Cybersécurité Protection contre les cyberattaques pour l’e-commerce
La pandémie a profité à de nombreuses entreprises de l’e-commerce. Mais leur succès les a jetées en pâture aux criminels. Elles ont donc d’autant plus intérêt à se parer contre les cybermenaces les plus courantes, notamment en suivant ces quelques conseils.
Menace n°1: phishing et vol d’identité
Méthode: Les criminels gagnent la confiance de la victime par le biais de faux e-mails, de messages texte, voire d’appels téléphoniques, et usurpent l’identité numérique de la personne. À l’aide de l’identité dérobée, ils tentent de commander des marchandises, de manipuler des prestations ou de dévaliser des comptes bancaires.
Analyse: Répandue dans le monde entier, cette méthode ne requiert pas de grandes compétences techniques chez l’agresseur. Généralement, ce type d’attaque a lieu par vagues.
Conseil de l’experte Annette Heck, responsable Information Security à la Poste: «Étant donné que les e-mails ne sont généralement pas cryptés et que les adresses des expéditeurs sont simples à falsifier, de nombreux cybercriminels utilisent le phishing pour pénétrer dans l’environnement IT des entreprises. Celles-ci doivent donc accorder une attention particulière à cette menace et sensibiliser leur personnel à ce sujet. Même la meilleure équipe de cybersécurité ne peut pas décharger les collaboratrices et les collaborateurs de leur responsabilité en tant qu’utilisatrices et utilisateurs.»
Formez le personnel au respect des règles suivantes:
- Se méfier des e-mails et SMS impersonnels, atypiques, qui contiennent des fautes d’orthographe flagrantes, réclament des données sensibles ou visent à intimider le destinataire («réagissez immédiatement, sinon...»)
- En cas de destinataire inconnu, comparer son nom avec l’adresse e-mail
- De manière générale, manipuler les pièces jointes avec grande prudence
- Vérifier où mène un lien avant de cliquer dessus
- Ne pas remplir de formulaires envoyés par e-mail et qui requièrent la saisie d’identifiants
Menace n°2: vol d’informations
Méthode: Les criminels s’immiscent dans les systèmes informatiques, dérobent des informations et les vendent sur le marché noir. Les cibles favorites sont les informations personnelles, les données d’entreprise, les données de cartes de crédit et, de manière générale, les informations liées à des processus financiers. Souvent, les criminels essaient de gagner la confiance de la victime en indiquant des fausses identités pour accéder ainsi au bon endroit.
Analyse: Ce procédé est moyennement répandu. Il requiert des connaissances techniques élevées avec les outils professionnels correspondants.
Conseil de l’experte Annette Heck: «Le National Institute of Standards and Technology (NIST) a mis au point un concept de cybersécurité en cinq étapes: Identify, Protect, Detect, Respond, Recover. Si de nombreuses entreprises se focalisent sur l’étape «Protect» avec des mesures de protection techniques et organisationnelles, ces dernières ne sont pas suffisantes. Toutes les étapes sont nécessaires. Les entreprises doivent aussi identifier leurs systèmes et données critiques (Identify), détecter les anomalies et les attaques (Detect), y réagir le plus vite possible (Respond) et restaurer les systèmes et données concernés (Recover).»
Menace n°3: perte d’informations liée à un rançongiciel
Méthode: Les criminels pénètrent dans des systèmes, créent une copie des informations et détruisent l’original ou le chiffrent de sorte qu’il ne soit plus accessible. Ils font ensuite chanter la victime en exigeant une rançon pour rétablir son accès aux données.
Analyse: Généralement réalisées de manière ciblée, ces attaques nécessitent des connaissances approfondies sur le plan technique et au sujet de la victime.
Conseil de l’experte Annette Heck: «Il s’agit de la menace la plus sérieuse, car une telle attaque peut compromettre l’existence de l’entreprise. Voilà pourquoi il faut se préparer au pire, notamment avec des systèmes de sauvegarde indépendants, une garantie contractuelle pour l’assistance par des experts externes et une planification d’urgence visant à assurer la continuité des activités sans informatique pendant une brève période avant la restauration de l’environnement. Important: ne payez jamais de rançon si une attaque aboutit, mais communiquez sur la situation en toute transparence avec votre clientèle et votre personnel. Ils doivent absolument l’apprendre de votre part et pas par d’autres sources.»
Menace n°4: attaques de surcharge contre les infrastructures
Méthode: Les criminels s’attaquent de manière ciblée à l’accès à un système (p. ex. une boutique en ligne) jusqu’à ce qu’il soit surchargé et ne puisse plus être utilisé. Puis, ils font chanter la victime et exigent de l’argent pour éliminer la surcharge.
Analyse: Les attaques ont lieu de manière sporadique, généralement sous forme de tentatives pour tester la résistance des mécanismes de protection. Elles requièrent des connaissances techniques approfondies et une infrastructure spéciale.
Conseil de l’experte Annette Heck: «Avec ces attaques dites DDoS, les criminels choisissent en principe les cibles les plus faibles. C’est pourquoi il est primordial de mettre en place des mesures de sécurité standard pour ne pas être moins bien protégés que les autres. Travaillez activement avec votre fournisseur d’accès à Internet en amont. Déterminez ensemble la protection de votre connexion à Internet, les paramètres de redirection vers d’autres adresses web, l’identification permanente de la charge sur le réseau et la réaction du système en cas de suspicion d’attaque, par exemple en donnant uniquement l’accès à la page aux utilisateurs basés en Suisse.»
Se prémunir contre les cyberattaques
En appliquant ces mesures préventives, vous réduisez le risque d’aboutissement d’une cyberattaque et − si cela ne suffit pas − vous en atténuez les conséquences. Notez que seul le déploiement simultané de plusieurs mesures renforce significativement la sécurité.
- Définissez les tâches, compétences et responsabilités en matière de sécurité de l’information.
- Fixez les bonnes priorités: analysez les systèmes, données et processus particulièrement importants pour vos activités et protégez-les en premier lieu.
- N’installez que les programmes et applications nécessaires. Configurez les systèmes de sorte à activer uniquement les fonctions réellement utilisées par le personnel.
- Mettez toujours à jour les programmes et systèmes de sécurité installés et déployez sans attendre des patchs de sécurité.
- Réalisez régulièrement un contrôle complet du système pour identifier les menaces.
- Donnez des consignes strictes sur l’utilisation de mots de passe complexes.
- Utilisez l’authentification à deux facteurs.
- Segmentez votre réseau pour limiter les risques: protégez les systèmes sensibles dans des segments de réseau séparés.
- Sauvegardez régulièrement vos données sur au moins un deuxième support et vérifiez qu’elles aient effectivement été enregistrées.
- Après chaque sauvegarde, déconnectez les supports de données du réseau. Évitez toute connexion permanente entre deux supports.
- Désignez une personne de contact pour vos collaboratrices et collaborateurs qui suspectent une cyberattaque ou en ont été victimes (p. ex. phishing). Informez-les du processus y afférent.
Collaboration sécurisée dans le cloud
Il vaut également la peine de protéger les données échangées au sein de l’entreprise ou avec des partenaires externes, et ce au moyen d’un chiffrement de bout en bout. La filiale de la Poste Tresorit, qui fournit des services cloud, s’est spécialisée dans les solutions sécurisées de stockage dans le cloud. Sa technologie unique et brevetée Zero Knowledge offre un niveau de sécurité et de protection maximal pour les données d’entreprise sensibles: personne ne peut y accéder sans autorisation explicité − pas même Tresorit.
Voici les trois principales fonctions de Tresorit:
- Stockage des données en toute sécurité: la technologie Zero Knowledge barre tout accès aux tiers, y compris aux autorités publiques
- Partage sécurisé de fichiers: vous dotez vos fichiers de droits d’utilisateur et en bloquez l’accès si nécessaire
- Transfert sécurisé de fichiers: vous chiffrez les e-mails et pièces jointes sensibles en un clic depuis le compte e-mail habituel
Sources:
- Brochure «Sécurité de l’information à la Poste − En toute sérénité»
- Plateforme «eBanking en toute sécurité!» de la Haute école spécialisée de Lucerne – Informatique