Les données relatives aux soins de santé font partie des dossiers les plus précieux pour les escrocs. Chaque dossier contient des informations de contact, des numéros de sécurité sociale et potentiellement des comptes financiers.
Un attaquant pourrait vendre ces informations sur le darknet ou les utiliser dans le cadre d’une usurpation d’identité pour différentes raisons.
Quelle que soit la motivation des pirates informatiques, ces dossiers sont une cible de choix pour eux, et les campagnes de phishing visent à faire des prestataires de soins de santé les prochaines victimes.
Des millions de dossiers médicaux volés par le phishing
Depuis la pandémie, de plus en plus de personnes se préoccupent de leur santé ; se rendent dans les hôpitaux pour les tests COVID et souhaitent se faire vacciner. Les hôpitaux ont été submergés de patients et d’employés fatigués, ce qui a entraîné une vulnérabilité supplémentaire due aux erreurs humaines.
Les campagnes de phishing tirent parti des erreurs humaines et de l’incapacité d’un employé à remarquer les signaux d’alarme. Pour eux, les employés fatigués sont de meilleures cibles, et ils sont conscients des nombreux problèmes rencontrés dans les hôpitaux pendant le COVID et les fermetures pour cause de pandémie.
En 2021, des millions de dossiers de patients ont été volés, principalement lors d’attaques de phishing. Le prestataire de soins de santé New York American Anesthesiology a été par exemple victime d’une campagne de phishing qui a touché plus de 1,3 million de patients.
Le ministère de la Santé et des Services sociaux a également été victime d’une attaque au cours de laquelle environ 9,4 millions de dossiers des patients ont été exposés à des escrocs.
Tout prestataire de soins de santé responsable d’une violation de données doit en informer les patients, conformément à la loi de 1996 sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA).
Le Department of Health and Human Services (ministère de la Santé et des Services sociaux) a mis en place une page web où les incidents peuvent être signalés, et les patients peuvent vérifier quand et où la violation s’est produite afin de savoir s’ils pourraient être la prochaine cible d’un vol d’identité.
Depuis le 1er janvier 2021, de nombreuses autres attaques par ransomware et de phishing ont été à l’origine de violations de données dans le secteur de la santé.
Comme les dossiers médicaux contiennent des informations personnellement identifiables, ils ont de la valeur sur le darknet. Tout patient qui pense que ses données ont été divulguées doit surveiller ses rapports de crédit et être à l’affût des courriels de phishing destinés à faire plus d’argent sur le dos de la victime.
Protéger le courrier électronique professionnel contre le phishing
Les campagnes de phishing peuvent être ciblées sur des individus avec des attaques à haut niveau de privilèges, ou elles peuvent être aléatoires lorsque des millions d’utilisateurs reçoivent le même email.
Les attaques non ciblées privilégient la quantité à la qualité. Les escrocs espèrent qu’un petit pourcentage de personnes se laissera prendre au message de phishing. Avec une seule campagne, et même avec un faible pourcentage de victimes, ils peuvent toutefois générer des milliers d’euros de revenus.
Les campagnes de spear-phishing sont beaucoup plus ciblées et efficaces. Les pirates choisissent d’envoyer moins de messages électroniques aux utilisateurs ciblés, mais la campagne peut être beaucoup plus puissante.
Avec un compte à haut niveau de privilège ou l’installation réussie d’un ransomware, un attaquant peut gagner des millions grâce à ses efforts.
Lors d’une attaque de ransomware qui cible les organisations, les pirates peuvent demander des milliers d’euros en échange de clés privées pour déchiffrer les données. Ils peuvent également utiliser les informations d’identification qu’ils ont volées pour exfiltrer des données des serveurs de l’organisation.
Ces deux types de campagnes de phishing nuisent à la réputation d’un établissement de soins et de santé ainsi qu’à la confidentialité des données de ses patients.
C’est pour cette raison que les prestataires de soins de santé et les autres organisations doivent prendre plusieurs mesures pour protéger les utilisateurs contre le phishing.
Les utilisateurs n’ont pas la formation nécessaire pour identifier les campagnes de phishing, mais même les administrateurs informatiques sont victimes de ces attaques.
La meilleure façon de protéger les utilisateurs est d’empêcher les messages malveillants d’atteindre les boîtes de réception des destinataires ciblés. Cela peut se faire à l’aide de filtres de messagerie.
La cybersécurité sur les serveurs de messagerie est la première défense contre le phishing. Les filtres de messagerie qui exploitent l’intelligence artificielle fonctionnent encore mieux pour détecter les messages malveillants et les mettre en quarantaine avant qu’ils n’atteignent la boîte de réception du destinataire ciblé.
Même si les emails sont mis en quarantaine, ils sont toujours accessibles aux administrateurs pour examen, mais ils sont inaccessibles aux utilisateurs standards qui pourraient ne pas se rendre compte qu’un message est malveillant.
Les pièces jointes sont souvent utilisées pour inciter les utilisateurs à installer des ransomwares sur le réseau de votre organisation.
Les ransomwares constituent une autre attaque dangereuse visant la confidentialité et l’intégrité des données. Les pirates l’utilisent souvent contre les prestataires de soins de santé, sachant qu’ils peuvent paralyser les flux de travail et la productivité de votre organisation.
Sachez que les systèmes de cybersécurité du courrier électronique peuvent détecter les pièces jointes qui pourraient contenir des macros utilisées pour télécharger des ransomwares et les installer sur les systèmes de votre organisation.
Une cybersécurité multicouche est essentielle pour protéger le secteur de la santé contre les menaces avancées telles que le phishing et les ransomwares.
Sans une approche de cybersécurité à plusieurs niveaux, d’autres prestataires de soins de santé pourraient être victimes de la prochaine grande violation de données.
En utilisant le bon filtre de courrier électronique et les filtres de contenu web, vous pouvez réduire les risques liés aux erreurs humaines et confier la détection des campagnes de phishing aux contrôles de cybersécurité.
Un filtre d’email détecte les messages, met en quarantaine les emails suspects. Il donne également plus de contrôle aux administrateurs pour les permettre de les examiner à la recherche de contenu malveillant. Si l’administrateur détermine que le message mis en quarantaine est un faux positif, il peut alors le transmettre au destinataire prévu.
Ces contrôles permettent de stopper de nombreuses campagnes de phishing et de réduire les risques que votre organisation devienne la prochaine victime d’une violation de données médicales.
TitanHQ offre une sécurité multicouche avancée pour protéger votre organisation contre les ransomwares, les attaques de phishing et les violations de données.
Contactez l’un de nos experts en cybersécurité dès aujourd’hui pour savoir comment nous pouvons protéger votre organisation.
Les cybercriminels ont trouvé de nouveaux moyens de cibler leurs victimes avec de faux prêts PPP grâce à une campagne de phishing.
À la suite de la pandémie et du blocage de nombreuses entreprises par le COVID-19, les entreprises américaines se sont vu offrir un moyen de rester à flot sous la forme d’un prêt PPP.
Le « Paycheck Protection Program » est un prêt d’urgence mis en place par le gouvernement américain et destiné aux petites entreprises exerçant aux États-Unis pour les aider à stabiliser leurs charges salariales et d’autres coûts commerciaux.
En fait, les banques et autres prêteurs accordent des fonds aux entreprises en fonction de leur chiffre d’affaires, de leur taille et du nombre d’employés. Même les petites entreprises ont pu obtenir un prêt PPP pour les aider à couvrir leurs salaires et autres dépenses.
Pour s’attaquer aux propriétaires d’entreprises désespérées, les auteurs de phishing ont créé une campagne qui leur promettait un prêt PPP lorsqu’ils cliquaient sur un lien où les attaquants pouvaient recueillir des informations sensibles sur eux.
Comment fonctionne cette arnaque de phishing ?
Comme de nombreuses petites entreprises avaient besoin de prêt PPP pour couvrir leurs dépenses, les pirates pouvaient choisir parmi des millions de cibles. Même les indépendants ayant une petite entreprise pouvaient prétendre à un prêt, à condition d’avoir des revenus et de remplir certains documents.
Il est courant que les attaques de phishing jouent sur la peur de l’avenir et le sentiment d’urgence d’obtenir un financement des utilisateurs ciblés, et le prêt PPP était le moyen idéal pour les inciter à divulguer des informations sensibles.
L’email contenait un lien vers un formulaire Microsoft Office dans lequel les utilisateurs étaient invités à fournir leur numéro de sécurité sociale, leur nom et leur date de naissance. Ces informations peuvent être utilisées pour ouvrir des comptes de carte de crédit et d’autres comptes financiers.
Dans des circonstances normales, n’importe quel destinataire de l’email de phishing aurait pu comprendre que ledit formulaire Office pouvait être malveillant. Mais cette fois, les attaquants ont joué sur les craintes et le sentiment d’urgence des propriétaires d’entreprises pour obtenir un soutien financier.
Pour rendre la chose plus crédible, les escrocs ont également demandé des informations sur l’entreprise, telles que les revenus, le coût des opérations et le coût des marchandises et des fournitures nécessaires au fonctionnement de l’organisation.
Si un utilisateur professionnel examinait les qualifications et les documents demandés, la proposition pourrait lui sembler légitime et nécessaire. De plus, les questions qui ont été posées ont donné à l’attaque de phishing un sentiment de légitimité.
Comme de nombreuses attaques de phishing, l’adresse de l’expéditeur était un domaine malveillant qui ressemblait au domaine officiel du gouvernement, à savoir payments@sba.pppgov.com.
Là encore, sans le sentiment d’urgence, un quelconque destinataire qui regarde minutieusement l’adresse pourrait remarquer que le domaine de l’expéditeur se termine par le suffixe « .com » plutôt que par l’extension officielle du gouvernement « .gov ». Néanmoins, l’attaque a joué sur la peur de l’avenir et le besoin de soutien financier des destinataires du message.
Vol d’informations d’identification Microsoft Office
Outre le vol d’informations sensibles, l’objectif principal de l’attaque était d’obtenir les informations d’identification d’utilisateurs sans méfiance de Microsoft Office. Lorsque les utilisateurs cliquent sur un lien dans le message de phishing, une page de connexion Microsoft Office usurpée leur était présentée.
En règle générale, les utilisateurs ne devraient jamais saisir d’informations d’identification après avoir cliqué sur un lien dans un email, mais beaucoup d’entre eux ne respectent pas cette norme de cybersécurité. Ils saisissent leurs informations d’identification après avoir ouvert une page web malveillante à partir d’un email de phishing.
Les utilisateurs peuvent éviter ce type d’attaque en tapant simplement le soi-disant site intégré au message dans leur navigateur, plutôt que de saisir des informations d’identification à partir du lien fourni dans le message. En fait, il s’agit d’une méthode courante pour les inciter à divulguer des données sensibles, notamment des informations d’identification.
Plusieurs attaques de phishing utilisent également des graphiques et des mises en page de pages de destination usurpées qui imitent un site officiel d’une marque connue comme Microsoft, PayPal, Google et des institutions bancaires.
Un autre moyen d’éviter d’être victime de ce type d’attaque est d’utiliser l’authentification à deux facteurs. Même si les utilisateurs les plus avertis se laissent parfois prendre au piège d’une attaque de phishing, l’authentification à deux facteurs peut empêcher les attaquants de s’authentifier sur un compte avec un mot de passe volé.
Bien qu’il ne faille pas vous fier entièrement à l’authentification à deux facteurs pour vous protéger des escroqueries de phishing, sachez qu’elle ajoute une couche de cybersécurité à vos comptes au cas où vos informations d’identification seraient exposées.
Protéger les emails avec des filtres web
Les filtres de messagerie électronique bloquent la plupart des campagnes de phishing courantes. Comme cette campagne cible les entreprises, ils empêcheront par exemple les emails malveillants d’arriver dans la boîte de réception du propriétaire et des employés d’entreprise.
Par conséquent, ce type de cybersécurité réduit donc considérablement les effets du phishing, tout en protégeant les organisations d’un accès non autorisé à partir d’informations d’identification volées.
Non seulement les filtres de messagerie électronique empêchent les messages d’atteindre les boîtes de réception des destinataires des emails de phishing, mais ils permettent également aux administrateurs d’examiner les messages malveillants.
Ainsi, l’administrateur peut confirmer que le message est malveillant ou l’envoyer dans la boîte de réception des utilisateurs finaux dans un scénario de faux positif. En même temps, l’examen par l’administrateur permet à l’intelligence artificielle de s’entraîner à mieux différencier les messages malveillants des messages légitimes.
Enfin, les utilisateurs doivent être formés pour identifier les messages de phishing malveillants au cas où un attaquant parviendrait à contourner un filtre de messagerie.
Les bons filtres de messagerie bloqueront le phishing en se basant sur l’intelligence artificielle et d’autres méthodes de détection. Il s’agit de la première défense contre les campagnes de phishing, y compris les plus récentes qui s’appuient sur la peur et l’urgence suscitées par les blocages liés à la pandémie du Covid-19.
Si vous les combinez avec l’éducation des employés à la cybersécurité, votre entreprise pourra réduire drastiquement le risque de violation de données liée au phishing.
La solution de protection des emails SpamTitan peut bloquer les spams, les virus, les malwares, les tentatives de phishing et bien d’autres menaces liées à la messagerie électronique, en les empêchant d’arriver dans les boîtes de réceptions de vos employés.
Pour découvrir comment notre solution peut protéger votre entreprise, découvrez la vidéo de démonstration de SpamTitan.
Le courrier électronique fait partie de notre vie quotidienne, notamment sur le lieu de travail. C’est un outil indispensable utilisé pour la communication et le marketing.
Il nous permet d’envoyer des fichiers et des documents, de discuter des stratégies d’entreprises à adopter et de rester en contact. Même à l’ère des applications de visioconférence comme Zoom, les échanges par email continue de prospérer.
En 2020, plus de 4 milliards de personnes utilisaient l’email, et 86 % des professionnels avaient recours à cet outil pour diffuser du contenu professionnel.
Lorsqu’une technologie a le vent en poupe, les cybercriminels suivent la tendance dans le but de trouver de nouvelles tactiques pour duper leurs victimes.
Et comme l’email est si omniprésent et fiable en tant que moyen de communication, il constitue le vecteur parfait pour leur permettre d’attaquer les organisations ou pour inciter d’autres victimes à exposer accidentellement leurs données sensibles.
Ce fait a été confirmé par un nouveau rapport qui prouve que le travail à distance exacerbe le problème de l’exposition des données via des emails.
95 % des données sont menacées par une exposition liée au courrier électronique
Le courrier électronique est l’un des canaux de prédilection des cybercriminels et 95 % des responsables informatiques déclarent que leurs données sont menacées par cet outil. En outre, 83 % des entreprises ont admis avoir subi une violation de données via la messagerie électronique au cours des 12 derniers mois.
Ces données, tirées du rapport Egress, décrivent une crise dans l’utilisation du courrier électronique. Néanmoins, il est peu probable que l’email soit remplacé par une autre technologie dans un avenir proche. Les limites des autres supports qui pourraient être utilisés pour remplacer l’email incluent l’incapacité à auditer et à gérer les données.
En fait, l’email restera une voie d’accès et de sortie pour les entreprises. Cette voie est exploitable et subit les pressions normales de tout système d’utilisation de masse, ce qui inclut les accidents et la simple mauvaise utilisation due au comportement humain et à une faible sensibilisation à la sécurité.
Pour atténuer les risques liés au courrier électronique, il est nécessaire de comprendre les menaces et les bonnes pratiques pour ne pas l’utiliser de façon abusive.
Ledit rapport a mis en évidence trois vecteurs clés qui, ensemble, forment une tempête parfaite de vulnérabilités inhérentes à l’utilisation du courrier électronique, notamment dans le contexte du travail à distance et de la pandémie du Covid-19.
1. Mésaventures et mauvais partage
La pandémie du Covid-19 a créé un dilemme. Les employés travaillant à domicile ont signalé qu’ils ne se sentaient pas bien et, par conséquent, des incidents liés au courrier électronique se sont produits.
Selon le rapport suscité, environ 73 % des employés ont déclaré se sentir stressés et fatigués pendant la pandémie, ce qui a augmenté le risque d’exposition accidentelle des données.
Les distractions liées au travail à domicile constituent un autre facteur d’exposition accidentelle. 60 % des employés ont également admis travailler dans des « environnements frustrants » et que la confidentialité était un facteur de risque, en particulier dans les bureaux partagés.
Le résultat du travail à distance en situation de pandémie est que, dans 24 % des cas, une violation des données via la messagerie électronique a été causée par un partage inapproprié ou accidentel des données. Au total, 59% des personnes interrogées ont déclaré avoir subi une fuite de données par email depuis la mise en œuvre du travail à distance causé par la pandémie.
2. Augmentation de l’utilisation du courrier électronique
Le fait que l’utilisation de l’email ait augmenté au cours de l’année écoulée exacerbe le niveau de risque de fuite de données via cet outil. En fait, le rapport Egress a révélé que 85 % des employés avaient utilisé davantage d’emails au cours des 12 derniers mois.
L’utilisation accrue de l’email augmente le risque d’exposition accidentelle de données, du simple fait du nombre d’emails envoyés et reçus chaque jour.
L’utilisation accrue de toute technologie en fait également une proposition attrayante pour les cybercriminels. Si le courrier électronique est un moyen d’entrer dans une organisation, ils trouveront un moyen de l’utiliser.
Ce fait a été confirmé par d’autres recherches montrant que les attaques de spear-phishing lancées via le courrier électronique ont augmenté de 667% pendant la pandémie du Covid-19.
3. Une mauvaise détection des cybermenaces
Les menaces inhérentes à l’utilisation massive d’une technologie, telle que le courrier électronique, nécessitent une détection robuste pour éviter qu’elles ne deviennent des incidents.
Une étude a mis en évidence un problème sérieux : alors que 79 % des responsables informatiques utilisent des outils de prévention contre la perte de données (DLP) pour la messagerie électronique, 42 % des personnes interrogées ont noté que la moitié des incidents ne seraient pas détectés par ces outils statiques.
En d’autres termes, les mécanismes de détection statiques et traditionnels peuvent être déjoués par la nature très dynamique des cybermenaces modernes, y compris l’exposition accidentelle des données sensibles.
De tous les problèmes relevés par les chercheurs, c’est le dernier qui est le plus préoccupant en termes de prévention des menaces véhiculées par le courrier électronique.
Le lieu de travail est un environnement dynamique, comme l’a si clairement démontré la pandémie. Le moyen de prévenir les menaces actuelles et futures est d’appliquer un système intelligent et plus dynamique conçu pour les cybermenaces modernes liées au courrier électronique.
Comment briser le cycle de la fuite de données ?
Le rapport susmentionné a réuni trois points clés, chacun ayant un impact sur l’autre, pour créer une tempête parfaite du courrier électronique en tant que système vulnérable et favorable pour les attaques.
La combinaison d’une exposition accidentelle, d’une dépendance accrue à l’égard du courrier électronique pour la communication et d’une mauvaise détection des menaces constitue une tripartition qu’il faut briser.
L’utilisation du courrier électronique restera importante, et les employés continueront à commettre des erreurs, comme la divulgation de leurs données sensibles. Pour faire avancer la détection des menaces cybercriminelles, il faut changer la troisième perspective et appliquer une détection robuste des menaces par courrier électronique.
En adoptant les outils de détection et d’atténuation des attaques lancées via les emails, vous pouvez briser le cycle de la fuite de données.
La protection de la messagerie électronique SpamTitan empêche les spams, les virus, les malwares, les tentatives de phishing et bien d’autres attaques lancées par le biais des emails de nuire à votre organisation.
Essayez SpamTitan pendant 14 jours et découvrez comment il peut protéger votre organisation contre les menaces avancées. Démarrer l’essai gratuit de SpamTitan dès aujourd’hui.
Comme toute grande organisation, les universités et autres établissements d’enseignement supérieur sont exposés à des risques de violation de données et de menaces de malwares.
Du point de vue des cybercriminels, les écoles et les universités représentent une cible très attrayante. En fait, les données personnelles et financières stockées sur les systèmes de données universitaires sont précieuses pour les escrocs pour leur permettre de mener différentes sortes d’attaques cybercriminelles.
Pour les écoles, les conséquences d’un malware peuvent être énormes
Les conséquences d’un vol de données sont considérables pour les établissements scolaires. Elles peuvent nuire à leur réputation ; impliquer la non-conformité de l’organisation au regard des législations en vigueur et impacter l’économie et le fonctionnement de l’établissement en général.
Suite à une attaque réussie, les établissements scolaires peuvent perdre des opportunités de financement, les frais d’inscription des étudiants et des revenus associés. Outre la perte de données sensibles, des poursuites judiciaires et d’autres sanctions pourraient également survenir. Il peut même y avoir des dommages qui paralysent l’infrastructure et les activités de l’institution.
Les attaques de malwares et de ransomwares contre les établissements scolaires ne sont pas rares
Prenons l’exemple de l’attaque de malware qui visait une école du Minnesota. Elle a été si grave, au point que l’établissement a dû fermer ses portes pendant une journée. Les réparations complètes des dommages avaient pris des semaines, alors qu’ils auraient pu être évités.
Une attaque de crypto-ransomware a récemment chiffré le réseau du district scolaire du New Jersey. La source de l’infection n’est pas claire. Elle pourrait résulter de l’ouverture d’une pièce jointe d’un e-mail malveillant ou d’une application malveillante, ou simplement de la consultation d’un site web contenant des publicités malveillantes.
La nature du campus universitaire et de son réseau informatique constitue la véritable différence entre les établissements d’enseignement supérieur et les entreprises. Composée de nombreux réseaux dispersés, l’infrastructure réseau des universités est souvent complexe.
Il s’agit d’environnements où le concept de sécurité stricte des données est traditionnellement inutile, voire indésirable. Lorsqu’une institution prospère grâce au libre échange de données et d’idées, elle ne peut pas facilement appliquer les mêmes mesures de sécurité que les grandes entreprises.
Pour les cybercriminels, tout est dans le timing
Pour les cybercriminels qui ciblent un établissement scolaire, le timing est primordial. Lorsqu’une nouvelle année scolaire commence, les escrocs segmentent leurs bases de données d’emails pour lancer des attaques ciblées pour accueillir les étudiants et les employés des écoles qui sont de retour via Internet.
Chaque année, les escrocs lancent de nouvelles campagnes de spam et de phishing au moment où les étudiants et élèves retournent en classe. Les faux e-mails de bienvenue, les e-mails de réinitialisation de mot de passe et les notifications bancaires ne sont que quelques-uns des thèmes utilisés par les spammeurs à cette période de l’année.
Trouver un équilibre entre les besoins informatiques et les besoins des enseignants
L’Internet a offert aux professionnels du secteur de l’éducation de grandes possibilités, mais aussi de grands maux de tête. Les enseignants s’efforcent de trouver la meilleure façon d’aider les enfants à utiliser Internet à l’école tout en les protégeant des dangers en ligne.
Le blocage de contenus inappropriés ne doit pas nécessairement nuire à l’apprentissage. Alors que les élèves passent de plus en plus de temps connectés au web, assurez-vous que leurs activités en ligne soient sécurisées, et ce, grâce à l’utilisation d’un filtre de contenu web adapté comme WebTitan.
Grâce à l’analyse du contenu des pages, cette solution de protection de TitanHQ peut suivre l’évolution constante de l’utilisation du web et s’y adapter.
Pourquoi les établissements d’enseignement ont-ils besoin de filtrer les contenus en ligne ?
Il y a plusieurs raisons différentes pour lesquelles les établissements d’enseignement devraient bloquer certains contenus qui sont diffusés sur la toile, notamment :
La sécurité des étudiants (protection contre les sites dangereux, inappropriés ou illégaux) ;
La sécurisation du réseau ;
L’identification des éventuelles cyberintimidations ;
La conformité à la CIPA (loi relative à la régulation du contenu préjudiciable aux mineurs lorsqu’ils naviguent sur Internet) ;
L’application des politiques d’utilisation acceptable d’Internet ;
Le contrôle de la bande passante ;
La capacité de surveillance des activités en ligne des utilisateurs du web.
Il est de votre devoir, en tant que propriétaire ou responsable d’un établissement scolaire, de fournir un environnement d’apprentissage sûr. En outre, vous êtes légalement tenue de mettre en place des mesures raisonnables et efficaces pour contrôler l’accès à Internet.
Il devrait toujours exister un juste équilibre entre ce qui doit être autorisé et les mesures de sécurité qui peuvent être mises en place. En fait, la sécurité dans toutes les organisations, commerciales ou universitaires, devrait être un compromis entre la probabilité et l’impact potentiel d’une attaque et le coût financier ou la perte d’utilité qui sont encourus pour se défendre.
Si vous voulez découvrir la façon dont la suite de solutions de sécurité réseau granulaire de TitanHQ répond aux exigences flexibles du secteur de l’éducation, contactez-nous dès aujourd’hui.
Située en Colombie-Britannique (Canada), l’université Simon Fraser a informé son personnel et ses étudiants d’une cyberattaque qui a touché l’un de ses serveurs en février. Les données d’environ 200 000 personnes pourraient avoir été compromises à la suite de cette cyberattaque.
Si les données exposées en question ne contenaient pas d’informations financières ou d’informations d’assurance, elles comprenaient des numéros d’identification d’étudiants et d’employés ainsi que des informations concernant les admissions et les résultats scolaires.
Heureusement, le service informatique interne de l’université a découvert la brèche suffisamment tôt pour l’isoler rapidement, limitant ainsi la portée de l’attaque. Suite à cela, l’université a informé toutes les personnes susceptibles d’avoir été exposées à ce risque et leur a conseillé de surveiller leurs comptes personnels pour détecter toute activité inhabituelle.
Malheureusement, ce n’était pas la première fois que cette université était confrontée à ce type d’événement. Un an plus tôt, elle avait subi une attaque de grande envergure de type ransomware 2.0.
En utilisant une approche actualisée, les pirates derrière le ransomware ont pu exfiltrer les données de l’entreprise avant de les chiffrer.
Même si l’organisation victime parvient à remédier elle-même à l’attaque via le chiffrement préalable de ses données, les attaquants disposent d’une méthode d’extorsion de secours grâce à laquelle ils peuvent menacer de vendre ou de rendre publiques les données compromises.
Lors de l’attaque qui s’est produite un an plus tôt, les données de plus de 250 000 personnes ont été compromises. Les informations comprenaient non seulement des numéros d’identification, mais aussi des noms, des dates de naissance, des informations de contact et des données de formulaires web.
L’université a pu se remettre de l’attaque par chiffrement en un jour, bien qu’elle ait refusé de dire si elle avait payé la rançon ou non. Rappelons qu’avant cet incident, elle avait encore subi d’autres cyberattaques de moindre envergure.
D’autres universités complètement perturbées
L’université Simon Fraser est loin d’être le seul établissement d’enseignement à avoir été touchée par des cyberattaques. Le 13 mars, le South and City College de Birmingham, en Angleterre, a publié un tweet informant tout le monde qu’il avait été victime d’une importante attaque de ransomware qui avait entraîné l’arrêt complet de toutes ses opérations informatiques.
L’établissement a dû recourir à l’apprentissage en ligne pour répondre aux besoins de ses 13 000 étudiants. L’enseignement en classe a été rétabli la semaine suivante, une fois que toutes les infrastructures touchées ont été de nouveau fonctionnelles.
L’année dernière, l’université de Californie à San Francisco a dû payer une rançon de plus de 938 000 euros après que sa faculté de médecine a dû cesser ses activités à la suite d’une attaque de ransomware.
L’université avait connu plusieurs tentatives infructueuses auparavant avant d’être totalement perturbée par cet assaut. D’autres écoles ont subi des attaques similaires en 2020, notamment l’université d’État du Michigan et le Columbia College de Chicago.
Selon un rapport publié par la société de cybersécurité, BlueVoyant, les attaques de ransomware contre les établissements d’enseignement supérieur ont doublé entre 2019 et 2020. Un autre rapport a révélé qu’ils constituent la principale cible d’un certain nombre de groupes de ransomwares parce qu’ils sont très lucratifs.
Pourquoi les établissements d’enseignement supérieur sont-ils des cibles de choix pour les pirates informatiques ?
Même si les collèges et les universités ne sont pas les seuls à devoir faire face aux attaques de ransomware, ils constituent une cible parfaite pour les pirates informatiques.
Selon un article du Wall Street Journal, des pirates ont ciblé plus de 27 universités aux États-Unis, au Canada et en Asie du Sud-Est. Leur objectif est de voler des recherches sur les technologies maritimes afin de les utiliser à des fins militaires.
Le fait que les établissements d’enseignement supérieur abritent tant de recherches précieuses et confidentielles en fait une cible de choix pour les pirates informatiques parrainés par des États-nations. L’autre raison est l’importance des dépôts d’informations personnelles identifiables de vastes populations d’étudiants.
Les cybercriminels peuvent utiliser les antécédents de crédit récents des jeunes étudiants et les utiliser pendant des années. Les collèges et les universités sont également plus enclins à payer des rançons que d’autres types d’organisations, car ils souhaitent limiter au maximum les perturbations liées à l’enseignement.
Les établissements d’enseignement sont considérés comme des environnements riches en cibles pour les pirates, mais leur culture ouverte et le manque de contrôles de sécurité les rendent encore particulièrement vulnérables. Leurs investissements dans les mesures de cybersécurité sont inférieurs à ceux de la plupart des autres secteurs.
Il est extrêmement difficile de mettre en œuvre des mesures minimales de cybersécurité dans des environnements BYOD – une pratique permettant aux étudiants et employés d’utiliser leurs appareils informatiques personnels dans leur lieu de travail — à grande échelle.
Pour aggraver les choses, les grandes universités utilisent une structure organisationnelle décentralisée qui permet à chaque département interne de prendre ses propres décisions informatiques. Cela les empêche d’établir des pratiques de cybersécurité standard dans l’ensemble de l’organisation.
En outre, les jeunes sont moins expérimentés en matière d’attaques sur les médias sociaux, ce qui les rend plus sensibles aux techniques de piratage. Comme les populations étudiantes changent chaque année, la formation à la cybersécurité est extrêmement difficile.
Conclusion sur les universités et les cyberattaques
Il ne fait aucun doute que la tendance à la hausse des cyberattaques contre les collèges et les universités va se poursuivre. Par conséquent, ces institutions doivent faire de la cybersécurité une priorité dans un avenir proche.
Les collèges et universités ont l’obligation de protéger leurs étudiants et leur personnel des cyberattaques. Sur ce point, sachez que TitanHQ peut aider les professionnels du secteur de l’éducation à protéger leurs établissements avec une sécurité multicouche.
Contactez l’équipe TitanHQ pour savoir comment nous pouvons protéger votre école ou votre université dès aujourd’hui.
Alors que l’actualité relative aux soins de santé en 2020 a été dominée par les titres concernant la pandémie du COVID-19, un autre sujet inquiétant est passé inaperçu pour beaucoup d’entre nous.
Selon le bureau des droits civils du ministère américain de la santé et des services sociaux, plus de fuites importantes de données médicales ont été signalées en 2020 qu’au cours des années précédentes.
Selon le rapport « 2020 Threat Landscape Report », la plus grande violation de données qui a impliqué la fuite de 22 milliards d’enregistrements de données personnelles en 2020 est imputable au secteur de la santé.
Par ailleurs, un article publié dans le journal HIPAA en janvier 2021 indique que nous ne parvenons pas à aplanir la courbe en matière de fuites de données :
Plus de 29 millions de dossiers médicaux ont été violés en 2020.
Les fuites de données liées aux soins de santé se sont produites à un taux de 1,76 par jour au cours de l’année.
Le nombre de fuites de données liées aux soins de santé a augmenté de 25 % d’une année sur l’autre.
642 fuites de données liées aux soins de santé de 500 enregistrements ou plus ont été signalées en 2020.
Une brèche concernait à elle seule plus de 10 millions d’enregistrements, tandis que 63 brèches ont porté sur plus de 100 000 enregistrements.
L’histoire cumulative n’est pas meilleure :
Le nombre de fuites de données de santé a doublé depuis 2014 et triplé depuis 2010.
Plus de 3 700 fuites de 500 enregistrements ou plus ont été signalées depuis octobre 2009, le nombre total d’enregistrements exposés s’élevant à plus de 64 millions d’euros.
La tendance est également à la hausse pour 2021. Au total, 56 fuites ont été signalées au cours des deux premiers mois de l’année seulement.
Causes des fuites de données
Les fuites de données résultent de trois facteurs principaux :
Les cyberattaques, le piratage et les incidents informatiques impliquant une activité malveillante qui est souvent attribuable aux mesures de sécurité informatique inappropriées.
La divulgation non autorisée des données dans laquelle des informations personnelles sur la santé sont partagées par des parties ou des systèmes internes.
La perte ou le vol des dispositifs d’extrémité.
La société de technologie de l’information Bitglass a déclaré que plus de 67 % de toutes les fuites de la sécurité des établissements de soins et de santé étaient le résultat de cyberattaques, de piratages et d’incidents informatiques et 22 % d’entre elles étaient attribuées à une divulgation non autorisée.
Quelques organisations ayant été victimes de fuites de données
Ce n’est pas seulement le nombre de fuites qui est alarmant, c’est aussi leur ampleur. Parmi les fuites les plus importantes de données de santé, on peut citer celle qui a été menée contre Dental Care Alliance.
L’attaque a été détectée le 11 octobre de l’année dernière, impliquant le vol de numéros de cartes de paiement de plus d’un million de patients. Les attaquants ont eu accès aux systèmes de données de Dental Care Alliance le 18 septembre, mais l’attaque n’a été corrigée que le 13 octobre.
Outre les informations relatives aux cartes de paiement, les escrocs ont pu voler les noms et les coordonnées des patients, ainsi que des informations médicales et des données d’assurance. Les patients ont été informés de l’attaque au début du mois de décembre et on estime que 10 % d’entre eux ont ensuite signalé une violation de leurs numéros de compte.
Une autre attaque à grande échelle a été signalée par le Florida Orthopedic Institute le 9 avril 2020, qui pourrait avoir compromis les informations de santé personnelles de plus de 640 000 patients. Il s’agissait d’une attaque de ransomware.
Si l’informatique interne a pu restaurer entièrement les données chiffrées par les pirates, une enquête a montré que les données ont potentiellement été exfiltrées juste avant leur chiffrement.
Celles-ci comprenaient des noms de patients, des dates de naissance, des numéros de sécurité sociale et des informations médicales sensibles. Un recours collectif a ensuite été intenté à l’encontre du Florida Orthopedic Institute.
L’année dernière a également montré que les informations personnelles des patients peuvent encore être compromises grâce à des méthodes de piratage à l’ancienne.
Le vol d’un seul ordinateur portable appartenant à un fournisseur de services de transport utilisé par une société de l’Oregon appelée Health Share aurait pu causer la compromission des informations d’environ 654 000 patients.
Au moment de la publication du rapport, on ignorait si les données étaient chiffrées ou non. Les données potentiellement compromises comprenaient les numéros d’identification Medicaid ainsi que les noms, les coordonnées et les antécédents médicaux des patients concernés.
Pourquoi les cyberattaques sont-elles en hausse dans le secteur de la santé ?
De nombreuses raisons expliquent l’augmentation du nombre d’attaques cybercriminelles au cours des 14 derniers mois.
Comme dans de nombreux autres secteurs, la transition spectaculaire vers la mise en œuvre du travail à distance et la distraction des dirigeants des organisations de soins de santé — résultant de la peur du COVID-19 et du besoin d’informations concernant la pandémie — y ont largement contribué.
Alors que les numéros de carte de crédit ne rapportent que quelques euros chacun, les informations sur les patients peuvent rapporter plus de 124 euros par dossier. Malheureusement, l’année dernière, un dossier compromis coûtait environ 410 euros à l’organisation victime d’une attaque, soit une augmentation de 16 % par rapport à l’année précédente.
Pour toutes ces raisons, les organismes de santé ont donc l’obligation de protéger les données de leurs patients contre d’éventuelles fuites de données.
TitanHQ peut les aider en leur proposant une solution pour empêcher les cybercriminels d’accéder à leurs données sensibles. Contactez TitanHQ dès aujourd’hui et découvrez comment nos solutions primées protégeront votre organisation et vos patients.
Alors que nous devenons de plus en plus dépendants des applications web, il n’est pas surprenant que les applications soient exposées à un risque important de vulnérabilités informatiques.
De nos jours, les entreprises utilisent différentes sortes applications pour effectuer presque toutes les tâches nécessaires à leur bon fonctionnement. En fait, la prolifération des applications est l’évolution naturelle de la transformation numérique, et nos opérations commerciales essentielles ainsi que nos routines de travail quotidiennes en seront de plus en plus dépendantes.
Une étude récente de WhiteHat Security montre qu’au moins 50 % des applications utilisées par les secteurs industriels les plus populaires contiennent une ou plusieurs vulnérabilités informatiques. Ces secteurs comprennent l’industrie manufacturière, les services publics, la santé, le commerce de détail, l’éducation et les services publics, pour n’en citer que quelques-uns.
Le secteur de la fabrication présente le niveau d’exposition le plus élevé, avec près de 70 % des applications présentant au moins une vulnérabilité exploitable.
Si ce constat est très préoccupant pour les professionnels de la cybersécurité, il fait le bonheur des pirates et des cybercriminels qui sont constamment à la recherche d’une faille dans les systèmes de défense informatique des entreprises d’aujourd’hui dont ils pourraient tirer parti.
Selon ledit rapport, les cinq principales classes de vulnérabilités enregistrées au cours du quatrième trimestre de 2020 comprennent la fuite d’informations, l’expiration insuffisante de la session, le cross site scripting, la protection insuffisante de la couche de transport et l’usurpation de contenu.
Les chercheurs à l’origine du rapport ont déclaré que – pour découvrir, exploiter et tirer pleinement parti de ces vulnérabilités, il n’est pas nécessaire de suivre une formation spécialisée.
Le récent rapport State of Software Security de Veracode a révélé que 76 % de toutes les applications présentent au moins une vulnérabilité. Toutefois, il indique également que seuls 24 % des logiciels contiennent une vulnérabilité de haute gravité.
Les dommages résultant de l’exploitation d’une vulnérabilité peuvent être coûteux
L’abondance de vulnérabilités informatiques a des conséquences financières pour de nombreuses entreprises. Selon la compagnie d’assurance anglaise Hiscox, les entreprises ont subi des cyberpertes de 1,5 milliard d’euros, soit six fois plus qu’au cours des 12 mois précédents.
Le fournisseur d’assurance précise que les entreprises d’Angleterre ont 15 fois plus de chances de subir une cyberattaque qu’un incendie ou un vol.
Les vulnérabilités des applications coûtent de l’argent aux entreprises sur plusieurs fronts. Il y a évidemment le coût résultant de l’utilisation de ces vulnérabilités lors d’une cyberattaque.
Mais il y a aussi le coût réel de la correction de ces vulnérabilités, y compris le coût de la détection et le coût de la réparation des dégâts, étant donné que le coût horaire de travail d’un développeur est généralement élevé.
Pourquoi les applications web sont-elles si vulnérables ?
L’une des principales raisons de l’existence d’un si grand nombre de vulnérabilités informatiques est la multiplicité des applications. Chaque application est différente et utilise des systèmes de codage différents. Cela fait de chaque application une surface d’attaque unique.
Le temps nécessaire pour corriger ces vulnérabilités est un autre facteur contributif. Le délai moyen est de 189 jours, tous secteurs confondus. Mais cela suppose que la vulnérabilité soit effectivement corrigée. Selon le 2020 Mid-Year Attack Trends Report de Check Point, 80 % des attaques utilisent des vulnérabilités signalées il y a trois ans ou plus.
En d’autres termes, la majorité des attaques soutenues en 2020 ont été rendues possibles par des vulnérabilités informatiques signalées en 2017. En outre, le rapport a montré qu’une attaque sur cinq utilisait des vulnérabilités vieilles d’au moins sept ans.
Selon Paloalto, 80 % des kits d’exploitation publics sont développés et diffusés avant qu’une alerte CVE (Common Vulnerabilities and Exposures) puisse être publiée. Ils ont constaté qu’un kit d’exploitation public standard est connu 23 jours avant la publication de la CVE correspondante. Au cours des 22 dernières années, cette moyenne a atteint 40 jours.
La nouvelle se répand rapidement au sein de la communauté cybercriminelle, et des gens peu scrupuleux sont prompts à frapper dans ces portes d’opportunité. Il ne fait aucun doute que nous devons réduire l’écart entre la découverte des vulnérabilités et la publication des CVE.
Sans oublier, bien sûr, l’existence des vulnérabilités de type « zero-day ». Une étude a montré que 66 % des détections de malwares au cours du deuxième trimestre de 2020 impliquaient l’exploitation de vulnérabilités de type « zero-day ».
Ne blâmez pas seulement les éditeurs de logiciels
Si le rapport de Check Point semble très préjudiciable aux éditeurs de logiciels, ils ne sont pas les seuls à blâmer. Une grande raison pour laquelle les attaquants continuent d’exploiter d’anciennes vulnérabilités est que les entreprises continuent d’utiliser des systèmes d’exploitation et des logiciels obsolètes.
Selon une enquête de Spiceworks datant de 2019, 32 % des entreprises utilisaient encore des systèmes Windows XP à l’époque. En décembre dernier, on estime que 8,5 % des ordinateurs Windows fonctionnent sous Windows 7.
Une fois qu’un système d’exploitation ou une application est déprécié, il n’est plus pris en charge et le fournisseur cesse de fournir de nouveaux correctifs.
Et même si les éditeurs de logiciels publient de nouveaux correctifs, il n’est pas rare que les entreprises ne les appliquent pas. Selon l’Agence américaine pour la cybernétique, l’absence de correctifs pour les vulnérabilités, dont beaucoup datent de plus d’un an, expose les organisations à un risque de compromission beaucoup plus élevé.
L’agence indique que l’une des dix vulnérabilités les plus couramment exploitées a été divulguée pour la première fois en 2012.
Les experts en cybersécurité insistent constamment sur la nécessité de maintenir tous les systèmes et logiciels à jour. Bien que cela puisse sembler être un disque rayé, il y a une raison pour laquelle ils répètent constamment ce message : c’est parce que cela fonctionne !
TitanHQ est un fournisseur de cybersécurité récompensé à plusieurs reprises. Apprenez-en davantage sur TitanHQ et sur la manière dont nous pouvons protéger votre entreprise grâce à la sécurité des emails, au filtrage DNS et à l’archivage des emails pour la conformité.
Les cybercriminels sont toujours à la recherche de moyens plus faciles de se faire un peu d’argent sur le dos des gens. De la même manière que les petits voleurs se tournent vers le vol à la tire dans les lieux touristiques bondés de voyageurs imprudents, ils ciblent les sites web qui attirent le plus d’utilisateurs peu méfiants.
L’un de ces sites est la plate-forme de chat Discord, très populaire auprès des aux joueurs de jeux vidéo en ligne, mais qui s’est également étendue à d’autres communautés. Elle permet aux utilisateurs d’interagir les uns avec les autres par le biais d’un large éventail de moyens tels que les appels vocaux, les appels vidéo ou les textos.
Le paradis perdu
Selon le magazine Forbes, Discord comptait 150 millions d’utilisateurs et sa valeur, estimée à 2 milliards de dollars en 2019, ne cesse d’augmenter. Forbes a révélé dans un article que des groupes Discord qui s’adonnaient à des activités cybercriminelles faisaient l’objet d’une enquête du FBI à l’époque.
La majeure partie de cette activité criminelle consistait en de petites escroqueries. Les cybercriminels utilisaient des chats en direct pour proposer des cartes-cadeaux à prix réduit ou des abonnements à vie à des Malware-as-a-Service (MaaS) – une version criminelle de Software as a service (SaaS) qui permet la location d’une application via Internet – pour une somme symbolique.
Dans d’autres cas, ils vendaient des cartes de paiement et des comptes PayPal volés. Certains de ces malfaiteurs ciblaient spécifiquement les enfants.
Alors qu’il était autrefois considéré comme un « paradis pour les joueurs », Discord semble être devenu un nouveau paradis pour la cybercriminalité, selon le magazine Cyware.
Le manque de supervision de Discord a des conséquences
L’une des caractéristiques et qui a rendu Discord si populaire auprès de ses utilisateurs est son accès ouvert et la flexibilité en matière de supervision. Mais ce manque de surveillance a un prix, car cela encourage la diffusion de contenus illicites et la cyberintimidation, tout en favorisant les comportements malveillants.
Le fait que les utilisateurs non inscrits puissent télécharger le contenu téléchargé rend difficile la recherche des responsables de la distribution de malwares ou de matériel illicite. Même si certaines personnes qualifient cela de liberté, d’autres le considèrent comme une pure erreur de gestion de la part de Discord.
Le CDN de Discord
Outre la compromission continue du service de chat Discord, la société de cybersécurité Zscaler a déclaré que les cybercriminels abusent du service cdn.discorapp.com pour diffuser des malwares. Zscaler a déclaré avoir capturé plus de 100 échantillons de codes malveillants uniques provenant de Discord sur une période de deux mois.
Les auteurs attirent d’abord l’intérêt des utilisateurs avec des emails de phishing qui encouragent le téléchargement de logiciels piratés ou d’applications de jeux.
Selon Bleeping Computer, les pirates profitent d’une vulnérabilité unique de Discord qui leur permet de supprimer un fichier malveillant après l’avoir téléchargé sur les serveurs de Discord, mais de le conserver dans le réseau de distribution de contenu (CDN) de la marque pour pouvoir le télécharger à nouveau.
Un large éventail de catégories de malwares, y compris des enregistreurs de frappe, sont facilement distribués à l’aide de ce CDN. Même si Discord avait émis des avertissements concernant certains téléchargements, des tests ont montré que de nombreux téléchargements malveillants connus n’étaient pas du tout signalés.
Webhook et ransomware dans Discord
Discord utilise une fonctionnalité appelée « Webhook ». Elle permet aux utilisateurs de poster un contenu via l’envoi d’un message même s’ils ne disposent pas de l’application Discord.
Bien que cette fonctionnalité ait ses mérites et son utilité, elle permet également aux pirates de sonder les sessions web et de voler des identifiants de connexion enregistrés dans certains des principaux navigateurs web, ainsi que les jetons d’utilisateur (token) de Discord.
TrendMicro a récemment découvert un nouveau ransomware qui utilise des webhooks comme plateforme de communication avec ses victimes. Une autre souche de ransomware appelée « Hog » présentait également une nouvelle tournure concernant le processus de déchiffrement.
Plutôt que d’émettre une clé, la machine de la victime n’est déchiffrée qu’une fois qu’elle a rejoint le serveur Discord. Une fois la machine connectée, l’utilisateur s’authentifie avec son jeton d’utilisateur qui fait office de clé intégrée à un malware.
Le remède aux cybermenaces liées à Discord
Alors comment empêcher vos utilisateurs de visiter un site tel que Discord ? La réponse est d’utiliser un filtrage DNS avancé et une solution de sécurité web telle que WebTitan.
Comme de nombreux filtres de sécurité web standard, vous pouvez créer des politiques qui refusent l’accès à des sites tels que Discord. Mais WebTitan va au-delà du simple filtrage d’URL.
Son service de détection des malwares surveille et identifie activement les menaces en temps réel, bloquant ainsi l’accès des utilisateurs aux sites hébergeant des malwares, des menaces de phishing, des virus, des ransomwares et aux sites qui renferment des contenus malveillants.
En outre, la solution antimalware de WebTitan permet de s’assurer que les codes malveillants ne s’échappent pas d’un serveur web compromis.
TitanHQ propose aussi SpamTitan, une solution de sécurité de la messagerie électronique capable de bloquer les emails de phishing qui pourraient diriger les utilisateurs finaux vers Discord.
Le fait est qu’il existe de nombreux endroits périlleux sur Internet, et qu’il en existera probablement toujours. Mais si vous utilisez la combinaison de WebTitan et de SpamTitan, vous n’aurez plus à vous soucier de ces zones précaires.
Voulez-vous savoir comment protéger vos employés pour qu’ils n’atterrissent pas dans des endroits précaires comme Discord, quel que soit leur emplacement ? Contactez l’un de nos experts dès aujourd’hui.
Les cybercriminels disposent de nombreux outils et tactiques pour mener leurs attaques, mais certains fonctionnent mieux que d’autres. Ils privilégient des méthodes spécifiques en fonction de leurs objectifs.
Par exemple, le phishing est très prisé pour le vol des informations d’identification, tandis que les malwares fonctionnent bien lorsque le but est de voler des données et de fournir des portes dérobées pour prendre le contrôle total du serveur d’une organisation.
Voici quelques tendances concernant les attaques de malwares en 2020 qui continueront probablement à être populaires cette année.
Le phishing reste l’attaque la plus courante
Chaque année, le nombre d’attaques de phishing ne cesse d’augmenter au niveau mondial. Le phishing offre plusieurs options aux attaquants.
La première est que les attaquants peuvent soit jeter un large filet et envoyer des milliers d’emails de phishing dans l’espoir que quelques-uns soient victimes de la campagne, soit créer des messages ciblés destinés à des employés spécifiques ayant un accès réseau de haut niveau.
Grâce à des pièces malveillantes, bien conçues et jointes aux emails de phishing, les pirates peuvent télécharger et installer facilement des malwares. Il peut s’agir d’un ransomware qui chiffre les données et oblige les victimes de payer une rançon à l’attaquant en échange des clés de déchiffrement.
Il peut également s’agir d’un cheval de Troie qui crée des portes dérobées sur le réseau ou installe des outils d’accès à distance, permettant à un escroc de prendre le contrôle total de l’ordinateur de sa victime.
Les malwares installés
Les malwares offrent aux attaquants un large éventail de possibilités d’exploitation. Pour qu’un attaquant puisse voler des données ou extorquer de l’argent à une victime, il faut généralement utiliser un malware.
Le potentiel des malwares lui offre un large éventail de gains monétaires. Pour ce faire, le pirate peut par exemple voler des données sensibles d’une organisation pour ensuite les vendre sur le dark web.
Les chevaux de Troie peuvent également donner aux attaquants le contrôle à distance d’un ordinateur. Ce type de malware a été à l’origine de compromissions à grande échelle telles que le vol de données, l’atteinte d’infrastructures publiques telles que des centrales électriques et des usines de traitement des eaux, ainsi que l’espionnage d’organisations concurrentes.
Les ransomwares sont un autre type d’application malveillante courante. Ils peuvent être dévastateurs si les attaquants parviennent à l’installer sur un ordinateur local ou une infrastructure critique telle qu’un serveur. En utilisant un ransomware, un pirate informatique peut gagner jusqu’à plusieurs milliers d’euros avec une attaque réussie.
Ce qui fait d’une attaque de ransomware une menace plus inquiétante que les autres attaques de malwares, c’est qu’elle utilise un chiffrement sécurisé pour verrouiller les fichiers et que les entreprises doivent payer la rançon pour récupérer et déchiffrer leurs données.
La seule façon de se remettre d’un ransomware est de restaurer les fichiers à partir d’une sauvegarde. En fait, le paiement de la rançon ne garantit pas que la clé privée sera livrée et que les fichiers seront restaurés.
Exploitation des vulnérabilités logicielles
L’année 2020 a vu une augmentation des vulnérabilités logicielles, car de plus en plus d’entreprises sont passées au numérique. L’augmentation du nombre de logiciels, de serveurs et de travailleurs à domicile a laissé le champ libre aux attaquants ayant les compétences nécessaires pour trouver et exploiter les vulnérabilités des logiciels qui présentent des bugs.
Les vulnérabilités sont publiées dans la base de données CVE (Common Vulnerabilities and Exposures), ce qui signifie que les attaquants peuvent simplement rechercher n’importe quel type de vulnérabilité et développer un kit d’exploitation pour celle-ci.
La création de scripts qui analysent les vulnérabilités est également une activité importante pour les attaquants. Une fois qu’une vulnérabilité est trouvée, un script peut analyser des milliers de sites en quelques minutes seulement pour trouver des serveurs ou des machines hôtes susceptibles d’être exploités.
Une fois qu’une vulnérabilité commune est trouvée, il suffit de quelques minutes pour qu’un kit d’exploitation soit lancé et affecte l’hôte cible.
L’utilisation des logiciels non corrigés était courante en 2020, ce qui rendait également les hôtes vulnérables aux exploitations malveillantes. Lorsque les développeurs de logiciels publient des correctifs de sécurité, les vulnérabilités corrigées par la mise à jour sont répertoriées.
Tout hôte qui n’a pas installé le correctif est vulnérable jusqu’à ce que les administrateurs corrigent le système. Cela laisse une fenêtre d’opportunité pour un attaquant, ce qui peut en faire une cible pour les robots et les scanners qui trouvent et exploitent le problème.
Le chiffrement dans les attaques de malwares
Il y a eu un grand changement en 2020 : les attaquants ont commencé à utiliser le chiffrement pour cacher les attaques de malwares. Le chiffrement dans les attaques de malwares offre aux pirates la possibilité supplémentaire de se cacher des moniteurs et de protéger leur code malveillant.
Cette tendance rend les malwares beaucoup plus efficaces et plus difficiles à trouver pour les chercheurs en cybersécurité une fois qu’ils sont déployés sur un périphérique réseau tel qu’un ordinateur de bureau ou un serveur.
Les meilleures pratiques pour protéger votre entreprise
Les escrocs sont peut-être meilleurs dans leur domaine, mais vous pouvez toujours prendre les mesures nécessaires pour mettre fin à leurs attaques. Pour empêcher le phishing, installez toujours un système de sécurité de la messagerie électronique. Cela inclut des filtres qui sont conçus pour empêcher les messages malveillants d’atteindre la boîte de réception de vos employés.
Pour stopper les malwares, des filtres de messagerie sont également nécessaires. Dans ce cas, leur rôle est de bloquer les malwares qui envoient des données à un attaquant et ceux qui tentent d’accéder à vos fichiers sensibles.
Enfin, il faut toujours appliquer des correctifs pour vos logiciels dès qu’ils sont disponibles, en particulier sur les serveurs destinés au public. La mise à jour des logiciels empêche les attaquants d’exploiter les dernières vulnérabilités qui pourraient affecter les logiciels que vous avez installés.
Les cyberattaques utilisant des ransomwares se multiplient d’année en année, mais quel est exactement le secret de leur succès ?
D’une manière générale, la réussite d’une activité commerciale est évaluée par sa rentabilité. Plus elle génère des profits, plus elle est perçue comme réussie. À cet égard, on peut considérer les actes criminels utilisant des ransomwares comme une activité très prospère.
En 2020, les attaques de ransomwares se sont déchaînées. Les experts en sécurité de PurpleSec ont estimé que le coût final des ransomwares pour les entreprises mondiales en 2020 devrait aller au-delà de 16 milliards d’euros. Ils ont également prédit que la tendance des attaques de ransomwares continuera d’être la menace numéro un dans les années à venir.
Pourquoi ? Parce que les ransomwares rapportent de l’argent aux cybercriminels.
Les cybercriminels dissimulent les ransomwares à la vue de tous
Lorsqu’une activité est considérée comme prospère, il est certain que ses initiateurs vont continuer de la promouvoir, et les opportunités seront construites sur la base de leurs précédents succès.
Si certaines portes de sécurité se ferment aux attaques de ransomware, d’autres vont s’ouvrir grâce à l’innovation dans le monde de la cybercriminalité. En fait, les auteurs d’attaques de ransomware ne connaissent aucune limite dans leur course à l’argent.
Toutes les astuces d’ingénierie sociale ont été utilisées au fil des ans, de la sextorsion au phishing. La prolifération du vol de données – y compris les identifiants de connexion – alimente la boucle de la manipulation sociale, permettant aux pirates de demander de rançon dont les montants sont souvent conséquents.
Les attaques de « credential stuffing » sont un bon exemple. Elles sont souvent liées aux attaques de ransomware, impliquant le vol d’informations, la connexion à des comptes privilégiés et l’installation de malwares.
Les pirates derrière les attaques de ransomware raisonnent comme des chefs d’entreprise astucieux. Ils cherchent toujours à tirer le meilleur parti de leur « produit ».
Ils utilisent les ransomwares non seulement pour extorquer de l’argent à leurs victimes en demandant une rançon contre la clé de déchiffrement de leurs données chiffrées ou en menaçant de divulguer les informations sensibles qu’ils ont collectées sur le web au cas où elles refusent de payer.
La menace d’une fuite des données volées peut souvent faire pencher la balance dans la décision de payer, ou non, la demande de rançon. Sophos décrit ce phénomène comme un « marché secondaire de l’extorsion ». Dans un rapport de 2020 sur les tactiques de ransomware, l’éditeur de sécurité a constaté qu’un nombre croissant d’outils de ransomware sont utilisés pour exfiltrer des données du réseau de la victime.
Dans un précédent article, TitanHQ a évoqué cette tactique de « double jeu », en décrivant comment le ransomware CLOP utilise une technique de « double extorsion » pour chiffrer et voler des données, en menaçant de les exposer pour donner plus de poids à la demande de rançon.
Les attaques de ransomware connaissent un succès croissant. Ce succès a encouragé les criminels à l’origine de ces attaques, lequel est dû en grande partie à des tactiques astucieuses qui dissimulent les ransomwares à la vue de tous, permettant aux vecteurs d’attaque et aux malwares d’échapper à la détection.
Par exemple, de nombreux kits de ransomware modernes utilisent actuellement des utilitaires légitimes comme base pour diffuser des ransomwares. Cela signifie que les vecteurs d’attaque et les malwares ont peu de chances d’être détectés par les solutions de sécurité des points finaux.
Sur ce point, le rapport de PurpleSec a souligné que, dans 75 % des cas d’attaques de ransomware, les organisations utilisaient une sécurité des points d’accès à jour.
Menaces et outils de ransomware
En 2020, la pandémie du Covid-19 a joué un rôle important dans l’augmentation de l’activité des ransomwares. Il a été découvert qu’au cours de l’année, le protocole de bureau à distance (Remote Desktop Protocol – RDP) était la principale cause des attaques de ransomware.
En raison de la politique de travail à domicile adoptée par de nombreuses organisations pendant la pandémie, les entreprises ont été contraintes de recourir au protocole RDP. En conséquence, les attaquants de ransomwares ont concentré leurs efforts sur ce point faible en utilisant la reconnaissance des informations d’identification ou des attaques par force brute.
Une fois le réseau compromis via ce protocole, les pirates peuvent facilement télécharger des ransomwares sur le réseau de leurs victimes, surtout si le vecteur d’attaque utilise les boîtes à outils adaptatifs qui échappent à la détection.
L’accessibilité des kits de ransomware vient aggraver ces problèmes et le concept de Ransomware-as-a-Service (RaaS) est devenu courant. Le RaaS est une pratique permettant aux cybercriminels qui veulent participer à l’action de cyber-extorsion même s’ils n’ont pas les compétences nécessaires pour développer leur propre malware en louant ou en achetant des kits d’exploitation.
L’un des kits RaaS les plus connus s’appelle Ransomware Evil ou REvil, également connu sous le nom de Sodinokibi. Il fonctionne sur la base d’une affiliation et peut rapporter à ses développeurs jusqu’à 30 % des recettes. Un rapport d’IBM sur le problème des ransomwares a révélé qu’une attaque de ransomware sur trois utilisait le kit d’exploitation REvil.
Les ransomwares vont-ils continuer à hanter les entreprises en 2021 ?
2020 fut une année fructueuse pour les cybercriminels dans le domaine des ransomwares. Ils ont adapté leurs tactiques pour s’adapter au climat du travail à domicile et s’efforcent de plus en plus de tirer parti de la prolifération des données et des identifiants volés.
Les entreprises de tous les secteurs doivent s’attendre à ce que les attaques de ransomware se poursuivent du moment que les cybercriminels continuent à en tirer des profits. Le RaaS ne fait qu’exacerber le problème en rendant les kits d’exploitations permettant de diffuser des ransomwares plus faciles à obtenir et à utiliser.
Une chose est sûre, les cybercriminels ne cesseront d’adapter leurs tactiques et leurs processus à l’environnement industriel en mutation.
Le ransomware d’autrefois, qui servait à chiffrer des données en vue de demander une rançon, utilise désormais des techniques élargies, notamment l’exfiltration de données et la menace d’exposition des informations volées. Pour les cybercriminels, les attaques de ransomware restent un business florissant.
Les organisations doivent elles aussi s’adapter pour contrer ces cybermenaces, quelle que soit la forme qu’elles prennent. Pour ce faire, elles doivent s’efforcer de stopper les ransomwares avant le point d’entrée, plutôt que de traiter l’attaque une fois qu’elle est lancée.
Le recours à l’ingénierie sociale pour manipuler les utilisateurs ; le vol de données et d’informations d’identification pour propager les attaques ; ainsi que les outils adaptatifs qui échappent à la détection, font des ransomwares une menace redoutable pour la sécurité.
Bref, étouffer les ransomwares dans l’œuf est un geste stratégique de la part d’une organisation pour contenir cette menace, et sachez que la protection des points finaux peut s’avérer insuffisant.
L’utilisation d’un système de surveillance intelligent, conçu pour les menaces complexes comme les ransomwares, permet de détecter les menaces en temps réel avant qu’elles ne deviennent une infection.
Contrairement aux anti-malware traditionnels pour les points de terminaison, les plateformes de surveillance intelligentes effectuent des mises à jour en temps réel et protègent contre les URL et les menaces de phishing actives et émergentes.
Les cybercriminels sont passés maîtres dans l’art de l’invention et ont de nombreux tours dans leur sac. Cependant, les entreprises peuvent se défendre, mais pour ce faire, elles doivent agir en temps réel. L’une des meilleures solutions est d’utiliser un filtre DNS comme WebTitan qui peut bloquer les malwares, le phishing, les ransomwares et les sites malveillants.
