares sur mobile. Le Play Store d’Android, qui permet le téléchargement d’application tierces, est l’un des points d’accès privilégiés par les cybercriminels.

Parmi les malwares les plus répandus, le FluBot accède aux contacts enregistrés dans le smartphone, puis leur adresse des messages infectés.

Le déni de service (Distributed Denial of Service ou DDoS)

Bien qu’elles soient en forte baisse, les attaques par déni de service restent très répandues. Dans le cadre d’une telle attaque, le but n’est ni de réclamer une rançon, ni de détruire des données ou des serveurs, mais de ralentir l’entreprise ou bien d’arrêter ses systèmes d’information pour l’empêcher de fonctionner. De nombreuses requêtes vont être lancées simultanément vers la même application informatique (serveurs, messagerie…) rendant celle-ci inutilisable.

On parle de déni de service distribué lorsque des PC (on parle de PC Zombies) ou même des objets connectés auront été infectés au préalable par un logiciel malveillant. L’attaquant pourra ainsi commander à distance les PC ou objets connectés et leur ordonner de lancer des requêtes vers une cible unique au même moment.

Le cryptojacking : nouvelle forme de cyberattaque

Le cryptojacking (« crypto » pour cryptomonnaie et « jacking » pour hijacking) est un virus qui frappe les entreprises depuis 2019.

Cryptomonnaie

Depuis plusieurs années maintenant, les cryptomonnaies ont fait leur apparition avec la plus médiatisée d’entre elles, le Bitcoin (« Bit » pour unité de mesure informatique et « Coin » signifiant monnaie en anglais), mais d’autres cryptomonnaies existent aussi, telles que l’Ethereum, le Monero, le Bitcoin Cash, le Ripple ou encore le Litecoin.

Cette monnaie, dont le sigle est BTC, n’est pas régulée et échappe aux contrôles de la Banque centrale. Elle est assez volatile et son cours peut varier d’un extrême à l’autre. En novembre 2022, son cours s’établit à 16 000 dollars environ. Sa valeur attise donc les convoitises et son caractère anonyme en fait la cryptomonnaie la plus utilisée par les pirates informatiques. En août 2021, une société de transfert de cryptomonnaie a subi un vol de 600 millions de dollars.

Pour se procurer des bitcoins, on peut soit en acheter au cours du jour, soit en miner c’est-à-dire en créer. Pour miner du bitcoin, il faut installer un programme informatique qui va reposer sur la technologie du peer to peer. Miner nécessite des capacités et des ressources informatiques très importantes qui sont aussi coûteuses en électricité. Les personnes qui minent de la cryptomonnaie sont appelées « mineurs » et sont rémunérées pour cela. Le minage légitime les transactions en cryptomonnaie et crée de nouvelles unités, en somme, de nouveaux bitcoins.

Les pirates informatiques sont friands de bitcoin, car même si sa valeur fluctue beaucoup, il reste néanmoins très rentable. Comme mentionné dans la partie relative aux ransomwares, un très faible nombre d’entreprises payent les rançons.

Ces types d’attaques ont donc pu se révéler bien moins rentables pour les criminels que ce qu’ils espéraient. Ils ont donc cherché un autre moyen de gagner de l’argent plus rapidement, et ont maintenant recours au cryptojacking.

« Jacking »

Au lieu d’utiliser leurs propres ordinateurs et leurs propres ressources énergivores, les pirates informatiques vont donc utiliser les ressources de tiers (généralement celles des entreprises) et installer à leur insu un malware (logiciel malveillant) qui n’a qu’un but, miner la cryptomonnaie. En 2022, une faille dans OneDrive a permis de télécharger des logiciels de minage de crypto-monnaie sur les ordinateurs des victimes.

Le jacking est un malware particulièrement difficile à détecter, car il se fait discret, travaille en tâche de fond et jouit de la puissance de calcul de tous les PC ou serveurs qu’il a infectés pour miner du Bitcoin. Le but du cryptojacking est de miner des bitcoins et d’autres monnaies (comme le Monero par exemple) et ainsi de générer des profits facilement et gratuitement. En effet, ce sont les entreprises victimes de cryptojacking qui vont en supporter les coûts (ralentissement des systèmes d’information, augmentation des coûts d’utilisation du Cloud, facture d’électricité en hausse).

Demain l’ordinateur quantique

Ordinateur classique

Un ordinateur classique a pour objet de traiter de l’information ; il est codé en binaire, c’est-à-dire une succession de 0 et 1. La mémoire d’un ordinateur est donc composée de milliards de 0 et de 1 qui forment une case appelée « bit ». Un ordinateur classique dépend donc de sa mémoire et utilise celle-ci pour résoudre des problèmes. Même en augmentant de manière significative la mémoire des ordinateurs, ceux-ci restent néanmoins dépassés et ne peuvent procéder à des calculs complexes.

Ordinateur quantique

L’ordinateur quantique utilise, quant à lui, les propriétés de la physique quantique et utilise des bits quantiques (Qubits ou Qbits) qui eux, ne prennent pas comme valeur le 0 ou le 1 mais une superposition de 0 et de 1 et que l’on nomme l’intrication. Les Qbits contiennent beaucoup plus d’informations qu’un bit. Cela va permettre à l’ordinateur quantique de résoudre des problèmes très complexes, les capacités de calcul de l’ordinateur quantique sont donc très grandes.

Utilité et risques d’un ordinateur quantique

La principale application pratique que l’on envisage aujourd’hui pour un ordinateur quantique est la cryptographie. Avec un ordinateur quantique, il est possible de crypter et donc aussi de décrypter des données.

L’État, la société ou l’agence qui serait en mesure de déployer le plus grand ordinateur quantique serait donc à même de décrypter des données ou des systèmes très complexes. Les mesures de cybersécurité déployées par les entreprises en faisant appel à la cryptologie seraient de ce fait réduites à néant.

Perception de la menace

Les cibles

Taille des entreprises

Il n’existe pas de typologie d’entreprise qui serait plus à risques que les autres. Toutes les entreprises, qu’elles soient des PME ou des grands groupes, même internationaux, sont la cible des pirates. Les budgets de sécurité informatique investis par les grandes entreprises ou les filiales de sociétés internationales sont sans commune mesure avec les moyens dont dispose une PME. On pourrait donc les voir mieux armées, mieux préparées. Malheureusement, il n’en est rien.

Quant aux PME, celles-ci peuvent être visées en raison de plusieurs facteurs :

• soit elles détiennent un savoir-faire unique, et dérober ce savoir-faire ou freiner l’entreprise qui le détient par une cyberattaque est toujours bon pour la concurrence ;
• soit elles travaillent pour des grands groupes et ce sont ces derniers qui sont la cible finale. Les pirates informatiques vont donc s’attaquer d’abord aux sous-traitants des grands groupes parce qu’ils savent que cela va leur permettre, dans un second temps, de s’introduire dans les systèmes d’information des grands groupes.

L’ANSSI a publié en octobre 2022 le « Guide de la cybersécurité pour les TPE/PME en 13 questions » pour les aider à mettre en place des mesures simples mais essentielles pour faire face à la cybermenace.

Secteur d’activité

Il n’existe pas non plus de secteur d’activité privilégié par les pirates informatiques. Quel que soit le secteur d’activité, toutes les entreprises peuvent être des cibles. On pourrait penser que les institutions financières représentent la cible privilégiée du fait de la typologie des données qu’elles détiennent : les données bancaires. Mais on s’aperçoit vite, en lisant la presse quotidienne, que tous les secteurs d’activité sont touchés : l’aéronautique, les industriels, les plateformes de réservation en ligne, l’automobile, le transport, l’énergie. Les deux grandes attaques médiatiques de 2017 mentionnées ci-dessus avec WannaCry et Not/Petya ont révélé une fois encore qu’aucun secteur n’est à l’abri. Les entreprises touchées début 2019 par le virus LockerGoga n’étaient pas non plus des sociétés du secteur financier. Il faut également garder à l’esprit que le secteur public n’est pas épargné non plus  : en 2022, les hackers ont ciblé en France aussi bien des administrations, comme le Conseil départemental des Alpes maritimes, que des structures de santé. Par exemple, les données personnelles des patients du Centre hospitalier de Corbeil-Essonnes ont été diffusées sur le darkweb, faute de paiement de la rançon de 10 M€.

Près d’un tiers des collectivités locales seraient victimes d’attaques par ransomware. Un forum de la sécurité économique et numérique à destination des collectivités et des TPE-PME a été créé en novembre 2022 pour sensibiliser ces nouvelles cibles aux cyberattaques. La gendarmerie nationale organise quant à elle des formations pour les élus.

Perception de la menace par les cibles

Il existe plusieurs types de réactions de la part des entreprises :

• elles peuvent continuer à faire preuve de déni ;
• elles peuvent se sentir à l’abri parce que des mesures de cybersécurité ont été mises en place, et qu’elles s’estiment bien armées pour faire face à la menace ;
• elles ont mis en place des mesures de cybersécurité mais savent néanmoins que la menace existe toujours et qu’elles ne sont pas à l’abri d’une cyberattaque.

Seules 23 % des entreprises françaises seraient dotées d’un plan anti-cyber attaques.

Pourtant, une entreprise perdrait en moyenne 27 % de son chiffre d’affaires annuel après avoir subi une attaque. Selon l’étude annuelle d’IBM « Cost of a Data Breach », le coût moyen d’une violation de données s’élèverait à 3,95 M€.

Les acteurs malveillants

Des profils variés

Il est difficile de réaliser le portrait-robot de l’assaillant type. Il n’est ni question d’âge ni parfois d’individu isolé. La question des attaques perpétrées par les gouvernements, sorte de guerre entre États, est elle aussi souvent abordée mais difficile à prouver. Certaines attaques ont pu être menées par des adolescents, certains pour s’amuser, d’autres pour prouver à d’autres qu’ils sont compétents et expérimentés.

Des agissements isolés ou collectifs

Alors que certaines attaques sont le fait d’individus isolés agissant seuls, d’autres sont quant à elles perpétrées par des groupes de pirates.

Enfin, derrière des pirates informatiques, qu’ils agissent seuls ou en groupe, il peut aussi y avoir un État ou un gouvernement. Et c’est alors la question de l’attribution des attaques qui devient problématique. Désigner publiquement un État comme l’auteur d’une cyber attaque est une décision périlleuse, qui soulève souvent des questions politiques et/ou diplomatiques.

Les mobiles des attaquants

Recherche du profit

Plusieurs mobiles animent les hackers, mais celui qui revient le plus souvent est l’appât du gain : les pirates informatiques agissent pour gagner de l’argent. Ils dérobent des données ou des kits d’exploitation afin de les revendre et ainsi engranger des dollars ou des bitcoins. Ils attaquent parfois des systèmes d’information parce qu’ils sont payés pour le faire : les hackers peuvent aussi vendre leurs services ou même les ransomwares ou virus qu’ils ont développés.

Pour d’autres pirates informatiques, c’est l’idéologie qui les anime. On les nomme les hacktivistes. Les plus connus sont sans nul doute les Anonymous.

Enfin bien sûr, pour d’autres, c’est la recherche de la gloire et de la reconnaissance qui va les pousser à devenir des criminels.