La cybercriminalité ne concerne pas que les grandes entreprises. Tout le monde est concerné, les TPE, au même titre que les grands groupes… Et devoir remédier à un incident dans l’urgence peut s’avérer bien plus compliqué que de le prévenir. Il est donc urgent d’anticiper les cybermenaces pour avoir des procédures adaptées et optimisées.
Vous aussi vous êtes concernés !
- La cybersécurité s’inscrit dans une vision stratégique pour les entreprises, quelles que soient leur taille.
-
- Les différentes études sont d’ailleurs toutes unanimes : le niveau des cyber-risques a atteint un point tel qu’aujourd’hui les entreprises, et particulièrement les PME et TPE, bien moins équipées et protégées que les grandes entreprises, doivent absolument s’informer des risques et se préparer à les affronter. En effet, plus petite est la structure, plus grand est le risque que les cyberattaques fragilisent l’activité de l’entreprise, voire sa pérennité.
L’enquête 2022 du CESIN[1] a analysé l’évolution de la cybercriminalité appliquée à la France. Les résultats sont sans appel : on constate qu’une entreprise sur deux a été touchée significativement par des cyberattaques. Attention, cet indicateur ne tient compte que des attaques réussies avec des répercussions importantes pour les victimes, à savoir : indisponibilité du système d’information, perte de données, arrêt de la production, perte de chiffre d’affaires etc.
-
- La faille humaine constitue le plus gros danger en matière de sécurité informatique.
Et c’est là que le bât blesse : à l’heure actuelle, plus de 90% des incidents en la matière sont liés au facteur humain (malveillance, erreurs). En effet, les cybercriminels spéculent davantage sur les faiblesses de l’être humain plutôt que sur les vulnérabilités techniques, qui se font de plus en plus rares. Ce n’est d’ailleurs pas un hasard si le nombre de cyberattaques a explosé depuis le début de la pandémie de COVID-19, représentant une augmentation de 400%.
La cybersécurité n’est donc pas qu’une affaire de choix techniques, mais avant tout un dispositif qui doit être centré sur l’humain. C’est pourquoi, fort de ce constat, il est nécessaire de davantage éduquer, sensibiliser et former les collaborateurs aux questions de cybersécurité, qui doivent avant tout relever de la responsabilité collective.
Panorama des quatre menaces les plus fréquentes
Les cyberattaques que les TPE sont le plus susceptibles de subir sont résumées dans le tableau ci-dessous
Hameçonnage ou « Phishing » :
-
- Mode opératoire : Méthode d’appât s’appuyant sur l’ingénierie sociale et consistant à escroquer en ligne en envoyant de faux emails, imitant ceux d’une institution ou d’une entreprise et semblant provenir d’une source fiable. Les utilisateurs sont ainsi incités à révéler des données confidentielles telles que leurs informations bancaires. De nombreux emails de « phishing » prétendent, par exemple, provenir d’une banque et invitent les destinataires à entrer leurs informations d’identification sur une fausse page web imitant le site de la banque.
-
- Exemple : Victime : Opération de Phishing en usurpant l’identité de l’administration fiscale. Moyen : Faux emails semblant provenir de l’administration fiscale proposant de rembourser un trop perçu. Pour la recréditer, ils demandent d’indiquer le numéro de carte bleue. Impact : Utilisation frauduleuses des données personnelles, achats avec les coordonnées bancaires.
-
- Constat : Il s’agit du principal vecteur de cybercriminalité sur l’année 2022 d’après le baromètre du CESIN : 74% des attaques le sont par phishing. En effet, il offre aux cybercriminels un canal direct vers les utilisateurs (facteur humain), considérés comme le maillon faible de la cybersécurité.
Malwares :
-
- Mode opératoire : Terme emprunté à l’anglais (dérivé de Malicious Software) qui est utilisé pour désigner tout programme contenant du code malveillant. Ces programmes effectuent des opérations (récupération d’informations, diffusion ou destructions de données, prise de contrôle à distance, installation de virus chiffrant) à l’insu de l’utilisateur, ils peuvent résulter de pièces jointes, d’un lien vers une page internet piégée, d’un téléchargement, d’un échange via une clé USB. Ils peuvent également attaquer les smartphones, les tablettes et l’ensemble des objets connectés.
-
- Exemple : Victime : TF1. Moyen : Intrusion dans leurs systèmes et piratage des données personnelles figurant dans leur base de données ; email, RIB, identité numérique, etc. Impact : 2 millions de personnes touchées. Pourrait permettre aux hackers d’utiliser ces données pour faire d’autres escroqueries…
-
- Constat : Les malwares ciblent majoritairement l’email pour véhiculer des liens vers des sites web malveillants ou des pièces jointes permettant de télécharges lesdits malwares. S’agissant de technique ne nécessitant pas de compétences très poussées en informatiques, il s’agit de ce fait de manœuvres très fréquemment utilisées par les cybercriminels.
Rançongiciel :
-
- Mode opératoire : Il s’agit d’une catégorie de logiciels malveillants à télécharger dont le principe est de chiffrer les documents se trouvant sur l’ordinateur. Cela consiste à prendre en otage les données personnelles puis demander une rançon en échange de la clé qui permettra de les déchiffrer. Cette fraude peut résulter de Pièces jointes, d’un lien vers une page internet piégée, d’un téléchargement, ou même d’une clé USB. Et les principaux moyens utilisés parmi eux sont le mail piégé et la clé USB.
-
- Exemple : Victime : TPE de 8 collaborateurs. Moyen : Téléchargé via le réseau internet, un email frauduleux a été transmis à tous les contacts. L’ouverture de ce dernier à bloqué le réseau et rendu illisible l’ensemble des fichiers. Impact : Inaccessibilité du réseau pendant ½ journée – coût financier valorisé à 8 000 €. Disposant d’une sauvegarde, cette dernière a été réinstallée avec remise en marche du système dès le lendemain
-
- Constat : D’après l’enquête 2022 du CESIN, moins d’une entreprise sur 5 a été victime de rançongiciel. Un chiffre légèrement en baisse par rapport à N-1 (18% en 2021) qui cible majoritairement les TPE/PME/ETI. Néanmoins l’ANSSI met en garde contre ce type d’attaque car les apparences semblent trompeuses : on suppose en réalité une hausse des attaques non détectées.
Fraude au président ou aux faux virements (FOVI) :
-
- Mode opératoire : Egalement appelé arnaque aux faux virements (FOVI). Consiste à usurper l’identité d’un véritable président, fournisseur, banquier, dans le but de manipuler la comptabilité afin d’obtenir un virement. L’arnaque débute le plus souvent par un simple coup de fil ou un email. Il ne faut pas sous-estimer la force de persuasion et la pression psychologique qu’exercent les fraudeurs.
-
- Exemple : PME. Moyen : Prise de contact téléphonique en se faisant passer pour le président qui devait signer l’acquisition d’une filiale à l’étranger. Le cyber escroc est parvenu à convaincre le responsable d’effectuer des virements. Impact : Détournement de 300 00 €, limité grâce à une action rapide sollicitant de la banque l’interruption d’un des virements.
-
- Constat : L’arnaque au président est en très nette aggravation et représente 41% des attaques sur l’année 2022 (vs 30% en 2021) d’après le baromètre du CESIN. Si au début, c’étaient essentiellement les grandes entreprises qui étaient touchées, les TPE semblent désormais faire partie de la cible.
Vous pensez être victime d’un acte de cyber malveillance (piratage, virus informatique, hameçonnage…) ? « Assistance Cyber en Ligne » va vous permettre de diagnostiquer gratuitement votre problème et d’appliquer des conseils adaptés pour y remédier. Si vous le souhaitez, vous pourrez également être mis en relation avec un professionnel en cybersécurité référencé par le dispositif Cybermalveillance.gouv.fr.
