Acer. CNA Insurance. La National Basketball Association (NBA). L’Université des Highlands et des îles écossaises. Capital One. Le serveur Microsoft Exchange. Desjardins. L’Hôpital général juif.
Pouvez-vous deviner ce que ces organisations ont en commun?
Elles ont été victimes d’une cyberattaque majeure entre 2020 et 2021.
Qu’est-ce qu’une cyberattaque?
Selon le Centre canadien pour la cybersécurité, une cyberattaque est une tentative malveillante visant à obtenir un accès non autorisé à un système informatique dans le but de causer un préjudice personnel ou de porter atteinte à la réputation. Même si l’auteur peut sembler anonyme, une cyberattaque en soi peut avoir plusieurs visages.
Habituellement, les cybercriminels volent des renseignements personnels, comme le numéro d’assurance sociale (NAS), les numéros d’une carte de crédit, des renseignements bancaires ou des données confidentielles, et s’en servent pour manipuler ou exploiter une personne ou une organisation.
Partout dans le monde, les entreprises sont passées au télétravail en raison de la COVID-19, et la menace d’une cyberattaque imminente est de plus en plus palpable. Avec le temps, ces attaques se sont non seulement multipliées, mais leur conception est de plus en plus sophistiquée.
Exemple typique : les logiciels de rançon. C’est un type de logiciel malveillant que les pirates informatiques utilisent pour s’infiltrer dans un système, crypter des données et bloquer un accès interne. Les attaques perpétrées à l’aide d’un logiciel de rançon placent l’entreprise dans une position vulnérable puisque les pirates informatiques gardent un accès exclusif à des renseignements délicats et exigent le paiement de rançons exorbitantes en échange. Selon un rapport annuel sur la cybersécurité mondiale, au total, 304 millions d’attaques ont été perpétrées à l’aide d’un logiciel de rançon dans le monde en 2020, ce qui constitue une hausse de 62 % par rapport à 2019.
Incidents de cybersécurité dans le monde
Au cours des dernières années, le nombre de cyberattaques a non seulement explosé, mais également coûté un montant gigantesque de 1 billion de dollars à l’économie mondiale. Cette somme est 50 % plus élevée que le taux qui avait été prévu en 2018. En 2021, les incidents de cybersécurité ont augmenté de 40 % partout dans le monde. Au cours de cette période, le coût moyen d’une atteinte à la protection des données est passé de 3,86 millions de dollars à 4,24 millions de dollars. Les organisations qui ont été les plus durement touchées appartenaient au secteur de l’éducation et de la recherche (hausse de 60 % par rapport à 2020), suivi par le secteur des soins de santé (hausse de 55 %) et du secteur public/militaire (hausse de 40 %).
Les chaînes d’approvisionnement et la vente au détail sont aussi mises à rude épreuve. En 2019, ces secteurs ont été victimes de près de 300 attaques — surtout sous forme de logiciel de rançon paralysant l’entreprise — ce qui a eu une grande incidence sur l’approvisionnement et la demande pendant la pandémie mondiale. Cela a accentué le contraste entre les entreprises qui pouvaient visualiser et surveiller dynamiquement les risques liés à la chaîne d’approvisionnement par rapport à celles qui ne pouvaient pas.
D’après la liste des grandes attaques qui ont eu lieu au cours des deux dernières années, il est clair que les cybercriminels ne font aucune distinction entre le secteur d’activité, la taille ou l’emplacement. Il s’agit désormais d’un phénomène mondial qui menace tout le monde : les grandes entreprises, les petites et moyennes entreprises (PME) et les particuliers comme vous et moi.
Comment la cybercriminalité touche-t-elle les particuliers?
Une atteinte à la sécurité organisationnelle peut mettre en péril votre vie personnelle de différentes façons. Par exemple, les compagnies d’assurance et les hôpitaux gèrent des systèmes sécuritaires d’archivage de données confidentielles, notamment des dossiers médicaux, financiers et d’emploi. Il s’agit de renseignements confidentiels sur VOUS, et c’est précisément le type de données que les pirates informatiques cherchent à obtenir, afin de pouvoir les vendre sur le marché noir ou de les conserver en échange d’une rançon. C’est ainsi qu’une atteinte à la sécurité organisationnelle vous met vous, le particulier, en péril.
Sur le plan personnel, la plupart d’entre nous ont déjà reçu des appels non sollicités d’une personne prétendant être associée à une organisation fédérale, comme l’Agence du revenu du Canada (ARC), Service Canada ou Immigration, Réfugiés et Citoyenneté Canada (IRCC). De même, nous avons observé une hausse du nombre de courriels et de messages suspects qui jouent sur les cordes sensibles ou sonnent une fausse alarme dans le but de voler des renseignements confidentiels — une tendance connue sous le nom d’hameçonnage.
Les cybercriminels ont maintenant les ressources et la capacité d’établir un contact direct avec une cliente ou un client, ce qui peut engendrer une perte financière, des difficultés psychologiques et une longue lutte coûteuse pour reprendre le contrôle de sa vie, en cas de vol d’identité.
Quant à elles, les entreprises doivent parfois dépenser des millions de dollars pour rétablir l’accès à leurs opérations, à leur système de sécurité ou à leurs données bloquées. Toutefois, pour un particulier, les risques sont divers. Selon la situation, vous pourriez perdre beaucoup de choses, de votre maison ou votre voiture à toutes vos économies et tous vos fonds de retraite. Pire encore, on pourrait vous tenir responsable de toute activité frauduleuse commise sous votre nom, notamment une fraude financière, l’atteinte du montant maximal de cartes de crédit, des mises de fonds détournées, pour n’en nommer que quelques-unes. Pour couronner le tout, vous pourriez devoir passer par un processus complexe pour prouver votre propre identité aux autorités pendant que la personne coupable vit en liberté.
Dans certains cas, cela peut se transformer en question de vie ou de mort. Par exemple, vers la fin de 2020, une patiente est morte à la suite du piratage visant les systèmes informatiques de l’Hôpital universitaire de Düsseldorf, marquant la première victime liée à une attaque perpétrée à l’aide d’un logiciel de rançon.
Le coût du télétravail
Depuis la normalisation du télétravail, de plus en plus de personnes consultent des courriels professionnels sur leurs appareils personnels, ce qui fait en sorte qu’essentiellement, elles apportent leur travail partout où elles vont. Avoir cette souplesse facilite sans aucun doute votre travail, mais vous rend plus vulnérable à une cyberattaque. Imaginez un instant qu’approximativement 94 % des logiciels malveillants sont transmis par courriel, dont 90 % sont dissimulés dans des fichiers ordinaires comme des fichiers PDF, Word, Excel et ZIP. Sans parler du fait que nous pouvons maintenant intégrer presque toutes les formes de technologie que nous possédons — systèmes de contrôle de l’énergie, ordinateurs personnels, téléphones cellulaires et voitures — à l’aide de dispositifs intelligents, qui, par inadvertance, rendent nos données plus accessibles à un pirate informatique potentiel.
De plus, des réseaux privés sont officiellement devenus des passerelles vers des réseaux d’entreprises plus grands, ouvrant ainsi la porte à de potentielles atteintes à la sécurité. Se relever de ces atteintes peut être extrêmement coûteux. On a qu’à penser aux entreprises allemandes qui ont subi près de 53 milliards d’euros (62 milliards de dollars) en dommages à cause de cyberattaques lorsqu’elles sont passées au télétravail pendant la pandémie.
Cyberattaques : hier et aujourd’hui
Au Canada, une personne sur quatre est victime d’une cyberattaque, et il est facile de comprendre pourquoi. Un nombre croissant de personnes font face à des difficultés économiques et sociales en raison de la pandémie, ce qui augmente nos craintes et notre vulnérabilité. Puisqu’il est difficile de suivre les méthodes utilisées dans une cyberattaque qui évoluent rapidement, le nombre de cibles continue de grimper.
Lorsqu’il est question de recouvrement des coûts associés aux attaques perpétrées à l’aide d’un logiciel malveillant à l’échelle d’une entreprise, les compagnies d’assurance n’arrivent pas à suivre le nombre stupéfiant de réclamations. Un rapport de 2020 de la National Association of Insurance Commissioners (NAIC) révèle que les primes de cybersécurité ont augmenté de 29,1 % en 2020, essentiellement à cause de l’escalade des cybermenaces enregistrées pendant la pandémie.
Toutefois, ce n’est pas une cause perdue.
Bien que la cybercriminalité continue à sévir dans nos vies personnelles et professionnelles, les efforts individuels et organisationnels à l’égard de la cybersécurité demeurent forts et constants. Grâce à de la sensibilisation et à de la formation continues en matière de cybersécurité, des entreprises partout dans le monde renseignent leur personnel sur la façon de faire preuve de prudence, particulièrement par la mise en place de protocoles sur le télétravail. D’ailleurs, le Québec a récemment créé le ministère de la Cybersécurité et du Numérique pour mettre en lumière l’importance de la cybersécurité et le rôle du gouvernement à l’égard de sa promotion.
Cybersécurité et innovation
Selon le géant de la technologie IBM, la cybersécurité est « la pratique visant à protéger les systèmes essentiels et les renseignements sensibles contre des attaques numériques ». Ainsi, il faut respecter des protocoles de sécurité rigoureux à l’échelle de l’organisation et utiliser une approche multidimensionnelle en matière de défense lorsqu’il est question des éléments techniques comme les infrastructures essentielles, les logiciels et les appareils, le réseau, l’Internet des objets (IdO), etc.
Pour que ces éléments fonctionnent efficacement, toutefois, il est impératif que les entreprises prennent des mesures préventives pour protéger leur maillon faible — leur personnel — en lui offrant régulièrement de la formation et en sauvegardant souvent les données. L’éducation préventive est essentielle à la réussite de toute stratégie en matière de cybersécurité, puisqu’elle apprend aux entreprises comment cerner et prévenir différentes formes d’attaque — particulièrement l’infrastructure organisationnelle reposant sur des réseaux privés virtuels (RPV) — et présente de nouvelles façons d’accroître la sécurité sur des dispositifs personnels, comme la mise en place de l’authentification à facteurs multiples et la lecture des empreintes biométriques, ainsi que la sélection de bons mots de passe.
C’est aussi ici que l’innovation entre en jeu.
Étant donné que les cybercriminels sont connus pour adapter leurs tactiques rapidement et agilement, les entreprises doivent faire preuve de vigilance, innover et rester à l’avant-garde. Cela signifie obtenir les certifications de cybersécurité, s’il y a lieu, pour prévenir les attaques potentielles, et se tenir au courant des nouveaux développements dans le domaine de la cybersécurité.
Gardez un œil sur les technologies émergentes aujourd’hui et apprenez comment l’innovation peut aider à protéger et à soutenir vos activités demain. Votre organisation est-elle équipée pour les pare-feu de prochaine génération? Savez-vous comment l’intelligence artificielle (IA) peut vous aider à atteindre à terme vos objectifs en matière de sécurité? Que ferez-vous pour assurer la sécurité des données lorsque l’informatique quantique deviendra une réalité commerciale? Il s’agit là de quelques questions qui peuvent vous aider à voir grand et à planifier.
Sécurité d’abord
Finalement, le moyen le plus efficace de vous protéger consiste à sensibiliser à la cybersécurité, à vous assurer que vos équipes comprennent la gravité et les répercussions d’une cyberattaque réelle, ainsi qu’à atténuer les risques internes en cultivant une culture de sécurité solide ancrée dans l’éducation et la formation. Autrement dit, voyez là une occasion de sortir des sentiers battus et de redéfinir la sécurité comme une pratique collective qui ne se limite plus à votre service informatique.
N’oubliez pas que lorsqu’une organisation est victime d’une attaque, ce sont des gens comme nous qui en assument le fardeau. En cette période sans précédent, aucun pays, ni aucune institution, organisation ou personne n’est à l’abri d’une attaque numérique envahissante. C’est précisément la raison pour laquelle la cybersécurité fait maintenant partie des débats économiques, sociaux et politiques à l’échelle mondiale.
