Trop gros pour une attaque informatique?

La compagnie A investit 500 millions d'euros pour trouver le vaccin contre la maladie X. Un groupe de pirates, engagé pour 50 000 $, va chercher les données de la compagnie A sur ce vaccin. Le produit sort, on le brevette sous un autre nom, on en a l'exclusivité de vente pendant 10 ans — sans avoir déboursé les 500 millions. La marge de profit est extraordinaire.

C'est ce genre de risque — l'espionnage industriel visant la propriété intellectuelle plutôt que l'argent comptant — qui plane sur toute entreprise qui investit massivement en R&D. Bayer en a eu un aperçu concret il y a quelques années, lorsque le géant mondial de la chimie et des pharmaceutiques a été victime d'une attaque informatique. L'outil utilisé, Winnti, est largement associé à des groupes financés par des États menant ce type de campagnes d'espionnage industriel.

Les bons réflexes de l'équipe TI de Bayer leur ont permis de découvrir l'infection rapidement et de l'éradiquer du réseau. Selon leur analyse, il y aurait eu plusieurs points d'infection simultanés, ce qui indique généralement une attaque ciblée plutôt qu'opportuniste.

« On est trop petits pour intéresser un pirate »

C'est le raisonnement qu'on entend le plus souvent chez les PME — et c'est précisément ce qui les rend vulnérables. La réalité est différente : la majorité des attaques ne visent pas les Bayer de ce monde. Elles visent des cibles plus petites, moins protégées, souvent choisies non pas pour leur valeur individuelle, mais parce qu'elles sont plus faciles à compromettre.

Une PME peut être une cible directe (pour ses données clients, sa propriété intellectuelle, ou simplement pour une rançon) ou une cible de passage — un point d'entrée vers un client, un fournisseur ou un partenaire plus important dans sa chaîne d'affaires. Dans les deux cas, la taille de l'entreprise n'est pas une protection.

Ce qui fait vraiment la différence

Même si l'histoire de Bayer semble sortir tout droit d'un film, une attaque ciblée — ou non — reste très réelle pour n'importe quelle organisation. La bonne nouvelle, c'est que les mesures de sécurité de base restent étonnamment efficaces : on peut généralement prévenir la grande majorité des attaques avec un investissement raisonnable dans la formation des employés et dans les outils de sécurité de base d'une entreprise.

Concrètement, ça veut dire :

• Des accès limités au strict nécessaire pour chaque employé
• Une authentification à deux facteurs activée partout où c'est possible
• Des mises à jour appliquées sans délai excessif
• Une supervision qui permet de détecter un comportement anormal avant qu'il ne devienne un incident majeur

Aucune de ces mesures n'exige un budget de multinationale. Ce qu'elles exigent, c'est de ne pas remettre la sécurité à plus tard en se disant qu'on est « trop petit pour intéresser quelqu'un ».

— Matt, MMO Techno