Archives de catégorie : Propriété Industrielle

Argent, Communiqué de presse, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, ID, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Piratage, Propriété Industrielle, Sauvegarde, Securite informatique

Menace : les documents Office peuvent être dangereux

Nous utilisons quasiment tous des documents Microsoft Office. Qu’il s’agisse de documents de travail, de reçus électroniques ou du bail d’un nouvel appartement, les documents Office sont utiles à chacun d’entre nous et c’est en partie la raison pour laquelle nous sommes susceptibles de les ouvrir lorsque nous en recevons en pièce jointe d’un e-mail. Connaissant la propension de nombreux utilisateurs à ouvrir la quasi-totalité des documents, même ceux provenant d’une source non fiable, des individus malintentionnés choisissent couramment ces fichiers pour attaquer et infecter un système.

Nous allons ici passer en revue cinq techniques différentes permettant de détourner les documents Office pour en faire des armes d’attaque et d’infection des postes de travail Windows. Nous en avons déjà évoqué certaines précédemment, tandis que d’autres sont nouvelles.

Macros

Les macros sont le moyen le plus simple pour un assaillant d’infecter des documents Office. Les applications Office intègrent un moteur de scripts capable d’exécuter le langage VBA (Visual Basic for Applications). Du code malveillant contenu dans ces scripts peut ainsi s’exécuter sur le système dès l’ouverture du document, sans aucune intervention de l’utilisateur (à condition toutefois que ce dernier ait au préalable activé les macros). Si l’utilisateur n’a pas activé les macros, un message apparaît pour lui demander s’il souhaite le faire. Il s’agit de l’un des divers mécanismes de sécurité mis en place par Microsoft afin d’atténuer le risque présenté par les macros. Microsoft impose également une autre extension de nom de fichier (.docm au lieu de .docx pour les nouveaux documents contenant des macros). En dépit de ces mesures de sécurité, des utilisateurs décident néanmoins d’ouvrir ces fichiers et d’activer leur contenu, de sorte que les macros demeurent un vecteur courant, aussi bien pour des attaques vastes et simples destinées à propager un ransomware, telles que Emotet, que pour des campagnes élaborées, à l’image de Sofacy.

Comme l’illustre cet exemple, les auteurs des attaques tentent de convaincre les utilisateurs de désactiver les mécanismes de sécurité mis en place par Microsoft. Ils usent, pour ce faire, de techniques d’ingénierie sociale, persuadant l’utilisateur d’activer le contenu afin de pouvoir consulter l’intégralité du document. Dans l’exemple Sofacy, les assaillants ont simplement coloré le texte en blanc, de sorte que celui-ci était bien présent avant que l’utilisateur n’active les macros, mais invisible.

Fichiers Flash incorporés

En dehors des fonctionnalités intégrées telles que les macros, les documents Office peuvent aussi incorporer des objets externes, par exemple des fichiers Adobe Flash. Ces objets étant transmis au logiciel approprié pour leur traitement, toute vulnérabilité éventuellement présente dans ce logiciel peut également être exploitée par son incorporation dans le contenu Adobe Flash à l’intérieur du document Office. Un exemple de ce vecteur d’attaque est la faille Zero Day CVE-2018-4878dans Adobe Flash Player, exploitée par l’incorporation de fichiers SWF malveillants dans des documents Excel. Dans les attaques de ce type, le document Excel infecté incorpore un contenu Adobe Flash capable de déclencher la vulnérabilité Flash et d’exécuter du code shell intégré.

Editeur d’équations Microsoft

Comme pour les fichiers Adobe Flash incorporés dans un document Office, il est également possible d’insérer dans des documents des équations mathématiques qui seront interprétées par l’Editeur d’équations Microsoft, un outil ayant pour vocation de faciliter leur écriture :

Comme dans notre exemple précédent, des vulnérabilités dans l’éditeur d’équations s’exploitent par l’intermédiaire de documents Office malveillants. Nous en avons observé des cas tout récemment lorsque la faille CVE-2017-11882 a été exploitée, ouvrant la voie à d’autres, telles que CVE-2018-0802. Toutes deux touchent l’éditeur d’équations, ce qui permet d’amener l’utilisateur à ouvrir un document Office pour l’exécution de code à distance. Des vulnérabilités similaires dans l’Editeur d’équations Microsoft, telles que CVE-2018-0807 et CVE-2018-0798, identifiées par les chercheurs de l’Unité 42.

Il est à noter que, l’Editeur d’équations Microsoft s’exécutant sous la forme d’un processus distinct (eqnedt32.exe), les protections spécifiques à Microsoft Office, telles que EMET et Windows Defender Exploit Guard ne sont pas efficaces par défaut, car elles protègent uniquement les processus Microsoft Office (par exemple winword.exe).

Objets OLE et handlers HTA

Les objets OLE et les handlers HTA sont des mécanismes pour les documents Office. Ils font référence à d’autres documents inclus dans leur contenu. Ils peuvent servir à infecter un poste de travail de la manière suivante :

Un objet OLE2 (lien) s’incorpore dans un document Microsoft Word. Une fois le document ouvert, le processus Word (winword.exe) envoie une requête HTTP à un serveur distant afin de télécharger un fichier HTA contenant un script malveillant. Winword.exe recherche alors dans le handler le type « application/hta » via un objet COM, ce qui entraîne le chargement et l’exécution du script malveillant par l’application Microsoft HTA (mshta.exe).

Cette fonctionnalité a été exploitée dans la vulnérabilité CVE-2017-0199, permettant l’exécution de code à distance dans Microsoft Office/WordPad et corrigée par Microsoft en septembre 2017. Diverses campagnes y ont eu recours, par exemple OilRig.

Aux côtés des vulnérabilités OLE et HTA décrites plus haut, les auteurs des attaques ont découvert que des fichiers RTF peuvent également exécuter des objets OLE de type mime « text/html », au moyen de MSHTML. Cela signifie que les documents RTF présentent la même vulnérabilité aux attaques qu’Internet Explorer.

CVE-2018-8174

L’exploitation de cette vulnérabilité logique, nommée CVE-2018-8174, permet aux auteurs d’attaques d’exécuter du code HTML/JavaScript/VBScript arbitraire. Tandis que le code exécuté de cette façon se place dans une « sandbox » (où il ne peut lancer de nouveaux processus, écrire dans le système de fichiers ou effectuer d’autres opérations) à l’instar de tout autre code exécuté à partir d’Internet Explorer. Cette faille peut servir à en exploiter d’autres, par exemple une vulnérabilité UAF de corruption de mémoire dans le moteur VBScript, pour permettre l’exécution de code arbitraire dans le cadre de l’application Word (winword.exe) et la prise de contrôle du système.

Tandis que les attaques utilisant des documents comme vecteur sont courantes depuis plus d’une dizaine d’années, nous observons une augmentation récente de leur fréquence et de leur complexité. Cette tendance pourrait s’expliquer par la difficulté croissante d’exploiter les vulnérabilités des navigateurs, en raison du renforcement de leur protection par leurs développeurs. Quoi qu’il en soit, il est important pour les entreprises de savoir comment se défendre.

Base de données, cryptomonnaie, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle, Securite informatique

cyberattaque : 13% des chefs d’entreprise s’estiment mieux armés contre le risque cyber en tirant les leçons des sinistres du passé

Un commentaire

Une étude mondiale menée par « The Economist Intelligence Unit (EIU) » et sponsorisée par Willis Towers Watson, révèle que les dirigeants restent dubitatifs sur la réelle mise en œuvre de solutions correctrices à la suite d’une cyberattaque.

D’après les résultats de la récente enquête publiée par « The Economist Intelligence Unit » (EIU), réalisée avec le concours de Willis Towers Watson, en matière de cyber risques, la grande majorité des dirigeants dans le monde considère que leur entreprise ne tire pas assez de leçons du passé. L’EIU a interrogé plus de 450 entreprises du monde entier au sujet de leurs stratégies appliquées et aux défis rencontrés dans l’élaboration d’organisations « cyber-résilientes ». D’un côté, la plupart des sociétés se considèrent réactives et efficaces pour répondre à un sinistre cyber. De l’autre, seules 13% d’entre elles se déclarent réellement performantes, et ce car elles prennent en compte les leçons tirées des incidents du passé dans leurs stratégies de cyber-résilience.

L’enquête a par ailleurs révélé que les administrateurs et les dirigeants trouvent rarement d’accord sur les réponses à apporter au risque cyber. Comment rendre l’organisation cyber-résiliente ? Avec quels fonds financer les investissements ? Quelles sont les entités de l’entreprise les plus risquées ?
La vision de ce qu’est la préparation au risque cyber est également variable selon les zones géographiques. Les entreprises d’Amérique du Nord contrastent fortement avec leurs homologues asiatiques et, dans une certaine mesure avec l’Europe. Ces dernières appréhendent différemment la fréquence et l’impact des attaques cyber et s’affirment plus confiantes dans leur capacité à surmonter une intrusion dans leur système.

Parmi les autres conclusions clés du rapport, les dépenses des entreprises en cyber-résilience représentent environ 1,7% de leurs revenus et 96% des membres du conseil d’administration considèrent que ce montant est insuffisant. Les entreprises nord-américaines sont celles qui dépensent le plus pour se protéger des risques cyber (2 à 3% des revenus contre 1 à 2%, voire moins, pour les autres régions). Aucune solution de cyber-protection ne se démarque des autres. Les investissements dans les technologies de cyber-défense et le recrutement de compétence IT spécifiques obtiennent des scores comparables. 3 régions sur 4 estiment que la supervision du risque cyber doit être confiée au « conseil d’administration dans son ensemble ». Seule l’Europe se distingue en confiant cette responsabilité à une équipe dédiée à ce risque.

Pour Anthony Dagostino, Responsable Monde de l’activité cyber chez Willis Towers Watson, « il est important que les entreprises comprennent que résister au risque cyber n’est pas facultatif. La gestion de cette menace reste encore trop confinée à certains rôles alors qu’elle relève de la responsabilité de tous. Le conseil d’administration devrait mettre en évidence les besoins d’avoir un cadre formel pour contrer la menace cyber et les dirigeants de l’entreprises devraient mettre en œuvre ce cadre en impliquant toutes les parties, de la DSI, à la gestion des risques, en passant par le département juridique, la mise en conformité… »

Guillaume Deschamps, Directeur des Lignes Financières (FINEX) en France, ajoute : « les entreprises ont besoin d’une gestion du risque beaucoup plus intégrée qu’elle ne l’est aujourd’hui. S’il est vrai que la technologie continuera à jouer un rôle crucial dans la défense les entreprises, n’oublions pas que plus de la moitié des intrusions sont dues à des mauvais réflexes des collaborateurs et au manque de compétences dans les équipes en charge de la protection cyber. C’est pourquoi il faut que les entreprises mettent les investissements dans la sensibilisation de leur capital humain et la souscription de contrats d’assurances cyber à l’ordre du jour de leur conseil d’administration ».

Chiffrement, Communiqué de presse, Cybersécurité, Mise à jour, Propriété Industrielle, Securite informatique

Trend Micro et Panasonic s’associent pour sécuriser les véhicules connectés

Trend Micro et Panasonic Corporation annoncent un partenariat innovant visant à développer une solution de cyber-sécurité permettant de détecter et contrer les risques de piratage ciblant les voitures connectées et autonomes.

Ce partenariat a pour objectif de garantir un niveau de sécurité élevé pour ces véhicules, la solution étant capable de déceler et de prévenir les intrusions visant, d’une part les unités de commande électronique (UCE – Electronic Control Unit)*1 qui assurent le contrôle des comportements dynamiques de conduite tels que l’accélération, la direction et le freinage ; et d’autre part les plateformes d’info-divertissement embarquées (IVI – In Vehicule Infotainment)*2 comme les systèmes de navigation et les boitiers télématiques*3.

Les risques de piratage des systèmes de direction et de freinage dans les véhicules connectés sont bien réels. De nouvelles failles de sécurité sont découvertes quotidiennement, permettant aux cybercriminels de prendre le contrôle d’un véhicule à distance. Il est donc indispensable de définir des mesures de sécurité dans chaque voiture connectée, mais également d’analyser les nouvelles formes d’attaques grâce à une surveillance continue des systèmes embarqués depuis le Cloud, tout en capitalisant sur les données analytiques produites pour développer et généraliser des contre-mesures adéquates.

Ce partenariat s’appuiera sur la technologie de détection et de prévention des intrusions*4 pour le réseau CAN (Control Area Network) de Panasonic, ainsi que sur la solution Trend Micro IoT Security*5. La technologie Panasonic permettra de détecter l’ensemble des commandes non autorisées envoyées aux unités de commande électronique (ECU). Trend Micro IoT Security capitalise sur l’expertise de Trend Micro à l’échelle mondiale, ainsi que sur ses solutions basées sur l’intelligence connectée, notamment pour ce qui est de l’analyse des malware*6. La solution sera implémentée sur les plateformes d’info-divertissement embarqué (IVI) comme les systèmes de navigation, pour identifier les attaques tentant d’exploiter des vulnérabilités via le réseau Internet. Grâce à ce partenariat, les événements identifiés par les deux technologies seront collectés et envoyés à une plateforme d’analyse dans le Cloud pour détecter et bloquer le trafic suspect.

Ce partenariat technologique permettra ainsi de fournir une solution globale – dont des systèmes embarqués et des systèmes Cloud – visant à prévenir les cyber-attaques ciblant les véhicules autonomes et connectés. Les deux entreprises planifient un lancement commercial à l’horizon 2020.

*1 Unité de commande électronique : calculateurs qui commandent des actionneurs comme le moteur ou la direction
*2 Info-divertissement embarqué (IVI) : applications de divertissement et d’information disponibles dans les voitures
*3 Télématiques : service qui envoie et reçoit des données vers et depuis un véhicule
*4 Technologie de détection et de prévention CAN : technologie qui surveille le bus CAN (Control Area Network), autorisant les communications entre les unités de commande électroniques pour détecter les commandes non autorisées et les traiter comme invalides
*5 Trend Micro IoT Security : solution de sécurité pour les dispositifs embarqués connectant l’extérieur du véhicule à des communications IP sur des systèmes d’exploitation tels que Linux
*6 Malware : terme générique utilisé pour désigner différentes formes de logiciels ou de codes malveillants créés pour causer des dommages, y compris des virus informatiques.

Communiqué de presse, Emploi, Entreprise, ID, Identité numérique, Logiciels, Paiement en ligne, Particuliers, Propriété Industrielle, Vie privée

PeerTube : une alternative libre à YouTube d’ici mars 2018 ?

Après trois années passées à « Dégoogliser Internet », l’association française Framasoft finance actuellement le développement de PeerTube, un logiciel libre qui vise à égratigner le monopole de YouTube… grâce à une conception radicalement différente.

PeerTube

Le principe de YouTube est simple : centraliser et contrôler le maximum de créations vidéos pour mieux capter l’attention et les données personnelles des internautes qui vont les voir. Pour financer de telles plateformes, il faut les moyens d’un Google-Alphabet (qui détient YouTube) ou d’un Vivendi-Universal (qui a acheté Dailymotion).

C’est en partant aux antipodes de ce principe que Chocobozzz a conçu PeerTube : un logiciel libre qui allie fédération d’hébergements vidéo et visionnage en pair-à-pair. Après deux années à développer PeerTube sur son temps libre, Chocobozzz vient de rejoindre l’équipe salariée de l’association Framasoft. Il se consacre à la finalisation du projet, dont une version publiquement utilisable est prévue pour mars 2018.

Un peu de technique…

À l’instar de Mastodon (une alternative libre et fédérée à Twitter), PeerTube utilise le protocole ActivityPub. Il permet de fédérer de petits hébergeurs de vidéos indépendants, ce qui permet à un spectateur qui va sur telle instance de PeerTube d’avoir accès à l’ensemble du catalogue vidéos de sa fédération. Ainsi, il n’est plus nécessaire d’héberger les vidéos de la terre entière pour présenter ses vidéos à un large public.

La diffusion en pair-à-pair permet de partager entre internautes des fragments de la vidéo que plusieurs personnes regardent en même temps. Avec cette technologie basée sur WebTorrent, on diminue fortement le risque qu’une vidéo faisant le buzz fasse tomber le serveur, ce qui évite de payer au prix fort bande passante et trafic vers son serveur.

Allier ces deux principes techniques, qui font partie des fondamentaux d’Internet, permet tout simplement de démocratiser l’hébergement de vidéos, afin que des médias, des associations, des universités et des collectifs d’artistes puissent progressivement gagner leur indépendance face à un YouTube toujours plus contraignant.

Framasoft fait le pari du libre, qui n’est pas gratuit

« Pendant ces trois années passées à Dégoogliser Internet, nous avons cherché une alternative libre à YouTube qui ne demande pas d’avoir les moyens d’un Google-Alphabet… car nous avons fait les calculs : nous sommes 350 000 fois plus pauvres qu’eux ! » plaisante Pierre-Yves Gosset, directeur de Framasoft. « L’intérêt de Google, c’est de centraliser nos créations vidéos et nos attentions, pour mieux capter nos données personnelles et monétiser notre temps de cerveau disponible. Chocobozzz a pensé PeerTube hors des sentiers battus par ces plateformes centralisatrices, et c’est là la véritable innovation. Il était donc évident pour nous de soutenir son projet en finançant son temps de travail. »

Le pari n’est pas anodin pour cette petite association française financée à 90 % par les dons des internautes. Sur les 90 000 € que Framasoft demande au public pour boucler son budget 2018. Un tiers sera consacré au développement de PeerTube, que l’association présente sur le site Framatube.org.

« Dès mars 2018, Framatube ne sera qu’une des portes d’entrée vers la fédération PeerTube. Nous n’hébergerons pas les vidéos de tout le monde. Nous préférerons accompagner des collectifs en les incitant à ouvrir leur propre instance de PeerTube. Bref : plutôt que de copier les géants du Web, nous voulons créer un réseau de fourmilières sur la toile. » conclut Pierre-Yves.

Avec plus de 38 000 € récoltés sur les 90 000 € nécessaires à la continuité de ses actions, Framasoft, espère que ce pari sera relevé.

Assurance cyber sécurité, Banque, Communiqué de presse, Cybersécurité, Emploi, Entreprise, Fuite de données, Justice, loi, Propriété Industrielle, Securite informatique

Assurance : Euler Hermes lance EH Fraud Reflex

La première assurance fraude globale et 100% digitale des petites entreprises.

Face à un risque de fraude croissant et protéiforme, Euler Hermes affirme à nouveau sa volonté d’accompagner les entreprises dans la prévention des risques et la protection de leur trésorerie. Le leader européen de l’assurance fraude lance une nouvelle solution complète et totalement dématérialisée à destination des petites entreprises[1], EH Fraud Reflex.

Entre persistance de la fraude par usurpation d’identité et explosion du nombre de cyber attaques, le risque de fraude se diversifie, s’intensifie, et évolue vers plus de sophistication. D’après l’étude menée en 2017 par Euler Hermes et la DFCG[2], 8 entreprises sur 10 ont été victimes d’au moins une tentative de fraude l’an passé, et 1 entreprise sur 5 a subi au moins une fraude avérée sur la même période.

« Les petites entreprises semblent les plus exposées au risque de fraude, car leur budget alloué à la protection des données et au renforcement des process est limité. De plus, la moindre perte peut s’avérer désastreuse pour leur trésorerie. Selon notre enquête, 10% des sociétés attaquées l’an passé auraient subi une perte supérieure à 100 000 €. Un montant conséquent qui mettrait en danger la viabilité de beaucoup de petites entreprises », analyse Sébastien Hager, Expert fraude chez Euler Hermes France.

Efficacité, simplicité et personnalisation

Afin d’aider les petites entreprises à protéger leur activité, Euler Hermes propose une nouvelle solution d’assurance fraude globale et 100% digitale. EH Fraud Reflex les protège contre la cyberfraude, la fraude externe et la fraude interne, avec une couverture des pertes directes et de certains frais consécutifs (atteinte au système de téléphonie, décryptage du ransomware, restauration et/ou décontamination des données). La couverture, la franchise et la durée sont personnalisées selon le profil de l’entreprise et modulables.

Le parcours de souscription, entièrement dématérialisé, s’effectue sur une plateforme internet dédiée : de la qualification du besoin à la définition des paramètres du contrat, avec une possibilité de signature électronique une fois les options et le tarif sélectionnés, EH Fraud Reflex propose une expérience digitale optimisée, intuitive et rapide. De plus, l’outil allie à la fois prévention et protection : plusieurs questions sont posées à l’entreprise afin de l’aider à identifier ses mesures de prévention face au risque de fraude, et à définir précisément son besoin de couverture.

« Finalement, EH Fraud Reflex pourrait se résumer en trois mots : efficacité, puisqu’elle protège contre tous les types de fraude à moindre coût (à partir de 75€ HT par mois) ; simplicité, puisqu’on peut y souscrire en ligne, en quelques clics et sans audit préalable ; personnalisation, puisqu’elle s’adapte aux besoins de l’entreprise », résume Sébastien Hager.

De nouveaux risques qui nécessitent de nouvelles défenses

Pour Eric Lenoir, Président du Comité Exécutif d’Euler Hermes France, la dématérialisation de l’assurance répond parfaitement à l’évolution des attentes des petites entreprises. « Le progrès technologique permet aux pirates de se réinventer en permanence, d’où l’apparition récurrente de nouveaux risques pesant sur la trésorerie et la rentabilité des petites entreprises. Dans ce contexte, ces dernières recherchent avant tout de la flexibilité, de la simplicité et de l’immédiateté dans les outils qu’elles utilisent pour se défendre. L’assurance 100% digitale réunit l’ensemble de ces critères, et EH Fraud Reflex relève de cette philosophie. La commercialisation de cette nouvelle solution d’assurance fraude est une étape supplémentaire dans notre accélération digitale, et appelle à d’autres innovations dans la façon de protéger les actifs des sociétés. C’est un virage primordial pour accompagner au mieux les petites entreprises dans leur prévention, leur protection et leur développement. »

[1] Entreprises dont le chiffre d’affaires est inférieur à 10 millions d’euros
[2] Enquête menée en avril 2017 auprès de 200 entreprises. Toutes les tailles d’entreprises et tous les secteurs sont représentés

Communiqué de presse, Cybersécurité, double authentification, Entreprise, Mise à jour, Patch, Propriété Industrielle, Securite informatique

Global Transparency Initiative

Global Transparency Initiative : alors qu’il ne reste que quelques jours à l’administration américain pour effacer les outils Kaspersky de leurs postes informatiques, le géant de la sécurité informatique Russe lance son programme transparence !

Kaspersky Lab a présenté son « Global Transparency Initiative ». Mission, la société russe fournira un accès au code source – y compris des mises à jour – pour une évaluation par un tiers de confiance. Kaspersky explique qu’il ouvrira aussi trois centres de transparence dans le monde entier. Un peu comme l’annonçait, il y a quelques années, Microsoft. La Global Transparency Initiative s’inscrit dans le cadre de l’engagement à garantir l’intégrité et la fiabilité de des solutions logiciels, afin de protéger les clients contre les cyber-menaces.

Grâce à cette initiative, Kaspersky Lab incitera la communauté de la cyber sécurité dans sa globalité et d’autres parties prenantes à valider et vérifier la fiabilité de ses solutions, de ses processus internes et de ses opérations commerciales. Le Russe entend également favoriser la mise en place de mécanismes de responsabilisation supplémentaires, qui permettront à l’entreprise de démontrer qu’elle s’attaque rapidement et en profondeur à tous les problèmes de cybersécurité. Dans le cadre de cette initiative, la société a l’intention de fournir à un tiers de confiance, et sous condition, l’accès au code source de ses logiciels – y compris les mises à jour des logiciels et des règles de détection des menaces – à des fins d’examen et d’évaluation indépendants. « La balkanisation de l’Internet ne profite à personne, explique Eugene Kaspersky, PDG de Kaspersky Lab. Sauf aux cybercriminels. Une coopération réduite entre les pays favorise l’action des cybercriminels et les partenariats public-privé ne fonctionnent pas comme ils le devraient.« .

Kaspersky a été accusé par la Maison Blanche d’avoir participé (directement ou indirectement) à des fuites de données concernant le renseignement américain. A regardé de plus prêt, le protectionnisme de l’Oncle Sam a trouvé un moyen de couper l’herbe sous le pied d’une entreprise concurrente aux structures locales. A voir si l’examen indépendant du code source de la société, réalisé par un tiers de confiance et qui débutera d’ici le 1er trimestre 2018, avec des examens similaires des mises à jour logicielles de la société et des règles de détection des menaces à suivre sera suffisent pour faire reculer l’administration Trump.

A noter que Kaspersky vient de signer un nouvel accord de partenariat avec Europol. Tout comme Trend Micro qui vient d’unir son expertise avec les policiers d’Europol pour protéger le secteur financier face aux attaques ciblant les Distributeurs Automatiques de Billets.

Base de données, Chiffrement, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, loi, Mise à jour, Patch, Piratage, Propriété Industrielle, ransomware, Securite informatique

La cyber-criminalité coûte de plus en plus d’argent aux entreprises

La cyber-criminalité coûte en moyenne 11,7 millions de dollars par an à chaque entreprise américaine, soit une hausse de 62 % en cinq ans, d’après une étude menée par Accenture et Ponemon Institute. Les infections par malware sont les cyber-attaques les plus coûteuses, avec 2,4 millions de dollars par incident en moyenne.

Partout dans le monde, des cyber-attaques sont commises avec un impact financier de plus en plus lourd pour les entreprises. Selon une nouvelle étude publiée par Accenture à l’occasion de l’ouverture des Assises de la sécurité, le coût moyen de la cyber-criminalité a atteint, à l’échelle mondiale, 11,7 millions de dollars par entreprise en 2017, soit une augmentation de 23 % par rapport à 2016 (9,5 millions de dollars) et de 62 % ces cinq dernières années. C’est aux États-Unis que le coût moyen est le plus élevé (21,22 millions de dollars par acte criminel), tandis que l’Allemagne enregistre la plus forte hausse du coût total de la cyber-criminalité (de 7,84 à 11,15 millions de dollars). Cette forte dégradation fait suite aux récentes attaques de grande ampleur telles que WannaCry et Petya, dont les préjudices causés à un certain nombre de grandes entreprises mondiales se chiffrent en centaines de millions de dollars.

Cette étude du coût de la cyber-criminalité (Cost of Cyber Crime Study) a été menée auprès de 2 182 spécialistes de la sécurité IT, issus de 254 organisations à travers le monde. Elle révèle que le nombre de cyber-attaques est en constante augmentation depuis que le Ponemon Institute a débuté ses recherches en 2009. Le rapport fait état d’un certain nombre d’enseignements :

En moyenne, une entreprise subit 130 violations de sécurité par an, soit une hausse de 27,4 % par rapport à 2016, et un quasi-doublement en l’espace de cinq ans. Une violation de sécurité (« breach ») est définie comme une infiltration au sein d’un réseau central ou d’un système d’entreprise.
Les secteurs les plus touchés sont les services financiers et l’énergie, avec respectivement un coût annuel moyen par entreprise de 18,28 et 17,20 millions de dollars.
On note également une augmentation de la durée nécessaire pour corriger les problèmes. Parmi les incidents les plus longs à traiter se trouvent ceux qui viennent de l’intérieur, avec une moyenne de 50 jours, contre un peu plus de 23 jours pour les attaques par ransomware.
Les attaques par malware et celles provenant du Web sont les plus coûteuses, nécessitant une dépense moyenne respective de 2,4 et 2 millions de dollars par entreprise.

« Les conséquences coûteuses et dévastatrices de la cyber-criminalité pour les entreprises soulignent l’importance croissante de la planification stratégique et d’un suivi rigoureux des investissements en matière de sécurité. L’étude donne une moyenne du coût de la cybercriminalité mais pour certaines entreprises les pertes peuvent être bien plus importantes », explique Eric Boulay, Directeur d’Accenture Security en France et au Benelux. « Pour continuer à résister à des attaques de plus en plus sophistiquées et extrêmement motivées, les entreprises doivent adopter une stratégie de sécurité dynamique et agile, permettant de construire la résilience de l’intérieur vers l’extérieur (au lieu de se focaliser exclusivement sur le périmètre pris en charge), avec une approche spécifique à l’activité pour protéger l’ensemble de la chaîne de valeur. »

Améliorer la répartition des dépenses en matière de technologies de sécurité

Sur les neuf technologies de sécurité évaluées, celle qui fait l’objet des dépenses les plus importantes est le contrôle de périmètre avancé. Or on constate que les entreprises qui ont déployé ces solutions de sécurité ont réalisé des économies opérationnelles (liées à l’identification et à la remédiation des cyber-attaques) qui s’élèvent à seulement un million de dollars, ce qui suggère un possible manque d’efficacité dans l’allocation des ressources. Parmi les catégories de dépenses les plus efficaces pour minimiser les pertes causées par les actes de cyber-criminalité se trouvent les systèmes de renseignement (security intelligence), définis comme des outils permettant d’ingérer des informations issues de multiples sources dans le but d’identifier et prioriser les menaces internes ou externes. Ces systèmes permettent de réaliser des économies substantielles (2,8 millions de dollars en moyenne), soit plus que tous les autres types de technologies couverts par l’étude. Les technologies d’automatisation, d’orchestration et d’apprentissage machine ont été déployées dans seulement 28 % des entreprises, (soit le pourcentage le plus faible parmi les technologies considérées), alors qu’elles arrivent en troisième position en termes d’économies opérationnelles liées aux technologies de sécurité, avec un total de 2,2 millions de dollars.

Les conséquences financières des cyber-attaques sont de plus en plus lourdes

Les chercheurs ont exploré quatre impacts principaux sur les organisations victimes d’une cyber-attaque : perturbation de l’activité, perte d’informations, perte de revenus et dommages matériels. Le type de dommages le plus préjudiciables est aujourd’hui la perte d’information, mentionnée par 43 % des personnes interrogées. Le coût de la perturbation de l’activité (défaillance des processus suite à une attaque, par exemple) est en revanche passé de 39 % en 2015 à 33 % cette année.

« Le cœur d’un programme de sécurité solide et efficace consiste à identifier et à « renforcer » les actifs les plus précieux de l’entreprise », explique le Dr Larry Ponemon, Président fondateur du Ponemon Institute. « Bien que des progrès réguliers aient été réalisés dans le domaine de la cyber-défense, les entreprises pourraient bénéficier d’une meilleure compréhension des coûts de la cyber-criminalité ; cela les aiderait à combler l’écart entre leurs vulnérabilités et l’inventivité sans fin (et le nombre croissant) des cyber-criminels. »

Le coût moyen par entreprise varie considérablement selon le pays et le type d’attaque
L’Australie affiche le coût moyen par cyber-attaque le plus faible (5,41 millions de dollars), tandis que le Royaume-Uni enregistre la plus faible évolution par rapport à l’an dernier (de 7,21 à 8,74 millions de dollars). Le Japon enregistre une augmentation des coûts de 22 % (10,45 millions de dollars), soit la troisième plus forte augmentation des pays couverts par l’étude.

Les coûts varient considérablement selon le type d’attaque. Les entreprises américaines sont celles qui consacrent le plus de dépenses de remédiation, tous types de cyber-attaque confondus, en particulier dans les domaines des attaques par malware et des attaques provenant du Web (3,82 et 3,40 millions de dollars par incident, respectivement). En Allemagne et en Australie, 23 % du coût total annuel lié à la cyber-criminalité est imputable à des attaques par malware. En France, 20 % du coût total annuel lié à la cyber-criminalité est imputable aux attaques provenant du Web. Les attaques par déni de service représentent 15 % du coût annuel total en Allemagne et au Royaume-Uni.

Recommandations pour renforcer l’efficacité des efforts de cyber-sécurité

En prenant les trois mesures suivantes, les entreprises peuvent renforcer l’efficacité de leur cyber-sécurité, en prévenant les actes cybercriminels et en minimisant leur impact :

Construire la cyber-sécurité sur des fondations solides – Les entreprises gagneraient à investir dans des éléments de base performants, notamment dans les domaines du renseignement en matière de sécurité et de la gestion avancée des accès, tout en reconnaissant la nécessité d’innover pour rester en avance sur les hackers.
Effectuer des tests de résistance extrêmes – Les entreprises ne doivent pas uniquement chercher à répondre aux impératifs de conformité pour améliorer leur profil sécuritaire : elles doivent également procéder à des tests de résilience extrêmement exigeants afin d’identifier leurs vulnérabilités de manière encore plus rigoureuse que les hackers les plus motivés.
Investir dans des innovations de rupture – Les entreprises doivent consacrer une partie de leur budget aux nouvelles technologies, en particulier aux solutions analytiques et à l’intelligence artificielle, pour améliorer l’efficacité et l’étendue de votre programme.

Méthodologie

L’étude, menée par le Ponemon Institute pour le compte d’Accenture, analyse un certain nombre de coûts associés aux cyber-attaques, dans des domaines tels que l’infrastructure IT, l’espionnage économique, la perturbation de l’activité, l’exfiltration de propriété intellectuelle ou encore la perte de revenus. Les données ont été collectées à partir de 2 182 entretiens conduits sur une période de dix mois, dont les participants étaient issus de 254 organisations dans sept pays (Etats-Unis, Royaume-Uni, Australie, Allemagne, Japon, France et Italie). L’étude permet d’établir le coût de tous les actes de cyber-criminalité subis sur une période d’un an. Cela inclut les coûts liés à la détection, à la récupération, aux investigations et aux réponses apportées aux incidents. Les coûts résultant des activités post-incident, visant à limiter des dépenses supplémentaires liées à la perturbation de l’activité et à la perte de clientèle, sont également pris en compte.

Base de données, Chiffrement, Cloud, Cybersécurité, Entreprise, Fuite de données, Propriété Industrielle, RGPD, Securite informatique

Une Cyberattaque, un véritable un coût pour votre business ?

Les nouvelles technologies font désormais partie de notre quotidien, ce qui signifie que la cybersécurité et les risques associés deviennent de plus en plus importants. Cette dépendance accrue de l’informatique rend indispensable la sensibilisation aux impacts financiers d’une cyberattaque au sein d’une entreprise.

Le coût après une cyberattaque, y avez-vous pensé ? Il est relativement facile de calculer la valeur des actifs matériels ou immatériels et des coûts connexes. Mais qu’en est-il des coûts associés aux temps d’arrêt opérationnel ou à d’autres impacts sur l’activité d’une entreprise en cas d’incident en sécurité ? La société iTrust revient sur cette problématique question. On y apprendre que l’étude Ponemon a chiffré le coût moyen d’un incident en cybersécurité dans les entreprises européennes : 3,7 millions euros. En parallèle, le coût par employée d’une fuite de données continue d’augmenter : 201 $ en 2014, 217 $ en 2015 et 221 $ en 2016. Les industries fortement réglementées ont les coûts les plus élevés (402 $ pour l’industrie des soins de santé, par exemple). Ces coûts permettent d’expliquer pourquoi, en 2016, les coûts liés à des violations de données variaient de 4,9 millions de dollars pour moins de 10 000 dossiers compromis à 13,1 millions de dollars pour plus de 50 000 dossiers. D’ici 2019, Panda Labs Juniper Research estime que la cybercriminalité coûtera aux entreprises plus de 2 billions de dollars. Bref, une cyberattaque a un coût sur votre business, à coup sûr !

Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle, ransomware, Securite informatique

Failles de sécurité : responsables de la sécurité des systèmes d’information, pourquoi faire l’aveugle ?

Selon une enquête réalisée par ServiceNow, 90 % des responsables de la sécurité des systèmes d’information français déclarent que les failles de données dont ils ont connaissance ne sont pas traitées. Les RSSI augmentent l’efficacité de leur réponse aux incidents de sécurité en automatisant les tâches de sécurité et en hiérarchisant les menaces en fonction du risque pour l’entreprise.

Une nouvelle enquête menée par ServiceNow, the enterprise Cloud company, auprès de 300 responsables de la sécurité des systèmes d’information (RSSI — Chief Information Security Officer, CISO) du monde entier souligne la nécessité d’adopter une nouvelle approche pour répondre à l’augmentation du nombre de menaces qui pèsent sur la sécurité des données, ainsi qu’à la hausse de leur coût. Selon cette étude intitulée « The Global RSSI Study: How Leading Organizations Respond to Security Threats and Keep Data Safe », 90 % des RSSI français indiquent que les failles de données détectées ne sont pas traitées (80 % au niveau mondial) et 68 % déclarent pour leur part éprouver des difficultés à hiérarchiser les menaces en fonction du risque qu’elles représentent pour l’entreprise.

Ces lacunes ont un coût : 14 % des RSSI français (13 % au plan mondial) déclarent avoir vécu au cours des trois dernières années une importante faille de sécurité ayant eu un impact important sur l’image ou les finances de leur entreprise. Les processus manuels, le manque de ressources et de talents, ainsi que l’impossibilité de hiérarchiser les menaces grèvent l’efficacité de la réponse aux incidents de sécurité. Résultat, les RSSI augmentent l’automatisation des tâches de sécurité pour répondre et remédier aux failles de sécurité avec une plus grande efficacité.

« En France, les RSSI consacrent de plus en plus de temps à prévenir et détecter des failles de sécurité, mais notre étude souligne que c’est sur la réponse à apporter qu’ils devraient se concentrer », a déclaré Matthieu de Montvallon, Directeur Technique de ServiceNow France. « L’automatisation et l’orchestration de la réponse aux incidents de sécurité constituent le chaînon manquant qui empêche les RSSI d’accroitre de façon significative l’efficacité de leurs programmes de sécurité ».

Principales conclusions de l’étude menée en France via la réponse de responsables de la sécurité des systèmes d’information

· seulement 18 % des RSSI interrogés considèrent que leur entreprise lutte très efficacement contre les failles de sécurité (19 % à l’échelle mondiale) ;

· ce sont les clients qui souffrent le plus de ces lacunes : seulement 38 % des RSSI — en France et dans le monde — pensent protéger les données de leurs clients de façon très efficace contre les failles de sécurité ;

· environ un cinquième des RSSI français (22 %) déclare que les processus manuels entravent la capacité de leur entreprise à détecter des failles de sécurité et à y faire face ; 26 % d’entre eux imputent cette difficulté au manque de ressources ;

· seulement 4 % des RSSI français estiment que leurs employés disposent des compétences nécessaires pour hiérarchiser avec succès les menaces qui pèsent sur la sécurité, contre 7 % au plan mondial.

Au sein du panel couvert par cette enquête, un petit groupe (11 % à l’échelle mondiale et 14 % en France) de « leaders dans la lutte contre les incidents de sécurité » affiche une tendance différente en ce sens où ils souhaitent :

· automatiser un pourcentage supérieur d’activités de sécurité, en incluant des tâches plus avancées telles que les rapports de tendances ;

· hiérarchiser les réponses aux alertes de sécurité en fonction du niveau de risque pour l’entreprise ;

· et nouer des relations plus étroites avec la DSI et autres services de l’entreprise.

Base de données, Cybersécurité, Emploi, Entreprise, Fuite de données, Propriété Industrielle, Securite informatique

2 employés sur 10 pirateraient leur entreprise

21 % des employés de bureau britanniques pirateraient leur entreprise s’ils avaient les compétences requises. Une enquête révèle les informations susceptibles d’être piratées par les employés : leurs salaires, leurs jours de congés, les commérages, les informations RH sensibles.

L’entreprise CyberArk, spécialiste de la protection d’organisations face aux cyberattaques ayant réussi à pénétrer dans le périmètre réseau, a dévoilé les résultats d’une enquête révélant ce que les employés feraient s’ils étaient capables d’accéder anonymement aux données sensibles de leur entreprise, notamment les salaires, les jours de congé ou des informations confidentielles liées aux ressources humaines. Ce sondage rappelle l’importance de contrôler les accès aux comptes à privilèges, afin d’éviter que les cyber-pirates internes et externes ne puissent obtenir un accès libre et illimité aux actifs les plus précieux de l’entreprise.

Cette enquête, réalisée auprès de 1 000 employés de bureau britanniques dans des entreprises de plus de 250 salariés, révèle que les informations les plus convoitées sont le salaire des collègues (26 %), les conversations à leur sujet (22 %) et des informations sensibles détenues par les RH (20 %). Si les employés pouvaient modifier des informations dans le système de leur entreprise sans encourir de risque, près d’un tiers (31 %) s’accorderait une augmentation de salaire, et près d’un employé sur cinq (19 %) s’octroierait des jours de congé supplémentaires.

« Les équipes de sécurité savent depuis longtemps que l’une des techniques les plus prisées des hackers souhaitant accéder à des données critiques consiste à se faire passer pour un utilisateur légitime, et à exploiter des identifiants à privilèges pour se déplacer latéralement dans un réseau et pour effectuer une reconnaissance sans être détecté virtuellement, explique Matt Middleton-Leal, Vice-Président Régional pour le Royaume-Uni, l’Irlande et l’Europe du Nord chez CyberArk. Si cette enquête révèle les méfaits que les employés pourraient perpétrer en l’absence de contrôles adéquats, elle rappelle avant tout que les menaces internes, ou les pirates se faisant passer pour des collaborateurs internes, représentent pour chaque organisation l’une des principales menaces de sécurité actuelles. »

La bonne nouvelle pour les employeurs britanniques est que la plupart des employés interrogés sont satisfaits de leur emploi actuel et n’ont donc pas d’envie et ne pirateraient leur entreprise que dans leurs rêves ! Cependant, les personnes très mécontentes seraient deux fois plus enclines à exploiter les données de leur entreprise, comparé à leurs collègues très satisfaits (61 % contre 29 %). Après s’être alloué des avantages salariaux plus avantageux (33 %) et avoir recherché les anecdotes croustillantes de bureau à répandre (27 %), les employés mécontents choisiraient de dévoiler les pratiques douteuses et frauduleuses de leur entreprise (20 %) et de dénoncer les membres malhonnêtes ou fainéants de leur organisation (18 %).

La principale raison pour laquelle les employés ne piratent pas les ordinateurs de leur employeur repose sur la croyance que cela n’est pas moral (40 %). Toutefois, un peu plus d’un quart des interrogés (27 %) affirme que les répercussions, s’ils sont pris, sont rédhibitoires, et une personne sur cinq (21 %) invoque son manque de compétences techniques. Ceci suggère que bon nombre d’employés seraient tentés d’accéder ou d’exploiter des données d’entreprise s’ils savaient comment agir sans être attrapés.

Que feraient les employés s’ils étaient sûrs de ne pas être pris ? Ils pirateraient leur entreprise !

Plus de la moitié (51 %) des interrogés déclarent qu’ils seraient prêts à s’immiscer dans les systèmes ou les comptes en ligne d’autres entreprises, mais uniquement s’ils étaient certains de ne pas être repérés. Il pirateraient leur entreprise sans problème ! Les réponses les plus courantes ont trait à des avantages personnels, comme par exemple augmenter son nombre de jours de congé (23 %), transférer des fonds sur son propre compte bancaire (23 %), faire du shopping en ligne sans rien débourser (20 %) et rembourser son emprunt (14 %). Certains affichent également des réactions plus politiques, en indiquant par exemple qu’ils bloqueraient les activités de certaines entreprises immorales (14 %), rechercheraient des renseignements nationaux confidentiels (11 %) ou modifieraient certaines lois (5 %).

« Les cybercriminels se montrent de plus en plus agressifs dans leurs attaques, raison pour laquelle celles-ci causent des dommages plus rapidement qu’auparavant, comme ce fut le cas avec le ransomware WannaCry, poursuit Matt Middleton-Leal. Les pirates sont de plus en plus doués et parviennent à se dissimuler derrière des identifiants valides afin d’opérer sans être décelés et stoppés. C’est pourquoi les entreprises doivent être plus vigilantes que jamais afin de pouvoir surveiller et bloquer l’activité des personnes internes mal intentionnés et ainsi protéger leurs données les plus sensibles. »