Se protéger contre les cybermenaces à l’ère de la COVID-19

Si vous avez l’impression de lire au sujet d’une nouvelle entreprise victime d’une cyberintrusion chaque jour, c’est probablement parce que c’est le cas. Qu’il s’agisse de compromission des courriels d’affaires, de harponnage, d’hameçonnage vocal ou de toute autre forme de fraude liée à la cybersécurité, des attaques se produisent chaque jour (et avec succès).

Leur nombre est ahurissant. Une étude menée en 2020 par l’Autorité canadienne pour les enregistrements Internet (ACEI) a révélé que huit entreprises canadiennes sur dix avaient été victimes d’au moins une cyberattaque au cours de l’année précédenteⁱ.

Les cybermenaces se sont multipliées à mesure que nos vies et nos entreprises se sont tournées de plus en plus vers le Web et que les malfaiteurs ont connu du succès en utilisant des méthodes comme l’hameçonnage, l’hameçonnage vocal et l'hameçonnage par message texte, les logiciels malveillants et les rançongiciels. Cela s’est avéré particulièrement vrai pendant la pandémie de COVID-19. En effet, les fraudeurs ont travaillé sans relâche afin d’exploiter les craintes des consommateurs et des effectifs dispersés pour en tirer un profit personnel.

En fait, selon le rapport sur la cybersécurité de 2020 de l’ACEI, trois entreprises canadiennes sur dix ont constaté une hausse du volume d’attaques durant la pandémieⁱⁱ. Comme le coût moyen d’une atteinte à la sécurité des données au Canada a atteint un sommet de 6,35 millions de dollars, il est temps que les entreprises prennent conscience de la situationⁱⁱⁱ.

L’époque du «pirate informatique seul dans un sous-sol» est révolue depuis longtemps. Ceux qui possèdent les compétences techniques nécessaires pour représenter une menace pour les entreprises et les consommateurs mettent en place des systèmes organisés. Ils ont créé toute une économie fondée sur le piratage. Le «Web caché» est rempli de forums pour les malfaiteurs qui achètent et vendent des technologies conçues pour attaquer les entreprises – et qui ont même mis en place des processus de soutien à la clientèle pour s’assurer que leurs produits fonctionnent comme ils ont été annoncés.

«C’est plus facile que jamais pour les malfaiteurs. Il existe un énorme potentiel de gains et beaucoup moins de risques, affirme Peter Buckley, responsable en chef de la technologie et de la cyberrésilience de la Banque HSBC Canada. Nous sommes à l’ère de la vente de services de logiciels malveillants, où les outils de pointe s’achètent et se vendent à bon marché et s’utilisent pour attaquer n’importe quelle entreprise.»

Les deux principales approches utilisées par les pirates informatiques aujourd’hui pour attaquer les entreprises sont les tactiques d’ingénierie sociale (comme l’hameçonnage, l’hameçonnage vocal et l’hameçonnage par message texte) et les attaques de programmes malveillants (comme les logiciels malveillants et les rançongiciels). Même si les incidents associés à cette dernière approche sont plus présents dans l’espace médiatique, c’est la première approche qui demeure la plus grande menace pour les entreprises.

Selon des estimations récentes, jusqu’à 91 % de toutes les cyberattaques commencent par une attaque d’hameçonnage^iv, conçue pour voler des identifiants qui peuvent permettre à un cybercriminel d’accéder à votre réseau ou, plus souvent, des renseignements qui peuvent être utilisés contre vous.

Parfois, une telle attaque prend la forme d’un courriel en apparence authentique qui contient une facture d’un «fournisseur de confiance» qui s’avère être un fichier falsifié qui dirige les fonds au mauvais endroit. Dans d’autres cas, il s’agit d’un lien dans un courriel qui peut vous diriger vers une page Web factice conçue pour vous faire inscrire des renseignements sensibles comme votre nom d’utilisateur et votre mot de passe que les malfaiteurs peuvent utiliser pour accéder à des comptes comme votre compte bancaire ou encore votre réseau ou votre profil au travail.

En matière de cybersécurité, la clé consiste à être proactif. Voici trois façons d’accroître vos chances de garder une longueur d’avance sur les cybercriminels.

1. Élaborez un plan et mettez-le en pratique.

Passez du temps avec des employés et des collègues clés et élaborez un plan complet. Réfléchissez aux données les plus importantes pour votre entreprise et à celles qui seraient les plus profitables à une autre personne. Passez en revue les mesures de protection en place et les lacunes potentielles.

Assurez-vous d’avoir la liste des noms et des numéros de téléphone des personnes que vous devez joindre en cas d’atteinte à la sécurité des données et gardez une copie papier à portée de main que vous pourrez utiliser si vos systèmes sont verrouillés.

N’oubliez pas de mettre vos plans à l’essai. Faites régulièrement des exercices de simulation (une fois par trimestre) pour voir comment vous réagiriez si une situation réelle se produisait. Vérifiez la capacité de votre équipe à repérer les tentatives d’hameçonnage, d’hameçonnage vocal et d’hameçonnage par message texte. Cela peut vous aider à vous préparer à l’exécution de votre plan et aussi à cerner des facteurs importants que vous n’aviez pas pris en compte.

2. Tenez à jour tout matériel ou logiciel connecté à votre réseau.

On découvre chaque jour de nouvelles façons d’attaquer des technologies bien connues. L’une des mesures les plus simples pour protéger votre réseau consiste à vous assurer que tout appareil qui peut y accéder (des serveurs de votre centre de données aux ordinateurs portables et aux téléphones intelligents entre les mains de tous les utilisateurs, du chef de la direction aux représentants du service à la clientèle) est toujours à jour, c’est-à-dire que les correctifs de sécurité les plus récents y ont été installés.

Les pirates informatiques n’ont besoin que d’un seul point faible pour accéder à un système. À partir de là, ils peuvent causer des dommages et entraîner des dépenses considérables. S’ils réussissent une de leurs attaques, ils sont encore plus susceptibles d’essayer encore et encore.

3. Protégez-vous grâce à l’information, à la vérification et à la rapidité d’action

Les entreprises doivent concilier leurs efforts pour assurer leur croissance et ceux qu'elles déploient pour se protéger.

La meilleure façon de protéger votre entreprise contre les tentatives malveillantes d’accès aux données consiste à informer vos employés au sujet des éléments qu’ils doivent surveiller. L’intégration de méthodes adéquates de vérification et d’authentification à tous vos processus peut aussi constituer une mesure de sécurité supplémentaire pour vous aider à protéger votre entreprise.

Enfin, s’il semble que vous ayez été victime d’une cyberattaque, agissez rapidement. Avisez immédiatement vos partenaires financiers, les autorités compétentes et toute autre partie qui pourraient être touchs directement par l’incident ou qui pourraient vous aider à limiter les répercussions de l’attaque.

Pour protéger votre entreprise contre les cybermenaces, chaque seconde et tous les efforts comptent. Pour en savoir plus sur les façons de réduire la fraude et les cybermenaces, lisez l’article Se protéger contre les cybermenaces à l’ère de la COVID-19.