147 millions. 150 millions. 57 millions. Des chiffres impressionnants, quel que soit le contexte. Mais pris ensemble, ces 345 millions représentent le nombre de consommateurs affectés par seulement trois cyberattaques récentes – qui ont touché respectivement Equifax, Under Armour et Uber – et témoignent de l’impact potentiellement stupéfiant de ces cybermenaces.

Il ne fait aucun doute que la cybersécurité est une industrie à part entière. Les analystes prédisent que les dépenses globales de sécurité des entreprises devraient atteindre 96 milliards de dollars cette année, et enregistrer une augmentation de 8 % par rapport à 2017. Cette croissance peut être imputée à une année mouvementée, avec des cyberattaques qui ont visé des entreprises de toutes tailles et notamment celles sans précédent telles que Wannacry, Triton et NotPetya ayant épinglé la cybersécurité à l’agenda d’une majorité d’organisations.

Pourtant, la croyance selon laquelle les failles sont l’exception à la règle semble persister, alors qu’elles sont en réalité la règle. L’expertise des pirates informatiques évolue à une vitesse telle, qu’il devient impossible de les empêcher totalement de s’infiltrer dans les réseaux des entreprises. De plus, sachant que, selon une étude Verizon de 2017, 90 % des fuites de données sont motivées par l’appât du gain ou l’espionnage, il n’est pas surprenant que le secteur financier soit une cible de choix pour les cyberattaques, puisqu’il gère plus de devises et de transactions que n’importe quel autre secteur. Il est donc indispensable que les organisations fassent leur maximum pour comprendre les nouvelles techniques évolutives, et comment elles devraient répondre si une attaque aboutissait. En résumé, il est essentiel de penser comme un cybercriminel, pour tenir l’ennemi à distance.

L’intrus silencieux

L’attaque contre la Banque Centrale du Bangladesh en 2016 a été la première à vraiment démontrer l’importance de la surveillance et ce, à l’échelle mondiale. En effet, un groupe de hackers inconnu fût en mesure d’utiliser des identifiants de connexion SWIFT pour s’infiltrer dans les comptes de l’organisation sans être détecté ; ce qui leur a permis d’envoyer des dizaines de requêtes de transfert d’argent frauduleuses. Mais ils n’ont pas pu dérober l’argent des transactions bancaires immédiatement – pour cela ils avaient besoin de rester tapis dans le réseau et de déterminer l’attitude à adopter qui leur permettrait de récupérer les devises. Or, une simple erreur d’impression et une faute de frappe ont empêché le vol de près d’1 milliard de dollars. Bien que ce soit la somme visée par les pirates, ils sont tout de même parvenus à dérober 81 million de dollars.

Cet incident a démontré aux hackers du monde entier qu’il était possible de voler des données et de l’argent à grande échelle à l’insu d’une entreprise. Ces dernières années, les services financiers à travers le monde – qui veillent à la manière d’empêcher les attaques de pénétrer le périmètre – ont par conséquent recentré leur attention sur la manière de bloquer l’itinérance des pirates informatiques à l’intérieur des réseaux et protéger leurs « Joyaux de la Couronne », soient les données les plus sensibles. Il est aujourd’hui communément admis, à juste titre, que les hackers peuvent et vont s’introduire dans les systèmes, et les efforts se concentrent donc de plus en plus sur la manière de stopper leurs efforts.

Identifier l’alerte rouge à tout prix

Traditionnellement, un grand nombre de sociétés de services financiers se sont appuyées sur les tests d’intrusion pour découvrir des vulnérabilités potentiellement exploitables. En théorie, tester des réseaux, systèmes ou applications spécifiques, permet aux organisations d’identifier autant de vulnérabilités que possible et de les « patcher » afin d’empêcher les pirates informatiques de les utiliser pour s’introduire dans leur réseau. Or, cette pratique ne suffit pas pour bloquer l’accès des hackers aux serveurs d’une entreprise. De nouvelles techniques en constante évolution permettent à présent de découvrir des vulnérabilités réseau autrefois invisibles. Cela induit également que si les entreprises réagissent aux menaces les plus récentes, les attaquants ne pourront pas s’infiltrer dans les serveurs internes.

C’est à ce moment-là qu’entre en jeu la « Red Team », terme emprunté au milieu militaire. Dans un contexte de cybersécurité, le principe de « Red Team » signifie l’emploi de « pirates informatiques éthiques » pour simuler des cyberattaques. Le but pour ces hackers est d’agir comme un attaquant externe, s’introduire dans les réseaux de l’organisation et y rester sans être détectés aussi longtemps que possible, tout en dérobant des données de valeurs et en apprenant à exploiter les systèmes de l’entreprises à des fins financières ou intellectuelles. En s’engageant régulièrement dans ce genre de procédés, les organisations en apprennent non seulement davantage sur leur niveau de sécurisation face à une attaque, mais elles peuvent aussi anticiper la manière dont elles réagiraient en cas d’attaques pour verrouiller les comptes à privilèges et prévenir la perte de propriétés intellectuelles critiques, d’importantes sommes d’argent et de précieuses données clients.

Ne pas nier la menace interne

D’après le rapport annuel de CyberArk “Threat Landscape Report”, les employés des sociétés financières représentent la plus grande menace pour la propriété intellectuelle des organisations. En effet, au lieu d’infiltrer spécifiquement les systèmes d’une entreprise, de nombreux cybercriminels visent aussi des courtiers, avec des méthodes d’attaques telles que des ransomwares et du phishing, en vue de dérober leurs identifiants et de les utiliser pour naviguer insidieusement à l’intérieur des réseaux. Ces hackers anonymes peuvent être identifiés à l’aide d’outils d’analyse du comportement, conçus spécialement pour analyser des historiques de logs de données pour chaque individu et l’identification d’activités potentiellement malveillantes ; cela inclut les logs de réseau et d’authentification collectés et enregistrés dans les systèmes de gestion des informations et des logs. Les informations générées aident les organisations à revoir régulièrement les privilèges pour chaque type d'utilisateur et à garantir que, grâce à des plateformes de sécurité d'accès à privilèges, chaque individu ne peut accéder qu'aux informations requises pour remplir son rôle, et pas plus.

Les identités de machines changent la donne

Avec l'introduction de la nouvelle directive sur les services de paiement (DSP2) en janvier dernier, les banques sont tenues d'ouvrir leurs infrastructures de paiement et leurs API à des tiers pour permettre aux principaux e-commerçants, tels qu'Amazon ou John Lewis, de communiquer directement avec eux, et de prélever les paiements à partir des comptes des consommateurs. Toutefois, ce contournement des plateformes de paiement comme PayPal, ou même des principaux fournisseurs de cartes de crédit via l'authentification entre machines (M2M), constitue une nouvelle surface d'attaque pour les organisations.

Bon nombre ont donc adopté l’authentification à deux facteurs, ou le modèle de jeton, pour accorder des autorisations aux e-commerçants, ce qui leur donne accès à l’historique d'un client et leur permet de gérer eux-mêmes la transaction. Cependant, la crainte que les applications d’authentification demandant des paiements puissent être compromises, incite les fournisseurs potentiels à mettre en place une stratégie de sécurité d'accès à privilèges au moins équivalente à celle des banques, afin d'éviter tout compromis.

Le paysage des menaces évolue constamment, et plus rapidement pour les services financiers que pour presque tous les autres secteurs. Il est donc essentiel que les organisations soient à l'affût des derniers développements en matière de cybersécurité et comprennent les nouvelles techniques utilisées par les pirates pour dérober la propriété intellectuelle. Elles doivent en effet adopter un nouvel état d'esprit et se mettre à penser comme un attaquant. Ne pas le faire peut non seulement s'avérer immédiatement coûteux, mais aussi engendrer des dommages irrévocables à long terme pour des relations de confiance avec les clients ; ce qui serait beaucoup plus dommageable que tout vol unique.

Lisez gratuitement :

Le quotidien Finyear
- Sa newsletter quotidienne :
Recevez chaque matin par mail la newsletter Finyear, une sélection quotidienne des meilleures infos et expertises en Finance innovation, Finance Digitale, Cryptofinance.
- Sa lettre mensuelle Le Trésorier