Alors que commence la Coupe du monde 2026, les chercheurs de FortiGuard Labs alertent sur l’ampleur des menaces numériques associées à l’événement. En cinq mois, plus de 13 000 noms de domaine liés à la FIFA 2026 ont été enregistrés, dont 8,8 % considérés comme malveillants ou suspects. Les campagnes de phishing, les faux sites de billetterie et les vols d’identifiants sont déjà pleinement opérationnels.

La Coupe du monde 2026 n’a pas encore livré son premier résultat sportif que les cybercriminels ont déjà pris une longueur d’avance. Selon une analyse publiée mercredi par FortiGuard Labs, le laboratoire de recherche et de veille sur les menaces de Fortinet, l’écosystème frauduleux associé à l’événement est déjà largement déployé, avec des campagnes de phishing (hameçonnage), des sites de billetterie contrefaits, des applications malveillantes et des opérations de vol d’identifiants visant aussi bien les supporters que les organisations impliquées dans la compétition.

8,8 % des sites liés à la thématique "FIFA 2026" sont frauduleux

L’étude montre que les attaquants ont anticipé l’engouement mondial suscité par le tournoi. Entre janvier et mai 2026, plus de 13 000 noms de domaine liés à la thématique "FIFA 2026" ont été enregistrés. Parmi eux, 8,8 % ont été identifiés comme malveillants ou suspects. Ce volume illustre la rapidité avec laquelle les cybercriminels exploitent les grands rendez-vous sportifs pour mettre en place leur infrastructure avant même le début officiel de la compétition.

Les chercheurs observent une accélération des enregistrements de domaines liés à la FIFA entre mars et mai. Les termes les plus fréquemment utilisés concernent la billetterie, les retransmissions en direct, les paris sportifs ou encore les solutions d’hébergement. L’objectif est clair : attirer les internautes au moment où ils recherchent des billets, des offres de voyage, des produits dérivés ou des liens de streaming.

La billetterie, l’un des principaux vecteurs d’attaque

La billetterie apparaît comme l’un des principaux vecteurs d’attaque. Les cybercriminels profitent de la rareté des places disponibles pour proposer de fausses offres de revente ou des promotions présentées comme limitées dans le temps. FortiGuard Labs a identifié plusieurs sites reproduisant l’apparence des plateformes officielles afin de collecter des informations personnelles, des identifiants de connexion ou des données bancaires.

Dans un cas, un domaine enregistré en mai 2026 reprenait fidèlement les contenus de la FIFA et intégrait un faux système de paiement destiné à récupérer des informations sensibles.

Sur les réseaux sociaux, 1 700 comptes suspects

Les réseaux sociaux constituent un autre terrain d’action privilégié. Plus de 1 700 comptes suspects liés à la Coupe du monde ont été repérés sur les plateformes sociales et les messageries. Près de 90 % d’entre eux étaient présents sur Facebook et Instagram.

Ces comptes servent à diffuser de faux liens de streaming, des campagnes de phishing, des logiciels malveillants ou encore de fausses promotions. Ils permettent également aux fraudeurs d’entrer directement en contact avec les supporters en s’insérant dans les discussions consacrées aux équipes, aux déplacements ou à la recherche de billets.

Paris sportifs, streaming : attention aux applications

L’étude met aussi en évidence la circulation de logiciels malveillants profitant de l’intérêt pour le tournoi. Des applications liées aux paris sportifs ou au streaming ont été identifiées comme suspectes. Plusieurs fichiers APK thématiques ont également été détectés sur des plateformes de téléchargement non officielles, exposant les utilisateurs à des risques de compromission, de vol d’identifiants ou de prise de contrôle à distance.

Le recrutement constitue également une cible. Les besoins temporaires générés par l’organisation d’un Mondial créent un contexte favorable aux escroqueries à l’emploi. FortiGuard Labs décrit une campagne utilisant de fausses offres estampillées FIFA ou associées à ses partenaires. Les victimes étaient redirigées vers des pages imitant les interfaces de connexion Google afin de récupérer leurs identifiants. Les chercheurs ont en outre constaté que plusieurs domaines frauduleux partageaient le même identifiant Google Analytics, suggérant une opération coordonnée.

Des collaborateurs de la FIFA ciblés

L’un des constats les plus préoccupants concerne toutefois l’exposition des identifiants. Les analystes ont découvert plus de 4 600 URL liées à la FIFA dans des journaux d’infostealers associés aux familles de malwares Vidar, LummaC2 et RedLine. Ces données contenaient plus de 260 identifiants appartenant à des collaborateurs de la FIFA ainsi qu’environ 270 000 identifiants de supporters ou d’utilisateurs ayant consulté des sites liés à la compétition. À cela s’ajoutent plus de 1 500 enregistrements provenant de précédentes fuites de données impliquant des comptes de collaborateurs ou des comptes d’entreprise.

Face à cette montée en puissance des menaces, les chercheurs appellent les organisations à renforcer leur surveillance des domaines frauduleux, des usurpations de marque, des faux profils sur les réseaux sociaux et des fuites d’identifiants. Les utilisateurs sont également invités à privilégier les canaux officiels pour l’achat de billets, à éviter les applications téléchargées hors des boutiques reconnues et à vérifier systématiquement l’authenticité des offres d’emploi ou des demandes de paiement. Une recommandation qui résume à elle seule le constat de l’étude : pour les cybercriminels, la Coupe du monde 2026 a déjà commencé…

Philippe Rioux

 

L'équipe mondiale de recherche et d'analyse (GReAT) de Kaspersky a découvert des publicités sur le Darknet proposant des services de deepfake vidéo et audio en temps réel. Les prix commencent à 50 dollars pour les vidéos falsifiées et à 30 dollars pour les messages vocaux fabriqués, les coûts augmentant en fonction de la complexité et de la durée du contenu. Ces conclusions ont été tirées de l'analyse de plusieurs plateformes en russe et en anglais.

Plus tôt, Kaspersky avait identifié des services de création de deepfakes sur des plateformes du Darknet avec des prix variant entre 300 et 20 000 dollars par minute de contenu. Contrairement à ces services, les offres actuelles permettent aux acteurs malveillants de générer du contenu audio et vidéo falsifié en temps réel à un prix nettement inférieur. Les publicités proposent plusieurs options, notamment la permutation de visages en temps réel lors d'appels vidéo sur des plateformes de visioconférence ou de messageries instantanées, le remplacement de visages à des fins de vérification et le remplacement de flux vidéo sur les appareils.

Les auteurs des publications analysées affirment pouvoir fournir un logiciel qui synchronise les expressions faciales d'une personne dans une vidéo avec du texte, même en langues étrangères, ainsi que des outils permettant de cloner la voix et d'ajuster le ton et le timbre pour transmettre des émotions spécifiques. Cependant, il est fort probable que bon nombre de ces annonces soient des escroqueries visant à arnaquer les potentiels acheteurs.

« Nous voyons non seulement des annonces proposant des “deepfakes-en-tant-que-service”, mais aussi une demande indéniable pour ces outils. Des acteurs malveillants expérimentent activement avec l'IA et l'intègrent dans leurs opérations. Certaines plateformes offrent des fonctionnalités plus sophistiquées : par exemple, des LLM malveillants créés entièrement à partir de zéro, indépendants des modèles accessibles au public, qui fonctionnent localement. Bien que ces technologies n'introduisent pas de cybermenaces fondamentalement nouvelles, elles peuvent considérablement améliorer les capacités des attaquants. Dans ce contexte, les experts en cybersécurité doivent travailler d'arrache-pied pour contrer ces menaces. L'un des moyens les plus prometteurs pour relever ce défi consiste à tirer parti de l'IA pour améliorer à la fois la productivité des professionnels de la sécurité et l'efficacité des mesures défensives », commente Dmitry Galov, responsable de l'équipe mondiale de recherche et d'analyse de Kaspersky en Russie et dans la CEI.

Face à la recrudescence des cyberattaques visant les hôpitaux publics, Cisco lance une alerte. Infrastructures obsolètes, erreurs humaines, sophistication croissante des attaques… le système de santé français est très fragile.

La sonnette d’alarme tirée récemment par Cisco n’est pas une simple mise en garde technique pour les hôpitaux français mais une réelle alerte sanitaire. Dans un rapport dense et documenté, le spécialiste mondial de la cybersécurité constate que le système hospitalier français, déjà fragilisé, est désormais en proie à des attaques numériques d’une intensité croissante, menaçant la continuité même des soins.

Une situation critique pour des hôpitaux fragiles

Plus qu’un problème d’équipement ou de logiciels, c’est toute l’architecture numérique des hôpitaux publics, selon Cisco, qui se trouve sous pression, dans un contexte de transition numérique précipitée et de ressources limitées.

Cette situation critique a déjà été soulignée ces dernières années. Selon l’Agence nationale de la sécurité des systèmes d’information (ANSSI), en 2022, plus de 60 % des hôpitaux français utilisaient encore des infrastructures informatiques obsolètes, non mises à jour depuis plusieurs années. Une vulnérabilité structurelle que les cybercriminels exploitent avec efficacité. Les erreurs humaines représentent, à elles seules, 70 % des failles exploitées dans les cyberattaques du secteur de la santé : mots de passe faibles, mauvaise gestion des accès, absence de formation. Les conséquences dépassent largement le cadre numérique avec une paralysie de services vitaux, l’interruption des équipements médicaux, ou le vol massif de données sensibles.

Des attaques toujours plus sophistiquées

Face à ce constat, Cisco rappelle que « la cybersécurité ne peut plus être considérée comme un sujet purement technique. Elle est un enjeu de santé publique et doit être traitée comme un levier stratégique pour garantir la continuité des soins ». Une affirmation qui résonne avec les crises récentes. C’est tout un secteur sous tension qui est confronté à des attaques toujours plus sophistiquées, sans toujours disposer des moyens d’y faire face.

Les recommandations pour y faire face sont claires : remplacement des équipements vétustes, généralisation de la formation, adaptation des financements, mutualisation régionale à travers les Groupements hospitaliers de territoire (GHT), sécurisation des dossiers de santé en lien avec l’Espace Européen des Données de Santé. Des outils existent pour détecter les usages à risque et sensibiliser les équipes, mais ils nécessitent des choix politiques et budgétaires assumés… à l’heure où l’État cherche des économies tous azimuts.

En 2021, Macron s’implique

Ce besoin de pilotage stratégique, Emmanuel Macron l’avait pourtant anticipé dès 2021, après les cyberattaques ayant visé les hôpitaux de Dax et de Villefranche-sur-Saône. À l’époque, le président de la République avait évoqué un « risque vital » et annoncé une accélération de la stratégie nationale de cybersécurité. Un milliard d’euros, dont 720 millions de fonds publics, avaient été mobilisés, avec pour ambition la création d’un Campus Cyber à La Défense, le triplement du chiffre d’affaires de la filière et le doublement des emplois d’ici 2025. « Il nous faut aller plus loin, plus vite, être à l’avant-garde », plaidait alors le chef de l’État. Et de rappeler que les attaques les plus destructrices naissent souvent de négligences élémentaires : un mot de passe trop évident, un mail suspect non filtré.

Mais quatre ans plus tard, l’alerte de Cisco vient interroger la portée réelle de cet effort. Car les statistiques sont implacables. En 2021, 1 582 établissements de santé avaient été touchés, soit deux fois plus qu’en 2020. Entre 2022 et 2023, trente hôpitaux ont officiellement été victimes de rançongiciels. En 2023, plus de 400 attaques ont été recensées dans le secteur de la santé, 35 % ayant eu un impact direct sur les soins. En 2024 encore, l’hôpital de Cannes a vu ses données massivement exfiltrées ; celui d’Armentières a dû fermer son service des urgences pendant 24 heures. Et si les chiffres 2025 ne sont pas encore consolidés, la tendance reste à la persistance élevée.

Dans un système de santé déjà éprouvé, la prochaine crise ne viendra peut-être pas d’un virus biologique — mais d’une faille numérique.

Plus la société française se numérise et plus elle est exposée à une recrudescence de cybermenaces. Tel est l’enseignement que l’on pourrait tirer de la présentation, hier, du rapport d’activité 2024 de la plateforme gouvernementale Cybermalveillance.gouv.fr. Une plateforme, née en 2017, qui est de plus en plus fréquentée par les Français puisque l’an dernier, elle a reçu 5,4 millions de visiteurs uniques (+47 %) et enregistré plus de 420 000 demandes d’assistance en 2024 (+49,9 %). Une fréquentation en nette hausse qui peut notamment s’expliquer par de nouveaux contenus (170), services proposés ou initiatives menées par Cybermalveillance.gouv.fr tels que la déclinaison du programme d’e-sensibilisation SensCyber pour le grand public, l’opération Cactus auprès des collégiens et lycéens ou encore le lancement du guichet unique 17Cyber lancé en collaboration avec le ministère de l’Intérieur.

L’hameçonnage – via des courriels de plus en plus sophistiqués et parfois dopés à l’intelligence artificielle – demeure la menace prédominante tout public confondu avec 1,9 million de consultations d’articles et 64 000 demandes d’assistance.

Phénomène marquant de l’année 2024, des violations de données personnelles massives ont touché de nombreuses organisations (Viamedis-Almerys, France Travail, Fédération Française de Football, Free…). « Ces fuites de données suscitent de fortes inquiétudes de la part des publics concernés sur l’utilisation qui pourraient en être faite (hameçonnage, piratage de compte, tentative d’escroquerie ou d’usurpation d’identité…) », note la plateforme. Les violations de données personnelles sont la 4e menace pour les particuliers avec 706 000 consultations d’articles et 12 400 demandes d’assistance (+82 %).

En progression constante (+55 % de recherches d’assistance), le piratage de compte occupe toujours la 2e place pour les particuliers et les entreprises (la 3e pour les collectivités).

Prolifération des arnaques en ligne

Les rançongiciels, qui touchent essentiellement les professionnels, tiennent la 2e place pour les collectivités et la 3e pour les entreprises. « S’ils représentent ainsi plus d’un tiers des recherches d’assistance, les rançongiciels sont néanmoins en baisse et au niveau le plus bas des quatre dernières années. » Enfin, avec 136 500 consultations d’articles et 13 500 recherches d’assistance, l’arnaque au faux support technique (3e menace pour les particuliers) perdure, ainsi que les modes opératoires plus agressifs apparus en 2022 qui s’attaquent aux comptes bancaires des victimes.

La plateforme observe aussi des évolutions dans les menaces comme la sextorsion qui concernerait de plus en plus les jeunes publics. Le cyberharcèlement qui touchait principalement les particuliers (en hausse de 31 % ), affecte également les professionnels avec une menace qui se positionne respectivement en 9e place pour les collectivités (+533 %) et 10e pour les entreprises (+566 %).

Mais 2024 aura aussi été marquée par « une véritable prolifération des arnaques en ligne, due en partie à la facilité d’accès aux outils malveillants par une cyberdélinquance sans compétence particulière. »

La plateforme a présenté sa stratégie 2025-2030 qui s’articule autour de trois axes : l’assistance aux victimes avec le 17 Cyber, développer une marque dont l’identité reste à définir pour les actions de prévention cyber, et enfin développer un parcours de signalement plus clair pour les victimes.

 

La menace est bien réelle et les chiffres font froid dans le dos. Neuf Français sur dix ont déjà été confrontés à une situation de malveillance informatique. L’année dernière, ce sont plus de 278 000 infractions numériques qui ont été enregistrées par les forces de l’ordre, une hausse significative par rapport aux 255 320 cas de 2022. Face à cette déferlante cybercriminelle, le ministère de l’Intérieur contre-attaque avec le lancement d’un nouveau service : le 17Cyber.

L’initiative, qui vient d’être dévoilée ce 17 décembre, se veut être l’équivalent numérique du traditionnel appel d’urgence « 17 ». Une réponse adaptée à notre époque où les malfaiteurs ont troqué le pied de biche contre le clavier d’ordinateur. Le concept ? Un guichet unique accessible 24 heures sur 24 et 7 jours sur 7 via le site 17cyber.gouv.fr, permettant aux victimes d’obtenir rapidement un diagnostic de leur situation et des conseils personnalisés.

Le phénomène touche toutes les strates de la société. Les chiffres sont éloquents : 47 % des victimes de préjudices financiers en ligne ont moins de 44 ans, et les femmes représentent 67 % des victimes d’atteintes numériques à la personne. Plus inquiétant encore, les collectivités territoriales sont devenues les cibles privilégiées des cybercriminels, avec 55 attaques par rançongiciel recensées en 2023, contre 37 l’année précédente.

L’originalité du dispositif réside dans son approche « tout-en-un ». Après un diagnostic rapide basé sur quelques questions, les victimes peuvent être mises en relation par tchat avec un policier ou un gendarme. En cas de besoin, une assistance technique peut être fournie par l’un des 1 200 prestataires référencés par Cybermalveillance.gouv.fr, dont 200 sont labellisés « ExpertCyber ».

Un module 17Cyber intégrable gratuitement

L’ambition ne s’arrête pas là. Le ministère a développé un module 17Cyber intégrable gratuitement sur n’importe quel site web. Une innovation qui a déjà séduit de grands noms du numérique comme Meta, Amazon France, ou encore La Poste Groupe, qui se sont engagés à relayer le service sur leurs plateformes.

Cette initiative s’inscrit dans une stratégie plus large de lutte contre la cybercriminalité, orchestrée par le Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI). Les résultats sont déjà tangibles : en 2023, l’action coordonnée des forces de sécurité intérieure a permis de déjouer 44 cyberattaques visant des entités françaises.

Avec le 17Cyber, l’État espère créer un nouveau réflexe citoyen face aux menaces numériques. Un pari ambitieux mais nécessaire à l’heure où le cybercrime s’impose comme l’une des principales menaces du XXIe siècle.

 

 

Une véritable tempête cybernétique s’abat sur le Vieux Continent, avec une augmentation de 18 % des attaques par rapport à l’année précédente, selon la sixième enquête annuelle et internationale de référence en sécurité Security Navigator 2025, pilotée par Orange Cyberdefense. Les pays d’Europe les plus touchés sont l’Italie (19 %), l’Allemagne (19 %), la France (16 %), l’Espagne (13 %) et la Belgique (8 %). L’Europe est ainsi devenue la première cible mondiale des hacktivistes, en particulier ceux pro-russes. Par exemple, l’un des groupes d’hacktivistes prorusses les plus actifs a mené 6 600 attaques depuis début 2022, visant dans 96 % des cas des pays en Europe, selon le rapport.

Evolution des tactiques employées

Mais ce qui inquiète particulièrement les experts, c’est l’évolution des tactiques employées. Les hacktivistes ne se contentent plus de perturber des systèmes informatiques, ils mènent désormais des "attaques cognitives" visant à manipuler l’opinion publique et à saper la confiance dans les institutions. Une guerre de l’information qui prend une ampleur inédite et menace la stabilité même de nos démocraties.

"Les cybermenaces sont le nouveau baromètre des tensions géopolitiques mondiales", affirme Hugues Foulon, CEO d’Orange Cyberdefense. Une déclaration qui résonne comme un avertissement face à l’instrumentalisation croissante du cyberespace par des acteurs malveillants.

Les PME, maillons faibles de la chaîne

Autre tendance préoccupante révélée par le rapport : l’explosion des attaques visant les PME, avec une hausse vertigineuse de 53 % des incidents. Ces entreprises, souvent mal préparées et disposant de ressources limitées en matière de cybersécurité, sont devenues des proies faciles pour les cybercriminels. Un phénomène de "re-victimisation" aggrave encore la situation, avec des données volées réutilisées dans plusieurs campagnes d’extorsion.

Cette vulnérabilité des PME n’est pas sans conséquence pour l’ensemble du tissu économique. Intégrées dans les chaînes d’approvisionnement de grandes entreprises, elles peuvent devenir le cheval de Troie permettant aux pirates de s’attaquer à des cibles plus importantes.

L’IA, arme à double tranchant

L’intelligence artificielle, et en particulier l’IA générative, s’impose comme un nouvel enjeu majeur de la cybersécurité. Si elle offre des perspectives prometteuses en matière de détection et de réponse aux menaces, elle constitue également un formidable outil pour les cybercriminels. Phishing ultra-ciblé, désinformation massive, attaques informationnelles sophistiquées… l’IA démultiplie les capacités des acteurs malveillants.

Vivien Mura, CTO d’Orange Cyberdefense, met en garde : "Il est essentiel de ne pas accorder une confiance aveugle à ces nouveaux systèmes pour protéger la donnée et maîtriser les accès". Un appel à la vigilance face aux potentielles vulnérabilités induites par l’adoption massive de l’IA dans nos systèmes d’information.

---

2025, l’année de tous les dangers ?

Autre étude préoccupante : le rapport de Kaspersky, qui vient compléter ce tableau peu réjouissant en annonçant l’avènement de ransomwares "quantique-résistants". Ces logiciels malveillants nouvelle génération utiliseraient des techniques de chiffrement capables de résister même aux tentatives de décryptage des ordinateurs quantiques les plus puissants. Une perspective glaçante qui pourrait rendre les attaques par rançongiciel encore plus dévastatrices.

Le rapport mentionne d’autres prédictions significatives, parmi lesquelles des attaques contre les banques centrales et les programmes Open Banking ; une augmentation des attaques de la chaîne d’approvisionnement sur les projets de logiciels open-source ; plus d’IA et d’apprentissage automatique du côté de la défense ; et l’apparition de nouvelles menaces basées sur la blockchain.

Face à ces menaces en constante évolution, Fabio Assolini, expert chez Kaspersky, insiste sur l’importance cruciale de la formation et de la sensibilisation des employés : "Le personnel non avisé est l’un des vecteurs d’attaque initiale les plus courants, pouvant entraîner de graves pertes financières pour une organisation".

 

Avis d’expert par Magali Moreau, directrice marketing et communication chez Sharp Business Systems France

Les entreprises contemporaines prospèrent grâce au numérique. Qu'il s'agisse d'échanger des courriels, de participer à des réunions, de travailler sur des réseaux Wi-Fi ouverts ou d’effectuer des partages de documents, le monde est connecté et ouvert aux échanges. C'est pourquoi aujourd’hui les PME sont davantage exposées aux cyberattaques. Des études ont montré que les petites entreprises sont plus fréquemment les cibles de la cybercriminalité, tandis qu’une récente étude de Sharp montre qu'un tiers (33 %) des entreprises européennes ont été touchées par une attaque informatique.

Face à la menace croissante des cyberattaques, l'Union européenne a mis en place plusieurs directives qui imposent aux entreprises d'optimiser leur cyber-résilience, c'est-à-dire leur capacité à prévenir les cyberincidents, à y résister et à les surmonter. La première de ces directives, la directive « Sécurité des réseaux et de l'information » (dite « directive NIS »), adoptée en 2016, visait à atteindre un niveau élevé de sécurité des réseaux et des systèmes d'information dans toutes les infrastructures.

La directive NIS2, entrée en vigueur en octobre, vise à renforcer la cyber-résilience collective de l'UE en exigeant la mise en place d'une solide gestion des risques, de contrôles de sécurité et d'audits réguliers. Tout en autorisant une certaine souplesse au niveau national, NIS2 établit des normes de base en matière de cybersécurité à l'échelle de l'UE qui reflètent les standards et les meilleures pratiques mondiales. Cela garantirait un niveau plus élevé de préparation et de résilience contre les cyberincidents qui pourraient perturber le fonctionnement des services de première nécessité et des infrastructures critiques.

NIS2 vise à atteindre cet objectif par l’intégration de normes et d’exigences plus strictes en matière de cybersécurité pour les entreprises, y compris la mise en œuvre de politiques de cybersécurité, de plans de réponse aux incidents et d'évaluations régulières des risques. Elle impose également des obligations plus strictes en matière de gestion des risques et d'établissement de rapports, obligeant les entreprises à prendre des mesures appropriées pour gérer les risques liés à la cybersécurité et à signaler les cyberincidents importants aux autorités nationales.

En outre, elle élargit le champ d'application des règlements antérieurs en incluant davantage de secteurs et d'entités qu'elle juge impératifs et fondamentaux, tels que les secteurs de l'administration publique, de l'énergie, de la santé, des services IT, des services postaux et de messagerie, de la production et de la distribution de denrées alimentaires et de l'industrie manufacturière.

Parallèlement à la prise en compte d’un plus grand nombre d’entreprises, NIS2 instaure de nouvelles mesures de contrôle pour les petites entreprises. Les PME de plus de 50 salariés réalisant un chiffre d'affaires de plus de 10 millions d'euros sont soumises aux exigences renforcées de NIS2 en matière de cybersécurité.

Les PME et le besoin de formation

Pour que la directive soit un succès, quelle que soit leur taille, les entreprises européennes se doivent d’améliorer la sécurité des services IT à tous les niveaux. Une sécurité optimale ne peut être possible que si tous les appareils sont intégrés dans la stratégie de sécurité IT. Il s'agit non seulement des appareils principaux, mais aussi des dispositifs périphériques. C'est un aspect qui s'applique de plus en plus aux imprimantes multifonctions (MFP), dont la sécurité est encore négligée par la plupart des entreprises, comme l'a montré une étude récente de Sharp selon laquelle 19 % des PME européennes ont été touchées par une atteinte à la sécurité de leurs imprimantes.

Les petites entreprises qui entrent dans le champ d'application de la directive NIS2 doivent prendre plusieurs mesures pour se préparer et se conformer aux nouvelles exigences. En premier lieu, les PME doivent faire appel à leur fournisseur d'assistance IT pour réaliser un audit complet des risques afin d'identifier les vulnérabilités et les menaces potentielles de cybersécurité, ainsi que les aspects à améliorer dans l'ensemble de l’entreprise.

L'entreprise doit également examiner et actualiser les contrats, les accords de niveau de service et les autres documents pertinents afin de s'assurer qu'ils répondent aux exigences de la directive et qu'ils établissent avec clarté les responsabilités et les obligations en matière de cybersécurité.

Une fois toutes les évaluations effectuées, il est impératif d'élaborer et de mettre en œuvre des politiques et des procédures de cybersécurité dans l'ensemble de l'entreprise. Ces formalités doivent s'aligner sur les exigences de la directive NIS2, telles que les pratiques de gestion des risques, les protocoles de signalement des incidents et les mesures de sécurité pour les réseaux et les systèmes d'information.

Le défi pour les entreprises n'est pas seulement la mise en œuvre des mesures, mais aussi de continuer à effectuer des contrôles réguliers, que ce soit sous la forme d'analyses de vulnérabilité, d'évaluations de sécurité, de tests d’intrusion ou de simulations de cyberattaques.

La compétence technologique est fondamentale pour l’efficacité de la directive NIS

Les cybermenaces sont souvent considérées comme des phénomènes extérieurs à l'entreprise. Cependant, il est important de comprendre que la plupart des atteintes à la sécurité informatique sont principalement dues à des erreurs humaines plutôt qu'à des défaillances technologiques. Par conséquent, même si une entreprise tente de rendre la technologie aussi sûre que possible, si les salariés ne comprennent pas comment et pourquoi la sécurité est nécessaire, les politiques mises en place seront vaines.

La formation régulière des salariés à la cybersécurité et à la sensibilisation est donc un élément fondamental pour les entreprises, quelle que soit leur taille. Cette formation permettra au personnel de comprendre la nécessité de la cybersécurité et de suivre les meilleures pratiques pour protéger les informations et les systèmes sensibles.

En prenant des mesures proactives pour s'assurer que la cybersécurité est une priorité et s'aligne sur les exigences du NIS2, les PME peuvent mieux se protéger contre les cybermenaces, assurer la continuité des activités et éviter les amendes ou pénalités potentielles en cas de non-conformité.

Les analyses, études, prospectives sur l’état de la cybercriminalité et des cybermenaces ne manquent pas de la part des sociétés du secteur technologique. À ces données importantes, notamment pour les entreprises, s’est ajoutée ce mardi 30 juillet la publication du premier rapport sur la cybercriminalité du ministère de l’Intérieur.

C’est le CEntre d’analyse et de regroupement des Cybermenaces (CECyber) du COMCYBER-MI, le commandement cyber associant la police et la gendarmerie lancé en 2023, qui a rédigé – en complémentarité avec les analyses annuelles de l’ANSSI – ce document de 54 pages. Il analyse le niveau de la menace cyber qui pèse sur les citoyens, les entreprises (notamment les PME), et les institutions publiques.

« 9 Français sur 10 ont déjà été confrontés à une situation de malveillance informatique, notamment à l’hameçonnage (pour 70 % d’entre eux), mais aussi de nouvelles menaces comme le quishing, technique exploitant de faux QR codes pour subtiliser de l’argent », indique le rapport qui a comptabilisé 278 703 infractions liées au numérique enregistrées par les forces de sécurité intérieures en 2023, en augmentation de 9 % par rapport à 2022 et de 40 % en cinq ans, selon le Service statistique ministériel de la sécurité intérieure (SSMSI).

Les femmes particulièrement ciblées

59 % de ces infractions sont des atteintes « numériques » aux biens (escroqueries, arnaques en ligne etc.), 34 % sont des atteintes « numériques » à la personne, 5 % sont des atteintes aux institutions. « Toutes les couches de la population sont concernées par cette cyberdéliquance et notamment les plus jeunes : 47 % des victimes de préjudice financier en ligne ont moins de 44 ans. Les atteintes numériques à la personne visent pour leur part majoritairement les femmes, qui représentent 67 % du total des plaintes déposées. »

« De manière générale, on note une professionnalisation significative des cyberdélinquants, que ce soit en matière d’appropriation des outils techniques, de structuration en véritables réseaux, ou de lien avec les écosystèmes de blanchiment. Certains modes opératoires, tel que celui de la fraude au faux conseiller bancaire, sont réellement industrialisés par les groupes cybercriminels », note le rapport qui sera rendu tous les ans.

« Notre détermination à sécuriser l’espace numérique français est plus forte que jamais et nous continuerons à innover et à coopérer, tant au niveau national qu’international, pour relever ces défis », assure le général de division Christophe Husson, chef du commandement du ministère de l’Intérieur dans le cyberespace. La France est particulièrement exposée aux cybermenaces, notamment dans le contexte de la guerre en Ukraine ou des Jeux Olympiques de Paris 2024.

L’affaire des tags « Mains rouges » peintes sur le Mémorial de la Shoah à Paris va-t-elle constituer un tournant : celui d’une réelle prise de conscience de l’opinion face aux ingérences étrangères qui veulent miner notre démocratie, entre opérations de déstabilisation « classiques » et cyberattaques de plus en plus sophistiquées et intenses, voire un mix des deux ?

Les mains rouges et les étoiles bleues

En tout cas l’affaire – qui a dans un premier temps légitimement choqué dans le climat de hausse des propos et actes antisémites – a échoué à diviser les Français. C’est que ces derniers avaient de quoi se méfier en se rappelant l’affaire des étoiles de David, peintes au pochoir sur des façades d’immeubles à Paris et en banlieue en octobre dernier. Dans un document confidentiel, révélé le 23 février par Le Monde, la DGSI assure que cette opération a été pilotée par le « cinquième département », un service chargé des opérations internationales au FSB, les services secrets russes. Cette campagne de désinformation en France était un volet d’une opération d’ingérence plus vaste menée dans plusieurs pays européens et commencée au printemps 2023 en Pologne. Des Moldaves, pilotés à distance par le FSB, y avaient mené des actions de désinformation, de surveillance et de sabotage.

La similarité des 35 tags représentant des mains rouges peintes dans la nuit du 13 au 14 mai – un symbole qui renvoie au massacre à mains nues de Yosef Avrahami et Vadim Norznich le 12 octobre 2000 par des Palestiniens de Ramallah – avec les étoiles de David suscite immédiatement la prudence et le doute. Les enquêteurs creusent actuellement la piste de trois suspects, arrivés de Bulgarie et repartis vers la Belgique.

Dans les deux cas : l’action d’agents sur le territoire national pour amorcer la pompe puis la tentative d’en amplifier la portée sur les réseaux sociaux, avec l’idée d’attiser les clivages dans les pays occidentaux ; une technique rodée des campagnes d’ingérence, comme l’a dénoncé lui-même le ministre des Affaires étrangères français, Stéphane Séjourné.

L’opération n’a pas fonctionné comme prévu

« C’est le même mode opératoire : des gens recrutés dans un pays européen où le FSB est connu pour opérer (la Moldavie et la Bulgarie, ndlr). Pour les étoiles, on sait qu’il y avait eu coordination entre les deux services, le FSB qui a recruté les Moldaves, et le renseignement militaire qui gère […] Döppelganger » (« Sosie » en allemand), opération de désinformation au long cours attribuée à la Russie, relève pour le chercheur David Colon, auteur de « La guerre de l’information » (La Dépêche du 1er octobre 2023).

Dans le cas des mains rouges, comme l’a souligné sur X le collectif @antibot4navalny, qui traque les ingérences possiblement liées au Kremlin, des comptes liés à Döppelganger ont exploité l’incident, relayant des commentaires accusant Emmanuel Macron d’inaction face à l’antisémitisme. La sous-traitance de la phase physique est d’autant plus nécessaire que « la capacité d’action des Russes en France a été dégradée par les expulsions (massives de diplomates depuis l’invasion de l’Ukraine, ndlr). Il est probable qu’ils ont conservé des réseaux clandestins, mais qu’ils ne veulent pas les griller pour ce genre d’opération » à bas coûts, explique une source sécuritaire française sous couvert d’anonymat.

L’opération « Mains rouge » n’a toutefois « pas vraiment fonctionné parce que les gens ont été beaucoup plus prudents dans leurs commentaires, instruits justement par l’exemple des étoiles ». David Colon y voit aussi un effet de la stratégie française incarnée par Viginum, la jeune agence anti-ingérence qui permet une politique de « dévoilement rapide » des opérations, un changement de pied bienvenue de la stratégie française.

La France, cible de choix

Car la France, qui accueille cette année les Jeux olympiques et dont le président a musclé son discours contre Vladimir Poutine, est devenue une cible pour les opérations de déstabilisation et des cyberattaques, on se rappelle du piratage de la campagne d’Emmanuel Macron (les MacronLeaks) en 2017, de l’activité des médias d’État russes RT France et Sputnik, des opérations d’influence de la Russie en Afrique contre la France ou plus récemment de l’Azerbaïdjan en Nouvelle-Calédonie ; sans oublier les cyberattaques d’organismes ou d’hôpitaux.

« Dans un contexte géopolitique tendu, l’ANSSI a constaté de nouvelles opérations de déstabilisation visant principalement à promouvoir un discours politique, à entraver l’accès à des contenus en ligne ou à porter atteinte à l’image d’une organisation », indique l’Agence nationale de la sécurité des systèmes d’information dans son Panorama 2023 de la cybermenace. « L’année 2023 a montré des évolutions notables dans la structure et les méthodes des attaquants. Ces derniers perfectionnent leurs techniques afin d’éviter d’être détectés et suivis, voire identifiés. Il apparaît notamment que des modes opératoires cybercriminels pourraient être instrumentalisés par des acteurs étatiques pour conduire des opérations d’espionnage », notait le rapport.

« L’un des grands enseignements de ce Panorama de la cybermenace 2023 est qu’il n’est désormais plus possible de prendre du retard en matière de cybersécurité, face à des attaquants de plus en plus persévérants », estimait Vincent Strubel, le patron de l’ANSSI.

 

Par Jean-Yves Marion, Université de Lorraine

Europol vient d’annoncer le démantèlement d’un groupe de rançongiciels en Ukraine. Dans leur forme la plus basique, ces cyberattaques bloquent les systèmes informatiques et exfiltrent les données de la victime, promettant de les restituer contre rançon.

Ainsi, en août 2022, une cyberattaque attribuée au rançongiciel LockBit a paralysé le centre hospitalier sud-francilien en exfiltrant 11 Gigaoctets de données de patients et d’employés. L’hôpital a dû fonctionner en « mode dégradé » pendant plusieurs mois, avec les dossiers médicaux inaccessibles et des appareils de soin inutilisables. En juillet 2023, c’est le port de Nagoya, l’un des plus importants du Japon, qui a été obligé de s’arrêter pendant deux jours à cause d’un rançongiciel.

De l’exfiltration des données à leur revente sur des marchés illicites et aux menaces de rendre publiques les informations volées, jusqu’au fonctionnement très altéré des organisations victimes des attaques, la réalité du terrain est brutale, purement criminelle et vise sans discernement les particuliers, les hôpitaux, les écoles et toutes les organisations et entreprises vulnérables.

Les organisations cybercriminelles sont aujourd’hui bien organisées et leurs façons de procéder évoluent pour plus d’efficacité : l’économie et l’écosystème souterrains à l’origine de ces cyberattaques sont très modulables et se sont même « uberisé », ce qui les rend résilients aux démantèlements et actions en justice.

C’est une plongée dans ce monde de la cyberextorsion que nous vous proposons ici.

L’extorsion cyber en constante évolution

Quand on parle de rançongiciel, on pense à un programme malveillant qui va chiffrer (crypter) les données d’un ordinateur et demander une rançon pour rendre ces données. Par exemple, le rançongiciel Wannacry, qualifié de « sans précédent » par Europol, avait compromis environ 5 millions d’appareils en 2017, après avoir exploité une vulnérabilité pour se propager automatiquement.

Aujourd’hui, cette notion a évolué : les rançongiciels sont opérés par des humains qui explorent l’ensemble du système informatique compromis. Les attaques peuvent se déployer sur plusieurs mois, tenir compte des systèmes attaqués et « avancer » à l’intérieur du réseau informatique. Les données sensibles et d’autres informations peuvent être exfiltrées et stockées sur des serveurs contrôlés par les cybercriminels.

Le groupe cybercriminel Royal a par exemple publié en mai 2023 des informations de la ville de Dallas, y compris des informations confidentielles sur la police et sur des affaires pénales.

De fait, des données partiellement rendues publiques permettent déjà de faire pression sur la victime, et l’exfiltration suffit à demander une rançon. Les données peuvent aussi être revendues à un tiers.

Les attaquants peuvent aussi procéder au chiffrement des données sur les serveurs de leur propriétaire. Ce mécanisme est dit de « double extorsion » : exfiltration et chiffrement.

Enfin, le harcèlement sur la victime peut aller jusqu’à une attaque par « déni de service (DDOS) », qui rendent les services web de la victime inaccessibles. On parle alors de « triple extorsion ».

Le gain financier est le principal moteur des campagnes de rançongiciels, et en fait il faudrait plutôt parler aujourd’hui d’« extortion-wares », qui mobilisent toute une économie souterraine.

Un écosystème souterrain

Les organisations souterraines responsables de ces cyberextorsions ont gagné en maturité. Le modèle Ransomware as a Service (RaaS) s’est imposé comme à la fois la structure principale d’organisation et comme modèle économique.

Le RaaS est un ensemble d’acteurs qui monnayent des infrastructures, des services et des savoir-faire à leurs « affiliés » : c’est ainsi que ceux-ci disposent des moyens technologiques et humains pour réaliser concrètement les cyberattaques par rançongiciel.

Nos connaissances sur ce système cybercriminel proviennent d’interviews et des fuites d’information. Les « ContiLeaks » en particulier furent le fait de disputes entre les acteurs. Pour certaines des fuites documentées sur ContiLeaks, les fuites émanent plus précisément de désaccords subséquents à l’invasion de l’Ukraine.

Le monde de la cybercriminalité s’est ubérisé

Dans ce modèle économique du Ransomware as a Service, le recrutement d’« affiliés » est essentiel : ce sont eux qui réalisent les cyberattaques grâce à un certain nombre d’outils et de panneaux de contrôle fournis par l’organisation cybercriminelle à l’initiative de l’attaque. Ces organisations sont assez disparates : il existe à la fois des groupes d’acteurs et des acteurs isolés. Dans tous les cas, ces organisations sont fragmentées – ce qui, on le verra par la suite, leur permet de se reconfigurer, en cas de démantèlement notamment.

Ce soutien « technique » permet de recruter des exécutants dont le niveau technique n’est pas forcément élevé, car ils bénéficient d’outils relativement faciles à mettre en œuvre. Ironiquement d’ailleurs, un groupe se nomme « Read the Manual ».

Autrement dit, le monde de la cybercriminalité s’est, lui aussi, ubérisé. Les profits sont partagés entre les commanditaires et les affiliés (environ 70 % du paiement de la victime est reversé à l’affilié).

Ventes d’« accès » : comment pénétrer chez la victime

Un des services les plus importants est celui des fournisseurs d’accès (Internet Access Brokers) qui vendent notamment des mots de passe et des cookies provenant de campagnes précédentes, soit de phishing qui cherche à manipuler une victime pour obtenir un mot de passe, soit d’infostealers qui sont des logiciels spécialisés dans le vol d’information, ou enfin à la suite d’une exfiltration de données par une précédente attaque d’un rançongiciel.

En 2021, l’attaque de Colonial Pipeline a forcé l’arrêt de toutes les opérations d’un pipeline qui transporte environ 400 millions de litres d’essence par jour, ce qui a amené le ministère américain de la Justice à élever les attaques par rançongiciel au niveau du terrorisme. En effet, selon l’audition de la commission de la sécurité intérieure de la Chambre des représentants des États-Unis, l’accès initial au réseau s’est fait à partir d’un mot de passe réutilisé.

Ce type de « vente d’accès » se fait dans des marchés souterrains et des forums, comme RaidForums.

Blanchiment des rançons : démêler les flux de cryptomonnaies

Pour faire fonctionner l’écosystème, un autre service important est celui du blanchiment des rançons (en cryptomonnaies, souvent en Bitcoin). Pour cela, des outils informatiques sont utilisés : des « mixeurs » pour rendre les transactions financières intraçables, et des « échangeurs » pour échanger les cryptoactifs.

Afin de démanteler les services de blanchiment et d’arrêter les cybercriminels, les forces de l’ordre essaient de surveiller ces échanges de cryptomonnaies. C’est ainsi qu’une action internationale a permis de démanteler la plate-forme d’échange de cryptoactifs Bitzlato.

Une des limitations à ces actions internationales est que les organisations RaaS s’appuient le plus souvent sur des infrastructures hébergées dans des pays qui ne collaborent pas, ou peu, avec les forces de l’ordre européennes et américaines.

Une économie souterraine résiliente

Le modèle RaaS permet de réduire les risques pour les cybercriminels, comme l’observe le rapport 2022 de l’agence européenne pour la cybersécurité (Enisa). En effet, l’arrestation d’un seul cybercriminel n’est pas suffisante pour stopper les méfaits d’un rançongiciel : les groupes comme Conti se fragmentent et se recomposent en différents autres groupes.

Aussi efficaces soient-elles, les actions de justice internationale n’ont parfois qu’un effet limité. Par exemple, le « world’s most dangerous malware », appelé Emotet, a été démantelé en janvier 2021… pour reprendre du service un an plus tard.

Ce constat peut sembler pessimiste mais ne doit pas masquer que les actions de justice secouent de fait le monde cybercriminel, comme l’ont montré l’opération offensive contre le rançongiciel Hive ou le démantèlement de Ragnar Locker (suite notamment à une arrestation à Paris).

D’un point de vue économique, le modèle RaaS optimise le retour sur investissement (ROI). L’économie souterraine RaaS prospère. Elle est basée sur des marchés illicites dans le dark web. En moyenne, un ransomware est vendu pour 56 dollars américains selon l’étude menée entre novembre 2022 et février 2023.

Les marchés souterrains sont très volatils et fragmentés. Cette fragmentation permet aux cybercriminels de poursuivre leurs activités commerciales, même après une saisie par les forces de l’ordre comme celles de DarkMarket et de HydraMarket.

Cyberattaques et conflits armés : la naissance des « cyber-mercenaires » ?

Des organisations clandestines prennent forme, disparaissent et renaissent, parfois instrumentalisées par les États, comme l’a montré le conflit ukrainien. Rien d’étonnant à cela, puisque les moyens d’une cyberattaque sont quasiment les mêmes, que l’objectif soit financier, d’espionnage ou de destruction.

Déjà en 2017, et malgré sa ressemblance avec le rançongiciel WannaCry déjà bien connu, les actions du malware NoPetya ont été destructrices, causant environ 10 milliards de dollars de dommages totaux, et préfigurant les cyberattaques menées pendant le conflit ukrainien à l’aide d’armes avec les « wipers », qui effacent les informations de systèmes compromis.

Les tensions géopolitiques pourraient encourager les acteurs à l’origine des rançongiciels à poursuivre les cyberconflits en cours : en adaptant légèrement leurs comportements, ils peuvent facilement devenir des sources d’espionnage, comme des « cyber-mercenaires ».

---

Le PEPR Cybersécurité est opéré par l’Agence nationale de la recherche (ANR), qui finance en France la recherche sur projets. Elle a pour mission de soutenir et de promouvoir le développement de recherches fondamentales et finalisées dans toutes les disciplines, et de renforcer le dialogue entre science et société. Pour en savoir plus, consultez le site de l’ANR.

Jean-Yves Marion, Professeur, Université de Lorraine

Cet article est republié à partir de The Conversation sous licence Creative Commons. Lire l’article original.

 

La déclaration des biens immobiliers, déjà reporté deux fois, a connu mercredi un nouveau couac : 24 heures avant la date limite, le site des impôts a été victime d’une cyberattaque. Les contribuables voyaient s’afficher le message « Le site est momentanément en absence. Durant cette intervention, vous ne pouvez pas consulter la documentation et les actualités, ni télécharger de formulaire. » Le site des douanes a également été bloqué. Le retour à la normale est intervenu en début de soirée pour les deux sites.

Un collectif de hackers russes pro-Kremlin contre la France

Les deux cyberattaques, réalisées par déni de service (DDoS) – le serveur ciblé est submergé de requêtes et ne peut plus y répondre – ont été revendiquées sur Telegram mercredi en début d’après-midi par NoName057 (16), un collectif de hackers russes ultranationalistes, qui a déjà attaqué la France par le passé. En mars dernier, NoName057 (16), qui s’est fait une spécialité de viser les sites internet occidentaux ou ukrainiens, avait attaqué le site internet de l’Assemblée nationale et vraisemblablement aussi celui du Sénat.

Les attaques sont en général rapidement corrigées par les organismes victimes mais elles participent à une forme de déstabilisation en forte hausse à laquelle la France fait de plus en plus face, comme l’a souligné le dernier Panorama de la cybermenace 2022, publié par l’Agence nationale de la sécurité des systèmes d’information (Anssi).

Recrudescence de l’hacktivisme en Europe

« Le conflit russo-ukrainien a favorisé une recrudescence de l’hacktivisme, plus particulièrement en Europe de l’Est en soutien à la Russie comme à l’Ukraine. L’impact médiatique de leurs actions est souvent disproportionné par rapport au niveau de compétences mises en œuvre et à l’impact réel sur le fonctionnement de leurs cibles. Toutefois, les conséquences de ce type d’attaques pouvant provoquer l’indisponibilité de certaines ressources ou porter atteinte à l’image d’institutions ne doivent pas être négligées », estimait l’Anssi, soulignant là l’impact des tentatives de déstabilisation.

À l’approche de la coupe du monde de rugby et surtout des Jeux olympiques de Paris en 2024, la France s’attend à être particulièrement visée par des cyberattaques. Interrogé par l’Équipe début juillet, Vincent Strubel, directeur général de l’Anssi, a expliqué qu’un tiers de ses équipes va se consacrer aux Jeux dans l’année à venir. D’ores et déjà un exercice de simulation a déjà eu lieu.

« On s’est mis dans le scénario de ce qui peut se produire de pire, avec une cérémonie d’ouverture vraiment perturbée et des attaques dans tous les sens, pour voir comment on tient le rythme. On va continuer ce type d’exercices d’ici la fin de l’année et on encourage les organisations qui peuvent être ciblées par les attaques à s’entraîner », a expliqué M. Strubel avant d’évoquer les différentes menaces qui pèsent sur les JO.

Les JO de plus en plus attaqués

Celles sur la compétition elle-même « parce que, derrière l’événement sportif, il y a des enjeux géopolitiques. » Celles sur la lutte antidopage. « Des attaquants étatiques ont été identifiés autour d’un laboratoire antidopage aux Pays-Bas il y a quelques années, donc c’est du concret. On sécurise aussi le chronométrage, l’arbitrage. » Enfin, celles sur la cérémonie d’ouverture que regardera le monde entier. « Une déstabilisation peut toucher aux transports, à la billetterie pour la cérémonie », note Vincent Strubel, qui sait déjà que les JO seront au centre d’une véritable cyberguerre.

Les JO de Londres en 2012 avaient subi 212 millions de cyberattaques dès leur ouverture, ceux de Rio en 2016 avaient essuyé 500 millions de cyberattaques soit 400 attaques par seconde, et ceux de Tokyo 2021 avaient affronté… 4,4 milliards de cyberattaques, soit 800 attaques par seconde.

par Gilles Segar, ingénieur avant-vente en charge des solutions Cloud d’Exclusive Networks

Les multiples tensions au niveau global ont fait de la capacité de résilience, la priorité numéro 1 de nombreux DSI et RSSI en 2023. Face à une situation d’urgence causée par une cyberattaque, il faut à la fois pouvoir s’appuyer sur des sauvegardes de données fiables, mais surtout réagir de manière efficace et rapide sous une pression maximale. 

Vous estimez disposer de solution de protection performante, de sauvegardes de données fiables, mais alors que les attaques informatiques se multiplient, la vraie question à se poser, c’est est-ce que je suis prêt à faire face à une attaque de ransomware ? Beaucoup d’entreprises qui se croyaient suffisamment protégées se sont retrouvées à terre à la suite d’un simple clic sur un email de phishing.

La donnée, l’actif clé de toute entreprise 

Face à un ransomware qui peut potentiellement bloquer toute votre production informatique et par ricochet toute l’activité de votre entreprise, protéger les données est absolument capital. Lorsque tous les systèmes de protection en place ont échoué à repousser l’attaquant, l’ultime rempart, c’est la sauvegarde.

Beaucoup d’entreprises françaises se reposent encore sur des solutions de sauvegarde archaïques. La sauvegarde est trop souvent la dernière ligne du budget d’un nouveau projet et c’est lorsque l’on doit aller chercher une donnée perdue en dernier recours que l’on se rend compte des piètres performances et parfois même du manque de fiabilité des systèmes en place. Face à la multiplication des attaques de ransomware, il est absolument nécessaire de pouvoir compter sur ses sauvegardes. Dans son Guide d’hygiène informatique[PDF], l’ANSSI évoque à de nombreuses reprises ce besoin de sauvegardes fiables dans les 42 mesures de sécurité à prendre.

Les approches en termes de protection de la donnée sont bien connues : l’entreprise détermine le système dont elle a besoin selon le RPO (Recovery Point Objective), le volume de donnée qu’elle est prête à perdre en cas de problème et du RTO (Recovery Time Objective), le délai maximal d’attente avant de pouvoir disposer de nouveau de l’accès aux données. En fonction de ces 2 paramètres techniques, le coût de la solution pourra être relativement faible si l’entreprise est prête à perdre 24 heures de données, ou bien élevé si elle souhaite ne pas être impactée du tout par un incident. Une bonne pratique veut que la sauvegarde suive la règle des 3 – 2 – 1 - 1 - 0 : il faut disposer de trois copies de chaque donnée, sur au moins deux technologies de sauvegarde différentes, avec au moins un site de stockage distinct du premier et une copie des données hors-ligne, le tout avec zéro corruption de celles-ci.

Au-delà de la sauvegarde, la résilience

Disposer de systèmes de sauvegarde pour toutes les données critiques est un pré-requis, mais ce n’est clairement plus suffisant. Les attaques Cyber récentes ont montré que les ransomwares les plus évolués commencent avant tout par détruire les sauvegardes avant même de chiffrer les données et demander une rançon. Une victime qui ne dispose ni de ses bases de données de production, ni de ses sauvegardes n’a plus d’autre issue que payer… Pour améliorer sa résilience en cas d’attaque, il faut doter les sauvegardes d’une protection toute particulière. La bonne nouvelle est qu’il existe des solutions conçues pour protéger les sauvegardes et les constructeurs de solution de ce type embarquent de plus en plus fréquemment des capacités de protection. 

Il est important de sanctuariser les sauvegardes. Un attaquant ne doit pas pouvoir effacer ou altérer les sauvegardes lors des premières phases de son attaque. En outre, une solution de type XDR ou un SIEM doivent être à même de détecter une tentative d’attaque sur les serveurs de sauvegardes et en bloquer immédiatement l’accès. Il est à noter que face à cette menace renforcée qui pèse sur les sauvegardes, les bandes magnétiques sont redevenues populaires auprès de certaines entreprises. Outre les grandes capacités de stockage de LTO9, des dispositifs de protection matérielle apportent un niveau de sécurité supplémentaire de protection des cartouches en cas d’attaque.

Il faut être prêt à réagir dès que l’attaque est détectée

La résilience passe aussi par une soigneuse préparation de la réaction au moment du déclenchement de l’attaque. La pression du ComEx et des Business Unit dont l’activité est immobilisée est alors maximale sur le DSI et le RSSI or nous avons souvent constaté un délai de 24 à 72 heures entre le déclenchement de l’attaque et les premières actions de défense. Outre la sidération provoquée par l’immobilisation du système d’information, les équipes cyber ont besoin d’évaluer précisément l’ampleur de l’attaque. En pleine attaque, le niveau de stress est au plus haut et ce n’est plus le temps de la réflexion : toute la cellule de crise doit pouvoir s’appuyer sur un plan de remédiation détaillé où toutes les actions à prendre sont clairement scriptées. 

Déconnexion des accès Internet, listes des personnes à prévenir en interne, appel à l’assureur, information obligatoire des autorités compétentes, appel à un prestataire spécialisé dans la gestion de crise et à la remédiation cyber, ce plan va permettre de gagner énormément de temps et ne pas commettre d’erreurs préjudiciables par la suite.

L’équipe de remédiation doit alors travailler main dans la main avec la DSI afin de notamment de disposer de plateformes de reprise isolées du système d’information afin de vérifier que les sauvegardes ne sont pas altérées et que le malware ne se trouve pas à l’état dormant.

Avec de bons systèmes de sauvegarde, des solutions de protection efficaces sur ces sauvegardes et un plan de remédiation régulièrement testé l’entreprise peut espérer sortir de la crise sans trop de casse. Ces différentes dispositions doivent enfin être testées avec des exercices d’attaques par ransomwares ou hackers. Celles-ci permettront d’estimer le temps de bascule d’un système à un autre ainsi que de juger de la capacité des différents services (SOC, infrastructure, réseaux, cybersécurité) à véhiculer l’information et agir tous ensemble pour la remédiation. Alors que l’on considère que toute entreprise sera, un jour ou l’autre, attaquée, c’est le seul moyen d’assurer sa résilience.

[1] « Guide d’hygiène informatique : Renforcer la sécurité de son système d’information en 42 mesures », ANSSI, 2017

Par Mathieu Mondino, Presales Manager chez OpenText Cybersecurity

Une nouvelle année apporte son lot d’opportunités que les cybercriminels sont prêts à saisir. L'année dernière, l'activité cybercriminelle a connu une évolution majeure, les cybercriminels s'efforcent de tirer parti des tensions géopolitiques et des difficultés économiques dues à l'inflation et à la récession. En 2023, l'incertitude économique continue de peser lourdement sur les entreprises, en particulier sur les petites et moyennes entreprises qui ne disposent pas toujours des budgets et des ressources nécessaires pour se prémunir des attaques. Si l'on ajoute à cela les pressions macroéconomiques, une cybersécurité efficace et abordable semblera presque impossible pour de nombreuses PME.

Les acteurs malveillants continuent à faire évoluer leurs tactiques en cherchant à exploiter de nouveaux vecteurs d’attaques. En 2022, le phishing est resté la menace dominante à laquelle sont confrontés particuliers et entreprises, avec une extraordinaire augmentation des actes de phishing recensés au cours des quatre premiers mois de l'année. Une nouvelle année active en matière de phishing se dessine. Le risque de ransomware continue de croître en raison de l'implantation du modèle commercial « Ransomware as a Service » (RaaS). En outre, dans l'environnement de travail hybride d'aujourd'hui, la frontière entre le travail et la maison s'estompe toujours plus, de nombreux collaborateurs utilisent leurs appareils personnels pour effectuer des taches professionnelles. Cela crée des failles de sécurité non négligeables, en effet, les appareils personnels sont souvent dépourvus de logiciels de sécurité, et aussi de politiques de groupe.

Les 4 motifs dont les cybercriminels peuvent amplement profiter pour déployer des attaques

1.    Le contexte économique et géopolitique instable

La récente enquête sur les PME a révélé que 52 % des personnes interrogées se sentaient plus exposées à une attaque par ransomware en raison de l'aggravation des tensions géopolitiques, comme la guerre en Ukraine, et que 57 % craignaient également que leur budget de sécurité ne diminue en raison de l'inflation. Cela oblige les PME, déjà à court de liquidité, à faire plus avec moins. La création de postes « cyber-résistant » sera plus important que jamais.

2.   Le flou des résultats sur les moteurs de recherches payants et organiques

Les moteurs de recherche comme Google et Bing s'efforcent de faciliter au maximum la tâche des professionnels et des consommateurs pour trouver des informations. Il devient de plus en plus difficile de distinguer les résultats de recherche sûrs des résultats malveillants. En s'efforçant d'offrir une expérience plus simple, les moteurs de recherche augmentent également le risque d'hameçonnage. Du côté des consommateurs, les attaquants achètent des annonces de résultats de recherche de premier ordre et les utilisent pour conduire les gens vers des sites web malveillants et frauduleux afin de voler les informations personnelles.

3.   Le stockage massif des données sur le cloud couplé à des appareils personnels de plus en plus intelligents

Les consommateurs et les entreprises adoptent toujours plus de nouvelles technologies pour rendre leur vie plus pratique, ce qui les amène à partager et à stocker davantage de données dans le cloud. Être connecté à Internet en permanence rendra plus vulnérables les utilisateurs d’appareils intelligents dans un futur proche. Cette année des événements conséquents, ou simplement la multiplication des attaques, incitera les consommateurs et les entreprises à réfléchir de manière plus responsable afin que l'utilisation des technologies intelligentes n'entrave pas leur sécurité et leur vie privée.

4.   Les cybercriminels jouent sur les peurs

Il n’y a pas plus opportuniste que les cybercriminels. Experts dans la compréhension des plus grandes inquiétudes des consommateurs ainsi que dans la manière d'exploiter les craintes notamment avec le phishing. La Covid-19 est l’exemple le plus probant et récent de l'exploitation de la peur pour obtenir un retour sur investissement. La guerre en Ukraine ne faisant qu’alimenter les craintes des consommateurs, Il y a de fortes chances pour que cette méthode d'attaque continue à se développer, se sophistiquer à mesure que états connaissent une inflation croissante propre à décupler les phénomènes de peur.

Si ces prévisions peuvent sembler sombres, le bon côté des choses est qu'il existe de nombreuses mesures que les entreprises et les particuliers peuvent mettre en œuvre pour se protéger contre les menaces, et ainsi atteindre un statut cyber-résiliant. Il est recommandé de s’éduquer contre les pratiques des cybercriminels afin de mettre en œuvre une approche multicouche pour protéger les données et les informations. La cyber-résilience est la posture et l'état d'esprit d'un individu préparé aux risques. « Il ne s'agit plus de savoir si vous serez attaqué, mais quand ». Être informé et à l’affût en utilisant des outils et logiciels de protection reste le meilleur rempart contre les cybercriminels.

 

Par Cassie Leroux, Directrice Produit chez Mailinblack

Après l’hôpital de Corbeilles Essonnes, c’est au tour de l'établissement hospitalier de Versailles, situé au Chesnay-Rocquencourt (Yvelines), d’être visé depuis samedi soir par une cyberattaque. Comment s’est-elle déroulée, quelles conséquences pour ses patients, et aurait-elle pû être évitée ? Décryptage de Cassie Leroux, Directrice Produit chez Mailinblack.

Que savons-nous de cette attaque ?

Cette cyberattaque vise l’ensemble de l'établissement, dont l'hôpital André-Mignot, la maison de retraite Despagne et l'hôpital Richaud à Versailles. L’hôpital continue de fonctionner, mais au ralenti ce lundi, ce qui perturbe sérieusement son activité. Le parquet de Paris a ouvert une enquête préliminaire pour tentative d'extorsion. 

Cette cyberattaque est de type Ransomware, un logiciel malveillant qui bloque l’accès à aux outils informatiques et aux données en les chiffrant. Dans ce type d’attaque, le hacker demande généralement ensuite le paiement d’une rançon en échange, par exemple, d’une clé de décryptage. Cette attaque est principalement véhiculée par email, premier vecteur des cyberattaques en entreprise, via des pièces jointes malveillantes contenues dans ces derniers. 

Dans ce cas, un simple clic suffit pour que l’attaque aboutisse. Depuis 2020, les attaques par ransomware ont augmenté de +255% d'après une étude de l'ANSSI et c’est d’ailleurs la principale menace identifiée en 2022. Le secteur de la santé fait partie des plus visés par ces types d’attaques. 

Pourquoi les hôpitaux sont-ils une cible de choix des cyber malveillants ?

Un établissement de santé utilise environ 200 applications différentes. La majeure partie de ces dernières communique entre elles et échange de nombreuses données de santé. Si un hacker s’introduit dans une ou plusieurs de ces applications, il peut non seulement dérober les données échangées mais aussi mettre à mal le système de partage d’informations au sein de l’établissement. 

En plus de nuire directement aux capacités opérationnelles d’un hôpital, une cyberattaque peut donc viser ces données de santé stockées dans l’établissement pour les revendre à prix d’or sur des marchés parallèles et illégaux. Le prix des données de santé est bien plus élevé que celui des données bancaires, un dossier médical pouvant être revendu entre 250 et 700€ (source : Le business des données médicales. Enquête sur un scandale d’État, Eugène Favier-Baron). C’est ce qui incite les hackers à viser ce secteur d’activité. 

Quels moyens peuvent être mis en place pour prévenir ces attaques ?

Le logiciel identifié comme étant à l'origine de l'attaque appartient à une famille de virus qui semble être connue. Le rançongiciel qui touche le Centre Hospitalier de Versailles a pénétré le système d’information et bloque actuellement l’accès aux moyens de communication (messagerie). Cela aurait pu être évité grâce à une protection stricte du système d’information et notamment de ses boîtes email. 

Pour prévenir ce type de cyberattaques, il est nécessaire de penser une cybersécurité complète, intégrant des solutions de protection et de formation des employés. La technologie est un allié de poids pour protéger les organisations mais elle ne vaut rien sans le soutien et la formation du personnel de santé. Rappelons-le, 90% des incidents de sécurité sont liés à une erreur humaine.

Quelles pourraient être les conséquences sur le fonctionnement de l'hôpital, ses patients et leurs données ?

Actuellement, le système informatique a été coupé et l’entrée des malades a été restreinte. Les premières conséquences sont les suivantes : l'hôpital André Mignot a déclenché son plan blanc et a donc partiellement déprogrammé les activités du bloc opératoire. Les équipes mettent actuellement tout en œuvre pour maintenir les soins ambulatoires et les consultations. 

Les conséquences pourraient être plus graves :

• Atteinte à la qualité des soins et transfert de patients : déjà 6 transferts de patients lourds ont été réalisés, provenant du service réanimation et de néonatologie. Selon le ministre de la Santé, d'autres transferts pourraient avoir lieu ;
• Sous-effectifs et sur-sollicitations du personnel : les machines de soins fonctionnant sans réseau, une personne par chambre doit surveiller les écrans. Une réorganisation totale de l’hôpital est en marche ;
• Diminution des entrées et accueil limité : les prescriptions devant être faites à la main, les médecins perdent en productivité et les accès doivent être restreints ;
• Vol de données : tout comme l’attaque contre l'hôpital de Corbeilles Essonnes, nous nous attendons à voir les hackers diffuser les données volées sur le "dark web" ;
• Perte d’argent : dans le cas d’une attaque par rançongiciel, un montant de rançon devrait être annoncé par les hackers afin de procéder au déblocage du système informatique.

En plus de la santé des patients à risque, l’impact financier est également important puisque les coûts cachés sont de 5 à 10 fois plus élevés que celui de la rançon : coûts d’interventions, rachat de matériel, frais d’interruption de l’activité, dégradation de la réputation, perte de confiance, investissements technologiques, formation, recrutements de profils cyber, etc. Ce sont autant de frais additionnels que l’hôpital doit envisager. 

Cet événement souligne à nouveau le lien entre la santé des patients et le niveau de protection IT.

 

Par Hervé Debar, Télécom SudParis – Institut Mines-Télécom

Plusieurs cyberattaques ont été rapportées dans la presse récemment. La mairie de Caen et le département de la Seine-Maritime ont fait mention d’interruptions de service significatives, mais sans publier de détails. D’autres cyberattaques largement publiées dans la presse ont touché le centre hospitalier sud-francilien (CHSF) et l’Institut National Polytechnique de Toulouse.

Dans ces deux derniers cas, il s’agit d’une attaque par ransomware ou rançongiciel qui consiste en l’envoi à la victime d’un logiciel malveillant qui chiffre l’ensemble de ses données et lui demande une rançon en échange du mot de passe de déchiffrement.

Dans ces deux cas comme dans d’autres, l’attaque se déroule en plusieurs temps. Tout d’abord, l’attaquant pénètre le système d’information et s’y propage. Il obtient ensuite l’accès à des données sensibles et les exfiltre. Il rend ensuite les données inaccessibles localement, en les chiffrant. L’intérêt du chiffrement plutôt que de l’effacement est qu’il rend la récupération très difficile, voire impossible. Finalement, il dépose une demande de rançon pour d’une part ne pas divulguer des données sensibles, d’autre part donner les outils nécessaires au déchiffrement des données.

Ces attaques sont bien connues et se déroulent depuis plusieurs années. On peut cependant noter plusieurs phénomènes inquiétants qui amènent à un accroissement du nombre d’attaques et donc à un accroissement de l’impact de ces attaques.

• Plates-formes : les outils d’attaque se professionnalisent et deviennent disponibles sous forme de service, permettant à de très nombreux groupes ou individus d’acheter des « services » de cybermalveillance.

• Multiplicité des canaux d’attaque : les canaux d’attaque se sont multipliés. Initialement par mail, ils se sont également étendus aux SMS et aux grandes plates-formes de réseaux sociaux. Les attaquants envoient également de grands nombres de messages, réalisant ainsi une forme de pilonnage qui accroît la confusion potentielle des utilisateurs. Ils utilisent également des émetteurs de messages bien connus des victimes et qui les touchent de près, par exemple l’assurance maladie ou les banques.

• L’émergence des attaques « zéro-click » : nous sommes habitués à des attaques qui pour réussir demandent une action de la part de la victime (cliquer sur un lien, ouvrir un fichier). Les attaques zéro-click permettent d’exploiter une vulnérabilité en déclenchant des mécanismes automatisés sur l’équipement récepteur. Un exemple de ce type d’attaque a visé iMessage, le service de SMS avancé des iPhones. Lorsque l’attaquant émet un message, le téléphone qui le reçoit effectue automatiquement un ensemble de traitements pour afficher les messages, publier une notification, traiter les messages. Une vulnérabilité présente dans cette chaîne de traitement infecte donc le téléphone sans que l’utilisateur ne fasse quoi que ce soit.

• Multiplicité des motivations : les motivations des attaquants sont également multiples, allant du vol à la destruction de données, à l’exposition publique de mauvaises pratiques, à la géopolitique.

Notons que toutes les organisations sont potentiellement vulnérables. À ce stade, il est difficile pour de très nombreuses organisations, administrations publiques ou petites entreprises, d’engager des ressources pour renforcer leur niveau de cybersécurité. L’augmentation du nombre d’attaques est donc à même de faire rapidement plus de victimes.

Comment se prémunir face à ces attaques

La première manière de se prémunir d’une attaque est de prendre conscience du risque et des conséquences qu’il peut avoir. D’après mon expérience, cette prise de conscience est d’autant plus difficile que l’utilisateur est habitué à un fonctionnement normal des outils numériques et qu’il ne le voit pas comme un vecteur de menace, mais comme un outil facilitateur.

Il est également plus difficile de se méfier d’institutions de confiance, comme les impôts, l’assurance maladie ou les banques. Ces organisations peuvent légitimement vous envoyer des messages, et la consultation des informations ainsi transmises peut se révéler importante. L’utilisateur a donc naturellement tendance à agir sur réception d’un tel message, en le lisant, puis en ouvrant les pièces jointes ou en cliquant sur les liens pour aller visiter le site correspondant.

Les attaquants sont également capables soit d’usurper une adresse de messagerie, soit de voler l’accès à un compte légitime. Il peut ensuite vous envoyer un message en se faisant passer pour une personne de confiance. Il convient donc de regarder attentivement ce qui est envoyé, de considérer que tout message est potentiellement malveillant, et de bien regarder les liens envoyés avant de les utiliser.

Encore mieux, si possible, il est souhaitable de saisir directement dans la barre de navigation du navigateur le site vers lequel on souhaite naviguer. « impots.gouv.fr » ou « ameli.fr » font suffisamment peu de caractères pour être saisis directement.

La deuxième manière de se prémunir est de limiter les vulnérabilités présentes sur un poste de travail ou un téléphone. Cela veut dire qu’il faut installer régulièrement les mises à jour disponibles, tant des systèmes d’exploitation que des applications. Ces mises à jour peuvent être installées automatiquement, ce qui facilite leur prise en compte. Cependant, plusieurs obstacles pratiques peuvent limiter l’efficacité du processus de mise à jour, notamment le fait qu’elles demandent en général une bonne connectivité réseau, un accès à une source d’énergie, et une relance de l’appareil mis à jour pour être complètement opérationnelles.

Plus gênant, les magasins d’application mélangent mises à jour de sécurité et altération des fonctionnalités, et peuvent inclure des codes malveillants. Un exemple de mise à jour altérant les fonctionnalités est la suppression du composant flash par Adobe en décembre 2020. Ce composant était utilisé pour la gestion du trafic dans une station de train chinoise. La suppression du composant a été déclenchée par l’installation d’ordinateurs plus récents, ce qui a rendu impossible la circulation des trains.

Ces modifications « cachées » devraient pouvoir être refusées par les utilisateurs, ce qui n’est pas toujours possible. A cet égard, la responsabilité des développeurs est engagée, car ils mixent de manière invisible mises à jour de sécurité, mises à jour de fonctionnalités, et effets de bords non désirés. Par ailleurs, il peut être difficile de faire fonctionner des applications récentes sur des plates-formes matérielles anciennes, laissant ainsi la place à des vulnérabilités.

Il convient par ailleurs de maîtriser la source des logiciels utilisés, en se limitant aux magasins d’applications officiels. Ceux-ci peuvent effectuer des traitements sur les applications pour vérifier leur innocuité et peuvent rapidement retirer des applications compromises.

Encore mieux, faire passer les logiciels et documents téléchargés dans une sonde de décontamination permet de limiter le risque d’infection. L’ANSSI décrit la spécification d’un tel équipement, et une implémentation à base de logiciels libres est disponible. Cette pratique n’est malheureusement pas accessible sauf à des utilisateurs avertis, et se limite aux plates-formes informatiques. Tester les mises à jour d’applications sur smartphone me semble actuellement hors de portée d’un utilisateur même averti.

La troisième manière de se prémunir est d’être capable de reprendre ses activités rapidement en cas de compromission.Cela veut bien entendu dire faire des sauvegardes, et s’assurer que ces sauvegardes sont effectives, c’est-à-dire que l’on sait restaurer ou récupérer les données. Si l’on utilise des disques durs externes, il est nécessaire de vérifier que ces disques ne sont connectés que pendant le temps de la sauvegarde, pour éviter que ceux-ci soient impactés par une attaque. Si l’on utilise une sauvegarde en nuage, il est également nécessaire de limiter la connexion à ce service, et également de sauvegarder séparément les identifiants de connexion à l’extérieur de sa machine, par exemple en les imprimant.

Pour restaurer intégralement un ordinateur, il est souvent nécessaire de faire une sauvegarde intégrale du disque dur. Il est donc également nécessaire lors de la restauration de vérifier que les codes malveillants ayant permis l’attaque ne sont pas présents dans la sauvegarde. Il est souvent préférable de réinstaller complètement le système d’exploitation, puis de réintroduire les données. Dans ce cas, il est possible de ne sauvegarder que des données essentielles.

Une autre problématique est l’authentification à double facteur (2FA). Dans de nombreux cas, cela repose sur l’usage d’un téléphone mobile et la possibilité de recevoir des SMS. Il faut donc apporter un soin particulier à la récupération rapide d’un téléphone, en faisant des sauvegardes régulières de celui-ci et en s’assurant de pouvoir obtenir rapidement une nouvelle carte SIM en cas de besoin, auprès de son opérateur.

Comment réagir si l’on est une victime ?

Pour bien réagir, il est nécessaire de rester en alerte vis-à-vis de phénomènes imprévus se produisant lors de l’usage des systèmes numériques. Ces phénomènes peuvent indiquer une compromission. L’ordinateur ou le smartphone peut par exemple fonctionner plus lentement que d’habitude, voir se bloquer quelques secondes. On peut également voir des applications démarrer sans action de l’utilisateur, ou des fenêtres qui passent de manière fugitive à l’écran.

Plus celle-ci est détectée tôt, plus il est possible de limiter la contagion et d’éviter une compromission globale de tout le système d’information. Cela peut impliquer un changement de culture, notamment de reconnaître que l’on a commis une erreur. Alerter peut permettre de réagir efficacement, car la propagation peut être une question de minutes.

Si une machine est compromise, il faut l’isoler le plus rapidement possible, si possible physiquement. Cela implique de bloquer les connectivités, physiques et radio (WIFI, 4G…). Une connexion Internet est nécessaire pour diagnostiquer le problème, identifier le programme malveillant en cause, et rechercher des outils de remédiation, mais ces connexions et recherches doivent être menées depuis un poste indépendant et sain. Les outils doivent être chargés sur des supports neutres et sains (DVD-RO/RW dans le meilleur des cas, clé USB sinon) et ne jamais être remis sur cette machine saine. Le DVD notamment RO (Read Only) ne peut s’écrire qu’une seule fois et il sera donc particulièrement résistant à une tentative d’altération.

Une autre possibilité, plus technique, est d’extraire le disque dur de la machine victime et d’y accéder en lecture seule, et surtout en empêchant l’exécution de tout programme depuis ce support compromis.

Une sauvegarde sur des supports de type DVD, malheureusement de moins en moins courant, permet d’éviter toute altération des données.

Si l’on est face à une machine compromise, il va être nécessaire de la réinstaller complètement. Une restauration partielle ne permet que rarement d’obtenir une machine utilisable. Il faut donc garder les supports de réinstallation nécessaires. Dans la plupart des cas, ces supports sont dématérialisés, contenus dans une partition spécifique du disque dur, et ils s’activent en modifiant la séquence de démarrage du système. La réinstallation nécessite également d’avoir sauvegardé un certain nombre de données très importantes, comme les clés de licence, ou les identifiants utilisés pour se connecter à différents services en ligne. La manière la plus simple de restaurer ces identifiants est soit d’utiliser un coffre-fort de mots de passe en ligne, soit de les imprimer régulièrement.

Un point important est le paiement de la rançon demandée par l’attaquant. Outre que cela est probablement illégal et constitue un encouragement à continuer à attaquer, payer ne permet souvent pas de récupérer ses données. Et rien n’empêche l’attaquant de laisser un cheval de Troie dans votre système pour recommencer quelques semaines plus tard, ou d’espionner toutes vos communications.

Et dans le monde professionnel ?

Le monde professionnel peut faciliter tout cela, tant en termes de protection que de détection et de reprise d’activité.

Tout d’abord, des actions de formation à la sécurité de l’information et aux risques sont menés dans les entreprises, de la même manière que l’on forme aux procédures d’évacuation en cas d’incendie. Ces actions de formation peuvent inclure les bonnes pratiques de l’hygiène informatique, et des recommandations particulières liées aux métiers exercés, ou au domaine d’exercice de l’entreprise.

Une organisation dispose également d’outils de sécurité et de gestion de parc plus sophistiqués, qui permettent de filtrer les échanges, de déployer des mécanismes de protection, et de gérer les mises à jour en bloc. Assurer une gestion au quotidien de son parc informatique augmente naturellement la robustesse et la qualité de service du système d’information.

Un autre sujet est le niveau de confiance que l’on peut avoir dans un système qui a été compromis. Il peut toujours rester des résidus d’attaque permettant à l’attaquant de reprendre pied dans le système information. La récupération sur incident peut donc se révéler particulièrement coûteuse, puisque reconstruire une machine individuellement est faisable, mais appliquer cela à l’ensemble d’un parc informatique est extrêmement complexe.

Il ne s’agit plus de savoir si nous serons attaqués, mais quand. Il est donc indispensable d’être prêt à subir une compromission, et à s’en remettre lorsque cela arrive. Il faut mettre en place des mécanismes de sauvegarde robustes pour les données qui le nécessitent (pas question de sauvegarder les vidéos de chaton sur YouTube avec nos relevés bancaires…) et être capable de reconstruire sa machine le cas échéant (ordinateur, mais aussi téléphone portable, tablette, voire enceinte ou frigo connecté). Il faut finalement être conscient des risques possibles et utiliser avec raison et bon sens tous les outils numériques, pour en tirer le meilleur.

Hervé Debar, Directeur de la Recherche et des Formations Doctorales, Directeur adjoint, Télécom SudParis – Institut Mines-Télécom

Cet article est republié à partir de The Conversation sous licence Creative Commons. Lire l’article original.