Vos données sensibles sont vulnérables et doivent être protégées. Opter pour une solution de stockage sécurisé et mettre en place des règles strictes en matière d’accès et de mot de passe sont indispensables mais parfois insuffisantes pour assurer la sécurité totale de vos informations.
Le piratage et le vol de données sont des risques à considérer et à prévenir. Voici un tour d’horizon des méthodes de piratage employées et des manières de les éviter.
L’ANSSI est l’organisme public français de référence dans le domaine de la sécurité des systèmes informatiques. Pour toute information complémentaire ou effectuer un signalement, n’hésitez pas à vous rendre sur leur site internet.
Les logiciels malveillants sont conçus dans le but de nuire à un système informatique : bloquer ou voler des données sensibles. Ils sont parfois camouflés dans des logiciels téléchargés gratuitement (ou illégalement) ou peuvent provenir de supports amovibles (disques durs, clés USB, smartphones).
Le rançongiciel, présenté ci-dessous, est un exemple de logiciel malveillant.
- N’installer que des logiciels provenant de sources fiables et reconnues.
- ne pas télécharger ni installer de logiciels normalement payants proposés gratuitement,
- ne pas brancher de périphérique de stockage inconnu (clé USB, disque dur).
Les rançongiciels ou ransomware sont des programmes utilisés pour bloquer et rendre illisibles les données d’un utilisateur par cryptage. L’objectif est d’empêcher l’utilisateur d’accéder à ses fichiers et de lui réclamer une somme d’argent en échange de la clé permettant de décrypter ces données. Certains invitent également de propager le virus pour débloquer les données.
Toutefois, le paiement de la somme demandée ou la transmission du virus ne garantissent pas d’obtenir la clé de chiffrement et débloquer les données.
- Procéder à la sauvegarde régulière de ses données sur différents supports,
- vérifier l’expéditeur d’un message (au même titre que pour le phishing),
- ne pas ouvrir de pièces-jointes provenant d’une source inconnue et vérifier l’extension des pièces-jointes reçues (ex : fichier en .exe),
- disposer d’un anti-virus peut limiter le risque d’ouvrir un fichier dangereux,
- mettre à jour son système d’exploitation, ses logiciels et applications pour éviter de laisser des failles ouvertes.
- Ne pas payer la rançon : comme précisé plus haut, rien ne garantit que le pirate fournisse la clé de chiffrement des données. Par ailleurs, cela encourage ce genre de pratiques et démultiplie les risques,
- ne pas propager l’infection. Déconnecter les périphériques sains (disques durs, clés USB) et déconnecter l’ordinateur du réseau. Eteindre l’ordinateur et ne surtout pas transmettre le fichier infecté.
Le phishing (ou hameçonnage) s’opère par un e-mail ou parfois par un SMS envoyé par un expéditeur malveillant se faisant passer pour une entité de confiance (banque, organisme public, opérateur téléphonique, fournisseur internet, etc.). L’e-mail ou le SMS peut contenir un lien vers une page internet avec un formulaire, reprenant les éléments visuels de l’entité de confiance (codes couleurs, logos) pour tromper l’utilisateur.
L’objectif est de convaincre l’utilisateur de communiquer des informations personnelles telles qu’un mot de passe, son numéro de carte bancaire, etc.
Rares sont les entreprises ou organismes à solliciter directement des informations personnelles de leurs utilisateurs par e-mail. Si des données sensibles vous sont réclamées, plusieurs moyens sont possibles afin d’éviter de se faire piéger :
- s’assurer que l’expéditeur est censé détenir votre adresse e-mail ou numéro de téléphone (banque ou opérateur téléphonique avez lequel vous n’avez pas de lien, par exemple),
- vérifier que l’adresse e-mail de l’expéditeur soit reconnaissable.
Même si ces deux vérifications vous incitent à penser qu’il s’agit d’un e-mail légitime, le mieux reste de :
- ne cliquer sur aucun lien ni pièce-jointe contenus dans l’e-mail,
- se rendre sur le site internet de l’organisme depuis votre navigateur pour vous connecter à votre espace personnel,
- ne pas répondre à l’e-mail et ne surtout communiquer aucune donnée personnelle,
- toujours vous assurer que l’adresse la page internet sur laquelle vous communiquez des données personnelles commence par « https».
Les réseaux sociaux sont une source d’informations pour les pirates. Afin de ne pas leur faciliter le travail, il est important de ne pas partager de données personnelles (adresses e-mail, numéro de téléphone) en public et de vérifier ses paramètres de confidentialité.
Les faux sites internet sont utilisés pour acquérir les données privées de l’utilisateur visé, que ce soit un mot de passe ou des informations de paiement, par exemple. Ils sont conçus de manière à ressembler à des sites de confiance, des boutiques en ligne ou sites d’organismes reconnus. Ils reprennent tous les codes visuels, couleurs et logos des sites copiés. L’utilisateur est alors trompé par cette ressemblance et peut être amené à dévoiler des informations sensibles.
Ces sites peuvent être utilisés avec les méthodes de phishing (liens dans les e-mails ou SMS).
Comme pour le phishing, il est conseillé de se rendre sur le site souhaité via son navigateur plutôt qu’un lien envoyé par e-mail, par sms ou transmis via les réseaux sociaux. Pour s’assurer qu’un site est bien sécurisé, il faut penser à vérifier que l’adresse commence bien par « https ».
Hormis la technique du phishing qui pousse l’utilisateur à révéler lui-même ses données personnelles, les mots de passe peuvent être forcés à l’aide de logiciels malveillants. Les logiciels effectuent un maximum de combinaisons de caractères possibles afin de trouver le bon mot de passe.
Il est aussi possible de deviner les mots de passe simples grâces aux données partagées sur les réseaux sociaux (dates de naissance, noms de proches, nom d’animaux de compagnie, etc.).
Certains sites ou plateformes peuvent également être victimes de piratage ou laisser fuiter les informations de connexion. Ils invitent alors le plus souvent leurs utilisateurs à modifier leurs identifiants afin de sécuriser leurs comptes.
- Ne pas utiliser d’éléments personnels tels que les dates de naissance, le prénom de ses enfants, le nom d’animaux domestiques qui pourraient apparaître sur les réseaux sociaux,
- respecter les préconisations en termes de difficulté de mots de passe : nombre de lettres, chiffres, majuscules, caractères spéciaux,
- utiliser des mots de passe uniques pour chacun de ses comptes,
- Utiliser un gestionnaire de mot de passe extérieur au navigateur, qui pourra enregistrer et générer vos mots de passe de manière sécurisée,
- utiliser un anti-virus et un anti-spyware à jour.
En cas de détection de vol de mot de passe, il est fortement conseillé de le modifier sur le compte incriminé ainsi que sur tous les comptes qui l’utilisent.
Dans les lieux publics, certains réseaux wifi ouverts peuvent apparaître. Certains d’entre eux sont destinés à dérober les données personnelles des utilisateurs.
- Vérifier que le réseau appartient bien au lieu où il est proposé (café, restaurant, bibliothèque, …),
- s’il est nécessaire de créer un mot de passe dédié, utiliser un mot de passe unique différent de ses mots de passe habituels,
- éviter de se connecter à des sites ou plateformes internet sensibles (banque, boîte mail, stockage en ligne) et ne pas procéder à des achats en ligne,
- n’accepter aucun téléchargement, transfert ou mise à jour non sollicités pendant la connexion à un réseau public.
L’utilisation de périphériques de stockage externes est souvent déconseillée en entreprise. Elle l’est encore davantage s’il s’agit de périphérique d’origine inconnue. Ils peuvent en effet contenir des programmes malveillants dont le but est de prendre les données sensibles de l’utilisateur en otage (comme avec le rançongiciel).
Afin d’éviter tout problème, la solution la plus simple est de ne pas brancher le périphérique inconnu à son poste de travail et à le remettre à l’autorité concernée.
L’attaque DDoS (Distributed Denial of Service / déni de service) est une attaque relativement simple à mettre en œuvre. Sa particularité est de viser un système informatique en effectuant un grand nombre de connexions ou de requêtes vers un serveur afin de le saturer et de le rendre inaccessible aux utilisateurs.
Les sites commerciaux, institutionnels et financiers sont les plus fréquemment visés par ces attaques. Elles peuvent avoir lieu pour différentes raisons : représailles, revendications politiques ou idéologiques, demande de rançon, etc. Elles peuvent aussi être réalisées dans le but de camoufler d’autres opérations, notamment de vol de données.
L’attaque DDoS peut avoir plusieurs conséquences :
- empêcher l’accès aux sites et services et empêcher la réalisation de transactions financières,
- mettre en péril l’image de l’organisme et altérer la confiance des utilisateurs,
- occasionner des pertes économiques et financières,
- dérober les données personnelles des utilisateurs des sites visés.
Lors d’une attaque DDoS, le système informatique expérimente une hausse inhabituelle de son trafic, venant de centaines, voire milliers de sources. Les capacités d’accès aux services sont donc mobilisées et ne permettent plus l’accès aux utilisateurs légitimes.
Il est cependant compliqué de différencier les sources malveillantes des utilisateurs légitimes et les bloquer s’avère alors difficile.
Il est possible de filtrer les connexions, notamment à l’aide d’un pare-feu bien configuré. Cette protection a cependant ses limites et peut être contournée par les attaquants. Il existe également des solutions pour limiter le nombre de requêtes autorisées et fermer certains points d’entrée.
Certains hébergeurs proposent également des solutions pour faire face à ce type d’attaques.
- Contacter l’hébergeur du système afin d’obtenir les informations nécessaires concernant l’origine de l’attaque, les protocoles utilisés et bloquer les adresses IP identifiées comme malveillantes,
- collecter les journaux d’événements du pare-feu et des serveurs concernés,
- effectuer une copie de la machine touchée et de sa mémoire,
- ne pas céder au chantage et ne pas payer de rançon exigée,
- contacter un professionnel en cyber malveillance pour sécuriser et remettre en service les systèmes touchés,
- vérifier qu’aucune donnée sensible n’a été volée une fois que l’attaque a cessé.
