Selon le dernier rapport d’enquête sur les violations de données 2023 de Verizon (DBIR - Data Breach Investigations Report 2023), la fréquence et le coût des attaques d’ingénierie sociale grimpent en flèche.
Verizon Business publie les résultats de son 16ème rapport d’enquête annuel sur les violations de données (DBIR - Data Breach Investigations Report, 2023), qui analyse 16 132 incidents de sécurité et 5 199 violations de données. Le fait le plus marquant est sans doute la considérable augmentation des coûts liés aux ransomwares – des logiciels malveillants (malwares) qui chiffrent les données d’une organisation afin d’extorquer une rançon en échange du rétablissement de l’accès.
Le coût médian d’une attaque au ransowmare a doublé ces deux dernières années : 95% des attaques au ransomware ayant engendré une perte ont coûté entre 1 et 2,25 millions de dollars. Cette hausse des coûts coïncide avec une augmentation significative de leur fréquence. Le nombre d’attaques au ransomware en 2022 était plus élevé que ceux des cinq années précédentes combinées. L’augmentation se confirme cette année puisque les attaques au ransomware demeurent parmi les attaques les plus répandues et représentent presque un quart des violations (24%).
L’erreur humaine demeure la cause de la grande majorité des incidents, puisqu’elle a entraîné 74% de l’ensemble des violations, en dépit des efforts des entreprises pour protéger les infrastructures essentielles et former aux protocoles de cybersécurité. L’une des techniques les plus utilisées pour tirer parti de l’humain est l’ingénierie sociale. Il s’agit de dérober des informations sensibles aux organisations, grâce au phishing/hameçonnage par exemple, qui consiste à inciter l’utilisateur à cliquer sur un lien ou une pièce jointe piégée.
« Les cadres dirigeants représentent une menace grandissante pour la cybersécurité des entreprises, déclare Chris Novak, Managing Director de Verizon Cyber Security Consulting. Non seulement ils possèdent les informations les plus sensibles de l’entreprise, mais ils sont également souvent les moins protégés, car les entreprises font des entorses aux protocoles pour eux. Face à la recrudescence d’attaques d’ingénierie sociale de plus en plus sophistiquées, les organisations doivent dès aujourd’hui renforcer la protection de leurs cadres dirigeants afin d’éviter des intrusions dans le système qui pourraient coûter très cher ».
Tout comme les ransomwares, l’ingénierie sociale est très lucrative pour les cybercriminels, d’autant plus depuis qu’ils s’en servent pour usurper l’identité des salariés à des fins lucratives, dans le cadre de ce que l’on appelle les attaques au faux-semblant. Le montant médian dérobé grâce à ce type d’arnaque a augmenté ces deux dernières années pour atteindre 50 000 dollars, selon l’Internet Crime Complaint Center (IC3), ce qui expliquerait la multiplication des faux-semblants récemment. Face à cette hausse, les entreprises présentes dans plusieurs pays du monde sont confrontées à un défi de taille : développer une politique de sécurité centrée sur l’humain et l’appliquer de manière stricte.
Outre la recrudescence de l’ingénierie sociale, le rapport 2023 montre que :
- Alors que l’espionnage fait la une des journaux dans le contexte géopolitique actuel tendu, seuls 3% des cybercriminels sont motivés par l’espionnage. Les 97 % restants agissent à des fins lucratives.
- 32% des analyses annuelles de la vulnérabilité Log4j ont été effectuées dans les 30 jours après sa divulgation, ce qui démontre la rapidité avec laquelle les cybercriminels passent d'une preuve de concept à une exploitation de masse.
- Les acteurs externes ont utilisé une multitude de techniques pour accéder aux systèmes des entreprises, tels que le vol d’identité (49%), le phishing (12%) et l’exploitation de vulnérabilités (5%).
Les mesures les plus efficaces de protection des infrastructures essentielles des entreprises sont l’adoption et la mise en place de pratiques et de protocoles de pointe. Verizon est récemment devenu le premier fournisseur de télécommunications national à adhérer aux Mutually Agreed Norms for Routing Security (MANRS) : une initiative qui propose des solutions pour lutter contre les menaces communes inhérentes au routage et fréquemment exploitées par les criminels. L’adhésion aux MANRS est une preuve de l’engagement de Verizon à mettre en œuvre les meilleures solutions de protection du routage dans le secteur et à promouvoir les meilleures pratiques, afin de protéger les utilisateurs du réseau des cyberattaques.