Le monde dans lequel nous vivons aujourd'hui est celui où les violations de données sont devenues la nouvelle réalité. De la dernière violation de données de l'institution bancaire Capital One qui a touché une centaine de millions de clients au tristement célèbre piratage de Sony Pictures de 2014, les entreprises sont devenues plus vulnérables à une multitude de risques de sécurité qui pourraient exposer leurs données sensibles. Cette nouvelle réalité est parfaitement claire lorsque vous regardez les chiffres. Selon un rapport récemment publié par Risk Based Security, au cours du premier semestre 2019, plus de 3 800 infractions révélant 4,1 milliards d'enregistrements compromis ont été divulguées au public.En dépit de cette nouvelle réalité et de ces chiffres surprenants (ou non), les entreprises ne prennent pas les risques des données exposées avec suffisamment de sérieux. En effet, certains rapports notent que de nombreuses organisations ne ressentent toujours pas le sentiment d’urgence ou n’ont pas besoin de modifier leur point de vue sur la compromission des données. En conséquence, elles sont beaucoup moins enclines à améliorer les méthodes par lesquelles elles surveillent et détectent les incidents potentiels d’exposition aux données.
En fait, le risque lié au vol de données d’employés, notamment des adresses d’entreprises et des données relatives aux employés, n’est toujours pas pris en compte par les entreprises, malgré les dommages potentiels que ces incidents pourraient causer. Les chercheurs de la société de cybersécurité Terbium ont analysé la manière dont les entreprises abordent les risques liés à la sécurité et ont constaté que beaucoup sous-estimaient les dommages qui pouvaient être causés si les données des employés étaient volées et divulguées sur le web.
Principales conclusions et tendances
Le phishing reste le roi de l'exposition des données
Le phishing est un cercle vicieux de la sécurité : il peut être à la fois la source et le résultat de l’exposition des données. Il permet aux attaquants d'accéder aux systèmes internes et de compromettre des données à exploiter pour une exposition ultérieure. Le phishing est également l’un des moyens les plus faciles pour les fraudeurs d’abuser des données déjà filtrées dans l’écosystème criminel.
« Comme nous avons pu le constater en travaillant avec des organisations pour surveiller et détecter les données exposées, des dizaines de milliers d'adresses mail fuitent chaque jour sur Internet - sur le dark Web - et dans les forums criminels. Même sans aucune information supplémentaire, un criminel entreprenant peut insérer des lots de ces adresses électroniques dans un schéma de phishing existant et envoyer des messages malveillants à des destinataires sans méfiance. Si les assaillants réussissent, ils peuvent accéder à des informations supplémentaires et choisir de les partager avec le reste de la communauté criminelle - et le cycle recommence
« Comme l’indiquent les conclusions de notre étude, les professionnels de l’informatique s’inquiètent sérieusement des risques associés au phishing. En fait, 33 % des personnes interrogées ont déclaré que le phishing était l'incident de sécurité le plus susceptible de générer des données exposées. Cette conclusion est logique si vous considérez que le rapport DBIR (Data Breach Investigations Report) 2019 de Verizon a révélé que 32 % des violations de données impliquaient du phishing ».
Et pour ne pas arranger les choses, 27 % des personnes interrogées ont admis ne pas avoir confiance en la capacité de leurs employés à reconnaître les escroqueries par hameçonnage et à éviter les courriels suspects ou frauduleux. Cela est troublant et problématique étant donné que les attaques par hameçonnage ont augmenté de 65 % au cours de la dernière année et que 76 % des entreprises ont déclaré avoir été victimes d'une attaque par hameçonnage en 2018. Ceci est en outre corroboré par les conclusions du rapport Spam and Phishing de 2018 publié par Kaspersky Lab qui a révélé que le système anti-phishing de la société avait empêché plus de 482 millions de tentatives de consultation de pages frauduleuses l'année dernière, soulignant une augmentation importante de leur utilisation et de leur popularité par les cybercriminels.
Plus de 52 % des utilisateurs réutilisent des mots de passe sur plusieurs plateformes, ce qui signifie qu'une seule campagne de phishing réussie pourrait déverrouiller des dizaines de comptes pour chaque utilisateur. En conséquence, les pirates informatiques qui tentent de se livrer à des escroqueries par phishing pourraient très bien accéder aux informations de connexion en ligne des comptes financiers, des comptes de médias sociaux, des comptes de soins de santé et d’assurance, ainsi qu’à une foule d’autres tiers non méfiants (y compris les employeurs).
Les attaques par hameçonnage sont des systèmes commodes et peu coûteux que la communauté des fraudeurs peut exécuter. De la même manière...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.
