Selon une enquête, le phishing reste la cyberattaque la plus utilisée contre les entreprises

Selon un rapport d’IDG intitulé “2018 US State of Cybercrime”, 66% des entreprises interrogées avouent s’inquiéter, cette année, davantage de la cybersécurité, que l’année passée.

Ce n’est pas que le nombre moyen d’incidents de sécurité augmente de manière générale : il est en fait en baisse cette année, à 107,2. Cela est une bonne chose, sauf si vous êtes un gros poisson : les personnes interrogées dans cette enquête ont indiqué que le nombre moyen d’attaques ciblant les grandes entreprises a augmenté pour atteindre 195,9.

L’enquête a révélé que la majorité des cyberattaques, 75%, provenaient de personnes externes et 25% d’insiders.

Les cybercriminels représentent la plus grande cybermenace, et l’impact financier de leurs actes est lourd : 39% des personnes interrogées ont déclaré que les cybercrimes causés par des tiers étaient les plus coûteux.

Voici les vecteurs d’attaque externes les plus courants qui débouchent sur des failles de sécurité :

1. Phishing : 53%
2. Malware : 50%
3. Spyware : 45%

Cette enquête est menée chaque année par IDG, en collaboration avec le magazine CSO, la division CERT du Software Engineering Institute de l’Université Carnegie Mellon, le Secret Service américain et KnowBe4, une plateforme de sensibilisation à la sécurité et de simulation de phishing, aidant les entreprises à faire face aux attaques par ingénierie sociale.

Les menaces internes restent bien sûr un problème grave. Cependant, le problème le plus courant concernant les employés n’est pas celui où l’entreprise est délibérément ciblée à des fins criminelles. Par exemple, l’employé qui aurait volé des spywares gouvernementaux … et les aurait cachés sous son lit.

Les personnes interrogées ont déclaré que le principal problème en matière de menaces internes réside dans le fait que les employés sont victimes de phishing ou d’autres scams. Voici les menaces internes les plus courantes signalées dans l’enquête :

1. Des employés innocents se faisant avoir : 42%
2. Des employés négligents mélangeant travail et usage personnel : 26%

Les cybercriminels deviennent de plus en plus rusés lorsqu’il s’agit de Business Email Compromise (BEC) : des attaques extrêmement ciblées qui amènent les employés à penser qu’ils traitent avec des fournisseurs, des partenaires ou leurs propres responsables. Penguin Random House et d’autres éditeurs ont récemment été pris pour cible : la semaine dernière, des cybercriminels se sont fait passer pour des agents littéraires et des agents de droits étrangers dans le but de se procurer des manuscrits précieux.

Selon les personnes interrogées, les employés qui ont été victimes de ce type d’attaque ont été à l’origine des graves failles de sécurité au cours de l’année écoulée :

1. Des dossiers client compromis : 61%
2. La perte de secrets commerciaux ou de propriété intellectuelle : 56%
3. Le vol d’Informations Personnelles Identifiables (IPI) : 49%

Randall Trzeciak, directeur du CERT National Insider Threat Center au sein du Software Engineering Institute de l’Université Carnegie Mellon, a déclaré dans un communiqué de presse, à propos de l’enquête, que les résultats soulignaient la nécessité d’une formation à la sécurité :

Beaucoup de ces violations auraient peut-être été évitées si les employés avaient été correctement sensibilisés. Dans certains cas, la naïveté des employés a conduit à des tentatives de phishing et à des scams, entraînant des pertes de données et des pertes financières. 

La plupart des employés reçoivent une formation en sécurité, mais pas plus d’une fois par an. Voici comment se décompose la fréquence des formations :

1. Une fois par an : 29%
2. Deux fois par an : 15%
3. Trimestrielle : 15%
4. Mensuelle : 7%

Les cadres de niveau C sont ceux qui ont le plus besoin de formation pour se protéger vis à vis des attaques, selon 52% des personnes interrogées.

Conclusion de l’enquête : formez les employés, et en particulier les responsables, et formez-les souvent !

Billet inspiré de Phishing is still the most commonly used attack on organizations, survey says, sur Sophos nakedsecurity.