Le vieil adage selon lequel « rien n’est certain, sauf la mort et les impôts » devrait être élargi pour inclure les évolutions du paysage de la cybersécurité. Les professionnels de la cybersécurité et les dirigeants d’entreprise peuvent contribuer à réduire les menaces qui pèsent sur leurs organisations s’ils savent ce qui se passe dans ce paysage en constante évolution.
Alors que les cybermenaces continuent de mettre à rude épreuve même les entreprises les plus aguerries, se projeter vers 2023 peut nous aider à mettre de l’ordre dans nos affaires en matière de cybersécurité.
Voici un aperçu des cinq grandes tendances en matière de cybersécurité à l’aube de l’année 2023.
Les personnes restent une cible dans le domaine de la cybersécurité
Le facteur humain en matière de cybersécurité constitue depuis de nombreuses années un défi dans tous les secteurs. Les êtres humains représentent le maillon faible d’une chaîne complexe qui conduit à des fuites de données, des infections par des ransomwares et d’autres incidents graves. Les cybercriminels exploitent les employés ; cette tactique a considérablement accru le taux de réussite des escroqueries et des cyberattaques en raison de la faillibilité de l’opérateur humain.
La pandémie de Covid-19 a donné aux cybercriminels le goût des cyberattaques reposant sur des tactiques telles que les escroqueries et le phishing. Pour preuve, une analyse réalisée par l’ISACA a révélé que la moitié de toutes les fuites de données sont liées aux actions des employés. Cibler un employé est considéré comme une proie facile par les cybercriminels, car cela peut leur fournir un point d’entrée vers l’ensemble du réseau de l’entreprise. Une fois à l’intérieur du réseau, des cyberattaques, notamment des infections par des ransomwares, des attaques de type « Business Email Compromise » (BEC) et d’autres attaques par logiciels malveillants, peuvent alors avoir lieu.
Tendance en matière de cybersécurité : le rapport « Data Breach Investigations Report » (DBIR) de Verizon pour 2021 et 2022 montre que l’erreur humaine était à l’origine respectivement de 85 % et 82 % des fuites de données. Le facteur humain dans les cyberattaques devrait se maintenir à ce niveau en 2023.
Comment faire face à cette tendance en matière de cybersécurité : contribuez à réduire le risque humain dans l’écosystème cybernétique en organisant régulièrement des simulations d’hameçonnage et des formations de sensibilisation à la sécurité.
Les « deepfakes » et le chantage
La technologie du deepfake est utilisée à de nombreuses fins légitimes, telles que la création d’avatars de jeux vidéo ou la diffusion de cours. Cependant, cette même technologie constitue un outil idéal pour amener les gens à croire ou à faire quelque chose qui profite à un cybercriminel. Le problème est que les vidéos et les fichiers audio de type deepfake peuvent être difficiles à distinguer des originaux. Dans un sondage réalisé par iProov, 43 % des personnes interrogées ont déclaré ne pas pouvoir faire la différence entre une vidéo authentique et un deepfake.
Tendance en matière de cybersécurité : les deepfakes ont déjà été utilisés dans le cadre d’escroqueries de type BEC. L’exemple classique est celui d’un PDG qui s’est fait escroquer de 243 000 dollars (210 000 livres sterling) par un deepfake vocal (deepfake vishing). Les escroqueries par extorsion constituent un autre domaine dans lequel les deepfakes pourraient devenir un problème majeur.
Prenons par exemple un « deepfake » consistant en une vidéo convaincante montrant un PDG ou un membre du conseil d’administration dans une situation compromettante ou tenant des propos haineux. Ce scénario est mis en avant par Europol, qui s’attend à ce que la technologie du « deepfake » soit utilisée pour mener des attaques contre des cadres de haut niveau, pour falsifier des preuves et pour produire de la pornographie non consentie.
Comment atténuer cette tendance en matière de cybersécurité : une combinaison de technologies et de vigilance axée sur l’humain peut contribuer à endiguer cette tendance croissante. Les collaborateurs doivent être sensibilisés au problème imminent que représente l’extorsion par deepfake. Les dirigeants et le conseil d’administration doivent être associés à la sensibilisation à la sécurité face aux escroqueries par deepfake. Il convient également de mettre en place des contrôles et des contrepoids pour les virements bancaires dépassant un certain montant. Les solutions de cybersécurité basées sur l’IA peuvent également contribuer à la prévention des deepfakes.
Fraude à l’identité synthétique persistante
L’usurpation d’identité est un problème de plus en plus répandu dans le monde entier. Selon un rapport publié en 2022 par Experian, la moitié des consommateurs ont soit été victimes d’une fraude, soit connaissent quelqu’un qui en a été victime.
Ces identités frauduleuses contribueront probablement aux pertes liées à la fraude dans le commerce électronique, estimées à plus de 48 milliards de dollars pour 2023: pour créer une identité synthétique, les fraudeurs combinent des données personnelles volées et des données falsifiées ; de plus en plus, ils ont recours à des « deepfakes » pour enrichir ces données. Ces identités synthétiques sont ensuite utilisées pour créer des comptes bancaires, des comptes sur les réseaux sociaux et d’autres comptes d’identité en apparence légitimes.
Tendance en matière de cybersécurité : les comptes créés à partir d’identités synthétiques ont besoin de données. Ces données sont achetées sur des places de marché du dark web ou volées sur commande auprès de personnes ciblées. Un compte créé à partir d’une identité synthétique sert à inciter les entreprises à accorder des crédits ou à créer de nouveaux comptes dans leur système. Il en résulte une perte de confiance des consommateurs envers les entreprises, ainsi qu’une perte de chiffre d’affaires. Bien que l’identité synthétique ne soit pas un phénomène nouveau dans le domaine de la cybercriminalité, elle est très lucrative ; on s’attend donc à ce que ses auteurs continuent de trouver de nouvelles cibles pour leurs attaques.
Comment faire face à cette tendance en matière de cybersécurité : les données volées ou exposées constituent le point de départ de la fraude à l’identité synthétique. Réduisez le risque de fuites de données en luttant contre le phishing grâce à des exercices de simulation de phishing.
Augmentation des escroqueries liées à la cybersécurité en raison de la récession mondiale
Selon la Banque mondiale, «le monde pourrait se diriger vers une récession mondiale en 2023 et vers une série de crises financières dans les marchés émergents et les économies en développement, qui leur causeraient un préjudice durable ». L’histoire nous enseigne que les fraudes et les escroqueries se multiplient lorsque des événements défavorables majeurs se produisent.
Par exemple, pendant et après la crise bancaire de la fin des années 2000, une enquête menée auprès d’experts en fraude a révélé que 55 % des personnes interrogées avaient été confrontées à des cas de fraude, qu’ils soient mineurs ou importants. La pandémie de Covid-19 a entraîné une augmentation similaire des escroqueries et des fraudes ; un rapport de TransUnion a fait état d’une hausse de 149 % des tentatives de fraude au premier trimestre 2021.
Tendance en matière de cybersécurité : alors que le monde entre en récession, attendez-vous à ce que les escrocs intensifient la pression sur votre organisation. Cette pression se traduira par une recrudescence des attaques par hameçonnage, des escroqueries de type BEC, des infections par ransomware et d’autres cyberattaques à caractère financier.
Comment faire face à cette tendance en matière de cybersécurité : pour lutter contre la recrudescence des escroqueries, une approche à plusieurs niveaux s’impose. Mettez en place une stratégie de cybersécurité solide qui intègre à la fois des mesures techniques et des mesures axées sur le facteur humain.
Un réseau de logiciels malveillants
La guerre d’usure qui oppose les cybercriminels aux organisations a donné lieu à des tactiques de contournement qui s’appuient sur des écosystèmes complexes de logiciels malveillants. La chaîne d’attaque comporte souvent plusieurs points d’attaque et recourt à des méthodes de plus en plus sophistiquées pour dérober les identifiants de connexion.
Cet écosystème de plus en plus complexe, utilisé pour faciliter une cyberattaque, a été décrit dans un récent article de blog de Microsoft consacré au ver « Raspberry Robin »: Microsoft soupçonne que des techniques d’ingénierie sociale sont utilisées pour inciter les utilisateurs à cliquer sur un fichier .LNK ou à insérer une clé USB infectée. Mais l’histoire ne s’arrête pas là. Selon les chercheurs de Microsoft, Raspberry Robin fait partie d’un vaste écosystème de logiciels malveillants, ce ver facilitant l’installation d’autres logiciels malveillants, notamment des ransomwares.
Microsoft en conclut que «Les logiciels malveillants utilisés par les cybercriminels constituent aujourd’hui une menace omniprésente pour la plupart des organisations ; ils exploitent les failles courantes des stratégies de sécurité et recourent à l’ingénierie sociale pour piéger les utilisateurs. Presque toutes les organisations risquent d’être confrontées à ces menaces. »
Tendance en matière de cybersécurité : « Raspberry Robin » illustre bien comment les cybercriminels et les écosystèmes de tactiques posent de sérieux défis pour la détection des cyberattaques. Il faut s’attendre à ce que cette tendance se poursuive en 2023, avec des cyberattaques intégrées et composées de plusieurs volets, qui intègrent de multiples menaces et placent l’être humain au cœur d’un réseau de logiciels malveillants.
Comment faire face à cette tendance en matière de cybersécurité : une stratégie de sécurité solide doit répondre à cet écosystème de cyberattaques à plusieurs niveaux par des mesures tout aussi multidimensionnelles. Ces mesures doivent inclure des dispositifs technologiques tels qu’une authentification robuste, une approche de sécurité « zero trust », le chiffrement et le filtrage intelligent des contenus. Toutefois, le facteur humain continuera d’ouvrir des brèches dont les cybercriminels tirent parti ; c’est pourquoi les mesures technologiques doivent être complétées par une formation à la sensibilisation à la sécurité axée sur l’humain.
Il ne fait aucun doute que les cybercriminels continueront à cibler nos collaborateurs tout au long de l’année 2023 et au-delà. Le seul moyen de contrer ces écosystèmes complexes de menaces qui reposent sur l’ingénierie sociale consiste à fournir à notre personnel les outils nécessaires pour se protéger et protéger l’entreprise.
Une formation à la sensibilisation à la sécurité, complétée par des exercices de simulation d’hameçonnage, devrait s’inscrire dans le cadre d’une approche globale de la sécurité. À l’approche de 2023, il est urgent de mettre en place ces mesures. Toutefois, c’est une action coordonnée qui permettra d’assurer la protection nécessaire pour mettre un terme aux agissements des cybercriminels.