Une attaque cybernétique peut aujourd’hui être exécutée par quiconque sans connaissances informatiques approfondies

L’Union européenne a déclaré octobre comme le Mois de la cybersécurité (Mois de la cybersécurité de l’UE – ECSM), en faisant une occasion de voir si nous suivons le rythme du monde occidental développé, non seulement en termes d’attaques mais aussi en matière de protection contre celles-ci. En effet, quiconque peut devenir victime d’une attaque cybernétique, c’est pourquoi la campagne de sensibilisation de cette année pour le Mois de la cybersécurité européenne est spécifiquement destinée au grand public.

Le CERT national déclare qu’il tient des statistiques sur les incidents cybernétiques selon les types d’incidents (conformément à la Taxonomie nationale des incidents de sécurité informatique) et souligne que les groupes particulièrement vulnérables incluent les personnes âgées, les citoyens ayant une faible littératie numérique, ainsi que les micro, petites et moyennes entreprises qui manquent de ressources financières, de connaissances ou de ressources humaines pour traiter les problèmes de cybersécurité en parallèle de leurs opérations quotidiennes.

– Ils sont le plus souvent attaqués par des attaquants venant de l’extérieur de la Croatie, et les profils, ainsi que leurs motifs, peuvent varier considérablement. Il existe une division de base des profils d’attaquants en groupes soutenus par l’État, cybercriminels, hacktivistes, groupes terroristes, menaces internes et acteurs pour qui les attaques représentent une sorte de défi. Leurs motifs varient et peuvent être géopolitiques, financiers, idéologiques ou pour une satisfaction personnelle. Les acteurs se tournent de plus en plus vers des activités motivées par le profit, car cela sécurise le financement pour des actions futures – expliquent-ils au CERT.

Cependant, peut-être un point encore plus intéressant qu’ils soulignent est que vous pouvez être cyber-attaqué non seulement par des ‘maîtres’ de l’informatique (comme diraient les légendaires Nadrealistes) mais aussi par des débutants complets. Cela contraste avec la croyance commune parmi les gens, car beaucoup pensent (y compris l’auteur de ce texte), si ce n’est tout le monde, que commettre une attaque cybernétique nécessite des connaissances et des compétences approfondies. Par conséquent, le CERT met en garde contre les acteurs appelés Script kiddies. Ce sont des débutants qui utilisent des solutions prêtes à l’emploi, c’est-à-dire le code d’autres personnes, parfois sans comprendre comment cela fonctionne réellement.

De plus, les connaissances techniques, poursuivent-ils au CERT, ne sont pas nécessaires pour le succès d’une attaque, par exemple, pour l’ingénierie sociale. Il s’agit d’une attaque dans laquelle la victime est manipulée pour obtenir un certain avantage. L’ingénierie sociale est précisément le thème principal de la campagne de cette année pour le Mois de la cybersécurité européenne, et si des lecteurs souhaitent en savoir plus, ils peuvent tout découvrir durant le mois d’octobre sur le portail CERT.hr et ses réseaux sociaux.

Multiples attaques depuis un seul centre

Au niveau de l’Union européenne, des données sur les incidents sont collectées, et un effort significatif est consacré à la coopération et à l’échange d’informations entre les CERT des États membres de l’UE. Sur la base des informations collectées, des recommandations sont émises et des prévisions sont faites concernant les tendances dans le domaine de la cybersécurité. L’Agence de l’Union européenne pour la cybersécurité (ENISA) publie chaque année le ‘Paysage des menaces ENISA’, qui décrit les plus grandes menaces et des conseils pour s’en protéger. Selon le rapport ‘Paysage des menaces ENISA 2022’, les plus grandes menaces incluent : ransomware (qui verrouille les données sur l’ordinateur), malware (logiciel malveillant qui s’exécute sans le consentement du propriétaire, causant des dommages), ingénierie sociale, DDoS (attaques qui provoqueraient une indisponibilité d’internet, de la désinformation et des attaques sur la chaîne d’approvisionnement).

Concentrons-nous un peu plus sur les attaques DDoS. Elles ciblent les sites web et les serveurs en perturbant les services réseau dans une tentative d’épuiser les ressources des applications. Les attaquants derrière ces attaques inondent le site web de trafic aléatoire, entraînant une mauvaise fonctionnalité du site ou une déconnexion complète du réseau. Ces types d’attaques deviennent de plus en plus courants. Les attaques DDoS ont une large portée et ciblent diverses activités et entreprises de toutes tailles à travers le monde. Certains secteurs, tels que l’industrie du jeu, le commerce électronique et les télécommunications, sont ciblés plus fréquemment que d’autres. Les attaques DDoS sont l’une des menaces informatiques les plus courantes et peuvent potentiellement compromettre votre entreprise, la sécurité d’internet, les ventes et la réputation.

Et à quel point la cybercriminalité est dangereuse, cela est non seulement indiqué par le fait que les attaquants n’ont pas besoin d’être physiquement proches pour la commettre, mais aussi que les attaques et les campagnes observées peuvent se produire dans plusieurs pays simultanément. Cela est mieux illustré par le cas du ransomware WannaCry en 2017, qui a compromis plus de 200 000 ordinateurs dans 150 pays.

Notre état moyen

Dans quelle mesure nos entreprises, ainsi que les organisations et institutions, sont-elles préparées aux attaques cybernétiques ? Tomislav Novosel, consultant en cybersécurité chez Duplico, déclare que nos entreprises ne sont toujours pas conscientes de la gravité des attaques cybernétiques.

– Les petites et moyennes entreprises sont particulièrement vulnérables ici. Les grandes entreprises ont dû commencer à mettre en œuvre divers standards de sécurité en raison d’obligations légales ou contractuelles, renforçant ainsi leur propre cybersécurité. Cependant, il a été noté que dans de nombreuses entreprises, les mesures de sécurité sont mises en œuvre selon le principe de ‘ce que nous devons’ ou ‘pour respecter la formalité.’ Malheureusement, cette approche ne peut pas construire les systèmes de gestion de la sécurité de l’information nécessaires que chaque entreprise devrait avoir. Ici, la directive NIS2 adoptée au niveau de l’UE, ainsi que la nouvelle loi sur la cybersécurité, jouent un rôle significatif. Ces lois devraient encourager nos entreprises à prendre plus au sérieux la nécessité de la protection cybernétique – déclare Novosel.

Son collègue Filip Kiseljak, expert en sécurité de l’information chez KING ICT, est quelque peu plus optimiste car il dit qu’on peut dire que la sensibilisation à la nécessité de la cybersécurité pour les affaires et le fonctionnement global dans un monde connecté et numérisé est en hausse. Cela est contribué par des réglementations légales et industrielles de plus en plus strictes, ainsi que par les propres expériences des organisations ou les nouvelles concernant les nouvelles attaques et les dommages que les organisations ont subis.

– En moyenne, les secteurs réglementés tels que le secteur financier et les télécommunications sont quelque peu mieux préparés aux attaques cybernétiques que d’autres secteurs. De plus en plus d’organisations réalisent et acceptent que la cybersécurité n’est pas un coût mais un investissement nécessaire pour la survie et le fonctionnement dans le monde numérique et connecté. Pour gérer efficacement les risques et élever le niveau de cybersécurité, les organisations recherchent des partenaires fiables pour la fourniture de solutions et de services de cybersécurité – déclare Kiseljak.

Tests de sécurité

Cependant, de manière générale, cela est insuffisant, déclare Mate Matijašević, analyste en cybersécurité chez Span, bien qu’il ajoute que cela dépend en fait du cas.

– Intégrer la sécurité dans le tissu de l’organisation est un processus continu et exigeant qui nécessite des investissements financiers significatifs. Il existe, bien sûr, diverses solutions open-source qui nécessitent un type d’investissement différent, et cela nous amène au problème du manque de personnel de sécurité qualifié et de qualité. Ce que je soulignerais comme particulièrement problématique est la compréhension décontractée des bases mêmes de la sécurité. Je ne parle pas seulement de l’éducation des utilisateurs finaux, en particulier dans le domaine de la sécurité des processus commerciaux, mais aussi de processus élémentaires extrêmement importants tels que la gestion des actifs numériques. Bien sûr, ce processus à lui seul ne garantit pas la sécurité, mais il représente la pierre angulaire pour d’autres contrôles de sécurité car – vous ne pouvez pas protéger ce que vous ne pouvez pas voir – déclare Matijašević.

Et le CERT souligne que la préparation varie d’une organisation à l’autre et ajoute que le département CARNET pour le CERT national pour les institutions membres de CARNET effectue régulièrement des tests de sécurité et émet des recommandations de sécurité pour rendre leurs systèmes et infrastructures aussi sécurisés que possible.

– Sur notre portail internet, des avertissements concernant les menaces actuelles et les campagnes ciblant les citoyens de la République de Croatie peuvent être trouvés. Nous publions également des conseils de protection que chaque individu ou entreprise peut appliquer pour renforcer leur résilience face aux menaces cybernétiques. La cybersécurité est un processus continu. Les menaces changent d’un jour à l’autre, et ce n’est qu’à travers des campagnes de sensibilisation régulières, l’éducation et la formation des utilisateurs que nous pouvons garantir une préparation à une réponse rapide et augmenter la résilience face aux menaces cybernétiques – concluent-ils au CERT.