En entendant le mot « hacker », nombre d’entre nous ont le même stéréotype en tête. Dans les films, le hacker est presque toujours représenté comme un loup solitaire à capuche, entouré de plusieurs ordinateurs et tapant ardemment sur son clavier, des séries de codes apparaissant sur ses écrans à la vitesse de la lumière. Capable de s’introduire dans les systèmes des gouvernements et des entreprises privées en un tour de main, cet expert isolé incarne les cyber menaces dans l’imaginaire collectif.
Par le passé, ce stéréotype pouvait être vrai, dans une certaine mesure. Un seul pirate pouvait causer de nombreux dégâts, et s’en prendre à de grandes entreprises. Les nouvelles technologies de l’information faisaient alors leur apparition. Les failles de sécurité étaient nombreuses, les systèmes vulnérables et les infrastructures informatiques, relativement simples. Rares étaient ceux qui prenaient la cyber sécurité au sérieux. Le sens même du mot « cyber sécurité » échappait à nombre de professionnels. Quelle meilleure cible que celui qui vous sous-estime, ou qui n’a pas la moindre idée de ce que vous faites ? Face à la naïveté ambiante, le hacker solitaire avait toute la latitude pour agir.
Depuis quelques années, la situation évolue. Une prise de conscience a lieu. Les infrastructures informatiques deviennent de plus en plus complexes, et les investissements en cyber sécurité augmentent chaque année : Gartner estime que le budget mondial en sécurité de l’information devrait atteindre plus de 90 milliards en 2018.
Ces évolutions ont sonné le glas du mythe romantique du hacker solitaire. Bien que certains individus isolés soient, de par leur talent, encore capables d’infliger des dommages considérables à de grandes organisations. La plupart d’entre eux ne sont plus en mesure de s’attaquer aux entreprises lorsque celles-ci sont correctement protégées.
Peu importe son niveau de compétences, un pirate seul aura bien du mal à lutter contre une équipe de spécialistes dédiés, armés de technologies de cyber sécurité de pointe.
Certaines personnes pensent qu’être protégé contre ces individus isolés suffit. C’est une erreur. Les hackers, eux aussi, ont évolué. Désormais, ils travaillent en équipe.
Les hackers du monde moderne
Selon Tuomo Makkonen, Principal Security Consultant chez F-Secure, les pirates actuels peuvent, pour faire simple, être classés en deux catégories :
- Les entités très organisées et réglementées.
- Les hordes de hackers amateurs, travaillant ensemble via des forums et le dark web.
L’une comme l’autre de ces deux catégories peuvent causer des dommages considérables aux entreprises.
L’actualité est truffée d’histoires relatant les opérations de groupes de hackers organisés : le piratage du Parti national démocrate durant les élections américaines, l’opération Cloud Hopper, ou encore l’affaire Platinum… Que leurs objectifs soient politiques ou financiers, ces pirates agissent souvent avec une efficacité digne des organisations militaires ou des entreprises les plus compétitives. Certaines équipes de hackers poussent même l’esprit corporate si loin que les heures de travail sont standardisées et les congés, posés à l’avance.
Malgré les protections dont elles disposent, la plupart des organisations restent souvent en partie vulnérables. Les pirates peuvent recourir à l’ingénierie sociale ou à des e-mails de phishing sur mesure, attendant un clic négligent de la part d’un employé pour s’introduire sur votre réseau. Ils pourront ensuite se déplacer latéralement sur le réseau en utilisant des outils tels que les enregistreurs de frappe, afin d’obtenir des informations plus cruciales encore sur votre entreprise. Makkonen explique que les hackers les plus doués peuvent se cacher durant des mois sur un réseau, parfois même indéfiniment. Durant tout ce temps, ils exfiltrent vos données, et surveillent vos activités.
Certains groupes de pirates vont même encore plus loin : ils peuvent se faire passer pour des employés, et s’infiltrer au sein de votre organisation pour exercer une surveillance physique, dans vos locaux. La frontière entre « crime » et « cyber crime » devient alors bien floue. Les entreprises doivent désormais comprendre qu’elles ne font pas simplement face à un geek isolé dans le sous-sol de ses parents, mais des groupes de cyber criminels organisés, dotés de stratégies solides. La situation a évolué, irrémédiablement. La vidéo ci-dessous vous montre comment la red team de F-Secure simulent des cyber attaques sophistiquées pour mieux protéger ses clients.
À l’autre extrémité du spectre des cyber menaces, se trouvent un autre type de danger.
Des pirates, peu expérimentés, parcourent désormais les forums, à la recherche d’outils d’attaque clé-en-main et de conseils de professionnels. Avec peu de compétences, ils cherchent à soutirer de l’argent ou à semer le chaos. Différents types de ransomware-as-a-service ou de botnets visant les objets connectés sont à leur disposition. Ces outils ont gagné en popularité ces dernières années, permettant à des amateurs de causer des dégâts considérables.
La cyber attaque Dyn, qui a paralysé plusieurs plateformes et services web en 2016, est souvent attribuée à des hackers dilettantes, sans objectif véritable. En fin de compte, la priorité n’est pas de savoir si les pirates à l’œuvre sont des professionnels ou des adolescents déterminés : ce sont les dégâts susceptibles d’être causés qui importent.
Comment se protéger des hackers ?
Selon Makkonen, il est toujours préférable de commencer par les fondamentaux.
De nombreuses cyber menaces (la plupart des malware et ransomware notamment) peuvent être interceptées grâce à un logiciel de protection des postes de travail. Toutes vos applications logicielles doivent être à jour. Les logiciels de protection des appareils, lorsqu’ils sont de qualité, proposent la gestion automatique des patchs. Assurez-vous également qu’aucun de vos utilisateurs n’utilise de mot de passe trop évident (trop facile à pirater). Ce problème peut être réglé grâce à un gestionnaire de mots de passe. De manière générale, il est crucial que vous mettiez en place un programme opérationnel de sécurité cohérent, suivi par tous les employés de l’organisation. Dans le cas contraire, vos secrets commerciaux les plus précieux risquent de fuiter, à cause d’un appel indiscret ou d’un protocole e-mail défaillant.
Lorsqu’il s’agit d’empêcher des attaques plus avancées, la partie s’avère nettement plus compliquée. Si votre organisation est spécifiquement visée par un groupe de hackers structuré, vous ne pourrez pas vous contenter d’une solution de protection des appareils pour rester à l’abri.
Pour rester bien protéger, adoptez une approche dite « humaine » : lorsque vous devez lutter contre une équipe de pirates experts, vous devez, vous aussi, vous entourer d’experts… Votre personnel informatique a déjà bien assez à faire avec toutes ses autres responsabilités : aussi qualifié soit-il, il n’a sans doute ni le temps, ni les ressources nécessaires pour fournir une expertise spécifique aux différents aspects de la cyber sécurité. A contrario, faire appel à une entreprise spécialisée en cyber sécurité peut vous permettre de lutter efficacement contre les cyber menaces, même les plus avancées.
Les différents services que proposent ces entreprises de cyber sécurité, comme par exemple le red teaming ou les évaluations de la cyber sécurité, peuvent vous permettre de repérer vos lacunes et de les corriger. Les services de réponse aux incidents et de recherche forensique peuvent, par ailleurs, vous aider à limiter les dommages en cas d’attaque. Pour une protection 24h/24, 7j/7 contre les cyber menaces, vous pouvez enfin miser sur les services gérés de détection et de réponse. Chaque secteur, chaque organisation a des besoins uniques en matière de cyber sécurité…mais l’objectif devrait toujours rester le même : une protection à 360°.
Mettre en place une cyber sécurité efficace sur le long terme n’a rien d’évident : la bataille n’est jamais terminée. De nouvelles cyber menaces naissent chaque jour. Pour rester protégé, vous devez avant tout sélectionner avec soin les produits et services sont les plus adaptés à vos besoins.
Mieux vaut opter pour une protection efficace dès maintenant, plutôt que d’avoir des remords lorsqu’il sera trop tard.
Catégories