La cybercriminalité constitue un enjeu majeur pour les entreprises, quelle que soit leur taille ou leur secteur d’activité. Avec une utilisation omniprésente d’internet et de la technologie dans la vie quotidienne, il n’est guère surprenant que les criminels aient adapté leurs méthodes pour en tirer profit.
Il est impératif que les entreprises soient conscientes des diverses formes de cybercriminalité et des préjudices qu’elles peuvent infliger à leur structure, à leurs employés et à leurs clients. Cette prise de conscience leur permettra d’adopter les mesures de protection adéquates.
Définition de la cybercriminalité
La cybercriminalité englobe toute action malveillante utilisant les réseaux informatiques, notamment internet, comme principal vecteur de commission d’infractions. Les cybercriminels recourent à des logiciels de piratage et à d’autres techniques informatiques pour dérober des informations et de l’argent, escroquer des particuliers et des entreprises, et perturber des services. Ces actes peuvent se produire lorsque des ordinateurs ou des réseaux sont utilisés comme outils pour enfreindre la loi. La cybercriminalité étant souvent perpétrée à distance, elle est difficile à détecter et à tracer.
Les préjudices et coûts engendrés par la cybercriminalité
Selon Cybercrime Magazine, les coûts mondiaux de la cybercriminalité devraient atteindre 10 500 milliards de dollars par an d’ici 2025, contre 3 000 milliards de dollars en 2015. Cela fait de la cybercriminalité l’une des activités criminelles les plus coûteuses à l’échelle mondiale.
D’après le rapport du FBI sur les escroqueries sur internet de 2021, l’extorsion, l’usurpation d’identité, les fuites de données, le défaut de paiement ou de livraison, et l’hameçonnage (incluant le vishing, le smishing et le pharming) représentent plus de la moitié de ces préjudices.
Les escroqueries par compromission de courriels professionnels (BEC), également appelées compromission de comptes de messagerie (EAC), représentaient à elles seules 2,3 milliards de dollars sur les 6,9 milliards de dollars. Ces escroqueries consistent à se faire passer pour un dirigeant ou un employé de l’entreprise pour inciter une personne à transférer des fonds ou des données sensibles telles que des secrets commerciaux, des états financiers ou d’autres informations exclusives.
Outre les pertes financières, les entreprises victimes de cyberattaques subissent des atteintes à leur réputation, la confiance du public envers leurs produits et services diminuant. La divulgation d’informations personnelles et confidentielles concernant les employés et les clients peut également engager la responsabilité de l’entreprise en cas de négligence avérée.
Types courants de cybercriminalité
Dans un environnement numérique en constante évolution, une multitude de cybermenaces peuvent avoir des conséquences graves pour les entreprises si elles ne sont pas correctement gérées. Des attaques de logiciels malveillants et de rançongiciels à l’hameçonnage et à l’usurpation d’identité, la compréhension des différents types de cybercriminalité est essentielle pour protéger les entreprises et leurs données.
Hameçonnage
L’hameçonnage est une méthode couramment employée par les pirates pour dérober des informations. Les escroqueries par hameçonnage impliquent généralement des usurpations d’identité, les auteurs se faisant passer pour des entreprises ou des organisations légitimes afin d’obtenir des données sensibles telles que des mots de passe et des numéros de carte de crédit.
Les courriels d’hameçonnage sont souvent conçus pour paraître provenir d’une source fiable, comme une institution financière, le service des impôts ou une agence gouvernementale, dans le but d’inciter les destinataires à fournir des renseignements personnels.
Ces escroqueries se présentent généralement sous la forme d’un courriel ou d’un appel téléphonique informant les destinataires qu’ils doivent mettre à jour leurs informations de compte immédiatement sous peine de blocage. Ce type d’escroquerie a connu une forte augmentation ces dernières années, car il est facile à mettre en œuvre et difficile à retracer. La société de sécurité informatique Wandera a signalé qu’un nouveau site d’hameçonnage est créé toutes les 20 secondes.
En d’autres termes, trois nouveaux sites web d’hameçonnage sont mis en ligne chaque minute, ce qui expose les entreprises à des menaces potentielles. La meilleure façon de se protéger est d’informer les employés sur les signaux d’alerte des courriels d’hameçonnage et d’établir des règles claires concernant les mesures à prendre lorsqu’un courriel suspect est reçu.
Piratage informatique
Le piratage consiste à obtenir un accès non autorisé à un système informatique afin d’infecter les ordinateurs des victimes ou de contourner les mesures de sécurité. Les pirates informatiques, personnes utilisant leurs connaissances pour exploiter les failles d’un système informatique, peuvent causer divers préjudices aux entreprises, allant de l’intrusion dans leurs systèmes à l’accès à des données confidentielles.
Ils peuvent également nuire à la réputation de l’entreprise en divulguant des informations privées à son sujet et en la menaçant de nouvelles actions. On les appelle souvent des hacktivistes. Il existe trois types de piratage : le piratage au chapeau blanc (piratage éthique), le piratage au chapeau noir et le piratage au chapeau gris.
- Les pirates informatiques au chapeau blanc utilisent leurs compétences pour détecter les vulnérabilités des logiciels avant que des utilisateurs malveillants ne les exploitent ; ils signalent les failles afin qu’elles puissent être corrigées.
- Les pirates au chapeau noir créent des programmes destinés à s’introduire dans les ordinateurs d’autres personnes, à dérober des informations et à les vendre sur le dark web.
- Les pirates au chapeau gris emploient des méthodes qui se situent entre ces deux extrêmes ; ils cherchent à identifier les vulnérabilités d’un système, mais leurs méthodes peuvent être contraires aux lois ou aux normes éthiques.
Cryptojacking
Le cryptojacking est un type de cybercriminalité où les pirates exploitent illégalement les ordinateurs et les réseaux pour miner des cryptomonnaies. Selon les données de SonicWall, le volume mondial de cryptojacking a atteint 66,7 millions au premier semestre 2022, soit une augmentation de 30 % par rapport au premier semestre 2021. Le secteur financier a été le plus touché, avec une hausse de 269 %.
L’un des problèmes majeurs posés par le cryptojacking est la surcharge de l’utilisation du processeur, qui ralentit considérablement les systèmes, voire les bloque complètement. Dans certains cas, cela se produit avant même que les entreprises ne réalisent qu’elles sont attaquées. Les organisations peuvent se prémunir contre ce type de crime en demandant à un professionnel de la sécurité informatique de surveiller régulièrement le système afin de détecter les pics anormaux d’utilisation du processeur.
Usurpation
Cette forme de cybercriminalité se produit lorsqu’une personne dissimule son identité en ligne dans le but de tromper ou d’escroquer une autre personne. Ces délits peuvent comprendre l’usurpation d’adresses électroniques, l’usurpation téléphonique, la création de faux profils sur les réseaux sociaux ou encore la diffusion de fausses publicités. Par exemple, une personne peut envoyer un courriel qui semble provenir d’un collègue de travail en demandant des informations sensibles au nom du PDG de l’entreprise.
Les usurpateurs peuvent également créer des pages web qui ressemblent à celles de votre entreprise, mais dont le but est de collecter des données personnelles. La meilleure façon de se prémunir contre ces escroqueries est de vérifier les liens avant de cliquer dessus ou d’envoyer des données. Il convient également d’être prudent face aux courriels non sollicités qui demandent votre mot de passe, vos numéros de compte financier ou d’autres informations confidentielles.
Rançongiciels
Un rançongiciel est une forme de logiciel malveillant qui attaque les systèmes informatiques, verrouille les données et exige un paiement pour les déverrouiller. Une fois qu’un ordinateur est infecté par un rançongiciel, l’utilisateur est généralement invité à payer une rançon pour obtenir la clé de déchiffrement nécessaire pour récupérer l’accès à ses données.
Le coût moyen d’une attaque par rançongiciel est supérieur à 4 millions de dollars, tandis qu’une attaque destructrice dépasse en moyenne 5 millions de dollars. Les infections par rançongiciels peuvent souvent être évitées en adoptant des pratiques de sécurité de base telles que la mise à jour régulière du système d’exploitation et en évitant de cliquer sur des liens ou des pièces jointes suspects provenant d’expéditeurs inconnus.
Script intersite
Le Cross-Site Scripting (XSS) est une vulnérabilité de sécurité web qui se produit lorsqu’un attaquant injecte des scripts malveillants dans un site web ou une application web de confiance. Le XSS peut permettre aux attaquants de prendre le contrôle de la session d’un utilisateur, de voler ses identifiants de connexion et de collecter des données précieuses.
Par exemple, les attaquants peuvent placer un code malveillant sur un site compromis qui attend qu’un utilisateur se connecte avant d’exécuter des commandes pouvant révéler des informations sur la machine de la victime. Ces vulnérabilités peuvent permettre aux attaquants de détourner une session et d’usurper complètement l’identité de la victime.
Il existe trois types de XSS : le XSS stocké, le XSS réfléchi et le XSS basé sur le DOM (Document Object Model).
- Une attaque XSS (persistante) stockée tire profit d’un manque de validation des entrées et de mécanismes d’authentification inadéquats. Les attaquants exploitent ce type de faille pour télécharger des logiciels malveillants ou voler des cookies contenant des informations sensibles telles que des mots de passe et des numéros de carte de crédit.
- Une attaque XSS (non persistante) réfléchie est déclenchée lorsqu’une victime clique sur un lien dans le site attaquant, ce qui exécute un script contenant un code malveillant sur le navigateur de la victime. Le navigateur de la victime renvoie ensuite le script au serveur attaquant.
- Une attaque XSS basée sur le DOM exploite les vulnérabilités du DOM, c’est-à-dire la manière dont les navigateurs analysent les documents HTML. Cette attaque vise à forcer le navigateur à effectuer des modifications créant des vulnérabilités en manipulant des objets JavaScript, tels que des instances XMLHttpRequest ou WebSocket.
Pour se protéger contre ces trois types de script intersite, les entreprises doivent adopter des pratiques de codage sûres, telles que le linting, et assurer une validation appropriée des données d’entrée.
Usurpation d’identité
L’usurpation d’identité se produit lorsqu’une personne utilise les informations personnelles d’une autre personne, telles que son nom, son numéro de sécurité sociale, ses coordonnées bancaires ou les informations de sa carte de crédit, pour commettre une fraude ou d’autres délits. Les auteurs de ces actes peuvent nuire à la réputation de la victime, endommager son historique de crédit et engendrer des années de procédure pour se rétablir.
Les voleurs d’identité collectent des informations personnelles par diverses méthodes, notamment le piratage d’ordinateurs, le vol de courrier, l’utilisation de caméras pour capturer des données sur des écrans d’ordinateur et la fabrication de fausses copies de pièces d’identité. Ils utilisent ensuite ces informations pour se faire passer pour les victimes et prendre le contrôle de leurs finances en accédant à des comptes bancaires en ligne, en ouvrant de nouvelles lignes de crédit, en sollicitant des prêts au nom de la victime, etc.
Pour éviter l’usurpation d’identité, il est préférable de traiter avec précaution tous les documents contenant des informations sensibles : détruire les documents contenant des informations confidentielles avant de les jeter et ne jamais jeter d’anciennes factures sans avoir vérifié soigneusement qu’elles ne contiennent aucune donnée personnelle.
Fraude aux comptes fournisseurs
Dans la fraude aux comptes fournisseurs, un escroc se fait passer pour le fournisseur d’une entreprise et demande le paiement de biens ou de services qui n’ont jamais été fournis. Ces escroqueries réussissent généralement car la facture frauduleuse est envoyée à un service comptable qui ne connaît pas personnellement le vendeur.
Les entreprises sont souvent les plus vulnérables à la fraude sur les comptes fournisseurs lorsqu’elles développent leurs opérations et passent d’une petite structure à une moyenne ou grande entreprise. L’auteur de la fraude peut se faire passer pour un employé demandant des fonds au nom de l’entreprise, ou il peut même aller jusqu’à créer de fausses factures qui semblent légitimes.
En ce qui concerne la cybercriminalité, les entreprises doivent mettre en place des dispositifs de contrôle en s’appuyant sur plusieurs personnes au sein de l’organisation, par exemple en exigeant plusieurs signatures pour tout paiement supérieur à un certain montant.
Logiciels malveillants
Les logiciels malveillants sont des programmes ou des logiciels conçus pour perturber les opérations informatiques, collecter des informations sensibles à partir de systèmes informatiques ou prendre le contrôle d’un ordinateur à distance. Les logiciels malveillants sont souvent indétectables, difficiles à supprimer et peuvent causer des dommages importants aux systèmes en infectant des fichiers, en modifiant des données et en détruisant des utilitaires système.
Il est également important de noter que les logiciels malveillants peuvent se faire passer pour des logiciels légitimes afin de permettre aux utilisateurs de les installer plus facilement sur leurs ordinateurs. Les exemples incluent les virus, les vers, les chevaux de Troie, les logiciels espions et les logiciels publicitaires.
Ingénierie sociale
L’ingénierie sociale est l’art de manipuler les gens pour qu’ils divulguent des informations confidentielles ou qu’ils donnent accès à leurs données d’identification. Ces manipulations sont souvent réalisées en se faisant passer pour un collègue, en passant des appels téléphoniques, en envoyant des courriels et en utilisant des services de messagerie instantanée pour gagner la confiance de la victime.
L’agresseur demande ensuite des informations telles que les mots de passe et les numéros d’identification personnels (NIP). Les données montrent que 98 % de toutes les cybercriminalités impliquent une forme d’ingénierie sociale.
Les victimes sont non seulement amenées à divulguer leurs informations personnelles, mais elles peuvent également divulguer involontairement les secrets commerciaux et la propriété intellectuelle de leur entreprise par le biais de techniques d’ingénierie sociale. La mise en place d’un plan d’intervention en cas d’incident avec l’adhésion de tous contribuera grandement à prévenir ce type de délits.
Arnaques au support technique
Dans ces escroqueries, l’auteur se fait passer pour un représentant d’une entreprise reconnue et appelle des victimes potentielles en affirmant avoir détecté divers problèmes sur leur ordinateur. Ces problèmes peuvent aller de la présence de logiciels malveillants à des virus nécessitant une intervention payante. La victime aperçoit un assistant qui ressemble à des messages d’erreur et à des programmes légitimes.
Les victimes sont ensuite amenées à donner un accès à distance à leur système, ce qui permet à l’escroc de leur facturer davantage ou même de voler des informations personnelles. Le FBI a rapporté qu’un couple du Maine avait perdu 1,1 million de dollars après avoir reçu une alerte indiquant que leur ordinateur avait été piraté et qu’une tentative de compromission de leurs informations bancaires avait eu lieu.
Les escrocs ciblent les personnes très stressées, vulnérables et prêtes à tout payer pour se protéger. Les victimes peuvent ne pas réaliser qu’elles ont été piégées avant qu’il ne soit trop tard, car l’escroc leur a fourni des mises à jour logicielles leur donnant l’impression d’être protégées. Les fraudeurs ont convaincu le couple de transférer des fonds de leur compte de retraite vers Coinbase pour les mettre en sécurité avant de couper toute communication avec eux.
Piratage de l’Internet des objets (IoT)
Le piratage des appareils IoT est l’une des formes les plus répandues de cybercriminalité et peut entraîner des dommages physiques. Ce type de piratage se produit lorsqu’un pirate informatique utilise un appareil connecté à internet, tel qu’un thermostat intelligent ou un réfrigérateur. Il pirate l’appareil et l’infecte avec un logiciel malveillant qui se propage sur l’ensemble du réseau.
Les pirates utilisent ensuite ce système infecté pour lancer une attaque contre d’autres systèmes du réseau. Ces attaques peuvent souvent conduire au vol de données sur ces appareils et permettre aux pirates d’accéder à des informations sensibles. Le risque de piratage IoT est lié au fait que ces appareils sont construits avec une sécurité limitée et disposent souvent d’une puissance de traitement, d’une mémoire et d’une capacité de stockage restreintes. Cela les rend plus vulnérables que d’autres systèmes.
Piratage de logiciels
Le piratage de logiciels est l’acte de copier, de distribuer ou d’utiliser illégalement un logiciel sans en être propriétaire ou sans autorisation légale. Cela peut se produire en téléchargeant des programmes à partir d’un site web de logiciels illégaux, en copiant un programme d’un ordinateur à un autre ou en vendant des copies de logiciels.
Les logiciels piratés affectent les bénéfices d’une entreprise en l’empêchant de gagner de l’argent avec ses produits. Une étude de la Software Alliance a révélé que 37 % des logiciels installés sur les ordinateurs personnels ne sont pas légalement autorisés. Étant donné que ce problème est si répandu à l’échelle mondiale, il est essentiel que les entreprises comprennent parfaitement comment elles pourraient être affectées et quelles solutions sont disponibles pour se protéger.
Chevaux de Troie
Les chevaux de Troie sont des virus qui se font passer pour des programmes légitimes et s’installent sur votre ordinateur sans votre permission. Lorsqu’il est exécuté, il peut effectuer des actions telles que la suppression de fichiers, l’installation d’autres logiciels malveillants et le vol d’informations telles que les numéros de carte de crédit.
La clé pour éviter les chevaux de Troie est de télécharger uniquement des programmes à partir de sites réputés, tels que le site de l’entreprise ou ceux de ses partenaires autorisés.
Écoute clandestine
L’écoute clandestine consiste à écouter ou à enregistrer secrètement des conversations à l’insu et/ou sans le consentement de toutes les parties. Cela peut se produire par téléphone, avec une caméra cachée ou même via un accès à distance.
L’écoute clandestine est illégale et peut vous exposer à des risques de fraude et d’usurpation d’identité. Vous pouvez protéger votre entreprise en limitant ce que les employés partagent par courriel ou en personne. Le cryptage des conversations et l’utilisation d’un logiciel empêchant les utilisateurs non autorisés d’accéder à distance aux ressources du réseau sont également utiles.
DDoS
Une attaque par déni de service distribué (DDoS) cible un service ou un système en le submergeant de requêtes supérieures à sa capacité de traitement. Cette attaque vise le site web d’une organisation et tente de le submerger en envoyant simultanément de nombreuses requêtes. L’afflux de requêtes contraint les serveurs à s’arrêter, perturbant l’accès aux informations pour les utilisateurs.
Les pirates utilisent les attaques DDoS comme une forme de protestation contre les sites web et leur gestion, bien que ces attaques soient également utilisées à des fins d’extorsion dans certains cas. Les attaques DDoS peuvent également résulter de campagnes de cyberespionnage visant à dérober des données plutôt qu’à les détruire.
APT
Les menaces persistantes avancées (APT) sont un type de cyberattaque très ciblée, persistante, sophistiquée et dotée de moyens importants. Les APT sont généralement utilisées pour voler des informations à une organisation à des fins financières.
Les cyberattaques APT peuvent durer des mois, voire des années. Elles consistent à infiltrer les réseaux, à extraire des données et à les exfiltrer sans être détectées. Les cibles typiques sont les agences gouvernementales, les universités, les entreprises industrielles, les industries de haute technologie et les sous-traitants de la défense.
Référencement Black Hat
Le référencement Black Hat est un type de spam où les spécialistes du marketing utilisent des techniques contraires à l’éthique pour améliorer le classement de leurs pages dans les résultats des moteurs de recherche. Ces méthodes peuvent inclure le bourrage de mots-clés, le texte invisible et le cloaking, qui consistent à tromper l’algorithme du moteur de recherche en lui faisant croire qu’une page est pertinente alors qu’elle ne l’est pas.
Ces techniques de marketing sont illégales car elles enfreignent les règles de Google Search Essentials (anciennement Webmaster Guidelines) en abusant du système de classement. En conséquence, les experts en référencement black hat peuvent recevoir des pénalités ou voir leur site web entièrement retiré de la page de résultats des moteurs de recherche (SERP).
Se protéger contre la cybercriminalité
Il est essentiel de mettre en place une politique de cybersécurité complète. Cette politique doit contenir des directives destinées aux employés concernant leur comportement lorsqu’ils accèdent aux systèmes de l’entreprise, ainsi que les conséquences du non-respect de ces directives. La politique doit être clairement expliquée à tous les employés et régulièrement mise à jour afin de tenir compte des dernières menaces à la sécurité.
Voici quelques autres mesures à prendre en considération pour se protéger contre la cybercriminalité :
- Collaborer avec un prestataire de services professionnel qui est à jour avec les dernières technologies et processus.
- Sauvegarder toutes les données sur un serveur externe.
- Mettre régulièrement à jour les systèmes en installant les derniers correctifs et mises à jour.
- Réaliser un audit annuel de vos licences logicielles
- Utiliser un antivirus réputé qui recherche les logiciels malveillants tels que les virus, les logiciels espions, les vers, les chevaux de Troie et les rootkits.
- Installer un logiciel de filtrage web qui empêche tout contenu illégal ou inapproprié d’accéder au réseau.
- Crypter tous les appareils qui stockent des données sensibles afin d’empêcher tout accès non autorisé.
- Élaborer un processus de surveillance automatique des journaux système afin de détecter toute tentative de violation.
- Demander régulièrement des audits de système à des professionnels pour s’assurer que vos systèmes ne sont pas vulnérables.
- Mettre en place des outils de prévention de la perte de données qui protègent les informations avant qu’elles ne quittent le réseau en contrôlant ce que les utilisateurs peuvent copier, coller et enregistrer sur des périphériques externes.
Derniers mots
Les organisations peuvent se protéger contre la cybercriminalité en mettant en place des politiques solides en matière de cybersécurité et de protection des données, en effectuant des évaluations régulières des cybermenaces, en mettant à jour les logiciels, en utilisant un logiciel antivirus, en améliorant l’éducation et la sensibilisation des employés et en utilisant des outils capables d’automatiser les processus de cybersécurité.
Les entreprises peuvent également faire appel à des fournisseurs de services proposant des environnements de cloud computing sécurisés et des services de sécurité gérés afin de se prémunir contre les cyberattaques.