L’hameçonnage/phishing est une technique utilisée par les fraudeurs pour obtenir des informations personnelles. Le moyen utilisé est l’usurpation d’identité. En effet, l’attaque repose le plus fréquemment sur la contrefaçon d’un site internet et d’un mail (celui d’une banque, d’un site marchand, d’une administration, etc.).Le fraudeur tente généralement d’entrer en contact avec sa cible avec un mail ayant un objet alarmiste : « Votre compte va expirer », « Vous venez d’effectuer un achat », etc. Ces mails semblent venir d’une source fiable et de confiance pour la cible (banque, impôts, administration, opérateur téléphonique, etc.) et invitent à télécharger une pièce jointe présentée souvent comme une facture ou à cliquer sur un lien renvoyant vers un site contrefait.
 
Il existe de très nombreux types d’attaques, qui évoluent avec le temps et les technologies disponibles, et qui peuvent être plus ou moins élaborés en fonction de la cible, et de l’enjeu.En effet, il existe des attaques ciblées, avec des moyens spécifiques mis en place pour piéger la ou les victimes, et des attaques « de masse », pour obtenir un faible pourcentage de réussite en attaquant un très grand nombre de victimes.
 
Le phishing est un type d’attaque particulier qui tente de récupérer des informations sur votre entreprise, sur vous, ou toute information sensible. Évidemment les pirates essayent en priorité de dérober de l’argent, mais pas que… cela peut aussi être un compte qui a un accès à des documents confidentiels, des relations sur les réseaux sociaux, etc.

• La contrefaçon d’un site Internet

 
Il n’est pas rare de se faire hameçonner à cause d’un site internet contrefait. Ces derniers touchent en priorité les établissements bancaires et les sites d’e-commerce. L’une des pratiques les plus utilisées est le domaine dit « typosquatté ». Dans ce cas, le nom d’un site à fort trafic est mal orthographié. Attention, le petit cadenas vert présent dans le navigateur, lorsque vous faites un achat par exemple, garanti simplement que la communication entre votre navigateur et le site est chiffrée, mais en aucun cas que le site est « de confiance ».
 

• Les emails d’alerte

 
Tout comme les sites Internet, les emails peuvent être détournés dans le but d’hameçonner les utilisateurs. Il n’est pas rare que le nom d’une entreprise ou d’une institution soit détourné. Ces emails peuvent prendre un caractère alarmiste. Les objets de ces emails peuvent par exemple être « Votre compte expire bientôt » ou « Veuillez confirmer votre identité ».Les emails frauduleux peuvent aussi provenir d’une source de confiance théorique comme la CAF, l’Assurance Maladie ou encore le Centre des Impôts.

Pour les entreprises, cela peut être un FAI tel que Orange ou Free, un prestataire de nom de domaine type OVH, ou tout autre organisme lié à un service de la société, qui peut aisément être récupéré.Dans le même esprit, le « spear phishing » vise une personne ou une entreprise en particulier dans le but bien sûr de le faire cliquer sur un lien contenu dans l’email reçu puis de lui voler des données. Nous sommes donc dans le cadre d’une attaque ciblée.Les fonctions clés des entreprises sont visées, grâce à Linkedin et Viadeo par exemple, avec les DAF, RAF, Comptables, DG, PDG, DSI, etc.
 

• Les autres types de phishing

 
Parmi les autres attaques de phishing, il y aussi la récupération d’informations d’identification. Pour y parvenir, les cybercriminels créent de faux portails d’identification ou redirigent le trafic d’un site vers un autre. Dans d’autres situations, les fraudeurs utilisent les profils de proches pour gagner la confiance de leurs victimes et dérober des informations sensibles. On appelle cela le « smishing » si des SMS sont utilisés ou des « wishing » quand les cybercriminels passent par l’application WhatsApp.
 
En cas de phishing, il faut agir vite ! Le premier réflexe à avoir est de contacter son ou ses établissements bancaires. Il est aussi possible de dénoncer la fraude sur la plateforme PHAROS et déposer une pré-plainte en ligne.Le délit est puni par la loi, les fraudeurs risquent une peine pouvant atteindre 5 ans d’emprisonnement et jusqu’à 350 000 € d’amende.

Pour reconnaitre une tentative de phishing, il faut être attentif aux liens défectueux, aux alertes de votre antivirus, aux fautes d’orthographe et aux emails qui ne sont pas nominatifs.Il faut être particulièrement vigilant sur le l’adresse du site (https://....) mentionné dans l’email suspect et ne pas hésiter à le comparer avec le site officiel de l’organisme concerné. Par exemple dans la cas d’une banque, le lien frauduleux sera https://www.mabanque.csite.ko   au lieu de https://www.mabanque.com
Pour les utilisateurs plus avancés, l’entête détaillée du mail est également riche en information car elle indique le cheminement suivi par le mail sur les différents serveurs d’internet. En général c’est un faisceau d’indices qui mettent la puce à l’oreille, et non pas un seul élément. La règle d’or, ne jamais cliquer sur un lien si on a le moindre doute !Le contexte est important, en cas de doute n’hésitez surtout pas à solliciter votre service informatique.

Le télétravail a rendu les échanges électroniques plus présents, et a encore accru le risque de cyberattaque au sens large.Dans un rapport de juin 2020 (Mobile Phishing Spotlight Report), Il apparaît que les attaques de type phishing sur les terminaux mobiles en entreprise ont bondi de 37% sur le premier semestre de l’année. Passant de l’entreprise au domicile, les télétravailleurs ont utilisé leurs mobiles et n’ont plus été protégés par les infrastructures de sécurité internes de leur entreprise, et les cybercriminels le savent.  Il n’est pas étonnant dans ces conditions que les malfaiteurs se soient aussi intéressés aux mobiles. De leur point de vue, le phishing mobile est souvent le moyen le moins cher de compromettre un individu ou une organisation.
 
L’usage de terminaux « hors de contrôle » du service informatique est un facteur de risque aggravant, car la sécurité n’est pas gérée, et elle peut être trop faible, voire inexistante. L’autre risque est le contrôle de l’identité de l’usager, en cas de vol d’informations, les connexions distantes sur le Système d’Information ne peuvent pas être identifiées comme illégitimes. Une authentification à deux facteurs permet de renforcer la sécurité du Système d’Information en télétravail, mais n’empêche en rien le phishing à proprement parler.

A propos de l'auteur : Stéphane Prunier est responsable BU infra & Cloud du groupe Ténor.
 

Le volume des données perdues par les entreprises a augmenté de 400% entre 2013 et 2014. Les tendances telles que l'augmentation de l'utilisation du cloud et des appareils mobiles sur le lieu de travail sont en partie responsables - EMC rapporte que 62% des entreprises interrogées ont déclaré que ces nouveaux environnements de données sont difficiles à protéger et 51% d'entre elles n'ont pas de plan de récupération de données après un sinistre sur ces environnements. IT Web, rapporte que le coût des violations des données et de la perte de données atteindra 2,1 billions de dollars d'ici 2019 à mesure que les données des consommateurs et des entreprises seront numérisées.

Juniper Research2 a indiqué que la plupart de ces violations de données proviendraient de l'infrastructure de réseau existante et des systèmes informatiques, plutôt que des technologies émergentes. Un rapport de Vérizon3 de 2016 sur les violations entrainant des pertes de données suggère que les « petites » infractions de données entraine un coût moyen de 18 120 $ à 35 730 $, pouvant atteindre jusqu'à 555 660 $. Les grandes violations entrainant des pertes de données (100 millions de données ou plus) coûtent en moyenne entre 5 et 15,6 millions de dollars et peuvent atteindre jusqu'à 200 millions de dollars. Bien que les experts ne s'entendent pas sur les chiffres exacts - ou sur la façon de mesurer le coût de la perte de données - il est clair que la perte d'informations entraine une pénalité financière importante.

En ce qui concerne la perte de données, l'argent n'est que la partie immergée de l'iceberg. Les attaques entrainent un coût lié au « ralentissement de la productivité » suite à la perte de données. Cela se produit lorsque les réseaux deviennent lents ou ne répondent pas, obligeant les employés à travailler en mode hors connexion, mais aussi lorsque le salarié recherche une donnée perdue ce qui réduit considérablement sa productivité. Même lorsque l'infrastructure informatique tourne au ralenti, les entreprises payent toujours les prestations de réseau et les salaires des salariés. Le temps est perdu lors d'une violation ou d'une fuite de données, car la récupération peut prendre plusieurs heures ou jours. Au cours du processus de récupération, aucun nouveau travail ne peut être effectué et l'entreprise est à l'arrêt et perd de l'argent.

Les efforts de récupération peuvent également arrêter tout développement de produits ou de services, retardant de fait, leur mise sur le marché. Antoine Valette, Business Manager, Kroll Ontrack France indique « nous avons compris l'importance vitale pour les entreprises de récupérer leurs données dans un délai très serré, aussi nos équipes sont mobilisées 24h/24, 7j/7. » La perte de données peut également entrainer une amende ou une enquête judiciaire sur les pratiques de stockage et de sécurisation des informations. Dans certains cas, cela peut entraîner une condamnation judiciaire des autorités (jusqu'à 5% du CA) ou des consommateurs, ce qui entraîne une nouvelle augmentation du coût d'une violation des données. Récemment, des utilisateurs américains de Windows 10 ont attaqué le géant mondial de l'informatique Microsoft et lui réclament plusieurs millions de dommages et intérêts. En cause : l'installation « forcée » de Windows 10 qui aurait endommagé leur matériel et entrainé la perte de leurs données.

II existe de multiples façons pour une entreprise de perdre ses données. Les violations des données causées par des acteurs malveillants. On a vu ces dernières années l'explosion des vols de données et demandes de rançon (ransomware). David Logue, ingénieur et expert en ransomware chez Kroll Ontrack, indique : « Chez Kroll Ontrack, nous conseillons de ne pas payer la rançon. Très souvent, les victimes qui payent leurs agresseurs ne revoient jamais les données séquestrées. Nous avons développé des logiciels et des outils pour déchiffrer les données « prises en otage ». Il existe plusieurs méthodes utilisées pour déchiffrer les différentes souches de ransomware – nous avons identifié plus de 225 souches et défini des processus de déchiffrement pour plus de 80 d'entre elles, les développeurs de ransomware le savent, et pour faire en sorte que l'argent continue à rentrer, les nouvelles variantes de ransomware récemment développées ciblent à présent ces sauvegardes. C'est pourquoi il est important d'avoir un bon plan de sauvegarde et de récupération, de prendre soin de tester les sauvegardes et d'informer les utilisateurs sur ce à quoi peut ressembler une potentielle attaque par ransomware. »

Les violations peuvent également être faites par des initiés. Dans certains cas, ce sont des anciens employés mécontents qui ont toujours accès à des systèmes de réseau. Selon Heimdal Security4, 59% des employés volent des données d'entreprise propriétaires lorsqu'ils quittent ou sont licenciés. Parfois, ce sont des employés ayant de bonnes intentions qui enfreignent accidentellement les politiques de sécurité des données en essayant de remplir les tâches assignées en utilisant des services technologiques qui ne sont pas approuvés par les administrateurs informatiques locaux. La perte de données peut également se produire en raison d'une défaillance matérielle, de problèmes de compatibilité de logiciels ou de l'interaction des systèmes et cloud.

Les périphériques mobiles, quant à eux, présentent un autre problème. De nombreux employés préfèrent utiliser des dispositifs personnels pour accéder aux fichiers de l'entreprise et exigent maintenant la possibilité de travailler à la maison et au bureau. Par conséquent, des informations très sensibles sont souvent transmises sur des réseaux sans fil domestiques ou même des connexions publiques, mettant ces données en danger. Ici, la prévention des pertes se concentre autour de deux politiques : le contrôle et l'authentification du réseau. Les données ne doivent être transmises que sur des réseaux sécurisés et les utilisateurs devraient être tenus d'utiliser au moins une authentification à deux facteurs pour réduire les chances d'accès si un périphérique mobile est perdu ou volé.

Les entreprises sont désireuses de stocker autant de données que possible pendant aussi longtemps que nécessaire. Il en résulte des masses de données qui contiennent des quantités d'informations personnelles et commerciales essentielles. « Il n'est pas rare qu'un client nous dise que son entreprise possède une centaine de bandes de sauvegarde datant de dix ans dans une salle de stockage et ne sait pas trop quelles informations y sont stockées » indique Antoine Valette. « Les métiers régulés tels que les secteurs bancaires et de la santé doivent garantir l'accès aux données réglementées pendant un certain temps pour des raisons juridiques. Elles sont obligées non seulement de conserver les bandes physiques, mais également les coûteux systèmes nécessaires à la restauration des données de ces bandes.

D'après une récente étude mondiale réalisée par Kroll Ontrack auprès de 720 administrateurs informatiques, 37 % des entreprises exploitent simultanément plusieurs systèmes de sauvegarde, ce qui accroît considérablement le coût et la complexité de la gestion des données. De plus, 34 % des entreprises stockent et gèrent plus de 100 bandes et plus de 50 % prévoient de remplacer leur système de sauvegarde dans les deux ans à venir, augmentant ainsi le nombre de systèmes à gérer. « Lorsque les entreprises se retrouvent alors avec de multiples systèmes à gérer, il est nécessaire d'évaluer les stratégies de gestion des données archivées et il devient impératif de prendre les décisions appropriées pour garantir l'accès aux données, leur préservation, leur migration et leur suppression en toute sécurité », ajoute Antoine Valette.

Pionnier avec la première récupération de données en 1987, Kroll Ontrack est à la pointe des évolutions technologiques grâce à ses 200 ingénieurs en Recherche et Développement et permet une récupération des données des particuliers et entreprises sur tous les systèmes de sauvegarde : Disque dur, Disque SSD, Serveur, Smartphone / Tablette, Mémoire Flash, Bande magnétique, Ordinateur & Laptop, Système virtuel, Système RAID, NAS, SAN, DAS, Apple, Cloud. « Chez Kroll Ontrack, nous posons le problème autrement. Depuis presque 30 ans nos ingénieurs se penchent sur les problèmes de perte de données et accumulent les réussites. Ils sont arrivés à la conclusion que les données sont récupérables dans la plupart des cas, quelles que soient les circonstances.

Si vous perdez des données, demandez tout de suite l'avis d'un expert qualifié sur ce qu'il convient de faire avant d'entreprendre quoi que ce soit. Il existe un décalage entre la perception du client et la réalité : 78% d'entre eux pensent que leur perte de données provient d'un problème matériel, et que le seul moyen de les récupérer est donc de renvoyer leur disque dur pour une récupération de données en laboratoire. Or, nous constatons que seulement 56% des situations de perte de données résultent de problèmes matériels. » explique Antoine Valette

Avec une foule de coûts et de causes, il semble très difficile pour les entreprises de lutter contre le fléau de la perte de données, mais quelques préconisations peuvent être respectées pour réduire les risques : La sauvegarde des données des entreprises de façon régulière. Cela peut être effectué sur le site ou utiliser une installation de stockage basée sur le cloud dont le bénéfice est le temps de récupération plus rapide en cas de perte. Les employés doivent également être informés de l'importance de la prévention de la perte de données et des moyens pour éviter les erreurs courantes, comme l'ouverture de pièces jointes inconnues ou le téléchargement d'applications provenant de sources inconnues. 

L'élaboration d'un ensemble de normes de classification des données pour identifier les données essentielles pour les opérations quotidiennes et s'assurer que cette information a la priorité de restauration la plus élevée en cas de perte.  L'accès est un autre moyen de protéger les données : il faut s'assurer que seuls les employés et les dirigeants directement liés à un projet ont accès à des informations pertinentes. Le coût réel de la perte de données est une combinaison d'argent, de temps et de productivité réduite. Eviter une perte de données consiste à identifier les facteurs de menaces et construire une politique de « Data Loss Prevention » pour résoudre ces problèmes.

Hadopi ne recule devant rien et le ridicule ne lui fait pas peur. Malgré son échec pour lutter contre le piratage, l’institution persiste et signe. Et, pour faire cela joliment, elle réalise une campagne de communication (spots TV + presse écrite) d’un budget de trois millions d’euros. L’objectif est de promouvoir le label d’Hadopi, Pur (Promotion des usages responsables). Le site pour vocation de répertorier tous les sites proposant le téléchargement légal des œuvres.

https://www.economieetsociete.com/video/
Campagne de pub de l'Hadopi par Nouvelobs

Mais rassurez-vous, l’industrie du cinéma et de la musique n’y a pas contribué, la campagne a été intégralement financée par les contribuables. Il est, bien sûr, important de rajouter que cet argent a été jeté par la fenêtre puisqu’il ne répond pas aux véritables enjeux économiques que pose le piratage. Au moins, cela aura eu le mérite de faire vivre une agence de pub en manque d’imagination. Il est également assez triste de voir ce qu’Hadopi considère comme de la création. Ça donnerait presque envie de télécharger illégalement... Enfin, la vidéo parle d’elle-même. Je m’arrêterai donc là dans les commentaires.

Chaque vendredi, retrouvez le pire et le meilleur du Web pour ne rien rater de l'actualité économique et sociale de la semaine.

L’informatique n’est pas « green friendly »

La distribution asphyxie la presse

Le piratage part à l’abordage de l’emploi

Adam Smith et les banques

Régionales : les programmes se mettent au vert