Le piratage dans le monde de la technologie et de la finance : enjeux et défis

On estime à 45 milliards de dollars le coût total dû aux 2 millions d’attaques de piratage informatique en 2018 dans le monde. Le nombre d’attaques a pourtant connu une baisse d’environ 20% par rapport à l’année précédente mais les pertes financières provoquées ont subi une augmentation de 60 %.

D’après une étude menée par Accenture, le coût total de la cybercriminalité pour chaque entreprise a augmenté de 12 %, passant de 11,7 millions de dollars en 2017 à 13,0 millions de dollars en 2018. Le secteur des services financiers est celui qui supporte le coût le plus élevé de la cybercriminalité, avec une moyenne de 18,3 millions de dollars pour les entreprises interrogées et 2000 cas dans le système de taxation. Cybersecurity Ventures prédit que les dommages liés à la cybercriminalité devraient atteindre 6 000 milliards de dollars par an d’ici 2021.

Les attaques perpétrées se répètent à l’infini coûtant ainsi des milliards de dollars aux gouvernements, entreprises et hôpitaux. Les victimes se comptent parfois par dizaine de milliers. Comme l’a précisé le World Economic Forum, les activités de piratage informatique sont, tout comme le changement climatique et les catastrophes naturelles, parmi les plus grands défis que le monde ait à faire face durant les années à venir.

Après avoir fait une mise au point sur le piratage et les techniques d’intrusion couramment utilisées, nous analyserons les impacts financiers des cyberattaques tout en tenant compte des initiatives prises par les entreprises et les gouvernements pour faire face à une technologie en constante évolution et des hackers de plus en plus futés avec leurs outils sophistiqués.

C’est quoi le piratage ?

Le piratage informatique c’est l’ensemble de moyens, de techniques et des méthodes utilisés par une personne dans le but de compromettre un appareil numérique en contournant les dispositifs de sécurité, exploiter les failles et les vulnérabilités.

Bien que piratage informatique et logiciel malveillant marchent souvent de pair, les pirates jouent également sur la psychologie pour arriver à leur fin. On parlera alors d’ingénierie sociale. A l’heure actuelle quiconque peut mener des attaques à partir des malwares conçus à cet effet ou en embauchant un pirate professionnel.

Plutôt diverses, les raisons qui poussent les hackers à franchir la ligne blanche pour être dans l’illégalité se répartissent de cette façon :

• Hacktivisme

Ce sont activistes qui sont versés dans l’informatique et qui utilisent leur connaissance du numérique pour infiltrer des réseaux informatiques à des fins militantes religieuse, politique ou sociale. Généralement ils détournent des sites web et y laissent le message qu’ils veulent faire passer.

Des exemples comme Wikileaks ou Anonymous dans la récente affaire de la mort de Georges Floyd en sont des exemples parfaits.

• Une recherche de notoriété

Certains pirates décident de s’attaquer à des réseaux pour attirer l’attention des personnes responsables sur les faiblesses du système de sécurité qu’ils utilisent sans exploiter les failles. Ils le font non seulement pour tester leurs capacités mais aussi pour prouver à leurs collègues et à eux même qu’ils sont capables d’un tel exploit. On les appelle les Grey hat. Contrairement aux white hat ils n’ont pas eu de permission au préalable pour déjouer le système.

• De l’espionnage étatique ou industriel

Il est très fréquent que des gouvernements tentent d’espionner ou de recueillir des renseignements sur des gouvernements rivaux en utilisant des techniques de piratage. De même, certaines entreprises et sociétés mènent des activités d’espionnage contre leurs concurrents en s’introduisant dans leur réseau pour substituer, modifier, dupliquer ou détruire des informations confidentielles ou des données financières.

En guise d’illustration prenons la collaboration entre les Etats-Unis et Israël sur la cyberattaque Stuxnet contre le nucléaire iranien.

• La recherche du profit

Si pour certains pirates leur amour du défi et le sens de l’aventure guident leurs actions d’autres y voient un excellent moyen pour se faire beaucoup d’argent. En effet, le piratage a l’avantage d’assurer un retour sur investissement élevé sans un grand investissement dans les malwares ce qui explique

En Mai 2020, ZDNet a rapporté qu’un groupe de groupe de cybercriminels appelé ShinyHunters ont déclaré avoir piraté les données personnelles de 73,2 millions de personnes en provenance de dix sites internet et les a mises en vente sur le Dark Web pour environ $18,000 par site.

• Rendre le réseau plus sécurisé

Ce sont les seuls à être légal. Ces white hackers sont connus pour leur participation à assurer la réduction de la cybercriminalité, la protection contre la fuite des données et restaurer la confiance du numérique. Étant muni d’une autorisation au préalable, ils utilisent leur savoir pour tester les vulnérabilités et autres faiblesses de sécurité et partagent les détails sur la façon dont les entreprises peuvent sécuriser leurs systèmes en permanence.

Les 600 000 et plus hackers de la plateforme HackerOne ont ramassé 40 millions de dollars en 2019.

On assiste même à des initiatives prises par des entreprises pour encourager les hackers à tester le niveau de sécurité de leurs produits. Elon Musk qui s’est associé au concours Pwn2Own a offert l’année dernière une Tesla Model 3 et 35 000 dollars à l’équipe Fluoroacetate qui avait réussi à déjouer le système en moins de 15 minutes. Pour cette année le prix était d’un million de dollars ajouté au Tesla Model 3.

Les attaques les plus courantes

Ransomware, hameçonnage, provocation d’une surcharge d’un système d’information ; les hackers font preuve d’une imagination terrible et sont prêts à tout pour obtenir les précieuses données dont ils poursuivent la conquête. De manière subtile et inattendue, ils s’installent et en un clic, le plus souvent le vôtre, le tour est joué. Les attaques peuvent revêtir plusieurs formes. En voici les principales méthodes utilisées :

1. Le ransomware ou rançongiciels

C’est le déploiement dans votre système d’un virus qui prend le contrôle de votre ordinateur en y bloquant l’accès ou en cryptant vos fichiers. Les extensions habituelles des documents sont remplacées par d’autres dont vous n’en connaissez pas l’existence et pour pouvoir y accéder, l’envoi d’une certaine somme à une adresse bien spécifique est exigé en échange de la clef de cryptage sinon il en résulte une perte définitive de ces données.

Les principaux types de pièces jointes malveillantes sont : .doc et .dot, qui représentent 37 %, et  .exe  avec 19,5 %. (Symantec)

Ces programmes malveillants gagnent l’accès à notre système par le biais des pièces jointes des emails, les liens qui mènent à des sites non sécurisés, des clés USB infectées ou encore certaines applications ; mais certaines fois ils peuvent également se passer des interactions humaines. Mai 2017, en une seule journée près de 230 000 ordinateurs sont infectés par un ver informatique qui se propage dans 150 pays et a coûté plus de $100 millions de dollars rien qu’au National Health Service (NHS).

Le 28 Août 2019, McAfee a précisé que les programmes rançongiciels ont fait l’objet d’une hausse de 118% au premier trimestre de l’année en cours et qu’environ 504 menaces de ransomwares sont détectées à la minute.

2. L’ingénierie sociale

Elle regroupe l’ensemble des procédés utilisées par les cybercriminels pour stimuler les utilisateurs à leur fournir des informations personnelles. On peut citer :

• L’hameçonnage ou phishing

C’est la technique par excellence utilisée dans le but de voler l’identité de quelqu’un en lui soutirant ses informations personnelles, financières, mots de passe, codes d’accès aux outils de travail informatisés etc. Le pirate utilise une copie exacte du site dans l’optique de faire croire à la victime qu’elle se trouve sur un site officiel et récupère ensuite les données qui ont été entrées. Ces attaques sont souvent dirigées vers des sites sensibles tels que les sites bancaires, les plateformes de jeux et les réseaux sociaux.

Au premier semestre 2019, il y a eu une augmentation de 50 % des logiciels malveillants liés aux services bancaires mobiles par rapport à l’année dernière (World Economic Forum).

• Appât

Il n’est pas trop différent du phishing mais l’hacker séduit la victime en lui proposant une offre alléchante comme le téléchargement d’un livre ou en la faisant croire qu’elle a été choisie pour recevoir un produit.

Les attaques par déni de service distribuées (ou DDoS) 

Elles consistent à rendre un service non opérationnel soit par un flux massif de trafic qui provoque la saturation du système et empêche son fonctionnement ou en bloquant l’accès à l’intégralité du système ou à un service en particulier.

 

Pour mettre en œuvre ces attaques, les pirates utilisent des botnets qui leur permettent de prendre à distance le contrôle de plusieurs autres ordinateurs ou appareils en réseaux (zombies ou bots) connectés à internet pour générer du trafic et planter le réseau.

D’après Cybint Solutions 51% des entreprises ont expérimentés un DDoS en 2018. Les dommages associés aux attaques DDoS peuvent être importants, avec des estimations allant d’une moyenne de 50 000 dollars de perte de revenus commerciaux par attaque jusqu’à 2 millions de dollars en moyenne.

3. L’attaque Zero Day

C’est le fait qu’une entreprise ne dispose que de zéro jour pour identifier les risques de cyberattaques auxquels elle est exposée avant qu’un hacker n’en tire profit. Quand un utilisateur découvre une faille dans la sécurité d’un logiciel, un navigateur ou une application il a le choix entre le signaler à l’éditeur de logiciel ou le publier en ligne. Entre la mise à jour et l’exploitation de cette faille, le compte à rebours a déjà commencé.

Certaines entreprises ont eu la chance de pouvoir tout corriger à temps. Tel fut le cas avec Apple dont les chercheurs en cybersécurité, Peter Dantini et Patrick Wardle, ont découvert un faux installateur d’Adobe Flash qui contenait des codes venant de l’adware Shlayer qui a été approuvé par erreur par le Gatekeeper d’Apple (28 Août 2020)

4. Malware

C’est le terme utilisé pour désigner l’ensemble des logiciels malveillants et qui ont pour but de nuire à votre appareil numérique. Ils sont de différentes types. On y retrouve : l’adware, le cheval de Troie, le virus, le vers, le spyware etc. Selon Symantec, 1 sur 13 demandes mène à un malware. En 2019, 94% des malwares ont été distribués par email selon Verizon.

Les impacts des cyberattaques

Les cyberattaques portent un grand coup à l’économie mondiale et causent de nombreux torts aux entreprises. Citons entre autres :

• Dépense en cybersécurité et perte financière

Les données sont très importantes dans la vie d’une entreprise car elles aident à la prise de décision éclairée. Leur perte ou une inaccessibilité peut avoir des répercussions sur son état financier. Suite à une attaque qui rend non opérationnel un site pendant un bon bout de temps des pertes financières s’ensuivent.

Michael Calce, 15 ans à l’époque est connu pour avoir lancé une attaque DDoS contre Yahoo, Amazon, Dell, ETRADE, eBay et CNN en l’an 2000 en les rendant partiellement et pour certaines, totalement inaccessibles pendant des heures. Comme toujours, le bilan est lourd avec près de 1,7 milliards de dollars de perte pour ces entreprises. Le ransomware WannaCry quant à lui a causé une perte mondiale estimée à 4 milliards de dollars.

Il peut également entraîner des coûts de récupération énormes comme ce fût le cas avec Norsk Hydro aluminium qui a choisi de ne pas payer de rançon en 2019 et qui a connu des coûts de récupération extrêmement élevés (40 millions de dollars, ZDNet).

• Détérioration de l’image de l’entreprise

Une cyberattaque peut entacher la réputation d’une entreprise. Une étude menée par Arcserve auprès de 2000 consommateurs montre qu’après une cyberattaque d’un banquier ou d’un assureur :

• 76% examinent la fiabilité d’une organisation avant d’acheter un produit ou un service
• 45% des clients se disent prêts à quitter leur banque ou leur assurance après une seule interruption et
• 31% ne veulent pas travailler avec une organisation victime d’une attaque au cours des trois dernières années.

 

• Baisse de la production

Les entreprises qui ont été victimes de cyberattaques passent souvent par une baisse de leur production. Dans l’impossibilité d’accéder à l’ensemble des informations, on passe au manuel et le processus ralentit comme cela avait été le cas pour Norsk Hydro Aluminium.

A l’heure actuelle, se protéger des cyberattaques constitue un enjeu de taille. Aucun système n’est totalement sécuritaire c’est pourquoi il devient urgent d’adopter les meilleures pratiques et établir une assise juridique pour intensifier la lutte contre le piratage informatique.

Des démarches ont certes été effectuées en ce sens comme la Convention de Berne, l’Accord sur les aspects des droits de propriété intellectuelle qui touchent au commerce ou encore le site cybermalveillance.fr mis en place mis en place gouvernement français pour assister et sensibiliser les institutions. Mais c’est une bataille qui est loin d’être achevée. Elle doit se livrer à plusieurs niveaux.

Les particuliers doivent s’informer sur le sujet et apprendre à adopter les meilleures attitudes pour se défendre. Les entreprises doivent prendre des initiatives former leurs employés des risques liés au cyberattaques et recruter des experts en cybersécurité.