DDoS, Shadow IT/IA et EDR, les « stars » de 2023

Le Club des experts de la sécurité de l’information et du numérique (CESIN) a publié la neuvième édition de son baromètre annuel, réalisé avec OpinionWay auprès de 456 de ses membres, dont 40% proviennent d’entreprises de taille intermédiaire (ETI) et 48% de grandes entreprises.

En 2023, le nombre de cyberattaques réussies est resté stable : 49% des répondants déclarent avoir subi au moins une cyberattaque ayant eu une conséquence significative (les attaques réussies sont celles ayant des répercussions notables pour les victimes).

Les attaques par phishing toujours en tête, le déni de service en embuscade

Les entreprises ayant constaté au moins une attaque en ont subi trois en moyenne, en 2023. Même si elle est en baisse de 14 points par rapport à l’année 2022, la famille des attaques par hameçonnage (phishing, spear phishing, smishing) continue de s’adjuger la première marche du podium en 2023 (60% des répondants). L’exploitation d’une faille arrive en deuxième position (43%) tandis que l’attaque en déni de service se place derrière (34%), en forte hausse d’une année sur l’autre (+11 points).

Crédit : CESIN

« Quand on observe le paysage géopolitique actuel, sans parler des conflits sociaux divers et variés, il n’est pas étonnant de voir les attaques en déni de service augmenter. À partir du moment où quelqu’un n’est pas content après quelqu’un d’autre, cela peut très vite se transformer en ce type d’attaque dont le but est de nuire. Pour les attaques les plus virulentes, nous observons des puissances de feu importantes, qui peuvent faire plier les meilleures défenses et avoir de réels impacts sur les entreprises ciblées », déclare Alain Bouillé, délégué général du CESIN.

Il est à noter que les arnaques au président (en cinquième position, à 28%) connaissent une forte baisse (-13 points). Mais il ne faut pas baisser la garde selon Alain Bouillé : « Avec les progrès de l’intelligence artificielle, notamment en matière de deepfakes vocaux, il est nécessaire de continuer à surveiller ce type d’attaques de très près, car elles vont repartir de plus belle. »

Le vol de données, première conséquence des attaques

Les conséquences qui découlent de ces vecteurs d’attaques se traduisent par des vols de données personnelles et/ou stratégiques ou techniques (31%), des dénis de service (30%, en hausse de 11 points), des usurpations d’identité (30%) et des expositions de données (29%).

Les conséquences qui découlent des vecteurs d’attaques

Crédit : CESIN

Concrètement, pour 65% des répondants (60% lors de la précédente édition du baromètre), les cyberattaques ont un réel impact sur leur activité : outre la perturbation de la production (24% des répondants), l’indisponibilité du site web pendant une période significative est en hausse de 9 points (22%), en lien avec l’augmentation des attaques en déni de service, tandis que la perte d’image et l’impact médiatique arrivent en troisième position (17%).

« L’impact médiatique et réputationnel est très difficilement traduisible en termes de chiffre d’affaires perdu, il est donc rarement compté dans les impacts liés à la perte d’activité. Néanmoins, ce sont généralement des impacts très importants », note Mylène Jarossay, RSSI groupe de LVMH et présidente du CESIN.

Les impacts directs sur l’activité des entreprises

Crédit : Cesin

Le Shadow IT et son corollaire « Shadow IA », maillons faibles des systèmes d’information

L’analyse des causes facilitant les incidents de sécurité rencontrés par les entreprises, cyberattaques incluses, met en lumière la persistance de mauvaises pratiques au sein des organisations. Les personnes en charge de la cybersécurité voient une hausse des usages numériques à risque qui échappent au contrôle de l’entreprise : le Shadow IT gagne une place par rapport à l’année 2022, passant de la troisième à la deuxième place (35%). La première place revient aux attaques opportunistes (39%), tandis que les vulnérabilités résiduelles permanentes (34%) et la négligence et les erreurs de manipulation/configuration (33%) arrivent respectivement en troisième et quatrième position.

« Le Shadow IT reste très prégnant au sein des entreprises. Il faut d’ailleurs lui adjoindre désormais un autre phénomène : le Shadow IA, les organisations ayant du mal à contrôler l’usage des outils d’IA générative en leur sein. Par ailleurs, le poids de la négligence est toujours bien présent, en raison des erreurs faites par les personnes en charge de l’administration technique. Trop de portes sont encore laissées ouvertes, trop de mots de passe ne sont pas suffisamment sécurisés, malgré les efforts de sensibilisation effectués », constate Alain Bouillé.

Quant aux attaques opportunistes, qui cumulent 39% des réponses, « elles donnent une bonne indication sur la massification actuelle des attaques. Cela signifie aussi, quand on compare ce pourcentage aux 23% d’attaques ciblées, que les entreprises ne savent pas toujours si elles ont été réellement ciblées ou pas par une opération malveillante », analyse Mylène Jarossay.

Les causes facilitant les incidents de sécurité rencontrés par les entreprises

Crédit : CESIN

MFA, pare-feux et EDR dans le trio de tête des solutions jugées « efficaces »

Pour se protéger, les entreprises disposent d’un certain nombre de solutions et de services de sécurité proposés par les acteurs du marché. 87% des répondants leur accordent un haut niveau de confiance, les qualifiant d’adaptés à leurs besoins. « Cela signifie que les éditeurs conçoivent aujourd’hui non pas des produits qu’ils ont envie de vendre mais des solutions dont les entreprises ont réellement besoin, avec un taux d’efficacité élevé, ce qui n’était pas forcément le cas en 2019 », commente Alain Bouillé. « Cet indice de confiance élevé veut également dire qu’un certain nombre d’attaques ont été arrêtées grâce à ces solutions. Les entreprises ont constaté que ces outils jouaient leur rôle », complète de son côté Mylène Jarossay.

Les premières solutions jugées comme « efficaces » par les entreprises interrogées sont les outils d’authentification multi-facteurs / MFA (93%). 61% des répondants les jugent même « très efficaces », soit huit points de plus par rapport à 2022. « Les solutions d’authentification multi-facteurs se sont vraiment développées à partir de la crise sanitaire liée au covid, les entreprises ayant eu besoin d’accès distants. Les technologies sont désormais complètement intégrées et acceptées par tous », déclare Alain Bouillé.

Les pare-feux arrivent en deuxième position (93%), suivis de près par les systèmes de détection et réponse pour endpoints (EDR), ces derniers progressant de 6 points d’une année sur l’autre.

Les solutions et services jugés « efficaces » par les entreprises

Crédit : CESIN

Pour conclure, le CESIN met en avant que 7 entreprises sur 10 ont souscrit à une cyber assurance, un quart d’entre elles l’ayant déjà utilisée dans le cadre d’une cyberattaque. Par ailleurs, 59% des répondants ont déjà déposé plainte à la suite d’une cyberattaque. 1 plainte sur 5 a d’ailleurs permis d’identifier et/ou d’interpeller les attaquants. Enfin, la confiance a baissé envers les agences de notation dont il est estimé que les résultats sont très partiels.