Découverte des risques de sécurité
Objectifs de formation
Une fois cette unité terminée, vous pourrez :
- Expliquer comment la cybercriminalité peut nuire à votre entreprise
- Énumérer les principaux comportements humains exploités par les intrus
- Décrire les méthodes les plus courantes utilisées par les criminels pour accéder à des informations
L’importance cruciale du comportement des employés en matière de sécurité
Nous utilisons la technologie toute la journée dans notre vie personnelle comme au travail. Il est donc logique que la cybercriminalité soit source d’inquiétude pour tout le monde. Le rapport d’enquête 2021 de Verizon sur la violation des données (inscription obligatoire) a signalé un record de 157 525 incidents au total dans des catégories allant des logiciels malveillants au piratage, en passant par les violations d’ingénierie sociale et les logiciels de rançon. Et la cybercriminalité continue d’évoluer. Certains des vecteurs d’attaque les plus efficaces de ces derniers temps, comme l’hameçonnage, ciblent les personnes, pas la technologie. Selon le rapport 2022, le phishing et le vol d’identifiants utilisateur étaient les principaux vecteurs de menace en 2021.
La nature des menaces est plus complexe que jamais et il est de plus en plus difficile pour les équipes de sécurité de prévenir, de détecter et d’analyser les menaces, ainsi que d’y répondre. Les cybercriminels ont modifié leurs tactiques, passant d’attaques technologiques à des attaques ciblées contre les employés en exploitant des comportements humains classiques. Avec la sophistication des technologies de sécurité, les pirates informatiques cherchent à accéder au point le plus faible du réseau : le plus souvent, il s’agit de l’humain et de sa propension à faire des erreurs. Plus que jamais, il est important de saisir les opportunités de formation à la sécurité comme ce badge. Les employés représentent la cible la plus facile pour les pirates informatiques, et il est donc crucial que chacun apprenne à se protéger et à protéger l’entreprise. Plus que jamais, chaque collaborateur à son rôle à jouer en matière de sécurité, indépendamment de sa fonction ou de son titre.
Un seul employé ouvrant un e-mail d’hameçonnage peut suffire à déclencher une chaîne d’événements susceptibles de compromettre les données de votre entreprise. Ainsi, la sécurité doit faire partie intégrante du travail de chacun. Dans ce module, nous allons examiner des comportements de base que chaque employé peut adopter pour renforcer la sécurité de l’entreprise.
Exploitation des comportements humains par les intrus
Parlons du rôle que joue la nature humaine dans la cybercriminalité. Les criminels ont appris qu’ils pouvaient exploiter les émotions humaines courantes, comme la curiosité ou le désir de plaire, pour voler leurs identifiants et s’infiltrer dans votre réseau. Examinons certains des messages qui suscitent ces émotions.
- Peur : « Si vous ne me communiquez pas ces informations, je signalerai votre comportement à votre responsable. »
- Site : « Votre compte bancaire vient d’être clôturé. Cliquez ici pour le réactiver. »
- Moralité : « Pouvez-vous me tenir la porte du bureau ? J’ai le bras cassé et ce colis est lourd. »
- Appât du gain : « Mon entreprise envisage d’investir dans vos produits. Pouvez-vous d’abord répondre à quelques questions sur votre organisation ? »
- Conformité : « Bill Stevens du service financier me tient toujours au courant des bénéfices du deuxième trimestre, mais je ne parviens pas à le joindre. Pouvez-vous me transmettre le rapport ? »
- Curiosité : « Waouh… Regardez cette vidéo d’un serpent géant en train de dévorer un gardien de zoo ! »
Repérage des méthodes d’attaque de base
Les pirates informatiques emploient différentes méthodes pour accéder à leurs cibles. Les méthodes de point d’entrée ci-dessous sont des techniques courantes utilisées par les cybercriminels pour exploiter nos comportements humains et accéder à des informations ou des réseaux sensibles.
- L’hameçonnage : tenter d’acquérir des informations sensibles, telles que des noms d’utilisateur et des mots de passe (également appelés identifiants utilisateur), des détails de carte bancaire et des informations bancaires, en se faisant passer pour une entité digne de confiance. Il existe différents types d’hameçonnage. Certaines des méthodes les plus couramment utilisées sont l’hameçonnage par e-mail, par téléphone (appelé « vishing »), par SMS (« smishing ») et l’hameçonnage ciblé sur une personne ayant un niveau d’accès élevé (« spear phishing »).
- Logiciel malveillant : inciter les utilisateurs à télécharger des logiciels malveillants (maliciels) destinés à accéder à un appareil ou à un réseau, à l’endommager ou à le contrôler. Souvent, ces logiciels sont livrés via un lien ou une pièce jointe dans un e-mail d’hameçonnage.
- Ingénierie sociale : manipuler les gens pour qu’ils prennent des mesures ou révèlent des informations confidentielles.
- Exploitation d’informations publiques : utiliser des informations accessibles au public sur Internet (par exemple, une plate-forme de réseaux sociaux) pour aider à concevoir une attaque d’ingénierie sociale, déchiffrer un mot de passe ou créer un e-mail d’hameçonnage ciblé.
- Accès physique non autorisé : entrer dans une zone sécurisée, soit en suivant un détenteur de badge légitime, soit en persuadant quelqu’un d’en accorder l’accès.
- Espionnage : Fait d’écouter secrètement des conversations privées.
- Fouille de poubelles : recueillir dans une corbeille ou un bac à déchets des informations sensibles qui n’ont pas été détruites de manière appropriée.
- Installation de périphériques malveillants : accéder à un réseau sécurisé en installant un routeur sans fil ou une clé USB contenant un logiciel malveillant.
