Les menaces

Quelques chiffres : 

980 millions de personnes sont concernées par une attaque chaque année.
+255 % d’attaques Ransonware en 2020 qu’en 2019
85 % des incidents de sécurité sont causés par une erreur humain
94 % des incidents se déclenchent à partir d’un e-mail malveillant.

Les menaces évoluent constamment. On retrouve essentiellement 4 types  :

• Cybercriminelles : Piratage, ransomware, déni de service, …
• Atteinte à l’image : faux RIB, faux ordre de virement, …
• Espionnage : Malveillance, concurrence déloyale, …
• Sabotage : exfiltration de données, …

Voici un aperçu des principales attaques auxquelles, il est essentiel de prêter attention :

👉 1. Le phishing : quand les pirates jouent les escrocs par e-mail

C’est l’une des menaces les plus courantes. Les cybercriminels envoient des e-mails ou des messages prétendant provenir d’une source fiable (banque, service en ligne, entreprise). Leur but est de vous inciter à révéler des informations personnelles comme vos identifiants de connexion, vos coordonnées bancaires ou encore à cliquer sur un lien malveillant. En bref, ils vous tendent un hameçon numérique pour attraper vos données.

👉 2. Les ransomwares : prendre vos données en otage

Ces logiciels malveillants cryptent vos fichiers, rendant vos données inaccessibles, puis exigent une rançon en échange de la clé de décryptage. Les ransomwares peuvent paralyser des entreprises entières, des hôpitaux ou même des collectivités. Payer la rançon n’est jamais conseillé, car il n’y a aucune garantie de récupération des fichiers.

👉 3. Les malwares (ou logiciels malveillants) : l’attaque en sous-marin

Les malwares regroupent tous les types de logiciels créés pour nuire. Ils incluent des virus, des chevaux de Troie, des vers, et plus encore. Un malware peut endommager votre système, voler des informations sensibles ou installer d’autres logiciels indésirables à votre insu. Ils se propagent généralement via des fichiers téléchargés ou des liens infectés.

👉 4. Les attaques par déni de service (DDoS) : quand les hackers surchargent vos systèmes

Les attaques DDoS consistent à inonder un réseau ou un site web avec un flot de trafic excessif pour le rendre inaccessible. Cela peut paralyser des sites web, des applications ou des services en ligne. L’objectif est souvent de perturber une entreprise ou de faire pression sur elle pour qu’elle paie en échange de l’arrêt de l’attaque.

👉5. Le vol de données : espionnage ou piratage pour le profit

Le vol de données est l’une des plus grandes préoccupations. Les hackers s’introduisent dans des systèmes informatiques pour accéder à des informations confidentielles (comme les coordonnées bancaires, les numéros de sécurité sociale ou les informations personnelles). Ces données sont ensuite vendues sur le dark web ou utilisées pour commettre des fraudes.

👉6. L’ingénierie sociale : manipuler l’humain, le maillon faible

L’ingénierie sociale repose sur l’exploitation de la psychologie humaine pour inciter les individus à commettre des erreurs de sécurité. La manipulation psychologique exploite la vulnérabilité humaine dans un objectif d’escroquerie financier ou de vol de données.
Cela peut prendre la forme d’une personne se faisant passer pour un employé légitime pour obtenir un accès à des systèmes, ou encore convaincre quelqu’un de divulguer des informations sensibles. Contrairement aux attaques techniques, celle-ci joue sur la confiance et la crédulité.

Les cybercriminels se basent sur la matrice MICE pour manipuler les individus. Elle est utilisée pour comprendre et exploiter les motivations humaines dans le cadre de la manipulation ou de la persuasion, notamment dans les cyberattaques. « MICE » est l’acronyme des quatre principales motivations qui poussent une personne à être manipulée ou à commettre des actes contraires à ses propres intérêts ou à la sécurité de son organisation. Voici les éléments de cette matrice :

Money (Argent) : L’appât du gain est l’une des motivations les plus courantes. Des personnes peuvent être poussées à trahir des informations sensibles ou à commettre des actes malveillants en échange d’une somme d’argent. Les cybercriminels peuvent offrir des pots-de-vin ou des incitations financières pour que quelqu’un à l’intérieur d’une organisation compromette la sécurité de celle-ci.

Ideology (Idéologie) Certaines personnes sont motivées par des convictions profondes, qu’elles soient politiques, religieuses ou philosophiques. Dans ce contexte, elles peuvent être amenées à agir contre les intérêts de leur employeur ou de leur pays pour défendre une cause idéologique. 

Coercion (Contraintes) La contrainte consiste à forcer une personne à agir contre sa volonté par la menace ou l’intimidation. Cela peut inclure des menaces directes contre la personne, sa famille, ou des moyens de pression psychologique comme le chantage. ex : mail reçu du tribunal vous accusant de pédocriminalité et vous proposant de payer une amende immédiatement.

Ego (Ego) : L’ego représente la motivation liée à la fierté personnelle, au besoin de reconnaissance ou de pouvoir. Une personne qui souhaite prouver sa valeur ou obtenir des distinctions pourrait être manipulée pour prendre des risques. 

👉7. Les exploits de failles zero-day : l’attaque avant la mise à jour

Une faille zero-day est une vulnérabilité non connue des développeurs de logiciels. Les cybercriminels exploitent ces failles avant qu’elles ne soient corrigées par des mises à jour. Cela peut leur permettre d’accéder à des systèmes ou de lancer des malwares sur des appareils encore non protégés.

👉8. Les menaces internes : quand l’ennemi est en fait un employé mécontent

Toutes les menaces ne viennent pas de l’extérieur. Parfois, des employés ou anciens collaborateurs malveillants accèdent aux systèmes pour saboter, voler des informations ou les vendre à des tiers. Ces menaces internes peuvent être très difficiles à détecter, car ces individus disposent souvent de droits d’accès légitimes.

👉9. Le spoofing : l’usurpation d’identité numérique

Le spoofing consiste à falsifier l’adresse e-mail, l’identité en ligne ou le numéro de téléphone pour tromper une personne ou un système. Le but est généralement de faire croire que la communication provient d’une source légitime, que ce soit un collègue, une entreprise, ou même une organisation gouvernementale, afin de pousser la victime à divulguer des informations confidentielles.

Comment s’en protéger ?

👉1. Le mot de passe : votre premier rempart (et pas n’importe lequel)

Soyons honnêtes, si votre mot de passe ressemble à « admin » ou « password » ou encore “123456789”, il est temps de revoir vos priorités. 

• Un bon mot de passe, c’est comme un slip : c’est personnel, unique, ça ne prête pas et on le change régulièrement.
• Utilisez un mot de passe différent pour chaque site ou application.
• Utilisez une combinaison de lettres, chiffres et symboles, et, si vous ne voulez pas jouer les acrobates de la mémoire, un gestionnaire de mots de passe fera parfaitement l’affaire. (ex Keepass)

👉2. Doublez la mise avec l’authentification à deux facteurs (2FA)

Un bon mot de passe, c’est bien, mais pourquoi s’arrêter là ? L’authentification à deux facteurs est comme ajouter une serrure supplémentaire à votre porte. Même si un hacker réussit à deviner votre mot de passe, il lui faudra encore franchir le cap du code que vous seul pouvez recevoir sur votre smartphone, votre e-mail ou via une application spécifique. C’est comme un checkpoint de sécurité, mais sans fouilles corporelles.

👉3. Mettez à jour vos logiciels (même si vous n’aimez pas les pop-ups)

Les mises à jour ne sont pas là pour décorer votre écran avec des notifications gênantes. Elles corrigent souvent des failles de sécurité que les hackers adorent exploiter. Alors, la prochaine fois que vous voyez une alerte de mise à jour, ne cliquez pas sur « Rappeler plus tard » (pour la 47e fois). Allez-y, mettez à jour !

👉4. Attention aux e-mails suspects : le phishing, ce n’est pas une nouvelle série Netflix

Les hackers ont des talents d’imitation impressionnants. Ils envoient des e-mails qui semblent provenir de votre banque du gouvernement, d’un transporteur, de la CPAM ou de votre fournisseur d’énergie, mais ne vous laissez pas duper. Avant de cliquer sur un lien douteux ou de télécharger une pièce jointe, vérifiez toujours l’adresse de l’expéditeur et soyez méfiant face aux demandes urgentes d’informations personnelles.

👉5. Utilisez un antivirus : c’est comme un masque pour vos appareils

Tout comme vous portez un masque pour éviter de choper un virus, votre ordinateur ou votre smartphone a besoin d’un antivirus pour éviter les infections numériques. Un bon antivirus est comme un policier pour votre ordinateur. Il scanne vos fichiers, traque les virus, les logiciels espions et autres intrus indésirables, bloque les sites malveillants et vous prévient dès qu’un comportement suspect est détecté. Lui aussi, mettez-le à jour régulièrement pour vous assurer une protection optimale.Et l’antivirus, ce n’est pas que pour les ordinateurs, tablettes et smartphones ont aussi besoin d’être protégés !

👉6. Sauvegardez vos données (et pas seulement sur le cloud)

Imaginez que votre disque dur lâche, ou pire, qu’un ransomware vous bloque l’accès à vos fichiers. Sauvegarder vos données régulièrement est comme souscrire une assurance. Vous ne le regretterez jamais. Optez pour une double sauvegarde : une sur un disque dur externe et une autre sur le cloud. Ainsi, même en cas de panne, vos données restent accessibles.
Evitez de conserver copie de vos pièces d’identité, factures, bulletins de paye et RIB sur votre PC. L’idéal c’est de le stocker dans un coffre-fort numérique et une copie sur un disque amovible. Ces 3 éléments suffisent à une personne mal intentionnée pour voler votre identité.

👉7. Naviguez sur des sites sécurisés (https:// c’est votre ami)

Lorsque vous surfez sur le web, assurez-vous que les sites que vous visitez utilisent le protocole sécurisé HTTPS (vous savez, avec le petit cadenas à côté de l’adresse). Cela garantit que les données échangées entre votre navigateur et le site sont chiffrées, donc beaucoup plus difficiles à intercepter.

👉8. Soyez vigilant sur les réseaux sociaux. 

Ce n’est pas parce que vous avez accepté une demande d’ami que votre compte est à l’abri. Faites attention aux informations personnelles que vous partagez et configurez vos paramètres de confidentialité pour que seuls vos véritables amis puissent voir vos publications. Après tout, un bon secret ne se partage pas avec tout le monde.

👉9. Faites des audits de sécurité réguliers

Un peu comme un bilan de santé, mais pour votre réseau et vos appareils. Vérifiez régulièrement vos paramètres de sécurité, vos mots de passe, et assurez-vous que vos logiciels sont à jour. Vous pourriez découvrir des failles à combler avant que quelqu’un d’autre ne le fasse.

👉10. Formez-vous et formez les autres.

La cybersécurité, c’est l’affaire de tous. Organisez des ateliers, lisez des articles, suivez des formations en ligne. Plus vous êtes informé, moins vous serez une cible facile pour les cybercriminels.

Conclusion : La prudence est mère de sûreté (et de tranquillité d’esprit)

La cybersécurité ne doit pas être un sujet angoissant, mais plutôt une routine à adopter. Avec ces quelques gestes simples, vous pouvez renforcer considérablement la sécurité de vos données et de vos appareils. Et souvenez-vous : les hackers sont rusés, mais avec un peu de bon sens et les bons outils, vous pouvez leur compliquer la tâche… et garder votre tranquillité d’esprit.

Pour aller plus loin :
Assistance aux victimes de cybermalveillance
Page d’accueil ⋆ Signal Spam (signal-spam.fr)
Accueil | The No More Ransom Project
Bienvenue | SecNumacadémie (secnumacademie.gouv.fr)
https://secnumacademie.gouv.fr/auth/login : accéder au MOOC de l’ANSSI
Et si vous voulez savoir si votre mail a été piraté : Have I Been Pwned: Check if your email has been compromised in a data breach

Un grand merci aux bénévoles du ReCym pour leur intervention.

Assistant ou Office manager; vous êtes en Nouvelle Aquitaine et souhaitez bénéficier de la dynamique de notre association, rejoignez- nous pour cette nouvelle année : Adhérez ICI 

Prochains ateliers : 

le 17 décembre 2024 :  La RSE

Le 8 janvier 2025 : Travailler sa répartie