Cyberattaque en entreprise : comment s'en prémunir ?

Avec l'essor du numérique depuis les années 2000, les entreprises se sont dotées d'outils informatiques pour leur organisation et leur production, et un grand nombre de leurs informations, voire la majorité d'entre elles, passent par Internet pour leur stockage ou leur diffusion.

Or, ces environnements ultra connectés sont à la portée d'actes malveillants que l'on appelle les cyberattaques. Les petites et moyennes entreprises, souvent mal préparées et mal protégées dans cet univers du tout numérique, constituent des cibles privilégiées face à ces menaces liées au cyberespace qui peuvent avoir de graves conséquences sur leur activité en termes de paralysie, de préjudices financiers, mais aussi de perte de réputation. C'est pourquoi il est indispensable pour les entrepreneurs de bien connaître les formes que peut prendre une cyberattaque pour pouvoir s'en prémunir en adoptant de bonnes pratiques.

Quelles formes peut prendre une cyberattaque en entreprise ?

Si une cyberattaque peut se manifester de nombreuses manières dans sa forme, cet acte de piratage informatique par le biais d'Internet se base sur des techniques de manipulation et "s'appuie sur des comportements et des sentiments humains comme la peur, la confiance, la curiosité, l’appât du gain et tire profit des failles d’une organisation sociale, comme par exemple, les relations hiérarchiques au sein d’une entreprise", comme l'indique Bpifrance, la banque des entrepreneurs.

Le rançongiciel

Le rançongiciel, aussi appelé "ransomware", est la forme de cyberattaque qui touche le plus les entreprises. Près d'un quart d'entre elles sont concernées.

Le rançongiciel désigne un logiciel malveillant introduit à distance par des escrocs dans les outils informatiques d'une entreprise via des emails qui contiennent des pièces jointes ou des liens piégés difficilement détectables car de plus en plus ressemblant à de vrais expéditeurs, et qui a pour conséquence de chiffrer les données qu'ils contiennent et de les rendre inaccessibles.

En contrepartie de la promesse de restaurer ces données, une rançon est alors demandée et à payer dans un temps imparti. À défaut, les pirates informatiques menacent de divulguer au grand public les données de l'entreprise ou carrément de les détruire.

L'intrusion dans les systèmes d'information

Une cyberattaque peut également prendre la forme d'une intrusion par des personnes malveillantes dans les systèmes d'information d'une entreprise. Une intrusion qui fait le plus souvent suite à l'ouverture d'une pièce jointe ou d'un lien hypertexte contenu dans un email, d'une navigation sur un réseau Internet non sécurisé ou sur des sites compromis, de l'exploitation d'une faille de sécurité du système informatique d'une entreprise, d'un de ses clients ou fournisseurs, ou encore de l'utilisation d'une clé USB qui contient un logiciel malveillant.

Cette forme de cyberattaque a pour but de détériorer le système d'information d'une entreprise et aussi de voler ses données.

Le piratage de comptes

Une cyberattaque peut aussi cibler les comptes de messagerie, les comptes administrateurs de réseaux

sociaux, de sites Internet, etc., d'une entreprise.

Dans ce cas, des individus malveillants prennent le contrôle de ces outils en forçant et volant leurs mots de passe, en y installant des logiciels espions pour enregistrer les mots de passe, ou encore en attaquant le site Internet de l'entreprise, dans le but de récupérer des données professionnelles.

L'usurpation d'identité

L'usurpation d'identité est une forme de cyberattaque complexe mais qui n'est pas rare. Elle a pour but de prendre l'identité d'une personne d'une entreprise dans l'objectif de réaliser des actions frauduleuses telles que la souscription d'un emprunt au nom d'une entreprise ou, le plus souvent, ces cybercriminels utilisent l'usurpation d'identité d'un membre d'une entreprise pour passer au nom de cette dernière des commandes de biens ou de services en très grandes quantités.

Cette cyberattaque passe par la création de fausses adresses électroniques très similaires à celles de l'entreprise ciblée, à de faux sites destinés à escroquer les clients de cette dernière, mais il peut aussi s'agir pour ces escrocs de falsifier des bons de commande de l'entreprise, par exemple.

L'hameçonnage

Environ 1 entreprise sur 10 est victime d'hameçonnage, aussi appelé "phishing". L'hameçonnage est en fait une technique utilisée par des individus pour préparer une cyberattaque.

Elle consiste à cibler une personne de l'entreprise afin d'obtenir des renseignements confidentiels tels que des mots de passe, des informations bancaires, des informations personnelles, etc., ou d'introduire des codes malveillants dans le système d'information d'une entreprise dans le but au final de pirater les comptes de cette dernière et permettre une intrusion d'escrocs dans le système d'information, pour réaliser, par exemple, de faux ordres de virements bancaires, d'usurper une identité, ou encore de réaliser une attaque par rançongiciel.

Les attaques en déni de service

On parle d'une attaque en déni de service ou en déni de service distribué (Distributed Denial of Service, DDos) pour désigner le fait de mettre hors de service le site Internet ou le service en ligne d'une entreprise en le saturant de requêtes qui provoquent une panne ou le dysfonctionnement de ces outils informatiques.

Les entreprises qui évoluent dans le secteur marchand sont particulièrement ciblées par ce type de cyberattaque qui peut avoir comme conséquence l'arrêt immédiate de leurs ventes. Souvent aussi, cette cyberattaque a pour objectif de récupérer et de voler des données sensibles d'une entreprise.

Les fraudes aux ordres de virement

De plus en plus de cybercriminels se spécialisent dans ce que l'on appelle les fraudes aux ordres de virement. Ils se font passer pour des fournisseurs, des clients, voire même pour le chef d'entreprise, et contactent un employé du service comptabilité en prétextant un changement de Relevé d'identité bancaire (RIB) afin de détourner l'argent d'une société vers des comptes bancaires leur appartenant.

Les escrocs sollicitent ensuite des virements en urgence pour des factures impayées ou, au contraire, au bout d'un délai plus long qui empêche les entrepreneurs de se méfier.

Cette cyberattaque est essentiellement basée sur l'abus de confiance et se concrétise par l'envoi d'emails ou d'appels téléphoniques bien ficelés qui ne mettent pas la puce à l'oreille de leurs interlocuteurs.

L'attaque du site Internet de l'entreprise

Une cyberattaque peut également prendre la forme d'une modification de l'apparence ou du contenu du site Internet d'une entreprise, avec la conséquence de le rendre inutilisable, et donc l'arrêt de l'activité d'une entreprise qui est basée sur ce seul moyen de communication.

L'attaque du site Internet d'une entreprise peut avoir comme but de faire chanter ses dirigeants ou, par exemple, avoir des visées économiques si cette cyberattaque est menée par des concurrents.

Les bonnes pratiques pour se prémunir d'une cyberattaque en entreprise

Pour se prémunir d'une cyberattaque et limiter au maximum les risques, tous les acteurs d'une entreprise doivent observer de bonnes pratiques, c'est ce que l'on appelle la "cyber-hygiène".

Dans ce but, il est judicieux de nommer au sein d'une entreprise un responsable de la sécurité des systèmes d'information (RSSI), une personne qui a pour rôle d'analyser les risques encourus en matière de cyberattaque, d'établir un plan de prévention et de sensibiliser tout le personnel à ces enjeux.

Procéder à des mises à jour régulières

Tous les appareils informatiques, logiciels (traitement de texte, lecteur PDF, navigateur, etc.), antivirus et pare-feu d'une entreprise doivent absolument être mis à jour régulièrement pour éviter les failles de sécurité qui permettent plus facilement les cyberattaques. L'utilisation des dernières versions disponibles est en effet la garantie d'une sécurité plus performante.

Ces mises à jour doivent bien sûr être réalisées à partir de sources de confiance officielles qui sont proposées uniquement par les éditeurs ou fournisseurs de ces services informatiques.

Le bon sens veut aussi que pour se prémunir d'une cyberattaque, il ne faut plus utiliser de matériels informatiques dont les mises à jour ne sont plus possibles.

Sauvegarder régulièrement les données de son entreprise

Si le risque qu'une entreprise soit victime d'une cyberattaque peut être minimisé en adoptant certaines bonnes pratiques, le danger ne peut jamais être écarté à 100 %.

C'est pourquoi la sauvegarde régulière des données d'une entreprise est cruciale afin de pouvoir restaurer rapidement un système attaqué et reprendre l'activité de l'entreprise. Une procédure qu'il est possible de réaliser manuellement sur un disque dur externe, mais en prenant soin de chiffrer ces données et de les protéger par un mot de passe. Il existe aussi des solutions qui permettent d'automatiser et de planifier régulièrement ces sauvegardes.

Dans tous les cas, il est nécessaire également de vérifier de temps en temps si ces sauvegardes ont bien été enregistrées et surtout qu'elles sont exploitables au besoin.

L'utilisation de solutions cloud pour migrer et sécuriser les données d'une entreprise peut se révéler efficace contre les cyberattaques à condition de choisir celle qui convient le mieux à son activité et surtout une offre de confiance.

Sécuriser son site web

Une entreprise qui dispose d'un site Internet doit créer un nom de domaine fiable pour se prémunir des cyberattaques. On parle de nom de domaine pour désigner la mention qui se situe après "www." dans les adresses de sites ou après "@" dans les adresses email reliées à ce site.

L'important, notamment en matière de messagerie, est de s'assurer que le fournisseur d'accès choisi est bien à jour des standards de sécurité.

D'autre part, concernant le site Internet d'une entreprise, il est recommandé de créer un site web disposant d’une sécurité "https".

Afin de sécuriser au maximum les systèmes d'information numériques d'une entreprise, il faut savoir que le ministère de l'Économie met à disposition des entreprises une plateforme appelée "Autodiagnostics de cybersécurité" qui permet à chacune d'elles de faire un diagnostic de leur niveau de cybersécurité, c'est-à-dire d'évaluer si les protections mises en place pour se prémunir contre une cyberattaque sont performantes ou non.

Se méfier des courriels douteux

La cyberattaque d'un système d'information d'une entreprise se produit très souvent par le biais de courriels frauduleux qui invitent à ouvrir une pièce jointe suspecte ou à cliquer sur un lien qui aboutit sur un faux site Internet destiné à récupérer les données d'une entreprise. En passant juste sa souris ou son curseur sur le lien, il est facile de savoir s'il pointe bien vers l'adresse du site annoncé. Si l'adresse apparaît différente, méfiance !

Le chef d'entreprise et ses employés doivent donc être formés pour éviter les comportements à risque en la matière : s'assurer d'un nom de domaine avant d'ouvrir un site Internet, repérer les pièces jointes d'emails qu'il ne faut surtout pas ouvrir (qui présentent par exemple des extensions du type .pif, .com, .bat, .exe, .vbs, .lnk, .scr, .cab, etc.), ne pas connecter une clé USB sans connaître sa provenance exacte, tout comme aussi ne jamais se connecter à un réseau public (dans des cafés, hôtels, aéroports, etc.) lors de déplacements professionnels car un certain nombre peuvent être piégés pour récupérer des données sensibles, notamment d'une entreprise, bancaires par exemple.

Créer des mots de passe sécurisés

De nombreuses formes de cyberattaque passent par le vol des mots de passe des systèmes d'information informatiques d'une entreprise.

C'est pourquoi il est très important de sécuriser au maximum ces points d'entrée sensibles. Un mot de passe doit d'abord être long et prendre une forme complexe (lettres, majuscules, chiffres et caractères spéciaux). C'est aussi une information confidentielle qui ne doit en aucun cas être communiquée à un tiers.

D'autre part, il est recommandé de ne pas utiliser un seul mot de passe pour tous les services numériques d'une entreprise pour éviter l'impact d'une cyberattaque sur l'ensemble de ses activités. La solution idéale est de mettre en place des mécanismes d'authentification multi-facteurs (mot de passe et code transmis par le biais d'un mode de connexion tiers).

Enfin, un mot de passe doit être changé au moins tous les 3 mois, voire plus régulièrement pour les services sensibles qui doivent être à tout prix protégés un maximum.

S'assurer contre les cyberattaques

De plus en plus d'assurances proposent aujourd'hui des contrats qui comprennent des clauses qui permettent à une entreprise de se prémunir contre ces risques. On parle alors de police d'assurance "cyber".

Ces garanties donnent la possibilité aux entreprises d'être accompagnées en cas de cyberattaque d'un point de vue juridique, financier, mais aussi technique.