Le Quotidien Indépendant Luxembourgeois
Avec la généralisation du télétravail, des craintes étaient à prévoir autour de la sécurité informatique des entreprises. Si les attaques ont continué, elles n’ont pas pour autant vraiment profité de la crise sanitaire.
En mars dernier, en quelques jours, pour ne pas dire du jour au lendemain, les entreprises ont été dans l’obligation de faire du télétravail une généralité. Dès lors, un grand nombre de dirigeants et de responsables informatiques ont craint pour la sécurité informatique dans la mesure où les connexions à distance pouvaient être des brèches et des failles de sécurité facilitant les attaques informatiques.
Pour en savoir un peu plus sur la question, direction le Computer Incident Response Center Luxembourg (Circl) pour tenter de savoir si la crise sanitaire a été un catalyseur pour les cyberattaques. «Fondamentalement, le travail à distance lié au Covid-19 n’a pas conduit à plus d’incidents. Mais dans une situation normale, si une vulnérabilité d’un serveur VPN est détectée par un attaquant, elle sera attaquée, indépendamment de la situation de crise réelle. Le seul point qui a pu être observé est que la recherche de vulnérabilité de ces systèmes a davantage été un point d’attention», explique Michael Hamm.
L’opérateur au sein du Circl poursuit : «Le phishing reste le type d’attaque le plus répandu. Il n’y a pas eu plus d’attaques de ce genre, mais sans doute plus d’attaques ayant pour sujet le Covid-19. En général, les attaquants essaient en permanence de faire des actions malveillantes. S’il y a un sujet brûlant, ils en abuseront pour optimiser ces actions. Même s’il n’y a pas de crise, de catastrophe, d’élection présidentielle ou de championnat sportif, chaque entreprise et chaque personne privée est attaquée en permanence. D’où l’importance de rester vigilant.»
L’utilisateur, le maillon faible
Autrement dit, à première vue, la crise sanitaire n’a pas augmenté le nombre de cyberattaques. Par contre, les hackers malveillants ont utilisé le Covid-19 pour tenter de soutirer de précieuses données personnelles. Pourtant, Michael Hamm met en avant un élément important à prendre compte. «Il faut faire attention aux statistiques, car nous ne pouvons pas classer les incidents qui ne nous sont pas signalés. Il y a donc probablement un certain nombre d’incidents dont nous ne sommes pas conscients», souligne-t-il.
En effet, les entreprises n’aiment pas affirmer avoir été victimes d’une cyberattaque alors que le fait d’en parler aux autorités compétentes pourrait être d’une grande aide. «Les entreprises ne communiquent pas trop sur le sujet. C’est un mauvais message envoyé à la clientèle. De plus, si après une cyberattaque une entreprise affirme avoir pris des mesures pour éviter toutes nouvelles attaques, quelqu’un va se faire une joie de retester ces nouvelles mesures et tenter de mettre à nouveau l’entreprise en difficulté. C’est donc assez difficile de donner des statistiques en la matière et toutes les entreprises n’ont pas l’obligation de faire des rapports d’incident», explique Alexandre Minarelli, directeur associé au sein d’EY Luxembourg et spécialiste en cybersécurité.
Ce dernier assure avoir constaté une augmentation d’activité en matière de cyberattaque. «Les retours de terrain et de la part des clients montrent que pendant le confinement il y a eu une recrudescence des cyberattaques. Il n’y a pas eu d’attaques d’un nouveau type, mais plutôt une accélération de ce qui existe déjà. C’est surtout le cas pour le phishing via des e-mails frauduleux», affirme Alexandre Minarelli.
En ce qui concerne la corrélation entre le télétravail et les cyberattaques, l’expert nuance sa réponse. «Le maillon le plus faible en cybersécurité reste l’utilisateur. C’est pour cela qu’il est important d’accroître la formation du personnel sur le sujet afin qu’il soit sensibilisé aux risques qu’il peut faire courir à une entreprise lorsqu’un salarié ouvre ou clique sur un lien d’un e-mail de sa boîte privée avec son ordinateur professionnel. Il peut y avoir des antivirus et autres pour prévenir les attaques, mais le maillon le plus faible reste l’utilisateur», commente Alexandre Minarelli.
«Certaines sociétés ont allégé les mesures de sécurité»
«Il y a des choses toutes bêtes qu’il faut éviter. Cliquer sur un lien d’un e-mail annonçant être l’heureux gagnant d’un jeu auquel je n’ai pas joué est à éviter, tout comme brancher une clé USB inconnue. Même une souris peut être vérolée», prévient l’expert d’EY Luxembourg. Avec le télétravail, les règles de sécurité ont peut-être été assouplies. On a vu que si le télétravail n’a pas ouvert des brèches de sécurité, il a peut-être favorisé des comportements plus dangereux pour une entreprise.
«Avec le télétravail, l’employé a peut-être été un peu plus livré à lui-même et a eu des pratiques inappropriées comme stocker des données professionnelles sur des e-mails privés ou des clouds publics, la menace interne ne doit pas être négligée. Plus globalement, pendant cette période inédite, les entreprises ont peut-être donné un peu plus de souplesse en matière de bonnes pratiques. Actuellement, elles sont occupées à vérifier leurs infrastructures informatiques afin de regarder s’il n’y a pas d’anomalies particulières», ajoute Alexandre Minarelli.
Encore une fois, le télétravail en soi ne semble pas avoir mis en péril la sécurité informatique des entreprises. Par contre, la crise sanitaire risque d’avoir un effet plus néfaste sur la sécurité informatique des entreprises à moyen et long terme. «Avec le télétravail, certaines sociétés ont allégé les mesures de sécurité en adoptant des outils collaboratifs comme Team ou Zoom. On a vu qu’il y avait quelques failles de sécurité et les entreprises se sont adaptées. Ce que l’on voit maintenant, c’est un changement au niveau des priorités des entreprises et pas qu’en matière de cybersécurité.
La crise sanitaire et l’impact économique qui en découle vont changer les choses. Si certaines sociétés vont ajuster et rattraper les écarts qui ont été tolérés autour de l’infrastructure pour le télétravail, d’autres vont faire beaucoup plus, car elles sont un peu plus exposées. Mais d’autres vont complètement couper les budgets cybersécurité parce que la priorité sera de survivre», s’inquiète Alexandre Minarelli.
Jeremy Zabatta
