Comment éviter d’être victime de pirates informatiques : un guide à l’intention des PME

Plus l’infrastructure d’une entreprise se développe, plus elle présente de points faibles. Cela vaut pour toutes les entreprises, depuis les grandes sociétés disposant de moyens financiers importants et capables d’investir davantage dans leurs défenses jusqu’aux petites et moyennes entreprises. Ainsi, malgré leurs moyens plus modestes, les plus petites entreprises constituent des cibles tout aussi attrayantes pour les pirates informatiques.

Nouvelle époque, nouveaux risques

Les plateformes cloud, l’accès à distance et l’IA aident les entreprises à se développer et à gagner en productivité. Cependant, elles offrent également aux pirates informatiques de nouveaux moyens de pénétrer dans l’infrastructure des entreprises. Par exemple, les appareils personnels des employés en télétravail sont devenus des points d’accès difficiles à contrôler. De plus, grâce à l’IA, il est presque impossible de distinguer un email de phishing d’un message authentique : les utilisateurs ne peuvent plus repérer un escroc à ses fautes d’orthographe.

Il existe une autre raison pour laquelle de nouvelles menaces ne cessent d’apparaître : les entreprises apprennent petit à petit à faire face aux anciennes. Prenons les sauvegardes. Il y a quelques années à peine, elles étaient présentées comme un remède miracle contre les ransomwares. Aujourd’hui, elles sont moins efficaces, car à un moment donné, les pirates informatiques se sont mis à voler des données et à exiger une rançon non plus pour les déchiffrer, mais pour ne pas les rendre publiques. Ce qui est en jeu ici, ce ne sont pas seulement les processus métier, mais aussi la réputation de l’entreprise. Nous avons décrit ce stratagème plus en détail dans un autre article de notre blog.

Le plus inquiétant, c’est que les problèmes d’une entreprise victime d’une attaque ne s’arrêtent pas le jour même de l’incident. Les jours (voire les semaines) qui suivent sont souvent bien plus difficiles. C’est à ce moment-là que l’équipe doit rapidement gérer les conséquences d’une attaque et veiller à ce qu’une autre attaque ne puisse pas se reproduire. Les entreprises en pleine croissance doivent souvent mobiliser l’ensemble de leur petite équipe informatique pour résoudre le problème, si bien que le retour à une activité normale peut prendre beaucoup de temps.

Trois talons d’Achille à la fois

Selon le sondage Global Kaspersky B2B Market Pulse, la plupart des PME ne se préoccupent de la sécurité que lorsque les circonstances les y obligent, par exemple après un incident, lors de l’extension de leur infrastructure, ou bien lorsqu’un partenaire potentiel leur demande de renforcer leur périmètre de sécurité avant de signer un contrat. Pourtant, seule une poignée d’entre elles considèrent la surveillance continue de la cybersécurité comme un élément essentiel de la gestion de leur entreprise.

Lorsqu’une entreprise décide enfin de prendre la sécurité au sérieux, elle se heurte à trois contraintes, à savoir les personnes, les processus et les technologies. Examinons chacune d’entre elles.

• Les personnes. Dans une entreprise comptant jusqu’à 500 employés, le service informatique ne comprend généralement que quelques personnes. Celles-ci gèrent toutes les questions techniques et ont peu à voir avec la cybersécurité. Lorsque la situation se complique, ces spécialistes peuvent tout simplement manquer d’expertise pour y faire face. Les autres employés peuvent eux aussi constituer un maillon faible. Les comptables, les juristes et les autres membres du personnel ayant accès à des informations confidentielles connaissent souvent mal les règles de sécurité.
• Les processus. Un petit service informatique a toujours une longue liste de tâches en attente ; les dernières mises à jour et les nouveaux correctifs ne sont donc pas installés immédiatement. De ce fait, les pirates informatiques ont tout le temps d’exploiter une vulnérabilité qui n’a pas été corrigée à temps. Par ailleurs, les autres employés ne savent pas toujours comment réagir aux emails suspects, ni comment stocker et partager leurs mots de passe en toute sécurité. Et il n’y a tout simplement personne pour les surveiller.
• Les technologies. Les menaces évoluent au même rythme que les technologies utilisées par les entreprises. Par exemple, dès lors qu’une entreprise a transféré une partie de son infrastructure vers le cloud, il devient impossible de se contenter d’un simple antivirus.

Les petites et moyennes entreprises deviennent donc des cibles faciles pour les pirates informatiques, non pas à cause de leur taille, mais parce qu’elles n’accordent pas suffisamment d’attention aux éléments fondamentaux de la cybersécurité. Pour savoir où cela peut mener et comprendre comment une entreprise peut retourner la situation à son avantage, poursuivez votre lecture afin de découvrir un cas réel illustrant ce phénomène.

Étude de cas : violation d’un système ERP

Examinons une attaque réelle contre une entreprise de 450 employés. Au moment de l’incident, l’entreprise était en train de migrer son système ERP vers le cloud. Les données avaient déjà été transférées, mais la protection n’avait pas encore été configurée. C’est précisément cette phase de transition qui a permis aux pirates informatiques de mener à bien leur campagne.

Les pirates informatiques ont utilisé une tactique assez simple. En se faisant passer pour un intégrateur ERP externe, ils ont envoyé au service financier un fichier contenant une « facture corrigée ». Lorsqu’un employé a ouvert la pièce jointe, le code malveillant qu’elle contenait a exploité une vulnérabilité dans une application locale, et les pirates informatiques ont pris le contrôle de l’appareil. Ils y ont trouvé des identifiants enregistrés qui leur ont permis de se connecter à un compte d’assistance et d’obtenir des privilèges d’administrateur sur le serveur ERP dans le cloud. Grâce à ce compte, ils ont pu accéder au serveur et voler les données confidentielles de l’entreprise.

Nous avons analysé les erreurs qui ont rendu cet incident possible et nous sommes arrivés à la même formule : personnes + processus + technologies. L’entreprise proposait certes des formations à ses employés, mais celles-ci relevaient surtout de la formalité et ne les aidaient en rien à apprendre à repérer le phishing par email. Les mises à jour de sécurité n’étaient pas non plus installées immédiatement, ce qui explique pourquoi l’ordinateur présentait une vulnérabilité non corrigée. De plus, des identifiants associés à des droits d’accès étaient stockés directement sur l’appareil de l’employé, ce qui a permis aux pirates informatiques d’accéder facilement aux privilèges d’administrateur. Enfin, les postes de travail ne disposaient d’aucune solution EDR, et le serveur ERP dans le cloud ne bénéficiait d’aucune protection pour les charges de travail.

Comment les PME peuvent-elles renforcer leurs défenses ?

Le mieux est de commencer par les trois éléments clés que nous avons abordés précédemment. Il ne s’agit pas simplement de dépenser sans compter pour la sécurité. Il convient d’élaborer un plan clair, étape par étape, qui tire le meilleur parti des ressources dont l’entreprise dispose déjà.

Des formations pratiques

Les employés constituent la première ligne de défense d’une entreprise ; il est donc particulièrement important de les aider à adopter de bonnes habitudes en matière de cybersécurité. De nombreuses entreprises l’ont compris et organisent donc des formations en informatique ; cependant, même si les employés y participent en grand nombre, ils continuent souvent à commettre les mêmes erreurs.

Le problème est que la plupart des formations ne sont pas adaptées aux personnes qui les suivent. Les employés du service financier savent que les pirates informatiques peuvent envoyer des emails de phishing, mais en quoi cela concerne-t-il leur travail ? Pour éviter ce genre de questions, nous recommandons de combiner la théorie de la cybersécurité avec des simulations de cyberattaques réelles. De cette manière, les employés peuvent se mettre sans risque à la place de la victime d’un pirate informatique. Commencez par former les employés qui disposent d’un accès privilégié aux systèmes, ainsi que ceux qui traitent des informations confidentielles.

Pour éviter que les formations ne deviennent une simple formalité, suivez régulièrement les progrès réalisés. Par exemple, envoyez de temps à autre à vos employés des emails de test suspects, puis évaluez la rapidité et la pertinence de leurs réactions : combien de destinataires cliquent sur le lien et combien signalent la menace ?

Des processus structurés

Définissez des priorités claires pour l’installation des mises à jour et des correctifs. Cela permet d’éviter deux écueils : continuer à travailler pendant des mois avec des failles dans votre infrastructure, ou vous précipiter pour corriger chaque vulnérabilité sans vous demander à quel point celles-ci affectent des processus métier particuliers. La mise en place d’une gestion centralisée des vulnérabilités est également utile ; nous vous expliquons comment procéder dans un article distinct. Ne vous précipitez pas pour étendre votre infrastructure ou la migrer vers le cloud tant que votre entreprise ne dispose pas d’une protection et d’une surveillance adéquates.

Autre point essentiel : désignez un propriétaire pour chaque processus. Une personne doit être personnellement chargée d’organiser des formations régulières à la cybersécurité, d’installer les mises à jour, ainsi que de définir les délais et les méthodes de réponse aux incidents. Ainsi, les tâches de sécurité sont effectuées à temps, même lorsque l’équipe informatique dispose de ressources limitées.

Un déploiement progressif des solutions de sécurité

Il est impossible de protéger efficacement votre entreprise sans avoir recours à des produits spécialisés, mais tout acheter d’un seul coup n’est pas une solution non plus. Les nouvelles solutions doivent répondre aux besoins de votre infrastructure. Une bonne approche consiste à ajouter des outils au fur et à mesure que le besoin s’en fait sentir, par exemple pour mieux hiérarchiser les vulnérabilités ou pour renforcer la protection des messageries ou des environnements cloud. Pour adapter la sécurité aux besoins de votre entreprise, vous pouvez notamment utiliser nos modules de sécurité, qui s’intègrent à Kaspersky Next Optimum, une solution destinée aux PME et aux entreprises de taille intermédiaire en pleine croissance.

Une autre option consiste à passer à une solution plus avancée à mesure que votre infrastructure se développe. Les fondements de la cybersécurité peuvent être posés avec Kaspersky Next EDR Foundations, qui assure une protection et un contrôle de base des terminaux. Ensuite, selon les besoins, votre entreprise peut évoluer vers des solutions offrant un éventail de fonctionnalités plus large, depuis Kaspersky Next EDR Optimum jusqu’à Kaspersky Next XDR Optimum, voire directement vers Kaspersky Next MXDR Optimum. Notre offre la plus complète, à savoir Kaspersky MXDR Optimum, associe des capacités avancées de détection et de réponse qui vont au-delà des terminaux et qui s’adaptent aux besoins d’une entreprise en pleine croissance, une surveillance 24 h/24 et 7 j/7, ainsi qu’une recherche proactive des menaces et des enquêtes menées par les experts de Kaspersky.