Discussion :

[Michael Guilloux]

Les 12 failles humaines de la sécurité IT en 2018, par Christophe da Fonseca
Sales Development Manager France chez Paessler AG

D'après Christophe da Fonseca, Sales Development Manager France chez Paessler AG, un éditeur de logiciels de surveillance de systèmes informatiques et réseaux, à chaque seconde dans le monde, une entreprise subit une cyberattaque. Mais ce sont généralement les erreurs de leurs collaborateurs qui en sont à l’origine, qu’il s’agisse d’espionnage industriel, de vol de données ou de sabotage.

Cela confirmerait donc l'idée selon laquelle les humains représentent le maillon faible dans la chaîne de sécurité IT. Cette affirmation a beau avoir été rabâchée depuis des années, elle est toujours bien d’actualité en 2018, selon Christophe da Fonseca, et les responsables IT doivent encore faire face chaque jour au facteur humain.

Christophe da Fonseca, Sales Development Manager France chez Paessler AG

Pour pouvoir prendre des mesures appropriées, il estime donc qu'il est nécessaire de connaître les pièges les plus classiques dans lesquels tombent les collaborateurs et savoir repérer parmi ces derniers ceux qui ont des intentions malveillantes. C'est dans cette optique qu'il a dressé une liste des 12 failles humaines de la sécurité IT en 2018, que nous rapportons telles qu'il les a expliquées, à savoir :

1. La connexion d’une clé USB inconnue

La curiosité pousse certaines personnes à connecter à leur ordinateur des clés USB trouvées par hasard, sans en connaître l’origine. Un cybercriminel dispose pourtant de multiples opportunités avec une simple clé USB. Il peut par exemple utiliser un fichier infecté pour accéder à des données et des mots de passe (ingénierie sociale) ou exploiter une faille sans correctif connu et en faire profiter son réseau. Il peut même configurer une clé USB pour que celle-ci se fasse passer auprès de l’ordinateur pour un clavier qui exécute des commandes via des entrées de touches simulées. On appelle ça le HID Spoofing.

2. La revente des données de l’entreprise

Toute personne qui a déjà travaillé dans un département R&D sait à quel point les données de l’entreprise ont de la valeur. Vendre des plans, des recettes, des schémas de développement ou autres secrets business à des concurrents peut représenter une affaire en or pour les employés. Un collaborateur mécontent, une impulsion criminelle et une opportunité de transfert de données, des ingrédients suffisants pour entraîner une entreprise dans une situation de crise.

3. Le vol de données clients lors d’un changement d’employeur

Dans certains secteurs, c’est une pratique courante de prendre des données clients sensibles d’un employeur pour les emmener vers un autre. L’exemple classique est un responsable des ventes embauché chez un concurrent et qui revient peu de temps après vers ses anciens clients pour refaire des affaires. Cela peut paraître anodin, mais il s’agit pourtant bien d’un vol de données, pas moins grave que si l’employé conservait un ordinateur portable et la voiture de l’entreprise à la fin de son contrat de travail.

4. Le fait que le confort l’emporte sur la sécurité

L’inconvénient d’installer des mises à jour Windows ou Mac, c’est qu’il faut redémarrer l’ordinateur. Quant aux scans antivirus, ils ont tendance à ralentir la machine. Certains collaborateurs préfèrent donc se passer totalement de tels processus. S’il est possible pour eux de désactiver les mises à jour ou les antivirus, ils n’hésiteront pas à le faire et la sécurité IT en souffrira grandement !

5. La fraude au président

Cette arnaque consiste généralement pour un escroc à se faire passer pour le patron d’une entreprise par téléphone ou email et faire en sorte qu’un employé transfère une grosse somme d’argent vers un pays étranger. Le collaborateur embrouillé par l’autorité de son interlocuteur approuve ainsi la transaction. Cette escroquerie peut causer des dommages de plusieurs millions d’euros avec des conséquences parfois lourdes pour les entreprises touchées et les employés dupés.

6. Les téléchargements et streaming non protégés

La plupart des employés ont un accès direct à Internet sur leur lieu de travail. Et malgré l’amélioration constante des systèmes de sécurité IT et des filtres web, certains collaborateurs, pourtant expérimentés et avec une bonne connaissance IT, trouvent tout de même le moyen d’accéder à des contenus à risque. Certains d’entre eux n’hésitent pas à streamer des films récents le soir sans surveillance ou à télécharger une masse de fichiers douteux, potentiellement malveillants.

7. Les incidents de sécurité dissimulés

Dans 40 % des entreprises dans le monde, des collaborateurs ont déjà caché sous le tapis des incidents liés à la sécurité IT (sondage Kaspersky/B2B International auprès de 5000 entreprises). Ces incidents de sécurité peuvent être des escroqueries ou des attaques de malware, ayant entraîné des transferts de programmes malveillants sur l’ordinateur du collaborateur. Si un employé concerné garde le silence à propos de cet incident, le code malveillant peut se propager sur le réseau de l’entreprise.

8. Le BYOD (Bring Your Own Device Devil !)

Quand les collaborateurs apportent leurs propres appareils mobiles dans l’entreprise, c’est le diable qui entre ! Les données sensibles de l’entreprise transitent ainsi sur des smartphones privés, sans pour autant que ceux-ci soient sécurisés. Un smartphone sur lequel des chiffres de ventes récents sont transférés dans l’après-midi peut ainsi être pris en main dans un bar le soir même pour une séance photo des dernières vacances. Et la perte possible d’un appareil mobile peut être problématique : d’après une étude, plus de la moitié de tous les incidents de sécurité dans les entreprises seraient causés par la perte de tels appareils.

9. L’abus de confiance

Beaucoup de cybercriminels savent abuser de la confiance des gens. En entreprise, il est fréquent qu’un administrateur IT appelle l’un de ses collègues au téléphone et lui demande son mot de passe. Soit parce que cela facilite la télémaintenance, soit pour gagner du temps, voire pour éviter de se déplacer. Et généralement, ce collègue lui indique son mot de passe sans sourciller. Et si ce soi-disant administrateur IT avait été un cybercriminel inconnu ? Cet exemple est déclinable de multiples façons.

10. La négligence

Les collaborateurs qui ne se sentent pas concernés sont des poisons pour toutes les entreprises. Non seulement ils sont rarement productifs, mais ils représentent également une vulnérabilité potentielle en termes de sécurité IT. Leur attitude « je-m’en-foutiste » peut se refléter dans tout ce qui concerne la sécurité. Qu’il s’agisse de la gestion laxiste des mots de passe, de la divulgation d’informations sensibles à n’importe qui ou encore la distribution trop large de droits d’accès lors de partages de fichiers avec des partenaires externes, la sécurité est constamment compromise avec ce type de collaborateurs.

11. Le spam et le phishing

La faille la plus classique de la sécurité IT est toujours très populaire ! Il est donc toujours fortement déconseillé d’ouvrir par curiosité les pièces jointes d’emails provenant d’expéditeurs inconnus ou encore d’entrer des informations sensibles dans des champs de saisie suspects. Car ces erreurs continuent de causer des pertes annuelles qui se comptent en milliards pour les entreprises.

12. Le fait de ne pas garder un oeil sur le patron

Non, le PDG ou chef d’entreprise n’est pas meilleur que les autres en matière de sécurité. Celui ou celle qui dirige l’entreprise doit également figurer dans la liste des éléments à surveiller de près. De nombreux patrons ont en effet le sentiment d’être au-dessus de ce type d’erreurs et rejettent ainsi les logiciels de sécurité en pensant que de telles choses ne peuvent pas leur arriver. Pourtant, tout ce qui a été présenté précédemment s’applique tout autant à eux, et peut se résumer en 5 catégories :

• faible sécurité du mot de passe
• manipulation imprudente des données
• sécurité logicielle inadaptée
• gestion inefficace de l’accès aux données
• faible sensibilisation à la sécurité

Les failles humaines sont donc nombreuses, mais cela ne doit pas décourager de tendre vers un environnement IT sécurisé, car bon nombre de ces vulnérabilités peuvent être corrigées et la compréhension des collaborateurs en matière de données et d’IT peut toujours être améliorée.

Source : Communiqué de presse

Et vous ?

Que pensez-vous de l’avis exprimé ici par Christophe da Fonseca ?
Quelles sont les failles les plus dangereuses selon vous ? Et comment s’en prémunir en tant qu’entreprise ou en tant qu’individu ?

Voir aussi :

70 % des exécutables malveillants au 1S18 étaient inconnus des services de réputation comme VirusTotal, selon un rapport
De nombreux systèmes de sécurité n'arrivent pas à détecter des liens malveillants dans les e-mails, selon une étude récente de Mimecast
Une société de spyware a exposé des « téraoctets » de données personnelles, y compris des selfies, des messages texte et des données de localisation
73 % des brèches de sécurité dans les réseaux d'entreprises sont dues aux applications web, selon Kaspersky Lab
Plus de 10 000 vulnérabilités ont déjà été découvertes durant le premier semestre 2018, d'après un rapport qui s'attend à la même tendance au 2S18

[survivals]

Pour moi, rien que l'utilisation de Windows est une faille de sécurité, les téléphones portable une autre, étant donné que ce qui est installé dessus n'est pas contrôlé, le micro et la caméra sont des failles.

[cirle78]

Tout système connecté au réseau interne et le Web est un risque, et l'utilisateur est le principal danger, même inconsciemment.

Le monde SharePoint est une nouvelle menace aussi, plus besoin d'être en entreprise pour injecter des fichiers douteux ...

[squizer]

Pour moi, rien que l'utilisation de Windows est une faille de sécurité, les téléphones portable une autre, étant donné que ce qui est installé dessus n'est pas contrôlé, le micro et la caméra sont des failles.

Roh le troll sur Windows
Soyons professionnel, vous pouvez étayer un peu ces propos ?
Parce qu'au final l'article met bien en avant que le problème est les utilisateurs, pas l'OS.
Le micro et la caméra utilisé malgé l'utilisateur c'est en effet un problème, d'autant plus qu'on sait déjà qu'on peut se passer d'un OS pour envoyer des données récoltées sur les périphériques. Eh oui, un firmware de chipset audio ça se pirate aussi et ça depuis des années.
Rien ne garanti même que les fabricants n'y incluent pas des backdoors, de nos jours plus rien ne nous étonne.

[deltree]

Roh le troll sur Windows
Soyons professionnel, vous pouvez étayer un peu ces propos ?
Parce qu'au final l'article met bien en avant que le problème est les utilisateurs, pas l'OS.
Le micro et la caméra utilisé malgé l'utilisateur c'est en effet un problème, d'autant plus qu'on sait déjà qu'on peut se passer d'un OS pour envoyer des données récoltées sur les périphériques. Eh oui, un firmware de chipset audio ça se pirate aussi et ça depuis des années.
Rien ne garanti même que les fabricants n'y incluent pas des backdoors, de nos jours plus rien ne nous étonne.

Oui c'est un troll (drôle), mais avec un fond de vérité, les besoins en logiciels de sécurité ne sont pas les même sous Linux que sous Windows, et surtout on a tendance à penser au "tout windows" :
Je ne suis pas du tout anti-Windows et on peut faire du bon développement sous Windows (C#), mais une partie des développeurs seraient beaucoup plus au point sous Linux en terme d'outillage (docker, ssh bash, environnement serveur cible dpkg ou rpm). Ce qui est dommage c'est que l'administration réseau a tendance à être orientée utilisateur classique donc plutot Windows, et donc à proscrire totalement linux, ce qui limiterai "la casse" car une bonne partie des virus proviens des install de produit, et sous linux, on installe en général depuis un dépot, voire via une image docker (windows aussi mais bon) et dans ce cas la -- pas besoin d'antivirus effectivement.

Edit: ceci pour parler du cas particulier des développeurs, qui ont souvent besoin d'installer des outils custom, source d'infection s'ils proviennent de sources peu fiable.