Phishing, ransomware, malware, DDOS… Nous sommes en 2023, mais nombre de ces mots peuvent encore être difficilement compréhensibles pour beaucoup d’entre nous. À l’ère des attaques informatiques, il est important de revenir leur signification et ce qu’ils représentent pour mieux les contrer.
L’utilisation de ces termes a même complétement explosé ces dernières années, provoquant parfois un sentiment d’impuissance au sein du grand public. Comment en effet arrêter ces attaques sur nos systèmes informatiques, nos ordinateurs et smartphones, alors qu’elles peuvent venir d’un simple petit mail anodin ? C’est en comprenant son ennemi qu’on peut le vaincre, ou tout du moins ici l’éviter. Nous vous proposons donc un tour d’horizon de ces attaques et des solutions à prendre en compte pour ne pas se faire toucher.
La cybercriminalité aujourd’hui
Le monde entier est d’accord. La cybercriminalité est un fléau qui s’est inexorablement répandu dans toute la société numérique mondialisée du 21e siècle. Un fléau de plus en plus onéreux pour les entreprises et les particuliers, à mesure que les groupes se multiplient et que les techniques se modernisent. Le Cybersecurity Ventures estimait en 2020 que le coût global annuel de la cybercriminalité allait augmenter de 15 % par année sur les cinq prochaines années pour atteindre les 10 500 milliards de dollars contre « seulement » 3 000 milliards de dollars en 2015.
Un constat qui s’explique notamment par le fait que la cybercriminalité est entrée dans une nouvelle ère grâce (ou à cause) de la crise sanitaire mondiale. En 2020, des milliards de personnes se sont mises à travailler de chez elles, les obligeant à mélanger leurs données personnelles et professionnelles, ne bénéficiant souvent pas de la protection interne de l’entreprise.
Une aubaine pour les pirates informatiques, qui pouvaient bien plus facilement accéder à des informations sensibles, puisque les possibilités d’accès étaient au moins doublées. Résultat, les attaques ont explosé sur l’année 2020. Par exemple, l’Agence nationale de la sécurité des systèmes d’information (Anssi) déclarait que les attaques par ransomware (ou rançongiciel) à l’encontre des entreprises françaises avaient été multipliées par trois sur l’année 2020.
Pour l’organisation gouvernementale, les attaques poursuivant un objectif de gain financier demeuraient les plus courantes ces dernières années. Un problème demeure toutefois : il est extrêmement difficile de collecter des informations relatives aux particuliers touchés par ces attaques. Des moyens existent bien pour les signaler, mais il est rare que toutes les personnes touchées le fassent savoir. Les chiffres concernant les entreprises sont cependant un peu plus accessibles et nous permettent d’avoir une idée plus concrète de l’état de la cybercriminalité.
En début d’année 2023, le Club des experts de la sécurité de l’information et du numérique (Cesin) publiait son huitième baromètre de la cybersécurité des entreprises, obtenu en se basant sur les réponses de plus de 320 entreprises. Sans entrer dans les nombreux détails, nous apprenons par exemple qu’en 2022, les attaques par ransomware ont touché moins d’une entreprise sur cinq. Le phishing resterait le vecteur d’attaque le plus fréquent pour 74 % des entreprises interrogées. Plus d’une entreprise sur deux considère que le niveau de menace en matière de cyberespionnage est toujours élevé.
Il est d’ailleurs à rappeler que la France est en pénurie de personnel dans le numérique et notamment dans le domaine de la cybersécurité, vital pour déjouer les attaques.
Connaître les attaques les plus courantes
C’est bien beau tout cela, mais cela ne nous dit pas à quoi faire attention. Pour savoir où regarder, il faut déjà comprendre ce que l’on doit regarder.
Le phishing (hameçonnage) et le spear phishing (harponnage)
Le phishing est probablement le type d’attaque informatique le plus répandu dans le monde pour dérober des informations personnelles ou bancaires. Cette méthode consiste à envoyer un email ou un SMS frauduleux à une personne, souvent en usurpant l’identité d’une personne ou d’une organisation de confiance (impôts, police, proche, fausse livraison de commande, etc), pour l’inciter à communiquer ses informations.
Le spear phishing, ou harponnage, lui, va plus loin et vise une personne en particulier. Les pirates derrière cette action ont fait en amont un travail de recherche pour donner un maximum d’informations crédibles à leur cible. Exemple, vous recevez un mail étrange de votre tante vous indiquant être dans une situation financière difficile et vous demandant une somme d’argent pour s’en sortir.
Les attaques par déni de service, ou DOS et DDOS
Un serveur web ne peut gérer qu’un nombre de requêtes limité à la fois. Une attaque de ce style consiste à envoyer un maximum de requêtes simultanément afin de saturer à l’extrême la bande passante. Le serveur, surchargé, mettra beaucoup plus de temps à charger, entraînant de ce fait un mauvais fonctionnement, voire un arrêt des services d’un site. Vous pouvez observer ses effets régulièrement et sans forcément être victime d’une attaque, par exemple lorsqu’une star mondiale met en vente des tickets pour son concert dans votre ville. Le nombre de demandes de connexion est souvent si important que les serveurs saturent et finissent par lâcher, vous empêchant d’acquérir le précieux sésame.
Les malwares
Les malwares sont très simplement des logiciels indésirables qui s’installent souvent sans le consentement de la victime sur sa machine. Le programme peut exploiter une faille existante ou humaine. Par exemple, une personne peu attentive pourra cliquer sur un lien PDF fourni en pièce jointe d’un mail frauduleux, lançant alors automatiquement l’installation du logiciel. Ici, plusieurs buts sont recherchés par les attaquants. Bloquer le système et ne rendre l’accès qu’en échange d’une somme d’argent, ce qui s’appelle un ransomware (rançongiciel). Les spyware, eux, viennent recueillir des informations confidentielles en exportant un maximum de données enregistrées sur l’ordinateur ou le smartphone.
Attaques visant les mots de passe
L’une des attaques les plus connues depuis bien longtemps est celle visant directement les mots de passe des utilisateurs et utilisatrices. L’attaquant malveillant va utiliser plusieurs techniques afin de récupérer un mot de passe et ainsi accéder aux informations de sa victime. Une des techniques les plus efficaces consiste à utiliser un dictionnaire de mots de passe les plus utilisés dans le monde ou une région et de les fournir au logiciel qui les essayera tous jusqu’à ce que cela fonctionne (si la personne possède un compte peu sécurisé).
Man in the middle
Ce type d’attaque se produit généralement sur des réseaux internet non sécurisés (par exemple dans un espace public). Le pirate cherche ici à intercepter la communication des données entre le serveur et le PC afin d’en récupérer les informations.
Comment bien se protéger ?
Selon le baromètre du Cesin, en 2022, 38 % des incidents dans les entreprises provenaient de négligence et d’erreurs humaines. Il existe de très nombreuses façons de se protéger des attaques informatiques afin d’éviter de se faire pirater ou de créer une faille dans l’entreprise, et nous ne pourrons toutes les citer ici.
En cas de doute à la lecture d’un mail, il est recommandé de ne cliquer sur aucun lien apparent et se rendre directement sur la plateforme pour y vérifier les informations communiquées. Afin d’éviter le phishing ciblé, il est recommandé de bien vérifier l’adresse mail de la personne qui vient d’envoyer un document et même, au cas où, de lui demander directement si c’est elle qui l’a envoyé via une messagerie par exemple.
Autre recommandation importante et qui peut sembler évidente en 2023, mais qui ne fait jamais de mal à être rappelée : avoir un anti-virus à jour sur son ordinateur. Il existe de nombreuses solutions, souvent gratuites, qui suffisent amplement à protéger la machine des virus.
Dernière recommandation : attention à vos mots de passe ! Là encore, c’est un classique, mais lorsque l’on voit la liste publiée chaque année des mots de passe les plus utilisés par les particuliers ou en entreprise, on se dit qu’il y a encore du chemin à parcourir. Créez des mots de passe compliqués (comportant des lettres, des chiffres et des caractères spéciaux) et uniques. C’est-à-dire que, sur un site donné, vous créez un mot de passe et ne l’utilisez pas ailleurs. Alors oui, il est impossible de retenir tous ses mots de passe, c’est pourquoi les gestionnaires ont été conçus. Ils permettent de stocker de nombreux identifiants et de les récupérer facilement. Ils se mettent même à stocker des passkeys, cette solution d’identification qui veut remplacer les mots de passe.
