Les 4 hacks majeurs qui ont marqué 2017

Comment votre entreprise devrait se protéger?

12 mars 2018

Distinguer le «vrai» du «faux»

Il est parfois difficile de distinguer une fausse nouvelle ou une histoire sensationnelle d’un réel danger. Quelles sont les menaces réelles auxquelles sont confrontées les PME aujourd’hui?

Le problème débute avec la quantité de données envoyées aux chercheurs en sécurité ainsi qu’aux journalistes. AVTest.org rapporte que plus de 390 000 menaces sont libérées chaque jour. Et ce nombre ne cesse de croître. Le volume même de ces menaces (et les articles de presse qui en résultent) peut avoir un impact négatif sur le processus décisionnel d’un dirigeant, et ce, de 2 façons.

Façon numéro 1

Premièrement, ils peuvent prétendre que leur entreprise est trop petite et ne représente donc pas une victime potentielle. Après tout, Target, Home Depot et d’autres bannières connues sont toujours celles présentées aux nouvelles… Et pourtant, 81 % des brèches de sécurité se produisent dans les PME – peut-être parce qu’elles n’ont pas accès à des solutions de sécurité robustes ou parce qu’elles choisissent de ne pas investir en sécurité…

Façon numéro 2

Deuxièmement, les dirigeants croient que les menaces n’arrivent qu’aux autres ou que leur fournisseur de services informatiques ou Cloud couvre la sécurité. Et pourtant, c’est l’équipe informatique ou le fournisseur de services qui est blâmé lorsque cette entreprise est piratée.

Les cyberattaques sont en hausse et les coûts des dommages associés aux rançongiciels ont dépassé 5 milliards de dollars en 2017, soit quinze fois plus qu’en 2015. Les attaques par rançongiciels ciblent les entreprises de toute taille, laissant des millions de données personnelles à risque et des équipes TI qui s’acharnent à récupérer les données.

Ces 4 hacks ont prouvé qu’aucune entreprise n’est à l’abri des cyberattaques…

Equifax

En septembre 2017, Equifax a annoncé une brèche de données massive qui a compromis les données personnelles de 143 millions de clients. L’attaque s’est produite à travers une faille dans l’application de développement Web Apache Struts. Equifax a pris connaissance de la vulnérabilité plusieurs mois avant l’attaque, mais n’a pas agi assez rapidement pour appliquer un correctif de sécurité au logiciel. En conséquence, les pirates ont eu accès aux noms, NAS, dates de naissance et adresses de millions de clients entre le 13 mai et le 30 juillet 2017. Equifax a été largement critiqué pour avoir attendu plus d’un mois avant d’alerter les clients et actionnaires à propos du piratage.

Wanna Cry

Une souche de rançongiciel appelée WannaCry a touché plus de 230 000 ordinateurs dans 150 pays en mai 2017. Le virus a infecté les ordinateurs Windows via une vulnérabilité appelée EternalBlue. Windows a déployé un correctif pour EternalBlue en mars, mais de nombreux systèmes n’étaient toujours pas protégés lorsque le virus a commencé à se propager deux mois plus tard.

Petya/NotPetya

Un mois après WannaCry, un nouveau virus connu sous le nom de Petya a paralysé des systèmes informatiques dans plus de 60 pays, y compris les États-Unis, la Russie, la France et la Grande-Bretagne. Petya a fonctionné de manière similaire à l’attaque WannaCry, utilisant la vulnérabilité Windows EternalBlue pour infecter les ordinateurs et demander une rançon de 300 $ en bitcoin aux utilisateurs.

Uber

En novembre dernier, Uber a avoué avoir été victime d’un piratage en 2016. L’incident a touché les informations personnelles de 57 millions d’utilisateurs et les numéros de permis de conduire de 600 000 conducteurs d’Uber. Les pirates informatiques auraient accédé aux données d’Uber via un service Cloud tiers. Ils ont réussi à s’infiltrer dans le compte GitHub d’Uber et ont découvert les identifiants de connexion pour accéder à ses données stockées dans le serveur d’Amazon. Au lieu de rapporter la brèche de données aux autorités et d’alerter les utilisateurs, Uber a payé 100 000 $ aux hackers pour acheter le silence et détruire les données. Uber sera probablement confrontée à des sanctions juridiques sévères pour avoir omis de signaler cette violation de données.

Vous avez aimé cette publication? Cliquez ici pour d’autres articles de Simon Fontaine!