GUIDE – Module 3
Principales menaces
Dans le monde numérique actuel, les menaces contre la sécurité des informations sont diverses et en constante évolution. Parmi les principales menaces, on trouve le phishing, le piratage de compte, les ransomwares, les logiciels malveillants et les attaques de déni de service (DDoS). Ces menaces peuvent compromettre non seulement la sécurité des données personnelles et professionnelles, mais aussi affecter l’intégrité et la disponibilité des systèmes d’information.
Niveau : intermédiaire
PRINCIPALES MENACES
1
Rapport ENISA Threat Landscape 2023
Selon le rapport ENISA Threat Landscape 2023, le paysage des cybermenaces en Europe a été marqué par une variété croissante d’attaques, influencé en partie par la guerre en Ukraine. Les menaces principales identifiées comprennent les ransomwares, les logiciels malveillants ou malwares, l’ingénierie sociale, les menaces contre les données, les attaques contre la disponibilité (DDoS), la manipulation d’informations et les attaques sur la chaîne d’approvisionnement.
L’ENISA indique clairement que l’administration publique est le secteur le plus fréquemment attaqué avec une prépondérance des attaques par ransomware et par DDoS.
Ce risque met en lumière la nécessité pour le secteur d’adopter des mesures de cybersécurité robustes afin de protéger les infrastructures critiques et les données sensibles.
Pour renforcer la cybersécurité face à ces menaces, il est essentiel que les organisations, notamment celles du secteur public, adoptent une approche proactive comprenant une évaluation régulière des risques, la mise à jour des systèmes et logiciels, l’adoption de pratiques de sécurité solides comme l’authentification multifactorielle ainsi qu’une formation continue des agents sur les meilleures pratiques de cybersécurité.
Les principales menaces sont exposées à la suite.
2
Phishing et Arnaques
Notion de "phising"
Le phishing est une technique d’escroquerie en ligne par laquelle les cybercriminels envoient des e-mails semblant provenir de sources légitimes dans le but de voler des informations sensibles telles que les mots de passe, les numéros de carte de crédit ou d’autres données personnelles. Ces e-mails peuvent apparaître comme étant envoyés par des banques, des services publics (même le vôtre) ou d’autres organisations fiables, incitant les victimes à cliquer sur des liens malveillants ou à divulguer des informations personnelles.
Lorsque les liens malveillants sont transmis sur un téléphone par sms, on parlera de smishing.
Lorsque les attaquants visent une personne spécifique (contrairement au phishing général qui vise un large public) en utilisant des informations collectées sur leurs victimes (nom, emploi, contacts professionnels, intérêts personnels, etc.) pour rendre leurs messages aussi convaincants et légitimes que possible on parlera de spearphising.
L’ENISA a noté une augmentation significative des incidents de phishing et d’arnaques, soulignant l’importance de celles-ci dans le paysage actuel des menaces.
Les campagnes de phishing se sont diversifiées, exploitant des événements mondiaux tels que la pandémie de COVID-19 ou le conflit en Ukraine pour tromper les victimes. La prolifération des services de phishing en tant que service (PhaaS) a également contribué à l’augmentation des attaques, rendant le phishing plus accessible aux cybercriminels avec peu de connaissances en cybersécurité.
Identification du phishing
1) Les e-mails de phishing
Les e-mails de phishing peuvent souvent être identifiés par :
• Des demandes d’informations personnelles ou financières : les institutions légitimes ne demandent jamais ce type d’informations par e-mail.
• Des fautes de frappe ou des erreurs grammaticales : des erreurs inhabituelles peuvent indiquer un e-mail frauduleux.
• Des liens suspects : survolez les liens avec votre souris (sans cliquer) pour voir si l’adresse URL semble légitime et méfiez vous des liens avec des extensions inhabituelles.
L’une des méthodes les plus simples mais efficaces pour détecter un e-mail de phishing est de survoler les liens reçus avec votre souris sans cliquer dessus. Cette action vous permet de voir l’adresse URL complète à laquelle le lien prétend vous diriger.
Voici quelques conseils pour évaluer la légitimité de l’URL :
- Vérifiez la correspondance de domaine : assurez-vous que l’URL affichée correspond au domaine officiel de l’organisation. Les escrocs utilisent souvent des noms de domaine similaires, mais légèrement modifiés, pour tromper les victimes (par exemple, « banqueexemple.com » au lieu de « banqueexemple.fr »).
- Méfiez-vous des URL raccourcies : les escrocs utilisent parfois des services de raccourcissement d’URL pour cacher la véritable destination des liens. Si vous voyez un lien raccourci, soyez particulièrement prudent.
- Recherchez les signes de sécurisation : les sites Web légitimes utilisent généralement le protocole HTTPS pour sécuriser les informations transmises. Bien que la présence de HTTPS (indiquée par un cadenas dans la barre d’adresse de votre navigateur) ne garantisse pas la sécurité totale d’un site, l’absence de ce protocole est un signe d’alerte.
- Attention aux fautes d’orthographe et aux erreurs : les URL contenant des fautes d’orthographe évidentes ou des erreurs grammaticales sont souvent des indicateurs de sites frauduleux.
- Utilisez des outils de vérification d’URL : si vous êtes toujours incertain de la légitimité d’un lien, utilisez des outils en ligne de vérification d’URL pour analyser l’adresse avant de la visiter. Ces outils peuvent vous fournir des informations sur la réputation du site et d’éventuels rapports de phishing associés. Voici l’outil de vérification de google : https://transparencyreport.google.com/safe-browsing/search?hl=en
2) Les noms de domaine
Certaines extensions de domaine doivent particulièrement attirer l’attention car elles sont fréquemment utilisées par les attaquants pour créer des sites web malveillants ou trompeurs.
Parmi ces extensions problématiques, on trouve :
.io : initialement attribuée au territoire britannique de l’océan Indien, cette extension est populaire parmi les start-up tech. Cependant, sa popularité a également attiré des acteurs malveillants qui l’utilisent pour concevoir des sites de phishing, profitant de sa crédibilité dans l’industrie tech pour tromper les victimes.
.tk : cette extension gratuite, attribuée à la Tokelau, une dépendance de la Nouvelle-Zélande, est souvent exploitée par des cybercriminels en raison de sa disponibilité sans coût. Les sites en .tk peuvent donc être éphémères, montés rapidement pour une campagne de phishing avant d’être démantelés une fois la fraude réalisée.
.ru : l’extension nationale de la Russie est également connue pour être associée à de nombreuses activités malveillantes en ligne, notamment le phishing et la diffusion de malwares. Bien que de nombreux sites légitimes utilisent également cette extension, la prudence est de mise lorsqu’elle apparaît dans des communications inattendues.
3) Des offres trop belles pour être vraies
Méfiez-vous des promesses d’argent facile ou des cadeaux gratuits.
4) Des messages alarmistes
Les escrocs utilisent souvent des tactiques afin de susciter la peur pour pousser les victimes à agir rapidement.
Prévention du phishing
• Soyez sceptique – Ne cliquez pas sur les liens ou n’ouvrez pas les pièces jointes dans les e-mails non sollicités ou suspicieux.
• Vérifiez les sources – Contactez l’organisation émettrice par un moyen officiel pour confirmer la légitimité d’un e-mail.
• Utilisez un filtre anti-spam – Les filtres anti-spam peuvent réduire le nombre d’e-mails de phishing que vous recevez.
• Mettez à jour vos logiciels – Assurez-vous que votre système d’exploitation, vos navigateurs et votre logiciel antivirus sont à jour.
• Éducation et formation – Sensibilisez-vous et formez vos collègues et votre famille aux techniques de phishing et aux bonnes pratiques en matière de sécurité en ligne.
Exemples pratiques
Imaginez un e-mail prétendument envoyé par votre banque vous informant d’une activité suspecte sur votre compte et vous demandant de cliquer sur un lien pour vérifier votre identité. En examinant de près l’e-mail, vous remarquez des erreurs grammaticales et le lien vous redirige vers un site web qui ne correspond pas à l’URL officielle de votre banque. C’est un exemple classique de tentative de phishing.
La prévention et la sensibilisation restent vos meilleures défenses contre le phishing et les arnaques. En appliquant ces conseils et en restant informé sur les dernières tactiques utilisées par les escrocs, vous pouvez renforcer votre cybersécurité et protéger vos informations personnelles contre ces menaces omniprésentes.
3
DDOS
Les attaques DDOS
Les attaques se produisent lorsqu’un grand nombre d’ordinateurs (généralement appelé botnet) préalablement piratés et devenus des « zombies » à la solde d’un hacker tentent de se connecter de manière rapide et répétées au serveur attaqué, surchargeant celui-ci au point qu’il ne puisse plus remplir sa fonction.
Le rapport ENISA 2023 a constaté une augmentation significative des incidents DDoS ciblant plus spécifiquement les autorités publiques et attribuées à l’influence croissante du hacktivisme et aux tensions géopolitiques mondiales. De plus, la migration continue des services et des données vers le cloud nécessite une considération attentive des attaques par déni de service dans le cloud. Les attaques DDoS sont devenues plus grandes, plus complexes et moins coûteuses à lancer, avec une utilisation croissante de botnets basés sur des serveurs virtuels privés plutôt que sur une multitude de dispositifs IoT. Cette tendance démontre la nécessité de mettre en place des stratégies de défense robustes et adaptatives pour contrer ces menaces évolutives.
Les attaques par déni de service distribué (DDoS) ciblent la disponibilité des systèmes et des données. Bien qu’elles ne soient pas nouvelles, elles jouent un rôle significatif dans le paysage des menaces cybernétiques. Les attaques DDoS se produisent lorsque les utilisateurs d’un système ou d’un service ne peuvent pas accéder aux données, services ou autres ressources qui leur sont nécessaires pour travailler, pour transmettre des documents. Cela peut être accompli en épuisant le service et ses ressources ou en surchargeant l’infrastructure réseau.
Prévention des Attaques DDoS
Comment prévenir de telles attaques ? Quelques mesures permettent d’endiguer les tentatives de surcharges de vos systèmes :
• Renforcement de la sécurité des infrastructures : assurez-vous que votre infrastructure réseau est sécurisée et à jour avec les derniers patches de sécurité.
• Planification de la capacité : préparez votre réseau à gérer des volumes de trafic importants pour minimiser l’impact des attaques DDoS lorsque vous fournissez des services critiques.
• Protection au niveau de l’application : utilisez des pare-feux d’applications web (WAF) et des systèmes de détection et de prévention des intrusions (IDS/IPS) pour protéger vos applications web critiques. Le WAF examine les requêtes adressées à votre système et les bloque en cas de menace tandis que l’IDS/IPS identifie et bloque le trafic malveillant.
• Répartition de charge : utilisez des solutions de répartition de charge pour distribuer le trafic équitablement entre plusieurs serveurs et prévenir la surcharge d’un seul point. Le flot d’attaques étant dérivé, la surcharge peut ainsi être évitée.
• Solutions DDoS tierces : pour les services les plus critiques, comme celui d’un hôpital ou d’une administration, des services de mitigation DDoS fournis par des tiers spécialisés dans la protection contre ces types d’attaques peuvent être mis en place.
Que faire en cas d'attaque ?
Que faire si vous constatez une attaque DDOS sur vos services ?
• Communication avec votre ISP : travaillez avec votre fournisseur de services Internet (ISP) pour atténuer l’attaque dès son identification.
• Activation des plans de réponse : activez votre plan de réponse aux incidents de cybersécurité spécifique aux attaques DDoS.
• Analyse post-attaque : après une attaque, analysez son déroulement pour améliorer vos mesures de prévention et de réponse.
4
Ransomware et malware
Notion de "logiciel malveillant" ou de "malware"
Un logiciel malveillant, ou malware, est un terme générique qui désigne tout programme ou fichier nuisible conçu pour causer des dommages ou effectuer des actions non souhaitées dans un système informatique. Les malwares peuvent prendre diverses formes, telles que des virus, des vers, des chevaux de Troie, des spywares, des adwares et bien sûr des ransomwares. La métaphore d’un « virus » est souvent utilisée car, tout comme son homologue biologique, le malware cherche à s’infiltrer discrètement, se répliquer et se propager à d’autres hôtes, le plus souvent avec des intentions malveillantes.
Le but des malwares peut varier : certains sont conçus pour voler des informations sensibles (comme des données bancaires), d’autres pour prendre le contrôle de l’ordinateur de la victime à des fins malveillantes (comme lancer une attaque DDOS) et d’autres encore plus simplement pour causer des désagréments ou des dommages sans bénéfice direct pour l’attaquant.
Un ransomware, ou rançongiciel en français, est une forme spécifique de logiciel malware qui chiffre les fichiers de l’utilisateur ou bloque l’accès à l’ordinateur ou à certaines fonctions, puis demande une rançon pour déchiffrer les fichiers ou restaurer l’accès. Imaginez que vous rentriez chez vous et trouviez une serrure étrangère sur votre porte, avec une note vous demandant de payer pour obtenir la clé. C’est essentiellement ce que fait un ransomware à votre ordinateur. Ces demandes de rançon sont généralement payées en monnaie numérique, comme le Bitcoin, pour préserver l’anonymat de l’attaquant.
Selon le rapport de l’ENISA de 2023, les ransomwares et les logiciels malveillants continuent d’évoluer, exploitant de nouvelles techniques et ciblant une gamme plus large d’appareils et de systèmes. Des tactiques comme l’utilisation de fichiers conteneurs (dont les extensions sont .ISO, .RAR) pour distribuer des malwares ont été constatées, ces types de fichiers pouvant contourner certaines protections de votre ordinateur.
Comment se protéger ?
Les ransomwares et autres logiciels malveillants représentent une menace majeure pour les organisations de toutes tailles, y compris les autorités publiques. Ces menaces exploitent diverses vulnérabilités pour infecter les réseaux, chiffrer les données ou exécuter des actions malveillantes, entraînant souvent des perturbations importantes et des pertes financières.
Quelques mesures simples suffisent à limiter les risques :
• Mises à jour régulières : assurez-vous que tous vos systèmes, logiciels et applications sont régulièrement mis à jour pour corriger les vulnérabilités connues.
• Sauvegardes : effectuez des sauvegardes régulières de toutes les données importantes et stockez-les de manière sécurisée, idéalement hors ligne, pour les protéger contre le chiffrement par ransomware.
• Formation et sensibilisation : éduquez vos employés sur les menaces de ransomware et de logiciels malveillants, y compris la reconnaissance des tentatives de phishing, une cause fréquente d’infection.
• Solutions de sécurité : utilisez des solutions antivirus et antimalware robustes et assurez-vous qu’elles sont constamment à jour.
• Principe de moindre privilège : limitez les droits d’accès des utilisateurs uniquement aux ressources nécessaires pour leur travail.
Que faire en cas d'attaque ?
Que faire si votre système est infecté ?
• Isoler : déconnectez immédiatement les machines infectées du réseau pour empêcher la propagation du malware.
• Identifier : travaillez avec des professionnels de la cybersécurité pour identifier la souche de ransomware ou de malware et déterminer s’il existe un outil de déchiffrement disponible.
• Restaurer : utilisez vos sauvegardes pour restaurer les données perdues ou chiffrées une fois que l’infection est sous contrôle.
• Rapporter : informez les autorités compétentes de l’attaque pour aider à suivre et à combattre les acteurs de la menace. Les démarches peuvent être effectuées ici : https://ccb.belgium.be/fr/cert
5
Nomadisme et mobilité
Lorsqu’on travaille en dehors de l’environnement de bureau sécurisé, il est indispensable d’adopter des pratiques qui garantissent la sécurité des informations.
Lorsqu’on travaille en dehors de l’environnement d’un bureau sécurisé, il est crucial d’adopter des pratiques qui garantissent la sécurité des informations qui peuvent transiter par votre système.
Quelques règles élémentaires s’imposent :
- Prudence avec les Wi-Fi publics : les réseaux Wi-Fi publics peuvent être des vecteurs d’attaques. A l’extérieur de votre environnement habituel, utilisez toujours un VPN (Virtual Private Network) pour chiffrer votre connexion et protéger vos données des interceptions.
- Utilisation sécurisée des supports amovibles : les supports amovibles tels que les clés USB peuvent être infectés par des logiciels malveillants. Avant toute utilisation, scannez-les avec un logiciel antivirus et n’utilisez pas des supports dont la source est inconnue.
- Authentification forte : activez l’authentification à plusieurs facteurs (MFA) pour vos comptes et services. Cela ajoute une couche de sécurité supplémentaire en requérant une seconde forme de vérification en plus du mot de passe. Un module est dédié à cette pratique.
- Mises à jour régulières : assurez-vous que tous vos appareils sont régulièrement mis à jour. Les mises à jour comprennent souvent des correctifs pour des vulnérabilités de sécurité récemment découvertes.