/image%2F1445552%2F20150209%2Fob_1e45f9_logo-communard.jpg){kind=logo}
Les faibles coûts de démarrage et les profits énormes associés à la cybercriminalité ont donné naissance à une industrie florissante, et aucune entreprise – quel que soit son secteur ou sa taille – n’en est à l’abri.
Par Nafeez Ahmed – 24 février 2019
L’Internet des objets (IdO) a été acclamé comme l’amorce d’une révolution technologique qui va transformer nos vies dans le bon sens. Avec tous les appareils et outils imaginables que nous utilisons, interconnectés de façon transparente par le biais du cloud, tout ce que nous faisons, du travail aux loisirs, sera de plus en plus automatisé, efficace et facilement configurable d’une manière qui était auparavant inimaginable. Mais avant même que la révolution de l’IdO ne soit pleinement réalisée, les coûts qui y sont associés grimpent de manière exponentielle. Un nouveau rapport d’Accenture estime que cela pourraient coûter jusqu’à 5,2 billions de dollars aux entreprises au cours des cinq prochaines années en coûts supplémentaires et en pertes de revenus dues à la cybercriminalité « car la dépendance aux modèles commerciaux complexes sur Internet est supérieure à la capacité à implanter les sécurités adéquates qui protégeraient des ressources essentielles. »
Selon le rapport, environ 80 % des chefs d’entreprise admettent avoir des difficultés à assurer la protection de leur entreprise. Et il n’y a pas que les entreprises. Les chiffres du gouvernement révèlent que les habitants du Royaume-Uni sont plus susceptibles d’être victimes de cybercriminalité ou de fraude que de toute autre infraction.
Même une cybercriminalité rudimentaire rapporte d’énormes dividendes
Tandis que les coûts pour les entreprises et les consommateurs honnêtes augmentent, les profits des cybercriminels augmentent également. Une étude menée en 2018 par l’Université du Surrey fait une estimation prudente selon laquelle la cybercriminalité menée sur des plateformes bien connues comme Amazon, Facebook et Instagram engrange 1,5 billion de dollars, soit l’équivalent du PIB de la Russie.
Il ne s’agit même pas d’une cybercriminalité particulièrement sophistiquée. Selon l’auteur de l’étude, Michael McGuire, docteur en criminologie, ces plateformes sont utilisées pour effectuer de l’évasion fiscale, déplacer des fonds, vendre des drogues illégales et des marchandises contrefaites. Avec les progrès technologiques, les possibilités d’une telle criminalité se transformeront.
« Dans un monde où presque toutes les directives, tous les processus, toutes les transactions et tous les secrets se trouvent dans le cyberespace, il pourrait y avoir une multitude d’opportunités pour les criminels », avertissait un rapport du programme Global Strategic Trends du Ministère britannique de la Défense en octobre 2018. Avec des coûts de démarrage relativement faibles et des profits potentiellement énormes, la cybercriminalité organisée présente un attrait commercial évident, selon le rapport, en particulier pour les « personnes vivant dans des pays aux possibilités économiques limitées. »
Les cybercriminels innovent rapidement pour améliorer leur productivité
La plupart des cyberattaques dans l’Union européenne, par exemple, viennent en fait de l’extérieur.
Et comme toute autre activité économique, les cybercriminels investissent rapidement dans l’innovation et les nouvelles techniques pour améliorer leur productivité. Un rapport de l’entreprise mondiale de sécurité informatique Check Point Software Technologies, basée à Tel Aviv, souligne comment les méthodes de cybercriminalité se sont « démocratisées » et sont accessibles à quiconque est prêt à payer pour les obtenir.
« Les cybercriminels explorent avec succès de nouvelles approches et de nouveaux modèles commerciaux furtifs, tels que l’utilisation de logiciels d’affiliation malveillants, pour maximiser leurs revenus illégaux tout en réduisant leur risque de détection », explique Peter Alexander, de Check Point.
Maya Horowitz, directrice du renseignement et de la recherche de Check Point, dresse le portrait d’une approche de plus en plus corporatiste de la cybercriminalité. Les attaques impliquent des équipes organisées de programmeurs, d’initiés de l’entreprise, de techniciens informatiques et d’experts en hameçonnage. Ces équipes publient même des offres d’emploi pour de nouveaux postes en prévision du prochain piratage.
Comment le dark web facilite la cybercriminalité organisée
Ce type d’activité a été facilité par le dark web, une partie cachée de l’Internet où les criminels peuvent agir sans être détectés, en utilisant des outils complexes de chiffrage et d’anonymisation. Le dark web a fait la une des journaux pour la première fois en 2013 lorsque le FBI a fermé le célèbre site web Silk Road, un marché noir en ligne vendant des drogues illicites. Le dark web prospère comme un trésor de logiciels automatisés qui peuvent être utilisés pour troller et attaquer automatiquement des comptes vulnérables.
« Un cybercriminel peut facilement acheter un certain nombre de programmes de craquage de mots de passe et peut louer ou acheter des kits d’exploits informatiques qui contiennent de nombreux outils permettant d’effectuer des attaques », explique Corey Milligan, l’un des premiers techniciens en cyber-opérations de l’armée américaine, maintenant analyste principal du renseignement sur les menaces liées à la cybercriminalité chez Armor Defence, une société de sécurité de cloud computing du Texas. « Les kits sont conçus pour permettre à un utilisateur moyen d’ordinateur d’attaquer avec succès diverses vulnérabilités et ensuite de distribuer des logiciels malveillants ou potentiellement d’effacer le disque dur d’une victime. »
La cybercriminalité dans le dark web est florissante, en particulier car des personnes peuvent être embauchées par des tiers pour mener des attaques. « Le plus grand impact qu’ils peuvent avoir, c’est lorsqu’ils sont engagés pour faire quelque chose pour quelqu’un d’autre », ajoute M. Milligan.
En effet, une toute nouvelle industrie clandestine est apparue, baptisée « malware as a service » [logiciel malveillant en tant que service, NdT]. Et à mesure que l’IdO se développe, les possibilités de croissance commerciale et criminelle grandissent.
Selon Intel, nous passons d’un monde avec deux milliards d’objets intelligents et connectés sans fil en 2006 à un monde qui en aura 200 milliards en 2020. D’ici 2021, un demi-milliard de ces appareils seront portables.
Dr. Janusz Bryzek, un gourou de la Silicon Valley, pionnier de la technologie des capteurs, prévoit que d’ici 20 ans, il y aura 45 billions de capteurs en réseau, des dispositifs qui détectent les changements environnementaux physiques tels que la lumière, la chaleur, le son, l’humidité et la pression et y réagissent.
Les appareils connectés sont les principales cibles de la cybercriminalité
Déjà aujourd’hui, les attaques contre les appareils connectés, notamment les routeurs, les caméras, les thermostats, les appareils électroniques et les réveils, figurent parmi les principales cibles de la cybercriminalité. Mais les entreprises n’en font pas assez pour protéger ces appareils, préférant les mettre sur le marché sans tarder.
« Le risque est mondial. Peu importe la taille de votre entreprise ou de votre secteur d’activité, si vous êtes connecté à Internet, vous êtes à risque, car n’importe qui peut vous trouver ; soit vous, soit les appareils connectés que vous avez », explique M. Milligan.
La plupart des entreprises accusent un retard considérable en matière de protection contre ces risques accrus. En 2018, l’enquête Ipsos MORI sur les atteintes à la cybersécurité a révélé que quatre entreprises sur dix et un cinquième des organismes de charité avaient subi une attaque informatique. Les résultats ont conduit le groupe de recherche sur la cybersécurité du King’s College de Londres, en janvier dernier, à demander au gouvernement britannique de nommer et de blâmer les entreprises dont les mesures de cybersécurité ne parviennent pas à protéger les données des consommateurs.
La complaisance n’est pas une option. Pour vous donner un avant-goût de ce qui s’annonce, l’une des plus grandes sociétés d’électricité d’Amérique, Duke Energy, a été frappée d’une amende réglementaire de 10 millions de dollars début février pour 130 violations des normes de sécurité physique et de cybersécurité. Si les entreprises n’agissent pas maintenant, les gouvernements n’auront d’autre choix que de les faire payer plus tard.
Source : Raconteur, Nafeez Ahmed, 24-02-2019