Déni de service, intrusion dans le système des entreprises à des fins de piratage et de vol de données, aujourd’hui les techniques de cyberattaque sont nombreuses et de plus en plus sophistiquées. Les comprendre c’est déjà se prémunir.
Aucune entreprise n’est à l’abri d’une cyberattaque. Malwares, APT, DoS, DDoS, ransomwares… les procédés sont nombreux et les objectifs variés.
Vincent Nguyen, Manager du CERT-Wavestone, catégorise les cyberattaques en trois niveaux : « Le premier est l’attaque diffuse, c’est-à-dire une agression en masse. Dans ce processus, l’objectif est de toucher au hasard le plus grand nombre d’entreprises ou de particuliers. Il n’y a pas de cible réelle, l’attaquant cherche simplement à faire un maximum de victimes. »
Ce type d’agression utilise le spam et le phishing, c’est-à-dire l’envoi massif de mails accompagnés d’un message incitant le destinataire à cliquer sur un lien pour lui soutirer des informations, ou à ouvrir un document infecté par un virus pour pirater ses données, ou encore à installer un logiciel de chiffrement de données pour demander une rançon en échange de la clé de déchiffrement (ransomwares).
Des attaques qui utilisent les failles des systèmes
La deuxième catégorie concerne les cyberattaques dites « opportunistes ». Dans ce cas, le procédé repose sur l’utilisation des failles des systèmes. « C’est ainsi que WannaCry, la dernière attaque en date de ce type, a utilisé le vol d’outils conçus par la NSA qui exploitaient les failles de sécurité de plusieurs systèmes, dont Windows XP et Windows 10. Malgré la publication d’un correctif par Microsoft un mois avant l’attaque, de nombreuses entreprises ont été infectées, car elles n’avaient pas réalisé les mises à jour. WannaCry s’est propagé au niveau mondial et a paralysé de nombreux grands groupes comme Renault ou Telefonica », souligne Vincent Nguyen.
DDoS et APT : des attaques ciblées et sophistiquées
Troisième niveau, les attaques avancées et ciblées. « Dans cette catégorie, nous parlons souvent d’APT ou Advanced Persistent Threat », souligne notre expert. Très sophistiquées, ces agressions sont souvent menées par des États contre d’autres États ou contre de grandes entreprises. « Citons celle de la NSA contre Belgacom (opérateur télécom belge) il y a deux ans, pour écouter les conversations entre États avant la tenue du G20 » illustre notre interlocuteur.
L’APT consiste à s’infiltrer dans le système de l’entreprise et à y rester dormant le plus longtemps possible afin de collecter le maximum d’informations. Il y a trois ans, le temps moyen d’une intrusion avant détection était de 250 jours. Aujourd’hui il est de 150 jours.
« Parmi l’arsenal des attaquants menant ce type d’offensive, le Zéro Day est l’arme ultime », souligne notre interlocuteur. Rappelons qu’un Zéro Day implique une vulnérabilité qui n’a fait l’objet d’aucun correctif connu. « Lorsqu’un Zéro Day est découvert, l’éditeur se mobilise pour trouver et développer rapidement un correctif, car toutes les applications sont vulnérables. Aucune n’est infaillible, insiste notre expert. D’ailleurs, de manière théorique, Alan Turing avait démontré que tout système pouvait être vulnérable. »
Le DDoS (Distributed Denial of Service) ou déni de service distribué est une autre catégorie d’attaque ciblée. Dans ce cas, la technique consiste à mobiliser des milliers de machines pour envoyer en simultané des millions de requêtes sur une cible afin de saturer le réseau et la rendre inaccessible. « On se souvient du déni de service fomenté le 25 décembre 2014 contre Sony et Microsoft. Un DDoS a rendu indisponible les réseaux de la PlayStation et de la Xbox » raconte Vincent Nguyen. Une action qui ternit considérablement l’image des entreprises. Dans ce domaine, deux groupes de cybercriminels excellent : le DD4BC et Lizard Squad.
Que ce soit du déni de service, du piratage ou vol de données, des attaques ciblées ou non, une chose est sure : toutes les entreprises y sont exposées. Aussi, pour se prémunir contre ces événements, il est essentiel de connaître et comprendre la variété des techniques utilisées.
