Imaginez une zone industrielle en périphérie d’une grande ville. On y trouve une série de bâtiments commerciaux: grands ou petits, aux façades esthétiques ou discrètes, avec une entrée coûteuse ou équipée simplement. Une bande de cambrioleurs sillonne la rue et essaie d’ouvrir des portes au hasard, sans se limiter aux entreprises qui semblent prospères. Cette nuit-là, les victimes sont celles qui n’ont pas verrouillé leurs locaux ou qui ont caché la clé sous le paillasson.

La porte d’entrée la plus fréquente

«Les cybercriminels ne s’intéressent pas à une entreprise en particulier. Ils veulent gagner le plus d’argent possible avec un minimum d’efforts», explique Samuel Leuthold, expert en cybersécurité chez Swisscom. Les petites entreprises étant souvent moins bien protégées, elles constituent une cible plus attrayante que les banques ou les assurances par exemple. Se croire trop petit pour être visé est une idée tenace mais fausse. Les cambrioleurs numériques ne choisissent pas leurs victimes de façon ciblée: ils cherchent de manière automatisée les portes d’entrée ouvertes et s’introduisent là où ils le peuvent.

Les noms d’utilisateur et les mots de passe sont les clés d’accès au monde numérique. Utiliser un ordinateur privé pour le travail ou le même mot de passe pour des logiciels privés et professionnels est l’équivalent numérique de placer sa clé sous le paillasson. En effet, un logiciel malveillant qui s’implante sur des appareils privés sans qu’on le remarque lira les mots de passe enregistrés et les transmettra. On sous-estime plus particulièrement le danger que représentent l’ordinateur privé du directeur, l’ordinateur portable du comptable externe ou celui d’un membre de la famille sur lequel on consulte brièvement le service de messagerie de l’entreprise. Les cybercriminels utilisent ensuite ces données sur le darknet, une zone dédiée d’internet – souvent sans que l’entreprise concernée n’en ait conscience.

Effraction en trois étapes

Une fois ces données d’accès en poche, l’attaque proprement dite commence. Le processus typique se déroule en trois étapes structurées:

• Dans un premier temps, les cybercriminels accèdent au réseau de l’entreprise grâce aux mots de passe volés.

• Une fois cette porte ouverte, la deuxième phase démarre: les pirates se déploient dans le réseau sans être remarqués, augmentent leurs droits d’accès et dérobent des données sensibles telles que des adresses, des certificats de salaire, des contrats (par exemple des contrats de cyberassurance), des factures ou des bons de commande. Cette phase de vol dure des jours, voire des semaines.

• Les assaillants se procurent ainsi de quoi faire chanter l’entreprise lors de la troisième phase. «Les deux tiers des PME ne remarquent l’attaque que lorsque les dommages sont déjà là», explique Samuel Leuthold. En moyenne, quatre ou cinq jours s’écoulent avant que la compromission des données ne soit détectée. Vient ensuite la phase numéro trois: les cybercriminels cryptent les systèmes et passent au chantage en envoyant une demande de rançon.

Ce que coûte réellement une cyberattaque

La rançon est rarement le plus gros problème. Ce qui suit coûte beaucoup plus cher: systèmes immobilisés, mandats en attente, rétablissement du système informatique, clarifications juridiques, sans oublier le préjudice réputationnel. Samuel Leuthold estime le coût total d’une attaque typique de ransomware à environ 5% du chiffre d’affaires annuel, la rançon ne représentant que 15% de cette somme. Plusieurs entreprises suisses n’ont pas survécu à de telles attaques.

Les auteurs d’attaques de ransomware ne sont que très rarement des individus isolés. Il s’agit plutôt de bandes hautement professionnalisées qui se répartissent clairement les tâches: une équipe achète des données d’accès sur le darknet, une autre recherche des vulnérabilités, un service technique exécute l’attaque à proprement parler, tandis qu’une dernière équipe négocie la rançon. Ce modèle est appelé «ransomware-as-a-service»: pour lancer une attaque, il suffit de louer des outils, des logiciels malveillants et des données d’accès.

«Avec l’amélioration constante des systèmes basés sur l’intelligence artificielle, cette tendance s’est encore accentuée», ajoute Samuel Leuthold. «L’assaillant n’a presque plus besoin de connaissances techniques, seulement d’un capital de départ.» Il existe déjà des cas documentés dans lesquels des agents d’intelligence artificielle ont mené une attaque par ransomware de manière totalement autonome et sans intervention humaine.

Prévention pour les PME suisses

La mesure individuelle la plus importante est l’ajout d’une deuxième étape de confirmation lors de la connexion, également appelée authentification à deux facteurs. Lorsque en plus de saisir un mot de passe on doit confirmer un code par SMS ou via une application, cela complique considérablement la tâche des hackers. D’autres mesures de protection sont faciles à mettre en place: installer rapidement les mises à jour de sécurité, effectuer des sauvegardes régulières des données et les conserver séparément du réseau de l’entreprise, et sensibiliser le personnel au danger des e-mails de phishing.

«Pour de nombreuses PME, la sécurité informatique est devenue trop complexe pour qu’elles s’en occupent seules. Les prestataires informatiques peuvent mieux graduer l’approche et s’appuient sur des spécialistes capables d’appliquer les mesures de protection de manière identique à l’ensemble de leur clientèle», estime Samuel Leuthold. Car la cybersécurité n’est pas une question informatique mais une responsabilité qui relève de la direction. L’important n’est pas de savoir si une PME sera attaquée, mais si elle y est bien préparée. Les pirates ne cessent de se perfectionner; les entreprises devraient faire de même.

Samuel Leuthold, expert en cybersécurité chez Swisscom — © DR

Sept mesures de protection simples pour les PME

• Configurer l’authentification à deux facteurs (2FA) pour chaque connexion, le mieux étant d’utiliser des passkeys

• Installer rapidement les mises à jour de sécurité sur tous les appareils

• Effectuer des sauvegardes régulières et les conserver séparément du réseau de l’entreprise

• Ne laisser les collaboratrices et collaborateurs accéder qu’aux données dont ils ont vraiment besoin

• Mettre à jour régulièrement les logiciels et les appareils

• Sélectionner soigneusement les prestataires informatiques et limiter leurs droits d’accès

• Sensibiliser régulièrement le personnel au phishing

Pour plus d’informations: swisscom.ch/beem