Une étude récente a analysé plus de 14 millions de sites web à travers le monde pour déterminer l’état actuel du cyberespace, et le constat est plus qu’inquiétant. Parmi eux, on estime qu’il y a actuellement 4,1 millions de sites web actuellement infectés par des logiciels malveillants. Mais un chiffre apparaît encore plus préoccupant : deux fois plus de cyber-menaces ont été enregistrées en 2021, comparé à 2020. Les raisons de cette accélération de l’insécurité en ligne sont multiples, mais on peut citer parmi elles la pandémie mondiale ainsi que la hausse du télétravail, qui ont dévoilé de nombreuses faiblesses en matière de cybersécurité, ou encore le contexte géopolitique actuel. Ransomwares, phishing, piratage de comptes et autres cyberattaques, ayant pour objectif le vol de données des utilisateurs et des entreprises, vont donc très probablement se renforcer au cours des prochaines années.
Mais un changement de paradigme commence à s’opérer parmi ces cyber-menaces croissantes. En effet, on se trouve de plus en plus face à un phénomène d’automatisation et d’industrialisation des attaques en ligne. Les cibles privilégiées ? Selon l’ANSSI, les TPE, PME et ETI sont les premières entités touchées, et représentaient 34% des victimes en 2021 au total. Alors, pourquoi sommes-nous de plus en plus inefficaces face aux hackers, et en particulier les PME ?
Les petites entreprises, plus fragiles que jamais
Rappelons en premier lieu que les sites web sont attaqués en moyenne près de 63 000 fois par an, 172 fois par jour, soit 8 attaques par minute à travers le monde. Des chiffres qui font encore une fois pâlir les DSI ! Parmi ces entreprises touchées, les PME ont effectivement été identifiées comme étant les plus fragiles, mais n’en ont pas nécessairement toujours conscience. En effet, les attaques envers les PME ont augmenté de 53% en 2021 par rapport à l’année précédente. Pourtant pour l’heure, près de la moitié des PME pensent qu’elles sont des cibles trop petites pour être attaquées, alors que la moitié d’entre elles ont déjà été victimes d’attaques…
Et les conséquences peuvent être lourdes, handicapant ces entreprises sur le court-terme comme sur le long-terme, pouvant même les forcer à mettre la clé sous la porte. Au-delà du préjudice causé par l’attaque elle-même, comme la perte de données sensibles ou de propriété intellectuelle par exemple, on retrouve de nombreuses autres externalités négatives. En premier lieu, la panne voire l’indisponibilité du site de la PME, rendant toute interaction digitale avec ses prospects ou clients impossible.
Viennent ensuite la perte de temps et la baisse de la productivité touchant les collaborateurs privés de leurs outils de travail et/ou devant gérer rapidement une situation de crise inédite. Enfin, les plus évidents mais aussi les plus difficiles à gérer : l’altération de la réputation et de la confiance des clients, menant in fine à une perte de revenus, voire à la fermeture complète de la société. Le bailleur social français 1001 Vies Habitat témoignait en 2021 suite à une cyberattaque dévastatrice, dont la société ne s’était toujours pas remise presque un an après. En effet, celle-ci doit encore jongler entre la reconstruction de son infrastructure informatique, mais aussi l’impatience de ses fournisseurs et locataires, et la lassitude de ses équipes.
Dans ce contexte, il est intéressant de constater la forte vulnérabilité des sites gérés grâce à des CMS (Content Management Systems) comme WordPress, alors que ceux-ci sont largement plébiscités par les PME. Faciles à prendre en main, nécessitant peu ou pas de connaissances particulières en développement de sites web, les CMS offrent la solution parfaite aux petites entreprises qui cherchent à avoir rapidement une présence en ligne (blog, site vitrine, formulaire de contact, etc.), et ce à moindre coût. Mais le revers de la médaille donne à voir une tout autre réalité… Ainsi, les sites web gérés sous WordPress sont 39 fois plus sujets aux attaques que les autres sites web.
De plus, les plugins, ces outils permettant d’ajouter des fonctions supplémentaires aux sites web, ont aussi un impact sur la vulnérabilité du CMS. Pour 5 plugins installés sur sur un site web, le risque d’attaque est ainsi presque doublé ! Le risque majeur étant un plugin infecté par un “bot” ou un logiciel malveillant, offrant une porte dérobée vers l’accès aux données du site.
L’inépuisable croissance des bots
Si les PME sont effectivement encore trop peu armées pour se défendre et constituent donc les cibles idéales des hackers, il est intéressant d’observer de plus près comment ces attaques sont réalisées. En effet, nous sommes passés d’attaques réalisées plutôt de façon manuelle et ciblée à des attaques plus sophistiquées, voire totalement automatisées. Si les attaques plus artisanales sont moins nombreuses, elles sont aussi plus dangereuses car le hacker s’en prend généralement à une cible bien précise. Les principaux responsables de nouvelles attaques en très grand nombre sont les bots, des morceaux de code générés par les hackers et effectuant des tâches répétitives. Ne nous méprenons pas, le problème reste le même, car derrière chaque bot se trouve bien un acteur malveillant.
Cet outil peut devenir un vecteur ultra puissant, car l’automatisation par bot permet véritablement de démultiplier la force d’une attaque en ligne, et d’industrialiser les attaques sur un format jamais vu auparavant. Ainsi, les hackers disposent d’un tout nouvel arsenal leur permettant de procéder à divers types d’attaques, du simple phishing par email permettant de récupérer facilement des mots de passe jusqu’au au déni de service (ou DDoS, technique consistant à saturer un service / site web).
Et les chiffres ne mentent pas. En 2021, les PME ont en effet reçu un trafic de bots qui représente 5,5 fois plus de visites que le trafic généré par de véritables internautes, soit plus de 2300 visites hebdomadaires par site concerné ! Par exemple, grâce à un seul bot simple, un hacker peut toucher des milliers d’adresses IP. Enfin selon une étude menée par CyberArk (2022), 68 % des bots ont déjà eu accès à des données et à des actifs sensibles. Une tendance qui devrait se confirmer avec le développement rapide de nouvelles technologies nées grâce à l’IA.
Les attaques vont donc s’intensifier et leur ingéniosité continuera à se démultiplier. Demain, il sera de plus en plus complexe de différencier le trafic humain de celui du bot. Au-delà de la mise en place d’armes traditionnelles pour les contrer, comme la mise à jour des certificats et l’automatisation des systèmes de cybersécurité, il devient impératif de prendre le taureau par les cornes. En ce sens, l’accord provisoire récemment obtenu du Conseil et du Parlement européen sur la directive NIS2 est une excellente nouvelle ! En effet, l’Europe compte considérablement augmenter ses investissements consacrés à la cybersécurité, pour atteindre une enveloppe de 4,5 milliards d’euros.
L’objectif : améliorer la coopération entre États et accélérer sur des sujets variés pour mieux protéger les entreprises et organisations, de la formation à la cybersécurité, à l’utilisation de la cryptographie, en passant par la mise en place de politiques et de procédures communes en matière d’évaluation et de gestion des risques… Affaire à suivre !