Ce qui vous attend en 2019 ! Des attaques visant la chaîne d’approvisionnement, des exploits ciblant les objets connectés…

2018 s’achève. Et comme en chaque fin d’année, c’est l’heure des bilans 2018 et des prédictions 2019. Ainsi, le Lab F-Secure donne un avant-goût de ce que l’avenir nous réserve.

Les attaques visant la chaîne d’approvisionnement vont se multiplier

Comme l’explique Artturi Lehtio, Service Technology Lead chez F-Secure, les attaques visant la chaîne d’approvisionnement ont pris de l’ampleur ces dernières années. Selon cet expert, cette tendance devrait se poursuivre en 2019. Le ransomware NotPetya de 2017 est resté dans les annales mais, comme le souligne Artturi Lehtio, les attaques contre la chaîne d’approvisionnement peuvent revêtir de nombreux autres visages. Le pirate peut s’attaquer à un prestataire de services pour voler les données clients, ou encore modifier un service en ligne.

« Nous mettons une grande partie de notre vie entre les mains d’autres personnes mais nous ne réalisons pas à quel point nous dépendons des autres, à quel point nous pouvons leur faire confiance. Et nous n’avons pas toujours les moyens de vérifier qu’ils sont dignes de cette confiance », précise-t-il.

Tom Van de Wiele et Laura Kankaala approuvent cette vision à ce sujet : tout, depuis le cloud à l’utilisation des répertoires de code par les développeurs, crée des interdépendances que les entreprises ne sont pas toujours prêtes à gérer.

« Les pirates perçoivent la sécurité de votre organisation d’une certaine manière. Parfois, ils s’intéressent à un aspect sur lequel vous n’avez pas de réel contrôle, ou qui ne relevait – d’après vous – pas de votre responsabilité », affirme Artturi Lehtio.

Le « reinforcement learning » fera un bond en avant

A ce jour, tout le monde parle de l’intelligence artificielle (IA). Elle constitue l’une des pierres angulaires de la cyber sécurité et des nouvelles technologies. D’après Andy Patel, Senior Researcher auprès du Centre d’excellence en intelligence artificielle de F-Secure, les plus grands progrès de l’IA sont à attendre du côté du « reinforcement learning ».

Le « reinforcement learning » consiste à utiliser le renforcement positif auprès d’un algorithme, en le récompensant chaque fois qu’il progresse. D’après Andy Patel, Facebook utilise le « reinforcement learning » pour déterminer quand les utilisateurs doivent ou non recevoir des notifications. D’autres sociétés l’utilisent pour former des modèles de trading financier, pour la diffusion vidéo en continu, et plus encore. Sur la base de certaines recherches présentées à la conférence Black Hat de cette année, Andy Patel a dévoilé ce qui, selon lui, va changer dans le « reinforcement learning » en 2019 :

« Il existe de nombreuses autres applications possibles en cyber sécurité, notamment du côté des tests d’intrusion ou des tests à données aléatoires (fuzzing). Le « reinforcement learning » pourrait servir à deviner un mot de passe, ou à tester des applications via le fuzzing, ce genre de choses. Même s’il s’agit de travaux simplement académiques, j’imagine que des techniques de ce genre devraient être développées. »

Les stratégies d’automatisation, de détection et d’intervention rendront la tâche plus difficile aux pirates

Tom Van de Wiele, Principal Security Consultant chez F-Secure, estime que 2019 devrait donner lieu à des avancées positives dans ce domaine. Les attaques ciblées devraient coûter plus cher aux pirates, dans la mesure où de plus en plus d’entreprises s’appuient sur l’automatisation en matière de détection et d’intervention. Il base ce pronostic sur ce qu’il observe sur le terrain, auprès des entreprises clientes, dans le cadre de tests de Red Teaming :

« Nous constatons une tendance très nette. A la suite d’attaques, visant les entreprises elles-mêmes ou bien leurs concurrents, elles développent ou installent davantage de logiciels et services de cyber protection. L’automatisation croissante de la détection des attaques décourage de nombreux hackers. Et pour les autres pirates, plus déterminés, il devient nettement plus difficile de réaliser une intrusion sans être détectés. »

Les organisations réfléchiront à l’origine de leurs problèmes de cyber sécurité

D’après Adam Sheehan, Behavioral Science Lead chez F-Secure, davantage d’entreprises passeront au niveau supérieur : elles s’intéresseront à l’origine de leurs problèmes de sécurité.

« Je pense que pendant trop longtemps, on a supposé que si l’organisation A possédait un taux de clics élevé sur les e-mails de phishing – le même taux qu’une organisation B -, alors il suffisait de lui proposer plus ou moins la même solution », explique Adam. Il estime que désormais, cette hypothèse mérite d’être remise en cause.

Les objets connectés vont poursuivre leur expansion… et vont intéresser encore davantage les pirates

Ce n’est un secret pour personne : les appareils connectés à Internet, en particulier les objets connectés, se développent à toute allure. D’après Laura Kankaala, Security Consultant chez F-Secure, cette tendance aura des répercussions directes sur la cyber sécurité en 2019. Ces appareils devraient, en effet, faire l’objet de plus en plus de tentatives d’exploits par les pirates.

Point positif : elle espère que l’augmentation de ces attaques donnera lieu à une nouvelle réglementation de type RGPD pour les objets connectés. Elle espère également que les fabricants eux-mêmes veilleront à mieux sécuriser leurs appareils, via les bug bounties.

« Le RGPD devrait être étendu aux objets connectés, ou bien un autre règlement pourrait être mis en place pour couvrir ces appareils », explique Laura Kankaala.

Tom Van de Wiele estime quant à lui que fabricants et consommateurs doivent prendre plus au sérieux la sécurisation des objets connectés. Jusqu’à présent, ni les uns, ni les autres, ne se sont véritablement engagés dans cette voie. La mise en place de nouveaux règlements et de bugs bounties pourraient permettre un progrès significatif.

Rendez-vous ici pour réécouter l’intégralité du podcast (en anglais).