Ralentir les hackers, la meilleure façon de les éloigner

Le métier de hackers est… une profession comme une autre. Avec ses calculs de rentabilité. C’est en somme la conclusion d’une étude du Ponemon Institute pour le compte de Palo Alto. Menée auprès de quelque 300 experts en sécurité, en Allemagne, au Royaume-Uni et aux Etats-Unis – dont 79 % se disent proches de la communauté des pirates -, l’enquête montre que les cyberattaques privilégient les cibles offrant le meilleur retour sur investissement. 73 % des sondés affirment que les assaillants sont avant tout à la recherche de proies faciles et ‘bon marché’, autrement dit qui ne leur réclameront pas trop de temps. Les experts interrogés estiment que si une attaque demande plus de 40 heures d’efforts, elle est abandonnée dans 60 % des cas. Les hackers préférant se recentrer sur une cible plus perméable.

Pour 53 % des experts interrogés par Ponemon, la durée des attaques est toutefois en baisse. Si la multiplication des exploits et vulnérabilités connus expliquent en premier lieu cette tendance, près de 7 sondés sur 10 estiment aussi que les outils automatisant les attaques y sont également pour quelque chose. Ponemon Institute calcule qu’en moyenne, un hacker dépense par an 1 367 dollars en kits spécialisés dans l’exécution d’attaques. Et près de 2 spécialistes sur 3 interrogés par le cabinet d’étude assure que cet outillage se révèle efficace.

Un boulot… mal payé

Plus hasardeux, Ponemon se lance dans un calcul des revenus d’un cyber-assaillant. Et assure que ce dernier ne retire en moyenne que quelque 29 000 dollars par an de ses activités criminelles, pour quelque 700 heures de travail. C’est, en termes de salaire horaire, près de 40 % de moins que la rémunération d’un spécialiste de la sécurité, calcule Ponemon.

Si une infrastructure très résistante aux attaques – les experts interrogés soulignent notamment le rôle du partage d’informations sur les menaces (threat intelligence) en la matière – a de bonnes chances de dissuader les ‘petites mains’ du hacking, elle ne constitue toutefois pas une garantie absolue contre des assaillants déterminés et grassement payés par des commanditaires pour dérober des données ou mettre à mal l’image de l’entreprise ciblée.

Profession : chasseur de hackers

Vol de données : la facture grimpe pour les entreprises françaises