Target, Home Depot, Sony : des attaques de plus en plus nocives

Les conséquences des attaques informatiques contre les institutions sont de plus en plus nombreuses et pénalisantes. Target, Home Depot, Sony et, plus récemment, le système de santé du Royaume-Uni, Renault, Telefonica, etc. ne sont que quelques exemples des risques encourus.

« Que ce soit dans le secteur public ou privé, les dommages vont bien au-delà du prix des rançons et affectent beaucoup plus de personnes qu’on ne le pense », explique Jérôme Segura, chercheur en sécurité, chez Malwarebytes, éditeur de solutions de sécurité.

Depuis le vol de données personnelles ou stratégiques découvert des mois après une attaque jusqu’au blocage très pénalisant d’un site d’e-commerce par déni de service, les risques s’accroissent. Pendant une attaque, le débit des réseaux diminue ou s’arrête, une entrave à l’activité normale. Après l’attaque, si les sauvegardes n’ont pas été correctement et régulièrement effectuées, les données perdues réduisent considérablement la productivité des institutions et entreprises. Dans les cas les plus graves, les dommages sont évidents : « pour les compagnies aériennes, la mise hors service du système de réservation en ligne est une perte immédiate sur l’activité commerciale », rappelle Jerôme Segura.

La multiplication des smartphones et tablettes, ainsi que le développement croissant de l’IoT (Internet des Objets) ouvrent des portes supplémentaires dans le système d’information des entreprises. Même les grosses infrastructures informatiques, les mieux protégées, sont victimes d’attaques de grande ampleur. Ces dernières années, il s’agit par exemple des serveurs de Twitter, Spotify, Amazon, Reddit, Airbnb, Netflix ainsi que les médias CNN, le New York Times ou The Guardian.

Des victimes multiples

Quelques attaques emblématiques ont pointé les risques très concrets des cyberattaques.

Fin 2013, Target, le troisième groupe de distribution des États-Unis, subissait un piratage massif des données des clients concernant 40 millions de numéros de carte bancaire, à ajouter aux 70 millions de noms, adresses e-mail, numéros de téléphone dérobés. L’ampleur de l’attaque a mis l’accent sur la responsabilité juridique des organisations et entreprises. En bref, qui doit payer les dommages des attaques ?

En avril 2011, le portail interactif PlayStation Network de Sony a subi un vol massif de données personnelles comprenant les adresses e-mail, mots de passe, numéros de carte bancaire, etc. Il est facile d’imaginer les dégâts causés sur l’image mondiale de cette entreprise japonaise historique.

En septembre 2014, la chaîne américaine de magasins de bricolage Home Depot était victime d’une intrusion dérobant les données attachées à 56 millions de cartes de paiement concernant les clients des magasins aux États-Unis et au Canada.

En avril 2015, TV5 Monde a interrompu ses programmes pendant deux jours suite à une attaque initiée par un e-mail avec une pièce attachée contenant un malware. Cette attaque s’est propagée dans le système d’information de la chaîne de télévision, ciblant les parties métier et bureautique.

Les récentes attaques de mai 2017 visant le piratage des boites e-mail de l’équipe de campagne du candidat Macron et l’énorme attaque par ransomware (demande de rançon) qui a visé 200.000 institutions sur plus de 100 pays, montre la nécessité cruciale de répondre à ces attaques. « Au final, seules les très grandes entreprises peuvent se permettre de sécuriser correctement leurs infrastructures », déplore Jérôme Segura.