Le taux d’attaques par hameçonnage a augmenté de 61 % au cours des six mois se terminant en octobre 2022 par rapport à l’année précédente (CNBC).

1. DANGERS ET POSSIBILITÉS DE L’IA ET DE L’APPRENTISSAGE AUTOMATIQUE

L’année 2022 s’est terminée par un coup d’éclat : ChatGPT a eu un impact considérable sur la manière dont le public envisage l’IA, l’état actuel de ses capacités et ses applications potentielles. Alors que les serveurs d’OpenAI – son créateur – n’en finissent pas d’être saturés face à l’énorme intérêt suscité, il est bon de prendre le temps de réfléchir à ses répercussions, positives et négatives, sur la cybersécurité.

L’IA peut aider à rendre les mesures et les outils de cybersécurité plus efficaces pour reconnaître et contrer les menaces, mais elle simplifie également la vie des criminels. Les plateformes d’apprentissage automatique telles que ChatGPT permettent de rédiger facilement des courriers de phishing encore plus convaincants ou d’écrire et de corriger du code destiné à lancer de nouveaux logiciels malveillants fournis en tant que service.

OpenAI a créé un outil capable d’aider des millions de personnes, tels que des propriétaires de petites entreprises ou des étudiants, mais au risque d’augmenter des niveaux de menace déjà inquiétants. Préparer le public à faire face à cette nouvelle réalité constituera rapidement un aspect essentiel des stratégies de cybersécurité à tous les niveaux, aussi bien pour les grandes entreprises que pour les PME. L’attentisme n’est certainement pas une solution.

2. SENSIBILISATION À LA SÉCURITÉ POUR DES CHEFS D’ENTREPRISE

La cybersécurité n’est plus une préoccupation concernant uniquement la personne chargée de gérer le service informatique de l’entreprise. C’est une responsabilité de plus en plus partagée par les employés et leurs dirigeants. Le feu vert récent donné à la directive révisée sur la sécurité des réseaux et de l’information (SRI2) formalise cette évolution. La directive n’impose pas uniquement aux industries et services essentiels (ainsi qu’à leurs fournisseurs, parties prenantes et affiliés) de prendre des mesures pour renforcer leur sécurité, mais oblige également leurs chefs d’entreprise à suivre une formation (de sensibilisation) à la cybersécurité.

La direction devra non seulement être formée, mais les organisations devront aussi être en mesure de prouver qu’elles ont pris les mesures appropriées. Qu’il s’agisse du PDG, du directeur financier ou du directeur de l’exploitation, du gestionnaire ou du directeur, tous devront savoir ce que l’on attend d’eux. D’ici l’entrée en vigueur de la directive SRI2 prévue à partir de janvier 2024, il n’y a plus de temps à perdre pour commencer à mettre en œuvre les mesures et stratégies appropriées. Attendre serait une stratégie perdante.

3. CYBERASSURANCE : SERA-T-IL ENCORE POSSIBLE DE S’ASSURER ?

Le chiffre des cyberincidents a de nouveau explosé en 2022. Il en va de même pour le nombre d’organisations ayant dû payer une rançon. Pour certaines d’entre elles, l’impact a pu être atténué, car elles bénéficiaient déjà d’une « cyberassurance », c’est-à-dire d’une formule spécifique conçue pour limiter une partie des effets d’une cyberattaque.

Vu le nombre croissant d’organisations victimes d’actes criminels, Gartner prévoit que 45 % de toutes les entreprises subiront à un moment ou un autre un piratage informatique d’ici 2025. Les experts craignent dès lors que l’obtention d’une cyberassurance devienne plus difficile, voire totalement impossible au cours des mois ou des années à venir.

Il faut au moins s’attendre à ce que les courtiers d’assurance imposent toutes sortes de nouvelles exigences à ceux qui cherchent à se protéger de cette manière. Les normes devront être renforcées, les personnes formées et les résultats démontrés. La sensibilisation à la sécurité deviendra une exigence minimale pour toute organisation souhaitant se protéger financièrement en souscrivant une cyberassurance.

4. LA MONTÉE EN PUISSANCE INEXORABLE DES RANÇONGICIELS

Aucune guerre ne se déroule uniquement sur le champ de bataille. Les pertes civiles sont inévitables et, de nos jours, Internet peut servir d’arme dangereuse capable de cibler tout le monde globalement et aveuglément, comme une mitrailleuse. Depuis le début de la guerre en Ukraine, on assiste partout à une multiplication de cyberattaques résultant probablement d’initiatives menées par des États, en provenance non seulement de Russie ou d’Ukraine, mais aussi de leurs alliés.

Les rançongiciels représentent un résultat très concret de ce conflit et attaquent sans répit tous ceux qu’ils peuvent infecter. Bien que les criminels consacrent encore beaucoup d’efforts aux attaques ciblées, comme le harponnage (ou spear phishing), on constate une hausse indéniable des attaques « à large spectre » qui consistent pour les pirates à lancer un vaste filet sur tous ceux qu’ils peuvent atteindre et à attendre patiemment qu’une victime se présente. Quelques-uns des exemples les plus notables de cette approche, concernant notamment des hôpitaux et des administrations municipales, ont fait la une des journaux en 2022.

La seule manière de limiter la montée des rançongiciels consiste à éduquer le public. Quel que soit le niveau de vos pare-feu et autres moyens techniques similaires, certaines menaces finiront invariablement par exploiter les failles du système. Le seul moyen d’empêcher vos collaborateurs de tomber dans le piège consiste à leur apprendre à être vigilants et à agir lorsqu’ils sont confrontés à des menaces réelles.